네트워크 보호를 사용하여 악의적이거나 의심스러운 사이트에 대한 연결을 방지합니다.

엔드포인트용 Microsoft Defender를 경험하고 싶으신가요? 무료 평가판에 등록합니다.

네트워크 보호 개요

네트워크 보호는 악의적이거나 의심스러운 사이트에 대한 연결을 방지하여 디바이스를 보호하는 데 도움이 됩니다. 위험한 도메인의 예로는 피싱 사기, 악의적인 다운로드, 기술 사기 또는 기타 악성 콘텐츠를 호스트하는 도메인이 있습니다. 네트워크 보호는 Microsoft Defender SmartScreen의 scope 확장하여 평판이 좋지 않은 원본(도메인 또는 호스트 이름 기준)에 연결하려는 모든 아웃바운드 HTTP(S) 트래픽을 차단합니다.

네트워크 보호는 웹 보호 의 보호를 운영 체제 수준으로 확장하며 WCF( 웹 콘텐츠 필터링 )의 핵심 구성 요소입니다. Microsoft Edge에 있는 웹 보호 기능을 지원되는 다른 브라우저 및 비브라우저 애플리케이션에 제공합니다. 또한 네트워크 보호는 엔드포인트 검색 및 응답과 함께 사용할 때 IOC(손상 지표)의 가시성 및 차단을 제공합니다. 예를 들어 네트워크 보호는 사용자 지정 지표 와 함께 작동하여 특정 도메인 또는 호스트 이름을 차단합니다.

이 비디오를 시청하여 네트워크 보호가 피싱 사기, 악용 및 기타 악성 콘텐츠로부터 디바이스의 공격 노출 영역을 줄이는 데 어떻게 도움이 되는지 알아봅니다.

팁

네트워크 보호를 켜려면 네트워크 보호 설정을 참조하세요.

필수 구성 요소

지원되는 운영 체제

• Windows
• macOS
• Linux

네트워크 보호 적용 범위

다음 표에는 적용 범위의 네트워크 보호 영역이 요약됩니다.

기능	마이크로소프트 엣지	비 Microsoft 브라우저	비브로우저 프로세스 (예: PowerShell)
웹 위협 방지	SmartScreen을 사용하도록 설정해야 합니다.	네트워크 보호는 블록 모드여야 합니다.	네트워크 보호는 블록 모드여야 합니다.
사용자 지정 표시기	SmartScreen을 사용하도록 설정해야 합니다.	네트워크 보호는 블록 모드여야 합니다.	네트워크 보호는 블록 모드여야 합니다.
웹 콘텐츠 필터링	SmartScreen을 사용하도록 설정해야 합니다.	네트워크 보호는 블록 모드여야 합니다.	지원되지 않음

Microsoft Edge에 SmartScreen을 사용하도록 설정하려면 Edge 정책: SmartScreen 사용을 사용합니다.

참고

Windows에서 네트워크 보호는 Microsoft Edge를 모니터링하지 않습니다. Microsoft Edge 및 인터넷 Explorer 이외의 프로세스의 경우 웹 보호 시나리오는 검사 및 적용을 위해 네트워크 보호를 활용합니다. Mac 및 Linux Microsoft Edge 브라우저는 Web Threat Protection만 통합합니다. Edge 및 기타 브라우저에서 사용자 지정 표시기 및 웹 콘텐츠 필터링을 지원하려면 블록 모드에서 네트워크 보호를 사용하도록 설정해야 합니다.

알려진 문제 & 제한 사항

• IP 주소는 세 가지 프로토콜(TCP, HTTP 및 HTTPS(TLS))에 대해 지원됩니다.
• 사용자 지정 표시기에서 단일 IP 주소만 지원됩니다(CIDR 블록 또는 IP 범위 없음).
• 모든 브라우저 또는 프로세스에 대해 HTTP URL(전체 URL 경로 포함)을 차단할 수 있습니다.
• HTTPS FQDN(정규화된 도메인 이름)은 타사 브라우저에서 차단할 수 있습니다(전체 URL 경로를 지정하는 표시기에서는 Microsoft Edge에서만 차단할 수 있음).
• 타사 브라우저에서 FQDN을 차단하려면 해당 브라우저에서 QUIC 및 암호화된 클라이언트 Hello를 사용하지 않도록 설정해야 합니다.
• HTTP2 연결 병합을 통해 로드된 FQDN은 Microsoft Edge에서만 차단할 수 있습니다.
• 네트워크 보호는 80 및 443뿐만 아니라 모든 포트에서 연결을 차단합니다.

