이 가이드를 활용해 새 서버를 준비하고 설정하세요. Defender for Endpoint는 태세 관리, 위협 보호, 엔드포인트 탐지 및 대응, Defender for Servers와의 통합 등 다양한 기능을 통해 귀사의 서버를 보호하는 데 도움을 줄 수 있습니다.
이미 Defender for Endpoint를 운영 중인 서버에 대해서는 기존 배포를 참조하세요. 이 서버들은 기존 Defender for Endpoint 보호를 유지하기 위해 온보딩, 재설치, 마이그레이션이 필요하지 않습니다.
팁
사용자 환경에 기반한 사용자 지정 환경의 경우 Microsoft 365 관리 센터 Security Analyzer 자동화 설치 가이드에 액세스할 수 있습니다.
배포 방식 선택
| Server | 메서드 |
|---|---|
| 활성화된 구독에서 지원되는 Azure VM 또는 Azure Arc 지원 서버 | 자동 온보딩 |
| 엔드포인트 배포 도구를 통해 관리하는 서버 | 수동 배포 |
| 서버가 이미 Defender for Endpoint에 보고하고 있습니다 | 배포 변경 사항은 필요 없습니다 |
필수 조건
- Defender for Endpoint의 최소 요구 사항 및 연결 요구 사항을 충족하세요.
- 자동 또는 수동 배포 전에 백신 공존성과 다른 백신 프로그램이 설치된 경우 Windows Server의 패시브 모드 요구사항을 검토하세요.
- 배포 방식에 필요한 권한을 확인하세요.
- 기존 에이전트와 배포 정책을 파악하여 경쟁 할당을 피하세요.
롤아웃을 준비하세요
- 대상 서버, 운영체제, 책임 있는 소유자, 필요한 보호 기능을 기록하세요.
- 변경 작업 시간과 필요하다면 오프보딩 하거나 엔드포인트 소프트웨어 재설치 방법에 대해 합의하세요.
- 파일럿을 지원하는 방법의 경우 대표적인 서버부터 시작하세요. 온보딩 확인 및 접근 확인을 완료한 후 확장 가능합니다.
직접 온보딩을 선택하기 전에 테넌트 전체에 적용되는 범위를 검토하세요. 직접 온보딩을 파일럿 그룹에만 제한할 수는 없습니다.
서버 계획
엔드포인트용 Defender에 서버를 온보딩하려면 서버 라이선스가 필요합니다. 다음 옵션 중에서 선택할 수 있습니다.
- 서버 플랜 1 또는 플랜 2에 대한 Microsoft Defender(클라우드용 Defender의 일부) 제품
- 서버에 대한 엔드포인트용 Microsoft Defender
- 비즈니스용 Microsoft Defender 서버(중소기업에만 해당)
팁
대부분의 조직에서 Microsoft는 Microsoft Defender for Cloud의 일부인 Microsoft Defender for Servers Plan 2를 통해 서버를 온보딩할 것을 권장합니다. 플랜 2에는 Defender for Endpoint 서버 보호 및 서버 워크로드에 특화된 기능이 포함되어 있습니다:
- 취약점, 악성코드 및 시크릿에 대한 에이전트리스 머신 스캔
- 파일 무결성 모니터링
- 적시 가상 머신 접근
- 규제 준수 평가
- 프리미엄 Microsoft Defender 취약성 관리 기능
- Microsoft Cloud Security Benchmark를 기반으로 한 운영체제 구성 평가
- 각 보호된 기계마다 500MB의 일일 데이터 수집 이점이 있습니다
클라우드용 Defender는 지원되는 Azure 가상 머신과 Azure Arc 지원 머신에 자동으로 Defender for Endpoint 확장 프로그램을 온보딩해주므로, 각 머신별 온보딩 스크립트가 필요하지 않습니다. 기능 비교는 Defender for Servers 플랜 기능을 참조하세요.
조직에서 클라우드용 Defender를 사용하지 않는다면, 독립형 엔드포인트용 Microsoft Defender for server와 비즈니스용 Microsoft Defender 서버 라이선스가 대안이 될 수 있습니다.
