이 글을 활용해 기존 엔드포인트용 Microsoft Defender 기기를 간소화된 연결 패키지로 재온보딩하세요. 간소화된 연결성은 핵심 Defender for Endpoint 서비스 트래픽을 더 작은 네트워크 목적지 집합 아래에 통합합니다. 기기를 이전하기 전에 필요한 네트워크 목적지를 설정하고, 기기들이 간소화된 연결 조건을 충족하는지 확인하세요.
대부분의 경우, 기기를 다시 온보딩하기 전에 오프보드할 필요는 없습니다. 간소화된 온보딩 패키지를 적용한 후, macOS와 Linux 기기에서 Windows 기기를 재부팅하거나 Defender for Endpoint 서비스를 재시작하세요.
중요
기기를 이전하기 전에 다음 제한 사항을 검토하세요:
- 간소화된 연결성으로 전환하기 위해 오프보딩이 필수는 아닙니다. 업데이트된 온보딩 패키지를 적용한 후에는 Windows 기기를 재부팅하거나 macOS와 Linux 기기에서 Defender for Endpoint 서비스를 재시작하세요.
- Windows 10 버전 1607, 1703, 1709 및 1803은 다시 등록을 지원하지 않습니다. 먼저 오프보딩한 다음 업데이트된 패키지를 사용하여 온보딩합니다. 또한 이러한 버전에는 더 긴 URL 목록이 필요합니다.
- Microsoft 모니터링 에이전트(MMA)를 실행하는 장치는 간소화된 연결을 지원하지 않으므로 표준 연결을 계속 사용해야 합니다.
참고 사항
Defender 배포 도구를 사용하여 Windows 및 Linux 디바이스에 Defender 엔드포인트 보안을 배포할 수 있습니다. 이 도구는 배포 프로세스를 간소화하는 간단한 자체 업데이트 애플리케이션입니다. 자세한 내용은 Defender 배포 도구를 사용하여 Windows 디바이스에 Microsoft Defender 엔드포인트 보안 배포 및 Defender 배포 도구를사용하여 Linux 디바이스에 Microsoft Defender 엔드포인트 보안 배포(미리 보기)를 참조하세요.
기기를 간소화된 연결로 마이그레이션하세요
이 섹션의 플랫폼별 절차를 사용하여 기존 장치를 표준 연결에서 간소화된 연결로 이전하세요.
마이그레이션 계획
기기 마이그레이션 전에:
점진적인 도입 계획을 세우세요: 소규모 기기부터 시작하세요. 테스트 기기가 간소화된 연결을 사용하는지 확인한 후 배포 범위를 확장하세요.
지원되는 관리 도구 사용: 관리되는 장치의 경우, Intune, 구성 관리자, Group Policy, Jamf Pro 또는 다른 지원되는 관리 도구와 같은 배포 방식을 사용하세요.
클라우드 연결 테스트: 기기가 Defender for Endpoint 서비스와 통신할 수 있는지 확인하세요. 자세한 내용은 엔드포인트용 Microsoft Defender 서비스 URL에 대한 클라이언트 연결 확인을 참조하세요.
롤백 계획을 준비하세요: 마이그레이션 중에도 표준 연결 목적지를 계속 사용할 수 있도록 하세요. 문제가 발생하면 표준 연결 온보딩 패키지를 다시 적용하세요.
마이그레이션 성공 검증: 방화벽이나 프록시 구성에서 표준 핵심 서비스 목적지를 제거하기 전에 기기가 간소화된 연결을 사용하고 있는지 확인하세요. 운영체제, 업데이트, 인증서 검증, 배포 및 보안 기능에 필요한 지원 서비스 목적지를 계속 허용하세요. 자세한 내용은 간소화된 연결성을 사용하는 온보딩 기기를 참조하세요.
재온보딩 후 장치 또는 서비스를 재시작
간소화된 온보딩 패키지를 적용한 후, 장치 운영체제의 작업을 완료하세요:
Windows: 기기를 재부팅하세요.
macOS: 장치를 재부팅하거나 Defender for Endpoint 서비스를 재시작하세요:
sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plistLinux: 기기를 재부팅하거나 Defender for Endpoint 서비스를 재시작하세요:
sudo systemctl restart mdatp
다음 옵션을 사용하여 Windows 10 및 Windows 11 디바이스를 간소화된 연결 방법으로 마이그레이션합니다.
Windows 10 및 Windows 11 디바이스 마이그레이션
중요
Windows 10 버전 1607, 1703, 1709 및 1803은 다시 등록을 지원하지 않습니다. 기존 디바이스를 마이그레이션하려면 간소화된 온보딩 패키지를 사용하여 완전히 오프보딩하고 온보딩해야 합니다.
