Microsoft Defender XDR 자동 공격 중단 구성

Microsoft Defender XDR 정교하고 영향력이 큰 공격으로부터 환경을 보호할 수 있는 강력한 자동화된 공격 중단 기능을 포함합니다.

Microsoft Defender XDR 자동 공격 중단 기능을 구성합니다. 시작하기 전에 라이선스, 권한, 제품별 설정 요구사항에 대한 전제 조건 을 검토하세요. 설정이 완료되면 인시던트 및 작업 센터에서 격리 조치를 확인하고 관리할 수 있습니다. 또한 필요한 경우 자동 공격 중단 설정을 변경할 수 있습니다.

엔드포인트용 Microsoft Defender가 배포되면, 자동 공격 중단은 관리되지 않은 장치와 사용자를 포함시키거나 침해된 워크스테이션을 네트워크에서 자동으로 격리할 수 있습니다. 자동 기기 격리는 현재 미리보기에 있습니다. 각 응답 행동에 대한 자세한 내용은 자동 응답 행동을 참조하세요.

필수 구성 요소

다음은 Microsoft Defender 자동 공격 중단을 구성하기 위한 필수 구성 요소입니다.

요구 사항 세부 정보
구독 요구 사항 다음 구독 중 하나:
  • Microsoft 365 E5 또는 A5
  • Microsoft Defender 제품군 추가 기능이 포함된 Microsoft 365 E3
  • Enterprise Mobility + Security E5 추가 기능이 포함된 Microsoft 365 E3
  • Microsoft 365 A5 Security 추가 기능이 포함된 Microsoft 365 A3
  • Windows 10 Enterprise E5 또는 A5
  • Windows 11 Enterprise E5 또는 A5
  • Enterprise Mobility + Security(EMS) E5 또는 A5
  • Office 365 E5 또는 A5
  • 엔드포인트용 Microsoft Defender(플랜 2)
  • Microsoft Defender for Identity
  • Microsoft Defender for Cloud Apps (클라우드 앱용 디펜더)
  • Office 365용 Defender(플랜 2)
  • 비즈니스용 Microsoft Defender

Microsoft Defender XDR 라이선스 요구 사항을 참조하세요.
배포 요구 사항
  • Defender 제품 배포(예: Defender for Endpoint, Office 365용 Defender, Defender for Identity 및 Defender for Cloud Apps)
    • 배포가 클수록 보호 범위가 커집니다. 예를 들어 특정 검색에서 Microsoft Defender for Cloud Apps 신호를 사용하는 경우 관련 특정 공격 시나리오를 검색하려면 이 제품이 필요합니다.
    • 마찬가지로 각 Defender 제품을 배포하여 자동화된 응답 작업을 실행해야 합니다. 예를 들어, 엔드포인트용 Microsoft Defender는 관리되지 않은 장치를 포함하거나 온보딩된 워크스테이션을 격리해야 합니다.
  • 엔드포인트용 Microsoft Defender 장치 발견은 자동 Contain 장치 작업을 위해 표준 발견으로 설정되어 있습니다.
  • Okta 또는 AWS(미리 보기)와 같은 외부 플랫폼에서 공격 중단 작업을 수행하려면 관련 공급자 커넥터가 배포되어 있는 통합 보안 운영 포털에 연결된 Microsoft Sentinel 분석용 작업 영역이 필요합니다.
권한 자동 공격 중단 기능을 구성하려면 Microsoft Entra ID() 또는 Microsoft 365 관리 센터(https://portal.azure.comhttps://admin.microsoft.com)에 할당된 다음 역할 중 하나가 있어야 합니다.
  • 전역 관리자
  • 보안 관리자
  • 사용자 관리자
  • 인증 관리자
  • 권한 있는 인증 관리자
  • 디렉터리 작성자
  • 지원 센터 관리자
  • 보안 운영자
보류 중인 작업을 검토, 승인 또는 거부하는 등 자동화된 조사 및 대응 기능을 사용하려면 알림 센터 작업에 필요한 권한을 참조하세요.

엔드포인트용 Microsoft Defender 필수 구성 요소

자동 공격 중단을 지원하려면 엔드포인트용 Microsoft Defender 디바이스 그룹에 대한 최소 Sense 클라이언트 버전 및 적절한 자동화 설정이 필요합니다.

자동 장치 격리 전제 조건 및 안전장치 (미리보기)

자동 디바이스 격리는 엔드포인트용 Microsoft Defender 온보딩 및 관리되는 최종 사용자 워크스테이션에서만 작동합니다. 격리는 대부분의 네트워크 트래픽을 차단하면서도 필수적인 Defender for Endpoint 보안 서비스와의 연결은 유지합니다. 이 조치는 사고에 관련된 장치에 적용되며, 정해진 시간 창이 지나면 자동으로 되돌려집니다. 보안 요원은 장치를 더 일찍 해제할 수 있습니다.

격리된 장치가 특정 프로세스나 목적지에 접근해야 할 경우, 선택적 격리 제외를 설정하세요. 자동 공격 방해가 특정 장치를 격리시키는 것을 방지하기 위해 자동 공격 차단 제외 설정을 설정하세요.

최소 센스 클라이언트 버전(MDE 클라이언트)

Sense Agent는 각 장치에서 실행되는 엔드포인트용 Microsoft Defender의 센서 구성 요소입니다. Contain User 동작이 작동하기 위해 필요한 최소 Sense Agent 버전은 v10.8470입니다. 다음 PowerShell 명령을 실행하면 장치의 Sense 에이전트 버전을 식별할 수 있습니다.