서버용 Microsoft Defender 통합
엔드포인트용 Defender는 서버용 Defender(클라우드용 Defender )와 원활하게 통합됩니다. 구독에 서버용 Defender 플랜 1 또는 플랜 2가 포함된 경우 다음을 수행할 수 있습니다.
- 자동으로 서버 온보딩
- 클라우드용 Defender에서 모니터링하는 서버가 디바이스 인벤토리의 Microsoft Defender 포털에 표시되도록 합니다.
- 클라우드용 Defender 고객으로서 자세한 조사 수행
다음은 유의해야 할 몇 가지 사항입니다.
- 클라우드용 Defender를 사용하여 서버를 모니터링하면 엔드포인트용 Defender 테넌트가 자동으로 만들어집니다. 엔드포인트용 Defender에서 수집한 데이터는 프로비전 중에 식별된 테넌트 지리적 위치에 저장됩니다.
- 클라우드용 Defender를 사용하기 전에 엔드포인트용 Defender를 사용하는 경우 나중에 클라우드용 Defender와 통합하더라도 테넌트 생성 시 지정한 위치에 데이터가 저장됩니다.
- 구성된 후에는 데이터가 저장되는 위치의 위치를 변경할 수 없습니다. 데이터를 다른 위치로 이동하려면 지원에 문의 하여 테넌트 재설정을 참조하세요.
- 이 통합을 활용하는 서버 엔드포인트 모니터링은 현재 Office 365 GCC 고객에게 제공되지 않습니다.
- 클라우드용 Defender를 통해 온보딩된 Linux 서버에는 수동 모드에서 바이러스 백신 Microsoft Defender 실행하도록 초기 구성이 설정됩니다. Linux 서버에 엔드포인트용 Defender를 배포하는 방법에 대한 자세한 내용은 Linux 엔드포인트용 Microsoft Defender 위한 필수 구성 요소부터 시작합니다.
자세한 내용은 클라우드용 Defender와 엔드포인트용 Defender 통합을 사용하여 엔드포인트 보호를 참조하세요.
자동 온보딩
- Azure VM 또는 Azure Arc 리소스가 포함된 구독에서 Defender for Servers를 활성화하세요.
- Defender for Endpoint 통합 설정 및 전제 조건을 검토하세요.
- 배포가 완료될 때까지 기다린 후 온보딩 점검을 수행하세요.
비 Microsoft 바이러스 백신/맬웨어 방지 솔루션에 대한 중요한 정보
비 Microsoft 맬웨어 방지 솔루션을 사용하려는 경우 수동 모드에서 Microsoft Defender 바이러스 백신을 실행해야 합니다. 설치 및 온보딩 프로세스 중에 수동 모드를 설정해야 합니다. 자세한 내용은 Windows Server 및 수동 모드를 참조하세요.
중요
McAfee Endpoint Security 또는 VirusScan Enterprise를 실행하는 서버에 엔드포인트용 Defender를 설치하는 경우 Microsoft Defender 바이러스 백신이 제거되거나 사용하지 않도록 설정되지 않도록 McAfee 플랫폼 버전을 업데이트해야 할 수 있습니다. 필요한 특정 버전 번호에 대한 자세한 내용은 McAfee 기술 센터 문서를 참조하세요.
Defender for Endpoint를 수동으로 배포하세요
서버와 관리 방식에 맞는 배포 방식을 선택하세요. 다음 표에 연결된 절차를 따라 배포를 완료하며, 필요한 설치 또는 온보딩 패키지 다운로드도 완료하세요.
| 운영 체제 | 배포 방법 |
|---|---|
| Windows Server 2012 R2 및 이후 버전, Windows Server 버전 1803 및 이후 버전, 그리고 Azure Stack HCI OS 버전 23H2 및 이후 버전 |
로컬 스크립트 (온보딩 패키지 사용) Microsoft Configuration Manager 그룹 정책 VDI 스크립트 Windows Server 2016 및 2012 R2용 최신 통합 솔루션 |
| Linux |
설치 스크립트 기반 배포 Ansible 기반 배포 Chef 기반 배포 Puppet 기반 배포 솔트스택 기반 배포 수동 배포 (로컬 스크립트 사용) SAP용 Linux 엔드포인트용 Defender 배포 지침 |
Windows Server 버전 1803, Windows Server 2019 및 이후 버전, 그리고 Azure Stack HCI OS 등록
- Defender for Endpoint의 최소 요구사항을 검토하세요.