일반 정보는 온보드 Windows 클라이언트 장치를 참조하세요.
기기들이 간소화된 연결 조건을 충족하는지 확인하세요.
로컬 스크립트를 사용하여 디바이스 마이그레이션
간소화된 온보딩 패키지를 사용하여 로컬 스크립트를 사용해 Windows 장치를 온보딩의 지침을 따르세요. 패키지를 적용한 후에는 기기를 재부팅하세요.
그룹 정책을 사용하여 디바이스 마이그레이션
간소화된 온보딩 패키지를 사용하여 그룹 정책을 사용하여 Windows 디바이스 온보딩의 지침을 따르세요. 정책을 적용한 후에는 기기를 재부팅하세요.
Microsoft Intune 사용하여 디바이스 마이그레이션
Microsoft Intune 엔드포인트 기능에 대한 Defender 구성하고 디바이스에 배포하는 데 권장되는 도구입니다. 그러나 Intune은 엔드포인트에 대한 Defender 일부가 아니며 모든 구독에 포함되지 않는 별도의 제품입니다. Intune을 사용하려면 해당 구독을 포함하는 구독이 필요하거나 독립 실행형 구독 또는 추가 기능으로 별도로 구입할 수 있습니다. Intune이 없는 경우 이 문서의 다른 메서드를 사용할 수 있습니다. 자세한 내용은 Microsoft Intune 라이선스를 참조하세요.
간소화된 온보딩 패키지를 적용한 Windows 기기의 온보딩 상태 업데이트(Update the Onboarding state)에 있는 지침을 따르세요. 자동 연결 옵션은 기존 장치에 자동으로 온보딩 패키지를 다시 적용하지 않습니다. 새로운 온보딩 정책을 생성하고 테스트 그룹에 할당한 뒤, 기기들이 정책을 받는지 확인하세요. 정책을 적용한 후에는 기기를 재부팅하세요.
Microsoft Configuration Manager 사용하여 디바이스 마이그레이션
기존 기기의 온보딩 정보 업데이트(Update Onboarding information) 에 따라 간소화된 온보딩 패키지를 배포하세요.
간소화된 방법을 사용하여 VDI 디바이스 마이그레이션
간소화된 온보딩 패키지를 사용하여 비영구 가상 데스크톱 인프라(VDI) 장치 온보딩의 지침을 따르세요. 패키지를 적용한 후에는 기기를 재부팅하세요.
마이그레이션된 기기 연결 확인
마이그레이션된 기기가 간소화된 연결을 사용하는지 확인하기 위해 다음 방법을 사용하세요.
Windows에서 클라이언트 분석기를 사용하세요
마이그레이션된 Windows 기기에서 엔드포인트용 Microsoft Defender 클라이언트 분석기를 실행하여 기기가 간소화된 목적지에 연결되는지 확인하세요. 분석기는 자동으로 장치에 설정된 온보딩 패키지를 사용합니다. 자세한 내용은 'Windows에서 클라이언트 분석기 실행 및 엔드포인트용 Microsoft Defender 서비스 URL에 대한 클라이언트 연결 확인'을 참조하세요.
고급 헌팅으로 연결 유형 추적하기
Microsoft Defender 포털에서 고급 헌팅을 사용하여 DeviceInfo 테이블에서 디바이스가 보고하는 연결 유형을 확인하세요:
-
열 이름:
ConnectivityType. -
가능한 값: 빈칸,
Streamlined, 또는Standard. - 데이터 타입: 문자열.
- 설명: 기기와 Defender for Endpoint 클라우드 서비스의 연결 유형.
마이그레이션된 장치가 EDR 명령 및 제어 채널과 통신을 시작하면 값은 입니다 Streamlined. 표준 온보딩 패키지를 다시 적용하면 값이 로 바뀝 Standard니다. 재온보드를 시도하지 않은 기기의 값은 빈 상태로 남아 있습니다.
이 글 후반부의 고급 헌팅 쿼리 를 사용하여 개별 장치와 배포 총량을 검토하세요. 스키마에 대해서는 DeviceInfo 테이블을 참조하세요.
Windows 이벤트 뷰어에서 로컬 연결성을 추적하세요
Windows 이벤트 뷰어에서 SENSE 운영 로그를 사용하여 Windows 장치가 간소화된 목적지에 연결되는지 확인하세요.
Start를 선택하고 , 입력
이벤트 뷰어한 후 Enter를 누르세요.로그 요약 아래에서 Microsoft-Windows-SENSE/Operational을 더블 클릭하세요.