표시기/정책이 추가되고 일치하는 URL/IP가 차단되는 경우 사이에 최대 2시간의 대기 시간(일반적으로 더 적은 수)이 있을 수 있습니다.

네트워크 보호 요구 사항

네트워크 보호를 사용하려면 다음 운영 체제 중 하나를 실행하는 디바이스가 필요합니다.

• Windows 10 또는 11(Pro 또는 Enterprise)(지원되는 Windows 버전 참조)
• R2, Windows Server 2016 또는 Windows Server 버전 1803 이상 Windows Server 2012(지원되는 Windows 버전 참조)
• macOS 버전 12(몬테레이) 이상(Mac의 엔드포인트용 Microsoft Defender 참조)
• 지원되는 Linux 버전(Linux 엔드포인트용 Microsoft Defender 참조)

또한 네트워크 보호를 사용하려면 실시간 보호가 사용하도록 설정된 Microsoft Defender 바이러스 백신이 필요합니다.

Windows 버전	Microsoft Defender 바이러스 백신
Windows 10 버전 1709 이상, Windows 11, Windows Server 1803 이상	Microsoft Defender 바이러스 백신 실시간 보호, 동작 모니터링 및 클라우드 제공 보호가 사용하도록 설정되어 있는지 확인합니다(활성).
최신 통합 솔루션을 사용하는 Windows Server 2012 R2 및 Windows Server 2016	플랫폼 업데이트 버전 4.18.2001.x.x 이상

네트워크 보호가 중요한 이유

네트워크 보호는 엔드포인트용 Microsoft Defender 솔루션의 공격 표면 감소 그룹의 일부입니다. 네트워크 보호를 사용하면 네트워크 계층이 도메인 및 IP 주소에 대한 연결을 차단할 수 있습니다. 기본적으로 네트워크 보호는 Microsoft Edge 브라우저의 SmartScreen과 유사한 방식으로 악성 URL을 차단하는 SmartScreen 피드를 사용하여 알려진 악성 도메인으로부터 컴퓨터를 보호합니다. 네트워크 보호 기능은 다음으로 확장할 수 있습니다.

• 자체 위협 인텔리전스(지표)에서 IP/URL 주소 차단
• Microsoft Defender for Cloud Apps 인증되지 않은 서비스 차단
• 범주에 따라 웹 사이트에 대한 브라우저 액세스 차단(웹 콘텐츠 필터링)

팁

Windows Server, Linux, macOS 및 MTD(Mobile Threat Defense)에 대한 네트워크 보호에 대한 자세한 내용은 고급 헌팅을 사용하여 위협 사전 헌팅을 참조하세요.

명령 및 제어 공격 차단

C2(명령 및 제어) 서버는 이전에 맬웨어에 의해 손상된 시스템에 명령을 보내는 데 사용됩니다.

C2 서버를 사용하여 다음을 수행할 수 있는 명령을 시작할 수 있습니다.

• 데이터 도용
• 봇넷에서 손상된 컴퓨터 제어
• 합법적인 애플리케이션 중단
• 랜섬웨어와 같은 맬웨어 확산

엔드포인트용 Defender의 네트워크 보호 구성 요소는 기계 학습 및 지능형 IoC(손상 지표) 식별과 같은 기술을 사용하여 사람이 운영하는 랜섬웨어 공격에 사용되는 C2 서버에 대한 연결을 식별하고 차단합니다.

네트워크 보호: C2 탐지 및 해결

랜섬웨어는 사람이 주도하고 적응적으로 진화하며, 조직 전체의 자산이나 데이터를 인질로 삼아 몸값을 요구하는 것과 같은 대규모 피해에 초점을 맞춘 정교한 위협으로 발전했습니다.

C2(명령 및 제어 서버)에 대한 지원은 이 랜섬웨어 진화의 중요한 부분이며, 이러한 공격을 대상으로 하는 환경에 적응할 수 있게 해줍니다. 명령 및 제어 인프라에 대한 링크를 끊어 다음 단계로의 공격 진행을 중지합니다. C2 검색 및 수정에 대한 자세한 내용은 기술 커뮤니티 블로그: 네트워크 계층에서 명령 및 제어 공격 검색 및 수정을 참조하세요.