- 서버에 적합한 온보딩 방식을 선택하려면 '배포 방법 선택' 을 사용하세요.
- Defender for Endpoint를 수동으로 배포한다면, 선택한 방법에 맞게 Defender for Endpoint 수동 배포를 따르세요.
- 배치 후 온보딩 점검 을 완료하세요.
Windows Server 2016 및 Windows Server 2012 R2 등록
- Defender for Endpoint의 최소 요구사항과 Windows Server 2016 및 Windows Server 2012 R2의 필수 조건을 검토하세요.
- 서버에 적합한 온보딩 방식을 선택하려면 '배포 방법 선택' 을 사용하세요.
- Defender for Endpoint를 수동으로 배포한다면, 선택한 방법에 맞게 Defender for Endpoint 수동 배포를 따르세요.
- 배치 후 온보딩 점검 을 완료하세요.
참고
Windows Server 2016 및 Windows Server 2012 R2용 설치 패키지는 매월 업데이트됩니다. 배포 방식에 설치 패키지가 필요하다면, 배포 전에 최신 패키지를 다운로드하세요. 설치 후 업데이트하려면 설치 관리자 패키지를 다시 실행할 필요가 없습니다. 만약 그렇게 하면, 설치 프로그램이 먼저 오프보딩하라고 요청하는데, 오프보딩은 제거를 위해 필수이기 때문입니다. Windows Server 2012 R2 및 2016에서 엔드포인트용 Defender 패키지 업데이트를 참조하세요.
이전 Microsoft 모니터링 에이전트(MMA) 기반 솔루션에서 마이그레이션하는 경우, Microsoft 모니터링 에이전트에서 최신 통합 솔루션으로 서버를 마이그레이션하는 항목을 참고하세요.
Windows Server 2016 및 2012 R2에 대한 필수 구성 요소
- 서버에 사용 가능한 최신 SSU(서비스 스택 업데이트) 및 LCU(최신 누적 업데이트)를 설치하는 것이 좋습니다.
- 2021년 9월 14일 이후 버전의 SSU를 설치해야 합니다.
- 2018년 9월 20일 이후 버전의 LCU를 설치해야 합니다.
- Microsoft Defender 바이러스 백신 기능을 사용하도록 설정하고 최신 상태인지 확인합니다. Windows Server에서 Microsoft Defender 바이러스 백신을 사용하도록 설정하는 방법에 대한 자세한 내용은 비활성화된 경우 Windows Server에서 Microsoft Defender 바이러스 백신 다시 사용 및 제거된 경우 Windows Server에서 Microsoft Defender 바이러스 백신 다시 사용을 참조하세요.
- Windows 업데이트 사용하여 최신 플랫폼 버전을 다운로드하고 설치합니다. 또는 Microsoft 업데이트 카탈로그 또는 MMPC에서 수동으로 업데이트 패키지를 다운로드합니다.
- Windows Server 2016 Microsoft Defender 바이러스 백신을 기능으로 설치하고 설치하기 전에 완전히 업데이트해야 합니다.
Windows Server 2016 또는 Windows Server 2012 R2용 패키지 업데이트
엔드포인트용 Defender 구성 요소에 대한 정기적인 제품 개선 사항 및 수정 사항을 받으려면 Windows 업데이트 KB5005292 적용되거나 승인되었는지 확인합니다. 또한 보호 구성 요소를 업데이트된 상태로 유지하려면 Microsoft Defender 바이러스 백신 업데이트 관리 및 기준 적용을 참조하세요.
