팁
Office 365용 Microsoft Defender 플랜 2의 기능을 무료로 사용해 볼 수 있다는 사실을 알고 계셨나요? Microsoft Defender 포털 평가판 허브에서 90일 Office 365용 Defender 평가판을 사용합니다. Office 365용 Microsoft Defender 시도에서 누가 등록하고 평가판을 사용할 수 있는지에 대해 알아봅니다.
구독에 포함되거나 추가 기능으로 구매한 Office 365용 Microsoft Defender Microsoft 365 조직에는 Explorer(위협 Explorer라고도 함) 또는 실시간 검색이 있습니다. 이러한 기능은 보안 운영(SecOps) 팀이 위협을 조사하고 대응하는 데 도움이 되는 강력한 거의 실시간 도구입니다. 자세한 내용은 Office 365용 Microsoft Defender 위협 Explorer 및 실시간 검색 정보를 참조하세요.
위협 Explorer 또는 실시간 검색을 통해 다음 작업을 수행할 수 있습니다.
이 짧은 비디오를 시청하여 Office 365용 Defender 사용하여 이메일 및 공동 작업 기반 위협을 헌팅하고 조사하는 방법을 알아봅니다.
팁
Microsoft Defender XDR 고급 헌팅은 KQL(Kusto 쿼리 언어)을 사용하지 않는 사용하기 쉬운 쿼리 작성기를 지원합니다. 자세한 내용은 단계별 모드를 사용하여 쿼리 빌드를 참조하세요.
이 문서에서는 다음 정보를 사용할 수 있습니다.
팁
위협 Explorer 및 실시간 검색을 사용하는 전자 메일 시나리오는 다음 문서를 참조하세요.
QR 코드에 포함된 악의적인 URL을 기반으로 공격을 헌팅하는 경우 위협 Explorer 또는 실시간 검색의 모든 전자 메일, 맬웨어 및 피싱 보기의 URL 원본 필터 값 QR 코드를 사용하면 QR 코드에서 추출된 URL을 사용하여 전자 메일 메시지를 검색할 수 있습니다.
위협 Explorer Office 365용 Defender 플랜 2에 포함되어 있습니다. 실시간 검색은 Office용 Defender 플랜 1에 포함됩니다.
위협 Explorer 및 실시간 검색에 대한 권한 및 라이선스 요구 사항은 위협 Explorer 및 실시간 검색에 대한 권한 및 라이선스를 참조하세요.
위협 Explorer 또는 실시간 검색은 의 Microsoft Defender 포털https://security.microsoft.com에 있는 Email & 협업 섹션에서 사용할 수 있습니다.
실시간 검색은 Office 365용 Defender 플랜 1에서 사용할 수 있습니다. 실시간 검색 페이지는 에서 https://security.microsoft.com/realtimereportsv3직접 사용할 수 있습니다.
위협 ExplorerOffice 365용 Defender 플랜 2에서 사용할 수 있습니다. Explorer 페이지는 에서 https://security.microsoft.com/threatexplorerv3직접 사용할 수 있습니다.
위협 Explorer 실시간 검색과 동일한 정보와 기능을 포함하지만 다음과 같은 추가 기능이 있습니다.
Office 365용 Defender 플랜 1과 플랜 2의 차이점에 대한 자세한 내용은 Office 365용 Defender 플랜 1과 플랜 2 치트 시트를 참조하세요.
페이지 맨 위에 있는 탭(보기)을 사용하여 조사를 시작합니다.