네트워크 보호: 새로운 토스트 알림

새 매핑	응답 범주	출처
phishing	Phishing	SmartScreen
malicious	Malicious	SmartScreen
command and control	C2	SmartScreen
command and control	COCO	SmartScreen
malicious	Untrusted	SmartScreen
by your IT admin	CustomBlockList
by your IT admin	CustomPolicy

참고

customAllowList 는 엔드포인트에서 알림을 생성하지 않습니다.

네트워크 보호 결정에 대한 새 알림

최종 사용자가 네트워크 보호를 사용하는 환경에서 웹 사이트를 방문하려고 하면 다음 표에 설명된 대로 세 가지 시나리오가 가능합니다.

시나리오	무슨 일이 발생하나요?
URL은 안전한 것으로 알려져 있습니다.	사용자는 방해 없이 액세스할 수 있으며 엔드포인트에 알림 메시지가 표시되지 않습니다. 실제로 도메인 또는 URL은 허용됨으로 설정됩니다.
URL에 알 수 없거나 불확실한 평판이 있습니다.	사용자의 액세스가 차단되지만 블록을 우회(차단 해제)할 수 있습니다. 결과적으로 도메인 또는 URL은 Audit(으)로 설정됩니다.
이 URL은 악성으로 알려져 있습니다.	사용자가 액세스할 수 없는 경우 실제로 도메인 또는 URL은 차단으로 설정됩니다.

경고 경험

사용자가 웹 사이트를 방문합니다. URL에 알 수 없거나 불확실한 평판이 있는 경우 알림 메시지는 사용자에게 다음 옵션을 제공합니다.

• 확인: 토스트 알림이 사라지고(제거되며) 사이트에 대한 액세스 시도가 종료됩니다.
• 차단 해제: 사용자는 24시간 동안 사이트에 액세스할 수 있습니다. 이때 블록이 다시 활성화됩니다. 사용자는 차단 해제 를 사용하여 관리자가 사이트를 금지(차단)할 때까지 사이트에 계속 액세스하여 차단 해제 옵션을 제거할 수 있습니다.
• 피드백: 알림 메시지는 사용자에게 티켓을 제출할 수 있는 링크를 제공하며, 사용자가 사이트에 대한 액세스를 정당화하기 위해 관리자에게 피드백을 제출하는 데 사용할 수 있습니다.

참고

• 이 문서에 표시된 warn 환경과 block 환경의 이미지에는 예시 자리 표시자 텍스트로 "blocked url"이 사용됩니다. 작동하는 환경에서 실제 URL 또는 도메인이 나열됩니다.

• 이 토스트 알림을 받으려면 해당 레지스트리 키를 설정해 바이러스 & 위협 방지 알림에서 파일 또는 활동이 차단됨 옵션이 사용하도록 설정되어 있는지 확인하세요.

  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Defender Security Center\Virus and threat protection\FilesBlockedNotificationDisabled = 0

  자세한 내용은 앱 설정 Windows 보안 참조하세요.

CSP를 사용하여 Convert warn verdict to block을(를) 활성화합니다

기본적으로 악성 사이트에 대한 SmartScreen 판정은 사용자가 무시할 수 있는 경고를 표시합니다. 경고를 블록으로 변환하여 이러한 재정의를 방지하도록 정책을 설정할 수 있습니다.

비 Edge 브라우저의 경우 Defender CSP: Configuration/EnableConvertWarnToBlock을 참조하세요.

Edge 브라우저의 경우 Edge 정책: SmartScreen 프롬프트 재정의 방지를 참조하세요.

그룹 정책을 사용하여 경고 판정을 차단으로 변환 기능을 사용하도록 설정

이 설정을 사용하도록 설정하면 네트워크 보호는 경고를 표시하는 대신 네트워크 트래픽을 차단합니다.

1. 중앙 집중식 그룹 정책 그룹 정책 관리 컴퓨터에서 GPMC(그룹 정책 관리 콘솔)를 엽니다.

2. GPMC 콘솔 트리에서 편집하려는 GPO가 포함된 포리스트 및 도메인의 그룹 정책 개체를 확장합니다.

3. GPO를 마우스 오른쪽 단추로 클릭한 다음 편집을 선택합니다.

4. 그룹 정책 관리 편집기에서 컴퓨터 구성>관리 템플릿>Windows 컴포넌>트(Microsoft Defender Antivirus>Network inspection system)로 이동합니다.

5. 네트워크 검사 시스템의 세부 창에서 경고 판결을 블록 설정으로 변환하세요. 설정을 열려면 다음 방법 중 일부를 사용합니다.

   • 설정을 두 번 클릭합니다.
   • 설정을 마우스 오른쪽 단추로 클릭한 다음 편집을 선택합니다.
   • 설정을 선택한 다음 작업편집> 선택합니다.

6. 열리는 설정 창에서 [사용]을 선택하고 [확인]을 선택합니다.

팁

로컬 그룹 정책 편집기(gpedit.msc)를 사용하여 개별 디바이스에서 로컬로 그룹 정책 구성할 수도 있습니다. 동일한 경로로 이동합니다: 컴퓨터 구성>관리 템플릿>Windows 구성 요소>Microsoft Defender 바이러스 백신>네트워크 검사 시스템.

차단 경험

사용자가 URL의 평판이 좋지 않은 웹 사이트를 방문하면 알림 메시지가 사용자에게 다음 옵션을 제공합니다.

• 확인: 토스트 알림이 해제(제거)되고 사이트에 액세스하려는 시도가 종료됩니다.
• 피드백: 알림 메시지는 사용자에게 티켓을 제출할 수 있는 링크를 제공하며, 사용자가 사이트에 대한 액세스를 정당화하기 위해 관리자에게 피드백을 제출하는 데 사용할 수 있습니다.

보안 운영 팀은 조직의 세부 정보와 연락처 정보를 사용하여 차단된 연결에 대해 표시되는 알림을 맞춤 설정할 수 있습니다.

SmartScreen 차단 해제

엔드포인트용 Defender의 표시기를 사용하면 관리자가 최종 사용자가 일부 URL 및 IP에 대해 생성된 경고를 무시하도록 허용할 수 있습니다. URL이 차단되는 이유에 따라 SmartScreen 블록이 발견되면 사용자에게 최대 24시간 동안 사이트 차단을 해제하는 기능을 제공할 수 있습니다. 이러한 경우 사용자가 차단 해제를 선택할 수 있도록 Windows 보안 알림 메시지가 나타납니다. 이러한 경우 URL 또는 IP는 지정된 기간 동안 차단 해제됩니다.

엔드포인트용 Microsoft Defender 관리자는 IP, URL 및 도메인에 대한 허용 표시기를 사용하여 Microsoft Defender 포털의 URL을 차단 해제할 수 있습니다.

IP 및 URL/도메인에 대한 표시기 만들기를 참조하세요.

네트워크 보호 사용

네트워크 보호는 일반적으로 관리 인프라를 사용하여 수행되는 디바이스당 사용하도록 설정됩니다. 지원되는 방법은 네트워크 보호 설정을 참조하세요.

참고

Microsoft Defender 바이러스 백신은 네트워크 보호를 사용하도록 설정하려면 활성 모드여야 합니다.

audit 모드 또는 block 모드에서 네트워크 보호를 사용 설정할 수 있습니다. IP 주소 또는 URL을 실제로 차단하기 전에 네트워크 보호를 사용하도록 설정하면 미치는 영향을 평가하려면 감사 모드에서 네트워크 보호를 사용하도록 설정할 수 있습니다. 감사 모드에서는 최종 사용자가 그렇지 않으면 네트워크 보호에 의해 차단될 주소 또는 사이트에 연결할 때마다 이를 기록합니다. 사용자 지정 표시기 또는 웹 콘텐츠 필터링 범주의 차단을 적용하려면 네트워크 보호가 block 모드여야 합니다.

Linux 및 macOS에 대한 네트워크 보호에 대한 자세한 내용은 다음 문서를 참조하세요.

• Linux 대한 네트워크 보호
• macOS에 대한 네트워크 보호

고급 헌팅

고급 헌팅을 사용하여 감사 이벤트를 식별하는 경우 콘솔에서 최대 30일의 기록을 사용할 수 있습니다. 고급 헌팅을 참조하세요.

Microsoft Defender for Endpoint 포털(https://security.microsoft.com)의 고급 헌팅에서 감사 이벤트를 찾을 수 있습니다.

감사 이벤트는 ActionType이 ExploitGuardNetworkProtectionAudited인 DeviceEvents에 있습니다. 블록은 의 ExploitGuardNetworkProtectionBlockedActionType과 함께 표시됩니다.

다음은 비 Microsoft 브라우저에 대한 네트워크 보호 이벤트를 보기 위한 예제 쿼리입니다.

