위험 수정 및 사용자 차단 해제

  • 아티클

조사를 완료한 후에는 위험 사용자를 수정하거나 차단을 해제하는 조치를 취해야 합니다. 조직은 위험 기반 정책을 설정하여 자동 수정을 활성화할 수 있습니다. 조직은 조직이 원하는 기간 내에 모든 위험 사용자를 조사하고 수정하도록 노력해야 합니다. 위험을 처리할 때는 시간이 중요하므로 Microsoft에서는 빠른 조치를 취할 것을 권장합니다.

위험 수정

모든 활성 위험 검색은 사용자의 위험 수준 계산에 영향을 줍니다. 사용자 위험 수준은 사용자 계정이 손상되었을 가능성을 나타내는 지표(낮음, 중간, 높음)입니다. 관리자는 위험 사용자와 해당 위험한 로그인 및 검색을 철저히 조사한 후 위험 사용자가 더 이상 위험에 노출되지 않고 차단되지 않도록 수정하려고 합니다.

Microsoft Entra ID Protection은 위험 상태 해제 및 위험 세부 정보 Microsoft Entra ID Protection 평가 로그인 안전으로 일부 위험 검색 및 해당 위험한 로그인을 해제로 표시합니다. 해당 이벤트가 더 이상 위험하다고 판단되지 않았기 때문에 이 작업을 수행합니다.

관리자는 다음 수정 옵션을 사용할 수 있습니다.

위험 기반 정책을 통한 자체 해결

위험 기반 정책을 설정하여 사용자가 로그인 위험과 사용자 위험을 자체적으로 해결하도록 허용할 수 있습니다. 사용자가 다단계 인증이나 보안 암호 변경 등 필수 액세스 제어를 통과하면 위험이 자동으로 수정됩니다. 해당 위험 감지, 위험한 로그인 및 위험한 사용자는 위험 대신 위험 상태 수정됨으로 보고됩니다.

위험 자체 수정을 허용하기 위해 위험 기반 정책을 적용하기 전에 사용자를 위한 필수 조건은 다음과 같습니다.

  • MFA를 수행하여 로그인 위험을 자체 수정하려면 다음을 수행합니다.
    • 사용자는 Microsoft Entra 다단계 인증에 등록되어 있어야 합니다.
  • 사용자 위험을 자체 수정하기 위해 보안 암호 변경을 수행하려면 다음을 수행합니다.
    • 사용자는 Microsoft Entra 다단계 인증에 등록되어 있어야 합니다.
    • 온-프레미스에서 클라우드로 동기화되는 하이브리드 사용자의 경우 비밀번호 쓰기 저장을 사용하도록 설정해야 합니다.

위의 필수 조건이 충족되기 전에 로그인하는 동안 위험 기반 정책이 사용자에게 적용되면 사용자가 차단됩니다. 이 차단 작업은 필요한 액세스 제어를 수행할 수 없으며 사용자 차단을 해제하려면 관리자 개입이 필요하기 때문입니다.

위험 기반 정책은 위험 수준에 따라 구성되며 로그인 또는 사용자의 위험 수준이 구성된 수준과 일치하는 경우에만 적용됩니다. 일부 검색은 정책이 적용되는 수준으로 위험을 발생시키지 않을 수 있으며 관리자는 해당 위험 사용자를 수동으로 처리해야 합니다. 관리자는 여러 위치에서 액세스를 차단하거나 정책에서 허용 가능한 위험을 줄이는 것과 같은 추가 조치가 필요하다고 결정할 수 있습니다.

셀프 서비스 암호 재설정을 사용하여 자체 수정

사용자가 SSPR(셀프 서비스 암호 재설정)에 등록한 경우 셀프 서비스 암호 재설정을 수행하여 사용자 위험을 수정할 수 있습니다.

수동 암호 다시 설정

사용자 위험 정책을 사용하여 암호 재설정을 요구하는 것이 옵션이 아니거나 시간이 중요한 경우 관리자는 암호 재설정을 요구하여 위험 사용자를 수정할 수 있습니다.

관리자는 다음 중에서 선택할 수 있는 옵션을 제공합니다.

  • 임시 암호 생성 - 임시 암호를 생성하여 ID를 안전한 상태로 즉시 전환할 수 있습니다. 이 방법을 사용하려면 임시 암호가 무엇인지 알아야 하므로 영향을 받는 사용자에게 문의해야 합니다. 암호는 임시 암호이므로 사용자에게 다음 로그인 시 암호를 새 암호로 변경하라는 메시지가 표시됩니다.

    • Microsoft Entra 관리 센터에서 클라우드 및 하이브리드 사용자를 위한 암호를 생성할 수 있습니다.