위협 Explorer 및 실시간 검색의 사용 가능한 보기는 다음 표에 설명되어 있습니다.
| 보기 | 위협 탐색기 |
실시간 탐지 |
설명 |
|---|---|---|---|
| 모든 전자 메일 | ✔ | 위협 Explorer 대한 기본 보기입니다. 외부 사용자가 organization 보낸 모든 전자 메일 메시지 또는 organization 내부 사용자 간에 전송된 전자 메일에 대한 정보입니다. | |
| 맬웨어 | ✔ | ✔ | 실시간 검색에 대한 기본 보기입니다. 맬웨어가 포함된 전자 메일 메시지에 대한 정보입니다. |
| 피싱 | ✔ | ✔ | 피싱 위협이 포함된 전자 메일 메시지에 대한 정보입니다. |
| 캠페인 | ✔ | 계획 2를 Office 365용 Defender 조정된 피싱 또는 맬웨어 캠페인의 일부로 식별된 악성 메일에 대한 정보입니다. | |
| 콘텐츠 맬웨어 | ✔ | ✔ | 다음 기능에 의해 검색된 악성 파일에 대한 정보: |
| URL 클릭 | ✔ | 사용자가 전자 메일 메시지, Teams 메시지, SharePoint 파일 및 OneDrive 파일의 URL을 클릭하는 방법에 대한 정보입니다. |
보기에서 날짜/시간 필터 및 사용 가능한 필터 속성을 사용하여 결과를 구체화합니다.
팁
필터를 만들거나 업데이트한 후 새로 고침 을 선택해야 합니다. 필터는 차트의 정보 및 보기의 세부 정보 영역에 영향을 줍니다.
위협 Explorer 또는 실시간 검색의 포커스를 레이어로 구체화하여 단계를 더 쉽게 추적할 수 있습니다.
예를 들어 위협 Explorer 문제를 찾기 위해 맬웨어 보기를 사용하고 받는 사람 필터 포커스를 사용했습니다.
또한 표시 옵션을 테스트해야 합니다. 다른 대상 그룹(예: 관리)은 동일한 데이터의 다른 프레젠테이션에 더 잘 반응하거나 더 나빠질 수 있습니다.
예를 들어 위협 Explorer 모든 전자 메일 보기에서 페이지 아래쪽의 세부 정보 영역에서 Email 원본 및 캠페인 보기(탭)를 사용할 수 있습니다.
일부 대상 그룹의 경우 Email 원본 탭의 세계 지도는 검색된 위협이 얼마나 널리 퍼져 있는지 보여주는 더 나은 작업을 수행할 수 있습니다.
다른 사용자는 캠페인 탭의 표에서 정보를 전달하는 데 더 유용한 세부 정보를 찾을 수 있습니다.
다음 결과에 이 정보를 사용할 수 있습니다.
위협 Explorer 또는 실시간 검색의 모든 전자 메일, 맬웨어 또는 피싱 보기에서 전자 메일 메시지 결과는 차트 아래 세부 정보 영역의 Email 탭(보기)에 있는 표에 표시됩니다.
의심스러운 전자 메일 메시지가 표시되면 표에 있는 항목의 제목 값을 클릭합니다. 열리는 세부 정보 플라이아웃에는 플라이아웃 맨 위에 있는 메일 엔터티 열기가 포함 
됩니다.
Email 엔터티 페이지는 메시지와 해당 내용에 대해 알아야 할 모든 항목을 함께 끌어와 메시지가 위협인지 여부를 확인할 수 있습니다. 자세한 내용은 Email 엔터티 페이지 개요를 참조하세요.
전자 메일 메시지가 위협이라고 판단되면 다음 단계는 위협을 수정하는 것입니다.
작업 수행을 사용하여 
위협 Explorer 또는 실시간 검색의 위협을 수정합니다.
작업 수행은 위협 Explorer 모든 전자 메일, 맬웨어 또는 피싱 보기 또는 차트 아래 세부 정보 영역의 Email 탭(보기)에서 실시간 검색에서 사용할 수 있습니다.
첫 번째 열 옆에 있는 검사 상자를 선택하여 테이블에서 하나 이상의 항목을 선택합니다.
작업 수행 은 탭에서 직접 사용할 수 있습니다.
팁
작업 수행 은 메시지 작업 드롭다운 목록을 대체합니다.
100개 이하의 항목을 선택하는 경우 작업 수행 마법사에서 메시지에 대해 여러 작업을 수행할 수 있습니다.
101~200,000개의 항목을 선택하면 작업 수행 마법사에서 다음 작업만 사용할 수 있습니다.