DeviceEvents
|where ActionType in ('ExploitGuardNetworkProtectionAudited','ExploitGuardNetworkProtectionBlocked')

팁

이러한 항목에는 IsAudit, ResponseCategory 및 DisplayName 필드를 포함하여 작업에 대한 자세한 정보를 제공하는 AdditionalFields 열에 데이터가 있습니다.

또 다른 예는 다음과 같습니다.

DeviceEvents
|where ActionType contains "ExploitGuardNetworkProtection"
|extend ParsedFields=parse_json(AdditionalFields)
|project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, IsAudit=tostring(ParsedFields.IsAudit), ResponseCategory=tostring(ParsedFields.ResponseCategory), DisplayName=tostring(ParsedFields.DisplayName)
|sort by Timestamp desc

응답 범주는 이 예제와 같이 이벤트의 원인을 알려줍니다.

응답 범주	이벤트를 담당하는 기능
CustomPolicy	WCF
CustomBlockList	사용자 지정 표시기
CasbPolicy	클라우드 앱용 디펜더 (Defender for Cloud Apps)
Malicious	웹 위협
Phishing	웹 위협

자세한 내용은 엔드포인트 블록 문제 해결을 참조하세요.

Microsoft Edge 브라우저를 사용하는 경우 Microsoft Defender SmartScreen 이벤트에 다음 쿼리를 사용합니다.

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName 

결과 URL 및 IP 목록을 사용하여 네트워크 보호가 디바이스의 차단 모드로 설정된 경우 차단되는 항목을 확인할 수 있습니다. URL 및 IP를 차단하는 기능을 확인할 수도 있습니다. 목록을 검토하여 환경에 필요한 URL 또는 IP를 식별합니다. 그런 다음 해당 URL 또는 IP 주소에 대한 허용 표시기를 만들 수 있습니다. 허용 표시기가 모든 블록보다 우선합니다. 네트워크 보호 블록의 우선 순위 순서를 참조하세요.

사이트 차단을 해제하기 위한 허용 지표를 만든 후 다음과 같이 원래 차단을 해결할 수 있습니다.

• SmartScreen: 적절한 경우 오탐으로 신고
• 표시기: 기존 표시기 수정
• MCA: 허가되지 않은 앱 검토
• WCF: 요청 재분류

SmartScreen 데이터의 가양성을 보고하는 방법에 대한 자세한 내용은 가양성 보고를 참조하세요.

고유한 Power BI 보고서를 만드는 방법에 대한 자세한 내용은 Power BI를 사용하여 사용자 지정 보고서 만들기를 참조하세요.

네트워크 보호 구성

네트워크 보호를 사용하도록 설정하는 방법에 대한 자세한 내용은 네트워크 보호 사용을 참조하세요. 그룹 정책, PowerShell 또는 MDM CSP를 사용하여 네트워크에서 네트워크 보호를 사용하도록 설정하고 관리합니다.

네트워크 보호를 사용하도록 설정한 후에는 엔드포인트 디바이스와 웹 서비스 간의 연결을 허용하도록 네트워크 또는 방화벽을 구성해야 할 수 있습니다.

• .smartscreen.microsoft.com
• .smartscreen-prod.microsoft.com

필수 브라우저 구성

Microsoft Edge 이외의 프로세스에서 네트워크 보호는 TCP/IP 핸드셰이크 후에 발생하는 TLS 핸드셰이크의 콘텐츠를 검사하여 각 HTTPS 연결의 정규화된 전체 도메인 이름(FQDN)을 확인합니다. 이렇게 하려면 HTTPS 연결이 TCP/IP(UDP/QUIC 아님)를 사용하고 ClientHello 메시지가 암호화되지 않도록 해야 합니다. Google Chrome에서 QUIC 및 암호화된 클라이언트 Hello를 사용하지 않도록 설정하려면 QuicAllowed 및 EncryptedClientHelloEnabled를 참조하세요. Mozilla Firefox의 경우 EncryptedClientHello 및 network.http.http3.enable 사용 안 함을 참조하세요.

네트워크 보호 이벤트 보기

네트워크 보호는 경고 조사 시나리오의 일부로 자세한 보고를 제공하는 엔드포인트용 Microsoft Defender 가장 잘 작동합니다.