또한 애플리케이션 및 서비스 로그를> 펼친 후 MicrosoftWindowsSENSE>>를 선택한 후 운영을 선택할 수 있습니다.
이벤트 ID 4를 찾아보세요. 이는 Defender for Endpoint 처리 서버와의 성공적인 연결을 기록합니다. 접속한 서버가
endpoint.security.microsoft.com도메인을 사용하는지 확인하세요. 예시:Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com. <EventData> <Data Name="UInt1">6</Data> <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com> </EventData>연결 오류를 확인하기 위해 이벤트 ID 5를 검토하세요.
참고 사항
SENSE는 Defender for Endpoint를 구동하는 행동 센서의 내부 명칭입니다. 서비스가 기록하는 이벤트에 대한 자세한 정보는 이벤트 뷰어를 이용한 이벤트 및 오류 검토 항목을 참조하세요.
선택적으로 Windows 기능 테스트를 실행하세요
마이그레이션 후, 해당 장치가 동일한 장치 ID로 장치 인벤토리에 계속 나타나는지 확인하세요. 기기 타임라인을 검토하여 이벤트가 계속 발생하는지 확인하세요.
라이브 응답 연결 테스트
테스트 장치에서 실시간 응답 세션 을 시작하고, 세션이 반응하는지 확인하는 기본 명령을 실행하세요. 자세한 내용은 라이브 응답을 사용하여 디바이스에서 엔터티 조사를 참조하세요.
자동화된 조사 및 응답 연결 테스트
장치가 자동 조사 및 대응 요건을 충족하는지 확인하세요. 자세한 내용은 '자동 조사 및 대응 기능 구성 설정'을 참조하세요.
클라우드 제공 보호 연결 테스트
Windows 테스트 기기에서 클라우드 제공 보호 연결 여부를 확인하세요.
관리자 권한 명령 프롬프트( 관리자 권한으로 실행을 선택하여 연 명령 프롬프트 창)에서 다음 명령을 실행합니다.
팁
첫 번째 명령은 디렉터리를 의 최신 버전의 <맬웨어 방지 플랫폼 버전> 으로 변경합니다 %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. 해당 경로가 없으면 으로 %ProgramFiles%\Windows Defender이동합니다.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -ValidateMapsConnection
MpCmdRun에 대한 자세한 내용은 MpCmdRun 명령줄 도구를 사용하여 Microsoft Defender 바이러스 백신 구성 및 관리를 참조하세요.
처음 보기에 테스트 블록
Defender for Endpoint 시연의 최초 발견 시 차단(BAFS) 시연 지침을 따르세요.
SmartScreen 테스트
Microsoft Defender SmartScreen 데모(msft.net) 페이지에서 SmartScreen 데모 지침을 따릅니다.
PowerShell 감지 테스트
Windows 장치에서
C:\test-MDATP-test폴더를 만듭니다.명령 프롬프트를 관리자로 엽니다.
명령 프롬프트 창에서 다음 PowerShell 명령을 실행합니다.
powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
명령이 성공적으로 실행되고 테스트 파일이 실행되면 Windows EDR 탐지 테스트가 완료되어 몇 분 내에 Microsoft Defender 포털에 새로운 알림이 나타납니다. 자세한 내용은 'EDR 감지 테스트 실행'을 참조하세요.
macOS와 리눅스에서 연결 상태를 테스트하세요
다음 명령을 실행해 해당 edr_partner_geo_location 기능이 가능한지 확인하세요. 값은 조직의 지리적 위치를 나타내는 형식을 GW_<geo><geo> 사용해야 합니다:
mdatp health --details edr
연결성 테스트를 실행하고, 결과에 다음 도메인이 포함 endpoint.security.microsoft.com 되는지 확인하세요:
mdatp connectivity test
/storage에 대해서는 2개의 결과가, /xplat, /packages, /mdav에 대해서는 각각 1개의 결과가 예상됩니다. 예: https://mdav.us.endpoint.security.microsoft.com/storage.
마이그레이션된 장치에 대한 연결 조회 유형
다음 쿼리를 실행하여 온보딩된 장치를 나열하고 각 장치에 대해 보고된 최신 연결 유형을 보여주세요:
DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType) by DeviceName
운영체제와 연결 유형별로 온보딩된 장치를 집계하려면 다음 쿼리를 실행하세요:
DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart
macOS와 Linux에서 클라이언트 분석기를 사용하세요
XMDE 클라이언트 분석기를 실행하여 연결 및 건강 진단을 수집하세요. 장치 운영체제의 절차를 사용하세요: