마이크로소프트 디펜더 네트워크 보호(Network Protection) 로컬 이벤트 로그 경로 문의

Question

저희 보안 운영 센터(SOC)에서 사내 노트북이 피싱 도메인으로 의심되는 곳에 접근하여 마이크로소프트 디펜더 네트워크 보호(Microsoft Defender Network Protection) 기능이 차단하거나 감지(Audit)한 이력을 추적하려고 합니다.

이를 위해 개별 PC의 Windows 이벤트 뷰어(Event Viewer) 내에서 네트워크 보호 관련 차단 및 감사 이벤트가 로컬로 기록되는 정확한 로그 경로가 어디인지 알고 싶습니다.

이벤트 ID 정보도 함께 공유해 주시면 감사하겠습니다. 답변 기다리겠습니다!

Answer 1

안녕하세요.

다음 경로에서 관련 로그를 확인하실 수 있습니다.

이벤트 뷰어(Event Viewer) > Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational

Network Protection 관련 이벤트는 다음 Event ID로 기록됩니다.

• 1125 – 네트워크 연결이 감사됨(Audit Mode)
• 1126 – 네트워크 연결이 차단됨(Block Mode)
• 1127 – Network Protection 오류 발생

각 이벤트에는 차단되거나 감사된 도메인 또는 IP 주소, 그리고 해당 연결을 시도한 프로세스 정보가 포함됩니다. SOC 환경에서는 이러한 로그를 SIEM으로 전달하여 다른 보안 이벤트와 연계 분석하는 것을 권장합니다.

이 답변이 도움이 되셨다면 "Accept answer" 를 눌러주시면 감사하겠습니다.

Jason