Microsoft Defender 포털에서 네트워크 보호 이벤트 검토

엔드포인트용 Defender는 경고 조사 시나리오의 일부로 이벤트 및 블록에 대한 자세한 보고를 제공합니다. 이러한 세부 정보는 Microsoft Defender 포털(https://security.microsoft.com)의 경고 큐에서 또는 고급 헌팅을 사용하여 확인할 수 있습니다. 감사 모드를 사용하는 경우 고급 헌팅을 사용하여 네트워크 보호 설정을 활성화했을 때 환경에 어떤 영향을 미치는지 확인할 수 있습니다.

Windows 이벤트 뷰어 네트워크 보호 이벤트 검토

Windows 이벤트 로그를 검토하여 네트워크 보호가 악성 IP 또는 도메인에 대한 액세스를 차단(또는 감사)할 때 생성되는 이벤트를 확인할 수 있습니다.

1. XML 쿼리를 만듭니다.

2. 확인을 선택합니다.

   이 절차에서는 네트워크 보호와 관련된 다음 이벤트만 표시하도록 필터링하는 사용자 지정 보기를 만듭니다.

   이벤트 ID	설명
   5007	설정이 변경된 경우의 이벤트
   1125	감사 모드에서 네트워크 보호 기능이 작동할 때 발생하는 이벤트
   1126	블록 모드에서 네트워크 보호가 작동할 때 이벤트

네트워크 보호 및 TCP 3방향 핸드셰이크

네트워크 보호를 사용하면 TCP/IP를 통한 3방향 핸드셰이크가 완료된 후 사이트에 대한 액세스를 허용하거나 차단할지 여부를 결정합니다. 따라서 네트워크 보호가 사이트를 차단하면, 사이트가 차단되었더라도 Microsoft Defender 포털의 DeviceNetworkEvents 아래에 작업 유형 ConnectionSuccess이 표시될 수 있습니다. DeviceNetworkEvents 는 네트워크 보호가 아니라 TCP 계층에서 보고됩니다. TCP/IP 핸드셰이크 및 TLS 핸드셰이크가 완료되면 네트워크 보호에 의해 사이트에 대한 액세스가 허용되거나 차단됩니다.

작동 방식의 예는 다음과 같습니다.

1. 사용자가 웹 사이트에 액세스하려고 시도한다고 가정합니다. 사이트는 위험한 도메인에서 호스트되며 네트워크 보호에 의해 차단되어야 합니다.

2. TCP/IP를 통한 3방향 핸드셰이크가 시작됩니다. 완료되기 전에 DeviceNetworkEvents 작업이 기록되고, 해당 ActionType은 ConnectionSuccess로 나열됩니다. 그러나 3방향 핸드셰이크 프로세스가 완료되는 즉시 네트워크 보호는 사이트에 대한 액세스를 차단합니다. 이 모든 작업은 빠르게 수행됩니다.

3. Microsoft Defender 포털에서 경고는 경고 대기열에 나열됩니다. 해당 경고의 세부 정보에는 DeviceNetworkEvents 및 AlertEvidence가 모두 포함됩니다. ActionType이 ConnectionSuccess인 DeviceNetworkEvents 항목도 있지만 사이트가 차단된 것을 확인할 수 있습니다.

Windows 10 Enterprise 다중 세션을 실행하는 Windows 가상 데스크톱에 대한 고려 사항

Windows 10 Enterprise 다중 사용자 특성으로 인해 다음 사항에 유의하세요.

• 네트워크 보호는 디바이스 전체 기능이며 특정 사용자 세션을 대상으로 할 수 없습니다.
• 사용자 그룹을 구분해야 하는 경우 별도의 Windows Virtual Desktop 호스트 풀 및 할당을 만드는 것이 좋습니다.
• 감사 모드에서 네트워크 보호를 테스트하여 롤아웃하기 전에 해당 동작을 평가합니다.
• 사용자가 많거나 다중 사용자 세션이 많은 경우 배포 크기를 조정하는 것이 좋습니다.

네트워크 보호를 위한 대체 옵션

최신 통합 솔루션을 사용하는 Windows Server 2012 R2 및 Windows Server 2016, Windows Server 버전 1803 이상, 그리고 Azure의 Windows Virtual Desktop에서 사용되는 Windows 10 Enterprise Multi-Session 1909 이상에서는 다음 방법을 사용하여 네트워크 보호를 사용하도록 설정할 수 있습니다.

1. 네트워크 보호 켜기를 사용하고 지침에 따라 정책을 적용합니다.

2. 다음 PowerShell 명령을 실행합니다.