WSUS(Windows Server Update Services) 및/또는 Microsoft Configuration Manager를 사용하는 경우, 이 새로운 "EDR 센서용 엔드포인트용 Microsoft Defender 업데이트"는 "엔드포인트용 Microsoft Defender" 범주에서 사용할 수 있습니다.
Windows Server 2016 및 Windows Server 2012 R2용 최신 통합 솔루션의 기능
온보딩 Windows Server 2016 및 Windows Server 2012 R2의 이전 구현(2022년 4월 이전)에는 MMA(Microsoft Monitoring Agent)를 사용해야 했습니다. 최신 통합 솔루션 패키지를 사용하면 종속성 및 설치 단계를 제거하여 서버를 더 쉽게 온보딩할 수 있습니다. 또한 훨씬 확장된 기능 집합을 제공합니다. 자세한 내용은 다음 리소스를 참조하세요.
- 이전 MMA 기반 엔드포인트용 Microsoft Defender 솔루션의 서버 마이그레이션 시나리오
- 기술 커뮤니티 블로그: Windows Server 2012 R2 및 2016 방어
온보딩하는 서버에 따라 통합 솔루션은 엔드포인트용 Defender 및/또는 EDR 센서를 서버에 설치합니다. 다음 표에서는 설치된 구성 요소와 기본적으로 기본 제공되는 구성 요소를 나타냅니다.
| 서버 버전 | Microsoft Defender 바이러스 백신 | EDR 센서 |
|---|---|---|
| 윈도우 서버 2012 R2 |
|
|
| 윈도우 서버 2016 | 기본 제공 |
|
| Windows Server 2019 이상 | 기본 제공 | 기본 제공 |
최신 통합 솔루션의 알려진 문제 및 제한 사항
다음 사항은 Windows Server 2016 및 Windows Server 2012 R2에 적용됩니다.
새 설치를 수행하기 전에 항상 Microsoft Defender 포털(https://security.microsoft.com)에서 최신 설치 관리자 패키지를 다운로드하고 필수 구성 요소가 충족되는지 확인합니다. 설치 후 Windows Server 2012 R2 및 2016의 엔드포인트용 Defender 패키지 업데이트 섹션에 설명된 구성 요소 업데이트를 사용하여 정기적으로 업데이트해야 합니다.
운영 체제 업데이트는 서비스 설치 시간 초과로 인해 디스크가 느린 컴퓨터에 설치 문제가 발생할 수 있습니다. 메시지
Couldn't find c:\program files\windows defender\mpasdesc.dll, - 310 WinDefend와 함께 설치가 실패합니다. 필요한 경우 최신 설치 패키지 및 최신 install.ps1 스크립트를 사용하여 실패한 설치를 지울 수 있습니다.Windows Server 2016 및 Windows Server 2012 R2의 사용자 인터페이스는 기본 작업만 허용합니다. 디바이스에서 로컬로 작업을 수행하려면 PowerShell, WMI 및 MPCmdRun.exe엔드포인트용 Defender 관리를 참조하세요. 따라서 사용자가 결정을 내리거나 특정 작업을 수행하라는 메시지가 표시되는 경우와 같이 특히 사용자 상호 작용에 의존하는 기능이 예상대로 작동하지 않을 수 있습니다. 보호 기능에 영향을 미칠 수 있으므로 사용자 인터페이스를 사용하지 않도록 설정하거나 사용하지 않도록 설정하거나 관리되는 서버에서 사용자 상호 작용을 요구하지 않는 것이 좋습니다.
모든 공격 표면 감소 규칙이 모든 운영 체제에 적용되는 것은 아닙니다. 공격 표면 감소 규칙을 참조하세요.
운영 체제 업그레이드는 Windows 10 및 11 및 Windows Server 2019 이상에서 지원됩니다. 이러한 버전에는 엔드포인트용 필요한 Defender 구성 요소가 포함됩니다. Windows Server 2016 이전 버전의 경우 엔드포인트용 Defender에서 오프보딩하고 엔드포인트용 Defender를 제거한 후 OS를 업그레이드해야 합니다.