표에 있는 항목의 제목 값을 클릭합니다. 열리는 세부 정보 플라이아웃에는 플라이아웃 맨 위에 있는 작업 수행이 포함 됩니다.
작업 수행을 선택하면 플라이아웃에서 작업 수행 마법사가 열립니다. Office 365용 Defender 계획 2 및 Office 365용 Defender 계획 1의 작업 수행 마법사에서 사용할 수 있는 작업은 다음 표에 나와 있습니다.
| 작업 | Defender for Office 365 플랜 2 |
Defender for Office 365 플랜 1 |
|---|---|---|
| 이동 또는 삭제 | ✔¹ | |
| 일부 또는 모든 원본 받는 사람에게 격리된 메시지 해제² | ✔ | |
| 검토를 위해 Microsoft에 제출 | ✔ | ✔ |
| 테넌트 허용/차단 목록의 항목 허용 또는 차단 | ✔ | ✔ |
| 자동화된 조사 시작 | ✔ | |
| 수정 제안 | ✔ |
1 이 작업을 수행하려면 Email & 협업 권한의 검색 및 제거 역할 또는 MICROSOFT DEFENDER XDR RBAC(통합 역할 기반 액세스 제어)의 보안 작업/보안 데이터/Email & 협업 고급 작업(관리) 권한이 필요합니다. 기본적으로 검색 및 제거 역할은 데이터 조사 자 및 조직 관리 역할 그룹에만 할당됩니다. 해당 역할 그룹에 사용자를 추가하거나 검색 및 제거 역할이 할당된 새 역할 그룹을 만들고 사용자를 사용자 지정 역할 그룹에 추가할 수 있습니다.
² 이 옵션은 받은 편지함을 이동 위치로 선택할 때 격리된 메시지에 사용할 수 있습니다.
1 이 작업은 검토를 위해 Microsoft에 제출에서 사용할 수 있습니다.
작업 수행 마법사는 다음 목록에 설명되어 있습니다.
응답 작업 선택 페이지에서 다음 옵션을 사용할 수 있습니다.
모든 응답 작업 표시: 이 옵션은 위협 Explorer만 사용할 수 있습니다.
기본적으로 메시지의 최신 배달 위치 값에 따라 일부 작업을 사용할 수 없거나 회색으로 표시됩니다. 사용 가능한 모든 응답 작업을 표시하려면 토글을 켜기로 슬라이드합니다
.
이동 또는 삭제: 표시되는 사용 가능한 값 중 하나를 선택합니다.
정크: 메시지를 정크 Email 폴더로 이동합니다.
받은 편지함: 메시지를 받은 편지함으로 이동합니다. 이 값을 선택하면 다음 옵션도 표시될 수 있습니다.
보낸 편지함 폴더로 다시 이동: 내부 보낸 사람에서 메시지를 보내고 메시지가 일시 삭제된 경우(복구 가능한 항목\삭제 폴더로 이동) 이 옵션을 선택하면 메시지를 보낸 편지함 폴더로 다시 이동하려고 합니다. 이전에 일시삭제된 항목이동 또는 삭제>를 선택하고 메시지에서 보낸 사람의 복사본 삭제를 선택한 경우 이 옵션은 실행 취소 작업입니다.
최신 배달 위치 속성에 대한 격리 값이 있는 메시지의 경우 받은 편지함을 선택하면 격리에서 메시지가 해제되므로 다음 옵션도 사용할 수 있습니다.
삭제된 항목: 메시지를 지운 편지함 폴더로 이동합니다.
일시 삭제된 항목: 메시지를 복구 가능한 항목\삭제 폴더로 이동합니다. 이 폴더는 삭제된 항목 폴더에서 메시지를 삭제하는 것과 같습니다. 이 메시지는 사용자 및 관리자가 복구할 수 있습니다.
보낸 사람의 복사본 삭제: 내부 발신자가 메시지를 보낸 경우 보낸 사람의 보낸 편지함 폴더에서 메시지를 일시 삭제해 보세요.