엔드포인트용 Microsoft Defender가 설치되었는지 확인하고 설치 경로를 확인하려면 레지스트리를 조회하세요:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\' -Name "InstallLocation"

또는 레지스트리에서 MsSense DLL 버전을 읽어 설치된 센서 버전을 확인하려면 다음 명령을 실행하세요:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status' -Name "MsSenseDllVersion"

조직의 디바이스에 대한 자동화 설정

디바이스 그룹 정책에 대한 자동화 설정을 검토하여 자동화된 조사가 실행되는지 여부와 수정 작업이 자동으로 수행되는지 아니면 승인 후에만 수행되는지 확인합니다. 다음 절차를 수행하려면 전역 관리자 또는 보안 관리자여야 합니다.

  1. Microsoft Defender 포털로 이동하여 로그인합니다.

  2. 권한 아래의 >>>장치 그룹으로 이동합니다.

  3. 디바이스 그룹 정책을 검토하고 수정 수준 열을 확인합니다. 전체 - 자동으로 위협 수정 이 권장되는 설정입니다.

디바이스 그룹을 만들거나 편집하여 각 그룹에 대한 적절한 수정 수준을 설정할 수도 있습니다. 세미 자동화 수준을 선택하면 수동 승인 없이 자동 공격 중단을 트리거할 수 있습니다. 자동화된 포함에서 디바이스 그룹을 제외하려면 자동화 수준을 자동화된 응답 없이 설정할 수 있습니다. 이 설정은 권장되지 않으며 제한된 수의 디바이스에 대해서만 수행해야 합니다.

참고

공격 중단은 디바이스의 Microsoft Defender 바이러스 백신 운영 상태와 관계없이 디바이스에서 작동할 수 있습니다. Microsoft Defender 바이러스 백신 운영 상태는 활성, 수동 또는 EDR 블록 모드일 수 있습니다.

Microsoft Defender for Identity 필수 구성 요소

자동 공격 중단을 지원하려면 Microsoft Defender for Identity 도메인 컨트롤러 감사 및 올바르게 구성된 작업 계정이 필요합니다.

도메인 컨트롤러에서 감사 설정

도메인 컨트롤러에 대한 감사를 설정하려면 Windows 이벤트 로그에 대한 감사 정책 구성을 참조하세요. ID 센서에 대한 Defender 배포된 도메인 컨트롤러에서 필요한 감사 이벤트가 구성되었는지 확인합니다.

작업 계정 유효성 검사

Defender for Identity를 사용하면 ID가 손상되었을 때 온-프레미스 Active Directory 계정을 대상으로 수정 조치를 수행할 수 있습니다. 이러한 작업을 수행하려면 Defender for Identity에 필요한 권한이 있어야 합니다. 기본적으로 Defender for Identity 센서는 도메인 컨트롤러의 LocalSystem 계정을 가장하고 작업을 수행합니다. 이 기본 LocalSystem 계정 가장 설정은 변경할 수 있으므로, Defender for Identity에 필요한 권한이 있는지 또는 기본 LocalSystem 계정을 사용하고 있는지 확인합니다.

작업 계정에 대한 자세한 내용은 Microsoft Defender for Identity 작업 계정 구성에서 확인할 수 있습니다.

Defender for Identity 센서는 Active Directory 계정을 해제할 도메인 컨트롤러에 배포해야 합니다.

참고

사용자를 활성화하거나 차단하는 자동화가 있는 경우 자동화가 중단을 방해할 수 있는지 검사. 예를 들어 모든 활성 직원이 계정을 사용하도록 설정했는지 정기적으로 확인하고 적용하는 자동화가 있는 경우 공격이 감지되는 동안 공격 중단으로 인해 비활성화된 계정을 의도치 않게 활성화할 수 있습니다.

Microsoft Defender for Cloud Apps 필수 구성 요소

자동 공격 중단을 지원하려면 Microsoft Defender for Cloud Apps 올바르게 구성된 Microsoft Office 365 커넥터 필요합니다.

Microsoft Office 365 커넥터

Microsoft Defender for Cloud Apps 커넥터를 통해 Microsoft Office 365 연결해야 합니다. Defender for Cloud Apps를 연결하려면 Microsoft 365를 Microsoft Defender for Cloud Apps에 연결을 참조하세요.

중요합니다

기능의 전체 기능을 보장하려면 Microsoft 365 커넥터를 올바르게 구성해야 합니다. Defender for Cloud Apps에서 Microsoft 365 커넥터를 구성할 때, Microsoft Entra ID 앱 활성화 옵션을 포함한 모든 체크박스를 선택해야 합니다. 필요한 옵션을 모두 선택하지 못하면 다음이 발생할 수 있습니다.

  • 부분적이거나 저하된 기능
  • 중요한 작업(예: 앱 거버넌스 또는 중단 흐름)을 수행할 수 없음
  • 작업 실패 가능성이 높아집니다.

Office 365 필수 구성 요소에 대한 Microsoft Defender

자동 공격 중단을 지원하려면 Office 365용 Microsoft Defender Exchange Online 호스팅되는 사서함 및 특정 사서함 감사 로깅 이벤트가 필요합니다.

사서함 위치

사서함은 Exchange Online 호스트해야 합니다.

사서함 감사 로그

최소한 MailItemsAccessed, UpdateInboxRules, MoveToDeletedItems, SoftDelete 및 HardDelete와 같은 사서함 이벤트를 감사합니다.

사서함 감사 관리를 검토하여 사서함 감사 관리에 대해 알아봅니다.

외부 플랫폼에 대한 Microsoft Sentinel 필수 구성 요소(미리 보기)

Microsoft Sentinel 분석 작업 영역을 통합 보안 운영 포털에 연결하여 Okta 및 AWS에 대한 공격 중단 작업을 사용하도록 설정해야 합니다.

다음 단계

  • 에 마지막으로 업데이트됨