Share via


Microsoft Intune 사용하여 엔드포인트용 Microsoft Defender 디바이스 제어 배포 및 관리

적용 대상:

Intune 사용하여 엔드포인트용 Defender 설정을 관리하는 경우 이를 사용하여 디바이스 제어 기능을 배포하고 관리할 수 있습니다. 디바이스 제어의 다양한 측면은 다음 섹션에 설명된 대로 Intune 다르게 관리됩니다.

Intune 디바이스 제어 구성 및 관리

  1. Intune 관리 센터로 이동하여 로그인합니다.

  2. 엔드포인트 보안>공격 표면 감소로 이동합니다.

  3. 공격 표면 감소 정책에서 기존 정책을 선택하거나 + Create 정책을 선택하여 다음 설정을 사용하여 새 정책을 설정합니다.

    • 플랫폼 목록에서 Windows 10, Windows 11 및 Windows Server를 선택합니다. (디바이스 제어 정책에 대해 이 프로필을 선택하더라도 현재 Windows Server에서는 디바이스 컨트롤이 지원되지 않습니다.)
    • 프로필 목록에서 디바이스 컨트롤을 선택합니다.
  4. 기본 탭에서 정책의 이름과 설명을 지정합니다.

  5. 구성 설정 탭에 설정 목록이 표시됩니다. 이러한 설정을 모두 한 번에 구성할 필요는 없습니다. 디바이스 제어로 시작하는 것이 좋습니다.

    디바이스 제어 정책에 대한 Intune 사용자 인터페이스의 스크린샷

  6. 설정을 구성한 후 범위 태그 탭으로 이동하여 정책에 대한 scope 태그를 지정할 수 있습니다.

  7. 할당 탭에서 정책을 받을 사용자 또는 디바이스 그룹을 지정합니다. 자세한 내용은 Intune 정책 할당을 참조하세요.

  8. 검토 + 만들기 탭에서 설정을 검토하고 필요한 내용을 변경합니다.

  9. 준비가 되면 Create 선택하여 디바이스 제어 정책을 만듭니다.

디바이스 제어 프로필

Intune 각 행은 디바이스 제어 정책을 나타냅니다. 포함된 ID는 정책이 적용되는 재사용 가능한 설정입니다. 제외된 ID는 정책에서 제외된 재사용 가능한 설정입니다. 정책에 대한 항목에는 허용되는 권한과 정책이 적용될 때 적용되는 디바이스 제어에 대한 동작이 포함됩니다.

디바이스 제어 기능에 대한 설정을 구성할 수 있는 페이지를 보여 주는 스크린샷

각 디바이스 제어 정책의 행에 포함된 재사용 가능한 설정 그룹을 추가하는 방법에 대한 자세한 내용은 Intune 정책과 함께 재사용 가능한 설정 그룹 사용의디바이스 제어 프로필에 재사용 가능한 그룹 추가 섹션을 참조하세요.

아이콘을 사용하여 + 정책을 추가하고 제거할 수 있습니다. 정책 이름은 사용자에게 경고에 표시되고 고급 헌팅 및 보고서에 표시됩니다.

감사 정책을 추가하고 허용/거부 정책을 추가할 수 있습니다. 예기치 않은 결과가 나타나지 않도록 감사 정책을 추가할 때 항상 허용 및/또는 거부 정책을 추가하는 것이 좋습니다.

중요

감사 정책만 구성하는 경우 권한은 기본 적용 설정에서 상속됩니다.

참고

  • 사용자 인터페이스에 나열된 정책의 순서는 정책 적용을 위해 유지되지 않습니다. 가장 좋은 방법은 허용/거부 정책을 사용하는 것입니다. 제외할 디바이스를 명시적으로 추가하여 정책 허용/거부 옵션이 교차하지 않는지 확인합니다. Intune 그래픽 인터페이스를 사용하면 기본 적용을 변경할 수 없습니다. 기본 적용을 거부로 변경하면 허용 정책이 있으면 작업이 차단됩니다.

OMA-URI를 사용하여 설정 정의

중요

Intune OMA-URI를 사용하여 디바이스 제어를 구성하려면 디바이스가 Configuration Manager 함께 관리되는 경우 디바이스 구성 워크로드를 Intune 관리해야 합니다. 자세한 내용은 Configuration Manager 워크로드를 Intune 전환하는 방법을 참조하세요.

다음 표에서 구성하려는 설정을 식별한 다음 OMA-URI 및 데이터 형식 & 값 열의 정보를 사용합니다. 설정은 사전순으로 나열됩니다.