   Set-MpPreference -EnableNetworkProtection Enabled
   
   Set-MpPreference -AllowNetworkProtectionOnWinServer 1
   
   Set-MpPreference -AllowNetworkProtectionDownLevel 1
   
   Set-MpPreference -AllowDatagramProcessingOnWinServer 1
   

   참고

   인프라, 트래픽 볼륨 및 기타 조건에 Set-MpPreference -AllowDatagramProcessingOnWinServer 1 따라 네트워크 성능에 영향을 미칠 수 있습니다.

Windows Server에 대한 네트워크 보호

다음 정보는 Windows Server와 관련이 있습니다.

네트워크 보호가 사용하도록 설정되어 있는지 확인

레지스트리 편집기를 사용하여 로컬 디바이스에서 네트워크 보호를 사용할 수 있는지 확인합니다.

1. 작업 표시줄에서 시작 단추를 선택하고 를 입력 regedit 하여 레지스트리 편집기를 엽니다.

2. 측면 메뉴에서 HKEY_LOCAL_MACHINE 선택합니다.

3. 중첩된 메뉴를 통해 소프트웨어>정책>Microsoft>Windows Defender Windows Defender>Exploit Guard>네트워크 보호로 이동합니다.

   키가 없으면 SOFTWARE>Microsoft>Windows Defender>Windows Defender Exploit Guard>Network Protection로 이동하세요.

4. EnableNetworkProtection을 선택하여 디바이스에서 네트워크 보호의 현재 상태를 확인합니다.

   • 0 = 끄기
   • 1 = 켜기(사용)
   • 2 = 감사 모드

자세한 내용은 네트워크 보호 설정을 참조하세요.

네트워크 보호 레지스트리 키

최신 통합 솔루션을 사용하는 Windows Server 2012 R2 및 Windows Server 2016, Windows Server 버전 1803 이상, 그리고 Windows 10 Enterprise Multi-Session 1909 이상(Azure의 Windows Virtual Desktop에서 사용)의 경우 다음과 같이 다른 레지스트리 키를 사용하도록 설정합니다:

1. HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows Defender>Windows Defender Exploit Guard>Network Protection로 이동합니다.

2. 다음 키를 구성합니다.

   • AllowNetworkProtectionOnWinServer (DWORD)가 1 (16진수)로 설정됨
   • EnableNetworkProtection (DWORD)를 1 (16진수)로 설정
   • (Windows Server 2012 R2 및 Windows Server 2016만 해당) AllowNetworkProtectionDownLevel (DWORD)가 (16진수)로 1 설정됨

   참고

   인프라, 트래픽 양 및 기타 조건에 따라 HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows Defender>NIS>Consumers>IPS - AllowDatagramProcessingOnWinServer (dword) 1 (hex)는 네트워크 성능에 영향을 미칠 수 있습니다.

   자세한 내용은 네트워크 보호 설정을 참조하세요.

Windows Server 및 Windows 다중 세션 구성을 사용하려면 PowerShell이 필요합니다.

Windows Server 및 Windows 다중 세션의 경우 PowerShell cmdlet을 사용하여 사용하도록 설정해야 하는 다른 항목이 있습니다. 최신 통합 솔루션을 사용하는 Windows Server 2012 R2 및 Windows Server 2016, Windows Server 버전 1803 이상, 그리고 Azure의 Windows Virtual Desktop에서 사용되는 Windows 10 Enterprise Multi-Session 1909 이상에서는 다음 PowerShell 명령을 실행하세요.

Set-MpPreference -EnableNetworkProtection Enabled

Set-MpPreference -AllowNetworkProtectionOnWinServer 1

Set-MpPreference -AllowNetworkProtectionDownLevel 1

Set-MpPreference -AllowDatagramProcessingOnWinServer 1

참고

인프라, 트래픽 볼륨 및 기타 조건에 따라 네트워크 성능에 Set-MpPreference -AllowDatagramProcessingOnWinServer 1 영향을 줄 수 있습니다.

네트워크 보호 문제 해결

네트워크 보호가 실행되는 환경으로 인해 이 기능이 운영 체제 프록시 설정을 검색하지 못할 수 있습니다. 경우에 따라 네트워크 보호 클라이언트가 클라우드 서비스에 연결할 수 없습니다. 연결 문제를 해결하려면 Microsoft Defender 바이러스 백신에 대한 정적 프록시를 구성합니다.