    • 암호 해시 동기화 및 사용자 위험 초기화를 위한 온-프레미스 암호 변경 허용 설정이 사용하도록 설정된 경우 온-프레미스 디렉터리에서 하이브리드 사용자를 위한 암호를 생성할 수 있습니다.

      Warning

      다음 로그온 시 암호를 변경해야 합니다 옵션을 선택하지 마세요. 지원되지 않습니다.

  • 사용자가 암호를 재설정해야 함 - 사용자가 암호를 재설정하도록 요구하면 지원 센터 또는 관리자에게 문의하지 않고도 셀프 복구가 가능합니다.

    • 클라우드 및 하이브리드 사용자는 안전한 암호 변경을 완료할 수 있습니다. 이 방법은 이미 MFA를 수행할 수 있는 사용자에게만 적용됩니다. 등록하지 않은 사용자의 경우 이 옵션을 사용할 수 없습니다.
    • 암호 해시 동기화 및 사용자 위험 초기화를 위한 온-프레미스 암호 변경 허용 설정이 사용하도록 설정된 경우 하이브리드 사용자는 Ctrl+Alt+Del을 누르고 온-프레미스 또는 하이브리드 조인 Windows 디바이스에서 암호를 변경하여 암호 변경을 완료할 수 있습니다.

사용자 위험을 수정하기 위해 온-프레미스 암호 재설정 허용(미리 보기)

암호 해시 동기화를 사용하도록 설정한 조직은 사용자 위험을 수정하기 위해 온-프레미스에서 암호 변경을 허용할 수 있습니다.

이 구성은 조직에 두 가지 새로운 기능을 제공합니다.

  • 위험한 하이브리드 사용자는 관리자 개입 없이 자체 수정이 가능합니다. 암호가 온-프레미스에서 변경되면 이제 Microsoft Entra ID Protection 내에서 사용자 위험이 자동으로 수정되어 현재 사용자 위험 상태가 다시 설정됩니다.
  • 조직은 하이브리드 사용자를 자신있게 보호하기 위해 암호 변경이 필요한 사용자 위험 정책을 적극적으로 배포할 수 있습니다. 이 옵션은 복잡한 하이브리드 환경에서도 사용자 위험이 신속하게 해결되도록 보장하여 조직의 보안 태세를 강화하고 보안 관리를 간소화합니다.

Screenshot showing the location of the Allow on-premises password change to reset user risk checkbox.

이 설정을 구성하려면 다음을 수행합니다.

  1. 최소한 보안 운영자로 Microsoft Entra 관리 센터에 로그인합니다.
  2. 보호>ID 보호>설정으로 이동합니다.
  3. 사용자 위험을 다시 설정하기 위해 온-프레미스 암호 변경 허용 확인란을 선택합니다.
  4. 저장을 선택합니다.

참고 항목

사용자 위험을 재설정하기 위해 온-프레미스 암호 변경을 허용하는 것은 선택 전용 기능입니다. 고객은 프로덕션 환경에서 활성화하기 전에 이 기능을 평가해야 합니다. 고객이 온프레미스 암호 변경 또는 재설정 흐름을 보호하는 것을 권장합니다. 예를 들어 사용자는 Microsoft Identity Manager 셀프 서비스 암호 재설정 포털과 같은 도구를 사용하여 온-프레미스에서 암호를 변경하도록 허용하기 전에 다단계 인증을 요구할 수 있습니다.

사용자 위험 해제

조사 후 사용자 계정이 손상될 위험이 없는 것으로 확인되면 위험 사용자를 삭제하도록 선택할 수 있습니다.

Microsoft Entra 관리 센터에서 보안 운영자로 사용자 위험을 해제하려면 보호>ID 보호>위험한 사용자로 이동하여 영향을 받는 사용자를 선택하고 사용자 위험 해제를 선택합니다.

사용자 위험 해제를 선택하면 사용자는 더 이상 위험에 노출되지 않으며 이 사용자의 모든 위험한 로그인 및 해당 위험 검색도 해제됩니다.

이 방법은 사용자의 기존 암호에 영향을 미치지 않으므로 사용자의 ID를 안전한 상태로 되돌리지 않습니다.