하드 삭제된 항목: 삭제된 메시지를 제거합니다. 관리자는 단일 항목 복구를 사용하여 하드 삭제된 항목을 복구할 수 있습니다. 영구 삭제 및 일시 삭제된 항목에 대한 자세한 내용은 일시 삭제 및 영구 삭제 항목을 참조하세요.
검토를 위해 Microsoft에 제출: 표시되는 사용 가능한 값 중 하나를 선택합니다.
클린 확인했습니다. 메시지가 클린 확신하는 경우 이 값을 선택합니다. 다음 옵션이 나타납니다.
클린 나타나거나 의심스러운 것처럼 보입니다. 확실하지 않은 경우 Microsoft에서 평결을 원하는 경우 이러한 값 중 하나를 선택합니다.
위협임을 확인했습니다. 항목이 악의적이라고 확신하는 경우 이 값을 선택한 다음 표시되는 범주 선택 섹션에서 다음 값 중 하나를 선택합니다.
이러한 값 중 하나를 선택하면 플라이아웃 을 차단할 엔터티 선택 이 열리고, 여기서 메시지(보낸 사람 주소, 보낸 사람 도메인, URL 또는 파일 첨부 파일)와 연결된 하나 이상의 엔터티를 선택하여 테넌트 허용/차단 목록에 블록 항목으로 추가할 수 있습니다.
차단할 항목을 선택한 후 추가를 선택하여 규칙을 차단 하여 플라이아웃을 차단할 엔터티 선택을 닫습니다. 또는 항목 없음을 선택한 다음 취소를 선택합니다.
응답 작업 선택 페이지에서 블록 항목에 대한 만료 옵션을 선택합니다.
만료 날짜: 블록 항목이 만료되는 날짜를 선택합니다.
만료되지 않음차단된 엔터티의 수가 표시됩니다(예: 차단할 4/4 엔터티).
편집을 선택하여 
추가를 다시 열어 규칙을 차단하고 변경합니다.
자동화된 조사 시작: 위협 Explorer 전용입니다. 표시되는 다음 값 중 하나를 선택합니다.
수정 제안: 표시되는 다음 값 중 하나를 선택합니다.
새로 만들기: 이 값은 알림 센터의 관리자가 승인해야 하는 일시 삭제 이메일 보류 중인 작업을 트리거합니다. 그렇지 않으면 이 결과를 2단계 승인이라고 합니다.
기존 항목에 추가: 이 값을 사용하여 기존 수정에서 이 전자 메일 메시지에 작업을 적용합니다. 다음 수정 내용으로 전자 메일 제출 상자에서 기존 수정을 선택합니다.
팁
충분한 권한이 없는 SecOps 담당자는 이 옵션을 사용하여 수정을 만들 수 있지만 권한이 있는 사용자는 알림 센터에서 작업을 승인해야 합니다.
응답 작업 선택 페이지에서 완료되면 다음을 선택합니다.
대상 엔터티 선택 페이지에서 다음 옵션을 구성합니다.
페이지의 나머지 부분에는 영향을 받는 자산이 나열된 테이블이 있습니다. 테이블은 다음 열로 구성됩니다.
이 단계에서는 일부 작업을 실행 취소할 수도 있습니다. 예를 들어 엔터티를 Microsoft에 제출하지 않고 테넌트 허용/차단 목록에 블록 항목만 만들려는 경우 여기에서 수행할 수 있습니다.
대상 엔터티 선택 페이지에서 완료되면 다음을 선택합니다.
검토 및 제출 페이지에서 이전 선택 항목을 검토합니다.
내보내기를 선택하여 
영향을 받은 자산을 CSV 파일로 내보냅니다. 기본적으로 파일 이름은 다운로드 폴더에 있는 영향을 받는 assets.csv.
뒤로를 선택하여 돌아가서 선택 항목을 변경합니다.
검토 및 제출 페이지에서 완료되면 제출을 선택합니다.
팁
작업이 관련 페이지에 표시되는 데 시간이 걸릴 수 있지만 수정 속도는 영향을 받지 않습니다.