참고

암호화된 클라이언트 Hello 및 QUIC 프로토콜은 네트워크 보호 기능에서 지원되지 않습니다. 위의 필수 브라우저 구성 에 설명된 대로 브라우저에서 이러한 프로토콜을 사용하지 않도록 설정해야 합니다.

모든 클라이언트에서 QUIC를 사용하지 않도록 설정하려면 Windows 방화벽을 통해 QUIC 트래픽을 차단할 수 있습니다.

Windows 방화벽에서 QUIC 사용 안 함

이 메서드는 브라우저 및 클라이언트 앱(예: Microsoft Office)을 비롯한 모든 애플리케이션에 영향을 줍니다. PowerShell에서 cmdlet을 실행 New-NetFirewallRule 하여 포트 443에 대한 모든 아웃바운드 트래픽 UDP 트래픽을 차단하여 QUIC를 사용하지 않도록 설정하는 새 방화벽 규칙을 추가합니다.

Copy
$ruleParams = @{
    DisplayName = "Block QUIC"
    Direction = "Outbound"
    Action = "Block"
    RemoteAddress = "0.0.0.0/0"
    Protocol = "UDP"
    RemotePort = 443
}
New-NetFirewallRule @ruleParams

네트워크 보호 성능 최적화

네트워크 보호에는 block 모드가 장시간 유지되는 연결을 비동기적으로 검사할 수 있도록 하는 성능 최적화가 포함되어 있으며, 이를 통해 성능이 향상될 수 있습니다. 이 최적화는 앱 호환성 문제에도 도움이 될 수 있습니다. 이 기능은 기본적으로 켜집니다.

CSP를 사용하여 AllowSwitchToAsyncInspection을 사용하도록 설정

Defender CSP: 구성/AllowSwitchToAsyncInspection

그룹 정책 사용하여 비동기 검사 켜기 사용

이 절차를 사용하면 실시간 검사에서 비동기 검사로 전환하여 네트워크 보호를 통해 성능을 향상시킬 수 있습니다.

1. 중앙 집중식 그룹 정책 그룹 정책 관리 컴퓨터에서 GPMC(그룹 정책 관리 콘솔)를 엽니다.

2. GPMC 콘솔 트리에서 편집하려는 GPO가 포함된 포리스트 및 도메인의 그룹 정책 개체를 확장합니다.

3. GPO를 마우스 오른쪽 단추로 클릭한 다음 편집을 선택합니다.

4. 그룹 정책 관리 편집기에서 컴퓨터 구성>관리 템플릿>Windows 컴포넌>트(Microsoft Defender Antivirus>Network inspection system)로 이동합니다.

5. 네트워크 검사 시스템의 세부정보 창에서 비동기 검사 켜기 설정을 엽니다. 설정을 열려면 다음 방법 중 일부를 사용합니다.

   • 설정을 두 번 클릭합니다.
   • 설정을 마우스 오른쪽 단추로 클릭한 다음 편집을 선택합니다.
   • 설정을 선택한 다음 작업편집> 선택합니다.

팁

로컬 그룹 정책 편집기(gpedit.msc)를 사용하여 개별 디바이스에서 로컬로 그룹 정책 구성할 수도 있습니다. 동일한 경로로 이동합니다: 컴퓨터 구성>관리 템플릿>Windows 구성 요소>Microsoft Defender 바이러스 백신>네트워크 검사 시스템.

1. 열리는 설정 창에서 [사용]을 선택하고 [확인]을 선택합니다.

Microsoft Defender 바이러스 백신 Powershell을 사용하여 비동기 검사 켜기 사용

다음 PowerShell 명령을 사용하여 이 기능을 켤 수 있습니다.

Set-MpPreference -AllowSwitchToAsyncInspection $true

참고 항목

• 네트워크 보호 평가 | 기능의 작동 방식과 일반적으로 생성되는 이벤트를 보여 주는 빠른 시나리오를 수행합니다.
• 네트워크 보호 사용 | 그룹 정책, PowerShell 또는 MDM CSP를 사용하여 네트워크에서 네트워크 보호를 사용하도록 설정하고 관리합니다.
• Microsoft Intune 공격 표면 감소 기능 구성
• Linux 대한 네트워크 보호 | Linux 디바이스에 Microsoft 네트워크 보호를 사용하는 방법에 대해 알아봅니다.
• macOS에 대한 네트워크 보호 | macOS용 Microsoft 네트워크 보호에 대해 자세히 알아보려면