위험 해제에 따른 위험 상태 및 세부 정보

  • 위험 사용자:
    • 위험 상태: “위험” -> “해제됨”
    • 위험 세부 정보(위험 수정 세부 정보): "-" -> "관리자가 사용자에 대한 모든 위험을 해제함"
  • 해당 사용자의 모든 위험한 로그인 및 해당 위험 검색:
    • 위험 상태: “위험” -> “해제됨”
    • 위험 세부 정보(위험 수정 세부 정보): "-" -> "관리자가 사용자에 대한 모든 위험을 해제함"

손상된 사용자 확인

조사 후 계정이 손상된 것으로 확인된 경우:

  1. 위험한 로그인 또는 위험 사용자 보고서에서 이벤트 또는 사용자를 선택하고 "손상됨 확인"을 선택합니다.
  2. 위험 기반 정책이 트리거되지 않았고 위험이 자체 수정되지 않은 경우 다음 중 하나 이상을 수행합니다.
    1. 암호 재설정 요청
    2. 공격자가 암호를 재설정하거나 사용자에 대해 다단계 인증을 수행할 수 있다고 의심되는 경우 사용자를 차단합니다.
    3. 새로 고침 토큰 취소
    4. 손상된 것으로 간주되는 모든 디바이스를 사용하지 않습니다.
    5. 지속적인 액세스 평가를 사용하는 경우 모든 액세스 토큰을 취소합니다.

손상 확인 시 발생하는 일에 대한 자세한 내용은 위험 피드백을 제공하려면 어떻게 해야 하고 내부적으로 어떤 일이 발생하나요?를 참조하세요.

삭제된 사용자

관리자는 디렉터리에서 삭제된 사용자의 위험을 해제할 수 없습니다. 삭제된 사용자를 제거하려면 Microsoft 지원 사례를 엽니다.

사용자 차단 해제

관리자는 위험 정책 또는 조사에 따라 로그인을 차단하도록 선택할 수 있습니다. 로그인 또는 사용자 위험에 따라 차단이 발생할 수 있습니다.

사용자 위험에 따라 차단 해제

사용자 위험으로 인해 차단된 계정을 차단 해제하는 경우 관리자에게 다음 옵션이 있습니다.

  1. 암호 재설정 - 사용자의 암호를 다시 설정할 수 있습니다. 사용자가 손상되었거나 손상될 위험이 있는 경우 계정과 조직을 보호하기 위해 사용자의 암호를 재설정해야 합니다.
  2. 사용자 위험 해제 - 액세스 차단을 위해 구성된 사용자 위험 수준에 도달하면 사용자 위험 정책이 사용자를 차단합니다. 조사 후 사용자가 손상될 위험이 없고 액세스를 허용해도 안전하다고 확신하는 경우 사용자 위험을 해제하여 사용자의 위험 수준을 줄일 수 있습니다.
  3. 정책에서 사용자 제외 - 로그인 정책의 현재 구성으로 인해 특정 사용자에게 문제가 발생하고 있으며 이 정책을 적용하지 않고 해당 사용자에게 액세스 권한을 부여하는 것이 안전하다고 생각되면 이 정책에서 해당 사용자를 제외할 수 있습니다. 자세한 내용은 방법: 위험 정책 구성 및 사용 문서에서 제외 섹션을 참조하세요.
  4. 정책 비활성화 - 정책 구성이 모든 사용자에 대해 문제를 일으킨다고 생각하는 경우 정책을 비활성화할 수 있습니다. 자세한 내용은 방법: 위험 정책 구성 및 사용 문서를 참조하세요.

로그인 위험에 따라 차단 해제

로그인 위험에 따라 계정의 차단을 해제하기 위해 관리자는 다음 옵션을 사용할 수 있습니다.

  1. 친숙한 위치 또는 디바이스에서 로그인 - 차단된 의심스러운 로그인에 대한 일반적인 이유는 알 수 없는 위치 또는 디바이스에서의 로그인 시도입니다. 사용자사용자는 친숙한 위치 또는 디바이스에서 로그인을 시도하여 차단 이유인지 여부를 빠르게 확인할 수 있습니다.
  2. 정책에서 사용자 제외 - 로그인 정책의 현재 구성으로 인해 특정 사용자에 관련된 문제가 발생하고 있다고 생각되면 로그인 정책에서 해당 사용자를 제외할 수 있습니다. 자세한 내용은 방법: 위험 정책 구성 및 사용 문서에서 제외 섹션을 참조하세요.
  3. 정책 비활성화 - 정책 구성이 모든 사용자에 대해 문제를 일으킨다고 생각하는 경우 정책을 비활성화할 수 있습니다. 자세한 내용은 방법: 위험 정책 구성 및 사용 문서를 참조하세요.

PowerShell 미리 보기

Microsoft Graph PowerShell SDK 미리 보기 모듈을 사용하면 조직은 PowerShell을 통해 위험을 관리할 수 있습니다. 미리 보기 모듈 및 샘플 코드는 Microsoft Entra GitHub 리포지토리에서 찾을 수 있습니다.

리포지토리에 포함된 Invoke-AzureADIPDismissRiskyUser.ps1 스크립트를 사용하면 조직은 디렉터리에서 모든 위험 사용자를 삭제할 수 있습니다.

다음 단계

높은 사용자 위험 시뮬레이션