설정 OMA-URI, 데이터 형식, & 값
디바이스 제어 기본 적용
기본 적용은 정책 규칙과 일치하지 않는 경우 디바이스 제어 액세스 검사 중에 어떤 결정이 내려지는지 설정합니다.
./Vendor/MSFT/Defender/Configuration/DefaultEnforcement

정수:
- DefaultEnforcementAllow = 1
- DefaultEnforcementDeny = 2
디바이스 유형
디바이스 제어 보호가 켜져 있는 기본 ID로 식별되는 디바이스 유형
./Vendor/MSFT/Defender/Configuration/SecuredDevicesConfiguration

문자열:
- RemovableMediaDevices
- CdRomDevices
- WpdDevices
- PrinterDevices
디바이스 제어 사용
디바이스에서 디바이스 제어 사용 또는 사용 안 함
./Vendor/MSFT/Defender/Configuration/DeviceControlEnabled

정수:
- 사용 안 함 = 0
- 사용 = 1
증거 데이터 원격 위치
디바이스 컨트롤이 캡처된 증거 데이터를 이동합니다.
./Vendor/MSFT/Defender/Configuration/DataDuplicationRemoteLocation

String
로컬 증거 캐시 기간
로컬 디바이스 제어 캐시의 파일에 대한 보존 기간을 일로 설정합니다.
./Vendor/MSFT/Defender/Configuration/DataDuplicationLocalRetentionPeriod

정수
예: 60 (60일)

OMA-URI를 사용하여 정책 만들기

OMA-URI를 사용하여 정책을 만들 수 있는 페이지를 보여 주는 스크린샷

Intune OMA-URI를 사용하여 정책을 만들 때 각 정책에 대해 하나의 XML 파일을 만듭니다. 모범 사례로 디바이스 제어 프로필 또는 디바이스 제어 규칙 프로필을 사용하여 사용자 지정 정책을 작성합니다.

행 추가 창에서 다음 설정을 지정합니다.

  • 이름 필드에 를 입력합니다Allow Read Activity.
  • OMA-URI 필드에 를 입력합니다/Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyRules/%7b[PolicyRule Id]%7d/RuleData.
  • 데이터 형식 필드에서 문자열(XML 파일)을 선택하고 사용자 지정 XML을 사용합니다.

매개 변수를 사용하여 특정 항목에 대한 조건을 설정할 수 있습니다. 다음은 각 이동식 스토리지에 대한 읽기 허용에 대한 그룹 예제 XML 파일입니다.

참고

XML 주석 표기법을 사용하는 주석은 규칙 및 그룹 XML 파일에서 사용할 수 있지만 XML 파일의 첫 번째 줄이 아닌 첫 번째 XML 태그 안에 있어야 합니다.

OMA-URI를 사용하여 그룹 만들기

OMA-URI를 사용하여 그룹을 만들 수 있는 페이지를 보여 주는 스크린샷

Intune OMA-URI를 사용하여 그룹을 만들 때 각 그룹에 대해 하나의 XML 파일을 만듭니다. 모범 사례로 재사용 가능한 설정을 사용하여 그룹을 정의합니다.

행 추가 창에서 다음 설정을 지정합니다.

  • 이름 필드에 를 입력합니다Any Removable Storage Group.
  • OMA-URI 필드에 를 입력합니다./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyGroups/%7b**[GroupId]**%7d/GroupData. GroupID를 가져오려면 Intune 관리 센터에서 그룹 이동한 다음 개체 ID 복사를 선택합니다.
  • 데이터 형식 필드에서 문자열(XML 파일)을 선택하고 사용자 지정 XML을 사용합니다.

참고

XML 주석 표기법을 <!-- COMMENT -- > 사용하는 주석은 규칙 및 그룹 XML 파일에서 사용할 수 있지만 XML 파일의 첫 번째 줄이 아닌 첫 번째 XML 태그 안에 있어야 합니다.

OMA-URI를 사용하여 이동식 스토리지 액세스 제어 구성

  1. Microsoft Intune 관리 센터로 이동하여 로그인합니다.

  2. 디바이스>구성 프로필을 선택합니다. 구성 프로필 페이지가 나타납니다.

  3. 정책 탭(기본적으로 선택됨)에서 + Create 선택하고 표시되는 드롭다운에서 + 새 정책을 선택합니다. 프로필 페이지가 Create 나타납니다.

  4. 플랫폼 목록에서 플랫폼드롭다운 목록에서 Windows 10, Windows 11 및 Windows Server를 선택하고 프로필 유형 드롭다운 목록에서 템플릿을 선택합니다.

    프로필 유형 드롭다운 목록에서 템플릿을 선택하면 프로필 이름을 검색하기 위해 검색 상자와 함께 템플릿 이름 창이 표시됩니다.

  5. 템플릿 이름 창에서 사용자 지정을 선택하고 Create 선택합니다.

  6. 1-5단계를 구현하여 각 설정, 그룹 또는 정책에 대한 행을 Create.

디바이스 컨트롤 그룹 보기(재사용 가능한 설정)

Intune 디바이스 제어 그룹은 재사용 가능한 설정으로 표시됩니다.

  1. Microsoft Intune 관리 센터로 이동하여 로그인합니다.

  2. 엔드포인트 보안>공격 표면 감소로 이동합니다.

  3. 재사용 가능한 설정 탭을 선택합니다.

참고 항목