경고 큐에는 네트워크의 디바이스에서 플래그가 지정된 경고 목록이 표시됩니다. 기본적으로 큐에는 지난 7일 동안 확인된 경고가 그룹화된 보기로 표시됩니다. 가장 최근 알림은 목록 상단에 표시됩니다.
참고
자동화된 조사와 복구로 경보가 크게 줄어듭니다. 이러한 관행은 보안 운영 전문가들이 더 정교한 위협과 기타 중요한 이니셔티브에 집중할 수 있게 합니다.
알림에 지원되는 운영체제가 있는 장치에서 파일 같은 자동 조사를 위해 지원되는 엔터티가 포함되어 있을 때, 자동 조사 및 복구가 시작될 수 있습니다. 자세한 내용은 자동화된 조사 개요를 참조하세요.
경고 보기를 사용자 지정하기 위해 선택할 수 있는 몇 가지 옵션이 있습니다.
위쪽 탐색에서 다음을 수행할 수 있습니다.
- 열을 추가하거나 제거하도록 열 사용자 지정
- 필터 적용
- 1일, 3일, 1주, 30일 및 6개월과 같은 특정 기간 동안 경고를 표시
- 경고 목록을 Excel로 내보내기
- 알림 관리
경고 정렬 및 필터링
다음 필터를 적용하여 경고 목록을 제한하고 경고를 더 명확히 확인할 수 있습니다.
심각도
| 경고 심각도 | 설명 |
|---|---|
| 높음 (빨강) |
APT(지능형 지속 위협)와 관련되어 일반적으로 표시되는 경고입니다. 이러한 경고는 디바이스에 가해질 수 있는 손상의 심각도로 인해 높은 위험을 나타냅니다. 여기에는 자격 증명 도용 도구 활동, 어떤 그룹과도 관련되지 않은 랜섬웨어 활동, 보안 센서를 통한 변조 또는 악의적 사용자 징후 관련 악의적 활동이 있습니다. |
| 보통 (주황색) |
APT(지능형 지속 위협)의 일부일 수 있는 엔드포인트 검색 및 응답 위반 후 동작으로 인한 경고입니다. 이러한 행동에는 공격 단계에서 흔히 관찰되는 행동, 이상한 레지스트리 변경, 의심스러운 파일 실행 등이 포함됩니다. 일부는 내부 보안 테스트의 일부일 수 있지만, 이 정도의 심각성은 고급 공격의 일부일 수도 있으므로 조사가 필요합니다. |
| 낮음 (노란색) |
널리 퍼진 맬웨어와 관련된 위협에 대한 경고입니다. 예를 들면, 해킹 도구, 맬웨어가 아닌 해킹 도구로서 탐색 명령 실행, 로그 지우기와 같은 것들은 조직을 노리는 지능형 위협으로 나타나지 않는 경우가 많습니다. 이 수준은 조직 내 사용자가 격리된 보안 도구를 테스트하면서 발생하는 경우도 있습니다. |
| 정보용 (회색) |
네트워크에 유해한 것으로 간주되지는 않지만 잠재적인 보안 문제에 대한 조직의 보안 인식을 유도할 수 있는 경고입니다. |
경고 심각도 이해하기
Microsoft Defender 바이러스 백신 및 엔드포인트용 Defender 경고 심각도는 서로 다른 범위를 나타내기 때문에 다릅니다.
- Microsoft Defender 안티바이러스 위협 심각도는 탐지된 위협(악성코드)의 절대적인 심각도를 나타냅니다. 감염 시 개별 기기에 미치는 잠재적 위험에 따라 할당됩니다.
- Defender for Endpoint 경고 심각도는 감지된 행위의 심각성을 나타내며, 이는 기기에 대한 실제 위험이며, 더 중요하게는 조직에 대한 잠재적 위험입니다.
다음은 그 예입니다.
- Microsoft Defender 바이러스 백신이 탐지 후 예방해서 디바이스 감염으로 이어지지 않은 위협에 대한 엔드포인트용 Defender의 심각도는 실제 피해가 없었기 때문에 정보로 분류됩니다.
- 실행 중에 감지되었지만 Microsoft Defender Antivirus로 차단 및 수정된 상업용 악성코드는 개별 장치에 일부 손상을 입혔을 수 있지만 조직적 위협은 없으므로 낮은 경고를 생성합니다.
- 실행 중에 감지되어 개별 기기와 조직 모두에 위협이 될 수 있는 악성코드는 결국 차단 여부와 관계없이 중간 등급 또는 높은 등급으로 분류될 수 있습니다.
- 차단되거나 수정되지 않은 의심스러운 행동 경고는 동일한 조직 위협 고려사항에 따라 낮음, 중간, 또는 높음으로 분류됩니다.
상태
알림 목록을 상태별로 필터링할 수 있습니다.
참고
지원되지 않는 알림 유형이 보이면, 자동 조사 기능이 해당 경고를 감지해 자동 조사를 실행할 수 없다는 뜻입니다. 이 경고를 수동으로 조사할 수 있습니다.
카테고리
Microsoft는
서비스 소스
다음 서비스 원본에 따라 경고를 필터링할 수 있습니다.
- Microsoft Defender for Identity
- Microsoft Defender for Cloud Apps (클라우드 앱용 디펜더)
- 엔드포인트용 Microsoft Defender
- Microsoft Defender XDR
- Office 365용 Microsoft Defender
- 앱 거버넌스
- Microsoft Entra ID Protection (마이크로소프트 엔트라 ID 보호)
이제 Microsoft 엔드포인트 알림 고객은 엔드포인트용 Microsoft Defender 서비스 원본 아래에 중첩된 Microsoft Defender Experts로 필터링하여 서비스의 탐지 결과를 보고 필터링할 수 있습니다.
참고
안티바이러스 필터는 기기가 Microsoft Defender 안티바이러스를 기본 실시간 보호 안티멀웨어 제품으로 사용할 때만 나타납니다.
태그
경고에 할당된 태그에 따라 경고를 필터링할 수 있습니다.
정책
다음 정책에 따라 경고를 필터링할 수 있습니다.
| 감지 소스 | API 값 |
|---|---|
| 타사 센서 | ThirdPartySensors |
| 안티바이러스 | WindowsDefenderAv |
| 자동화된 조사 | AutomatedInvestigation |
| 사용자 지정 감지 | CustomDetection |
| 사용자 지정 TI | CustomerTI |
| EDR | WindowsDefenderAtp |
| Microsoft Defender XDR | MTP |
| Office 365용 Microsoft Defender | OfficeATP |
| Microsoft Defender 전문가 | ThreatExperts |
| SmartScreen | WindowsDefenderSmartScreen |
엔터티
엔터티 이름 또는 ID에 따라 경고를 필터링할 수 있습니다.
자동화된 조사 상태
자동 조사 상태에 따라 경고를 필터링하도록 선택할 수 있습니다.