Microsoft Configuration Manager 사용하여 새 솔루션을 자동으로 배포하고 온보딩하려면 버전 2207 이상이어야 합니다. 핫픽스 롤업과 함께 버전 2107을 사용하여 구성하고 배포할 수 있지만 추가 배포 단계가 필요합니다. 자세한 내용은 Microsoft Configuration Manager 마이그레이션 시나리오를 참조하세요.
온보드 Linux 서버
Linux 실행 중인 서버를 온보딩하려면 다음 단계를 수행합니다.
Linux 엔드포인트용 Microsoft Defender 대한 필수 조건을 검토해야 합니다.
배포 방법을 선택합니다. 특정 환경에 따라 다음과 같은 몇 가지 옵션 중에서 선택할 수 있습니다.
기능을 구성하세요. Linux 엔드포인트용 Microsoft Defender 보안 설정 구성을 참조하세요.
Direct onboarding을 사용하여 비 Azure 서버를 연결하세요
수동으로 온보딩된 온프레미스 서버가 Defender for Servers 커버리지가 필요하다면, 직접 온보딩을 따르세요. 활성화하기 전에 누가 영향을 받는지 확인하세요.
직접 온보딩은 기존 Defender for Endpoint 배포를 유지하기 위해 필요한 것이 아닙니다.
온보딩 확인하기
선택한 방법의 지침을 사용해 지역 에이전트 상태를 확인하세요.
Microsoft Defender 장치 인벤토리에서 서버를 찾으세요. 해당 기기의 신원, 센서 상태, 최근 활동을 확인하세요.
승인된 탐지 테스트를 실행하고 경고가 도착했는지 확인하세요.
Defender for Servers가 필요하다면, 클라우드용 Defender에서 요금제와 구독 연관성을 확인하세요.
참고
Microsoft Defender 바이러스 백신을 실행하는 것은 필요하지 않지만 권장됩니다. 다른 바이러스 백신 공급업체 제품이 기본 엔드포인트 보호 솔루션인 경우 수동 모드에서 Defender 바이러스 백신 실행할 수 있습니다. 엔드포인트용 Defender 센서(SENSE)가 실행 중인지 확인한 후에만 수동 모드가 켜진 것을 확인할 수 있습니다.
Microsoft Defender 바이러스 백신이 활성 모드로 설치되어 있어야 하는 Windows Server 디바이스에서 다음 명령을 실행합니다.
sc.exe query Windefend결과가 "지정된 서비스가 설치된 서비스로 존재하지 않습니다."인 경우 Microsoft Defender 바이러스 백신을 설치해야 합니다.
다음 명령을 실행하여 엔드포인트용 Defender가 실행 중인지 확인합니다.
sc.exe query sense결과에 실행 중이 표시됩니다. 온보딩에 문제가 발생하는 경우 온보딩 문제 해결을 참조하세요.
Windows 서버 오프보딩
자동 Azure 오프보딩, 수동 엔드포인트 오프보딩, 그리고 별도의 소프트웨어 제거 점검에 대해서는 Microsoft Defender에서 서버 오프보딩을 참조하세요.
Windows 클라이언트 기기에서 사용할 수 있는 동일한 방법을 사용하여 수동으로 Windows 서버를 오프보드할 수 있습니다:
오프보딩 후 Windows Server 2016 및 Windows Server 2012 R2에서 통합 솔루션 패키지 제거를 진행할 수 있습니다. 이전 버전의 Windows Server 경우 서비스에서 Windows 서버를 오프보딩하는 두 가지 옵션이 있습니다.
- MMA 에이전트 제거
- Defender for Endpoint 작업 영역 구성을 제거합니다
참고
다른 Windows Server 버전에 대한 이러한 오프보딩 지침은 MMA가 필요한 Windows Server 2016 및 Windows Server 2012 R2용 이전 엔드포인트용 Defender를 실행하는 경우에도 적용됩니다. 새 통합 솔루션으로 마이그레이션하는 지침은 엔드포인트용 Defender의 서버 마이그레이션 시나리오에 있습니다.