위협 Explorer 또는 실시간 검색은 보안 운영 팀이 위협을 효율적으로 조사하고 대응하는 데 도움이 됩니다. 다음 하위 섹션에서는 위협 Explorer 및 실시간 검색을 통해 위협을 찾는 데 어떻게 도움이 되는지 설명합니다.
경고 페이지는 인시던트 & 경고>경고의 Defender 포털 또는 에서 https://security.microsoft.com/alerts직접 사용할 수 있습니다.
검색 원본 값이 MDO 많은 경고에는 
경고 세부 정보 플라이아웃 맨 위에서 사용할 수 있는 Explorer 작업의 메시지 보기가 있습니다.
경고 세부 정보 플라이아웃은 첫 번째 열 옆에 있는 검사 상자가 아닌 경고의 아무 곳이나 클릭하면 열립니다. 예시:
Explorer 메시지 보기를 선택하면 경고에 대해 속성 필터 경고 ID가 선택된 모든 전자 메일 보기에서 위협 Explorer 열립니다. 경고 ID 값은 경고에 대한 고유한 GUID 값입니다(예: 89e00cdc-4312-7774-6000-08dc33a24419).
경고 ID는 위협 Explorer 및 실시간 검색의 다음 보기에서 필터링 가능한 속성입니다.
이러한 보기에서 경고 ID 는 다음 탭(보기)의 차트 아래 세부 정보 영역에서 선택 가능한 열로 사용할 수 있습니다.
항목 중 하나에서 제목 값을 클릭할 때 열리는 이메일 세부 정보 플라이아웃에서경고 ID 링크는 플라이아웃의 Email 세부 정보 섹션에서 사용할 수 있습니다. 경고 ID 링크를 선택하면 경고가 선택된 상태에서 경고 https://security.microsoft.com/viewalertsv2 보기 페이지가 열리고 경고에 대한 세부 정보 플라이아웃이 열립니다.
Office 365용 Defender 계획 2에서 사용자 태그를 사용하여 높은 값의 대상 계정(예: 우선 순위 계정 태그)을 표시하는 경우 해당 태그를 필터로 사용할 수 있습니다. 이 메서드는 특정 기간 동안 높은 값의 대상 계정을 대상으로 한 피싱 시도를 보여 줍니다. 사용자 태그에 대한 자세한 내용은 사용자 태그를 참조하세요.
사용자 태그는 위협 Explorer 다음 위치에서 사용할 수 있습니다.
전자 메일 메시지에 대한 배달 전 및 배달 후 작업은 메시지에 영향을 주는 다양한 배달 후 이벤트에 관계없이 단일 레코드로 통합됩니다. 예시:
모든 전자 메일, 맬웨어 또는 피싱 보기의 Email 탭(보기)에서 전자 메일 세부 정보 플라이아웃은 연결된 위협과 전자 메일 메시지와 연결된 해당 검색 기술을 보여 줍니다. 메시지에는 0개, 1개 또는 여러 개의 위협이 있을 수 있습니다.
배달 세부 정보 섹션에서 검색 기술 속성은 위협을 식별한 검색 기술을 보여줍니다. 검색 기술은 위협 Explorer 및 실시간 검색의 여러 보기에 대한 세부 정보 테이블의 차트 피벗 또는 열로도 사용할 수 있습니다.
URL 섹션에는 메시지의 모든 URL에 대한 특정 위협 정보가 표시됩니다. 예를 들어 맬웨어, 피싱, **스팸 또는 없음입니다.
팁
평결 분석은 반드시 엔터티에 연결되지 않을 수 있습니다. 필터는 평결을 할당하기 전에 전자 메일 메시지의 콘텐츠 및 기타 세부 정보를 평가합니다. 예를 들어 전자 메일 메시지는 피싱 또는 스팸으로 분류될 수 있지만 메시지의 URL에는 피싱 또는 스팸 평결이 찍겨지지 않습니다.
플라이아웃 맨 위에서 전자 메일 엔터티 열기를 선택하여 전자 메일 메시지에 대한 전체 세부 정보를 확인합니다. 자세한 내용은 Office 365용 Microsoft Defender Email 엔터티 페이지를 참조하세요.
다음 하위 섹션에서는 위협 Explorer 전용인 필터에 대해 설명합니다.
Exchange 메일 흐름 규칙(전송 규칙이라고도 함)의 영향을 받은 메시지를 찾으려면 위협 Explorer 모든 전자 메일, 맬웨어 및 피싱 보기에서 다음 옵션을 사용할 수 있습니다(실시간 검색이 아님).
자세한 내용은 다음 링크를 참조하세요.
위협 Explorer모든 전자 메일, 맬웨어 및 피싱 보기의 세부 정보 영역에 대한 Email 탭(보기)에는 기본적으로 선택되지 않은 사용 가능한 열로 Exchange 전송 규칙도 있습니다. 이 열에는 전송 규칙의 이름이 표시됩니다. 자세한 내용은 다음 링크를 참조하세요.
팁
위협 Explorer 이름으로 메일 흐름 규칙을 검색하는 데 필요한 권한은 위협 Explorer 및 실시간 검색에 대한 권한 및 라이선스를 참조하세요. 이메일 세부 정보 플라이아웃, 세부 정보 테이블 및 내보낸 결과에서 규칙 이름을 보려면 특별한 권한이 필요하지 않습니다.
인바운드 커넥터는 Microsoft 365의 전자 메일 원본에 대한 특정 설정을 지정합니다. 자세한 내용은 Exchange Online에서 커넥터를 사용하여 메일 흐름 구성을 참조하세요.
인바운드 커넥터의 영향을 받은 메시지를 찾으려면 커넥터 필터링 가능 속성을 사용하여 위협 Explorer 모든 전자 메일, 맬웨어 및 피싱 보기에서 이름으로 커넥터를 검색할 수 있습니다(실시간 검색이 아님). 커넥터 이름에 부분 텍스트 값을 입력합니다. 자세한 내용은 다음 링크를 참조하세요.
위협 Explorer모든 전자 메일, 맬웨어 및 피시 보기의 세부 정보 영역에 대한 Email 탭(보기)에는 커넥터가 기본적으로 선택되지 않은 사용 가능한 열로 포함됩니다. 이 열에는 커넥터의 이름이 표시됩니다. 자세한 내용은 다음 링크를 참조하세요.
특정 시나리오는 다음 문서를 참조하세요.
이 문서에 설명된 시나리오 외에도 Explorer 또는 실시간 검색에 더 많은 옵션이 있습니다. 자세한 내용은 다음 문서를 참조하세요.
학습
모듈
Explore security solutions in Microsoft Defender XDR - Training
This module introduces you to several features in Microsoft 365 that can help protect your organization against cyberthreats, detect when a user or computer has been compromised, and monitor your organization for suspicious activities. MS-102
인증
Microsoft Certified: Security Operations Analyst Associate - Certifications
Microsoft Sentinel, 클라우드용 Microsoft Defender 및 Microsoft 365 Defender를 사용하여 위협을 조사, 검색 및 완화하세요.
설명서
Office 365용 Microsoft Defender 위협 Explorer 및 실시간 검색 정보 - Microsoft Defender for Office 365
위협을 조사하고 대응하기 위해 위협 Explorer(Explorer) 또는 실시간 검색에서 사용 가능한 보기, 필터 및 작업에 대해 알아봅니다.
Office 365용 Defender Email 엔터티 페이지 - Microsoft Defender for Office 365
관리자는 Office 365용 Microsoft Defender Email 엔터티 페이지에 대해 알아볼 수 있습니다. 이 페이지에는 전자 메일 메시지에 대한 많은 세부 정보가 표시됩니다. 예를 들어 전자 메일 헤더, 위협 검색 세부 정보, 최신 및 원래 배달 위치, 배달 작업 및 ID(예: 네트워크 메시지 ID 및 연결된 경고 ID)가 있습니다.
Microsoft 365에서 배달된 악성 전자 메일 조사, 악성 전자 메일 찾기 및 조사 - Microsoft Defender for Office 365
위협 조사 및 대응 기능을 사용하여 악성 메일을 찾고 조사하는 방법을 알아봅니다.