Microsoft Defender의 통합 보안 운영 센터(ISOC)와 함께 저장소를 사용하여 CI/CD를 사용하여 맞춤형 보안 콘텐츠를 ISOC 작업 공간에 관리하고 배포하세요.
Microsoft Defender 포털이나 외부 GitHub 또는 Azure DevOps 저장소에서 콘텐츠를 관리할 수 있습니다. 외부 저장소에서 콘텐츠를 관리하면 Microsoft Defender 외부에서 콘텐츠를 업데이트하고 그 업데이트를 자동으로 ISOC 작업 공간에 배포할 수 있습니다.
ISOC 작업 공간의 CI/CD 경험과 지원되는 콘텐츠 유형은 기존 Microsoft Sentinel 저장소 경험과 동일합니다.
메모
이 기능은 프리뷰 상태입니다. 기능 및 가용성은 미리보기 기간 동안 변경될 수 있습니다.
사전 요구 사항
시작하기 전에 다음 요구 사항이 충족되는지 확인합니다.
- 고객의 테넌트는 ISOC를 사용할 수 있습니다.
- 리소스 그룹에 ISOC 작업 공간 이 있고, 여기서 소유자 역할을 가지고 있습니다.
- 초기 CI/CD 설정에는 Microsoft Entra ID에서 글로벌 관리자 역할이 있습니다.
- 작업 공간에 배포하려는 커스텀 콘텐츠 파일은 지원되는 형식으로 되어 있습니다. 지원되는 형식은 리포지토리 콘텐츠 계획을 참조하세요.
- 연결을 만드는 데 사용하는 계정은 홈 테넌트에 있습니다. B2B 게스트 계정이나 위임된 접근 권한과 같은 외부 신원은 지원되지 않습니다.
- (사용자 지정 탐지 규칙만 적용) Microsoft 365 E5 라이선스 또는 Microsoft Defender XDR을 포함하는 동등한 라이선스를 가지고 계십니다. 자세한 내용은 사용자 지정 검색 규칙 배포를 코드로 참조하세요.
GitHub 전제 조건
GitHub에 연결하기 전에 다음을 확인하세요:
- 귀하의 GitHub 저장소에 대한 Collaborator 액세스 권한이 있습니다.
- GitHub Actions가 활성화되어 있습니다.
Azure DevOps 필수 구성 요소
Azure DevOps에 연결하기 전에 다음 사항을 확인하세요:
- Project 관리자는 Azure DevOps 저장소에 접근할 수 있습니다.
- Azure DevOps 애플리케이션 연결 정책에 대해 OAuth를 통한 서드파티 애플리케이션 접근이 활성화되어 있습니다.
- Azure DevOps 연결은 ISOC 작업 공간과 같은 테넌트에 있습니다.
배포 가능한 콘텐츠 유형에 대한 자세한 내용은 '저장소 콘텐츠 계획'을 참조하세요.
리포지토리 연결
이 절차를 사용해 GitHub 또는 Azure DevOps 저장소를 ISOC 작업 공간에 연결하세요.
각 연결은 분석 규칙, 자동화 규칙, 맞춤 감지 규칙, 헌팅 쿼리, 파서, 플레이북, 워크북 등 다양한 유형의 커스텀 콘텐츠를 지원할 수 있습니다. 자세한 내용은 Microsoft Sentinel 콘텐츠 및 솔루션 정보를 참조하세요.
동일한 저장소에서 중복 연결을 생성하고 단일 ISOC 작업 공간에서 분기할 수는 없습니다.
Microsoft Defender 포털에 로그인합니다.
연결에 사용할 자격 증명으로 소스 컨트롤 애플리케이션에 로그인했는지 확인하세요.
Defender 포털에서 Microsoft Sentinel>콘텐츠 관리>리포지토리를 선택하세요.
새로 추가를 선택합니다.
'새 배포 연결 만들기' 페이지에서 연결 이름을 입력하세요.
연결에 대한 설명을 입력하세요.
소스 컨트롤에서 연결하고자 하는 저장소 유형을 선택하세요.
권한 부여를 선택합니다.
소스 관리 제공업체를 위한 절차를 완료하세요:
메시지가 표시되면 GitHub 자격 증명을 입력합니다.
처음으로 연결을 추가하면 Microsoft Sentinel 연결에 권한을 부여하라는 메시지가 표시됩니다. 이미 같은 브라우저에서 GitHub 계정에 로그인되어 있다면, GitHub 자격 증명이 자동으로 입력됩니다.
저장소에서 연결하고 싶은 저장소를 선택하세요.
리포지토리 추가를 선택합니다.
처음으로 저장소에 연결할 때 새로운 브라우저 창이나 탭이 열리며 Azure-Sentinel 앱 설치를 안내합니다.
GitHub에서 Azure-Sentinel 앱을 설치하고 싶은 저장소를 선택하세요.
Azure-Sentinel 앱을 설치하세요.
새 배포 연결 생성 페이지로 돌아가세요.
Branch에서 ISOC 작업 공간에 연결하고 싶은 브랜치를 선택하세요.
콘텐츠 유형에서 배포하고 싶은 콘텐츠를 선택하세요.
파서와 헌팅 쿼리 모두 저장된 검색 API를 사용하여 콘텐츠를 배포합니다. 이 콘텐츠 유형 중 하나를 선택하고 브랜치에 다른 유형이 있으면 두 콘텐츠 유형 모두 배포됩니다.
다른 콘텐츠 유형은 선택한 콘텐츠 유형만 배포됩니다.
Create를 선택합니다.
다음은 그 예입니다.
연결을 만든 후 리포지토리에 새 워크플로 또는 파이프라인이 생성됩니다. 저장소에 저장된 콘텐츠는 ISOC 작업 공간에 배포됩니다.
배포 시간은 배포하는 콘텐츠의 양에 따라 달라질 수 있습니다.
배포 상태 보기
GitHub에서 배포 상태를 확인하려면:
GitHub에서 저장소를 열어보세요.
작업 탭을 선택합니다.
배포 로그와 오류 메시지를 보려면 워크플로우
.yaml파일을 선택하세요.
Azure DevOps 에서 배치 상태를 보기 위해:
Azure DevOps에서 저장소를 열어보세요.
파이프라인 탭을 선택하세요.
배치가 완료된 후:
- 저장소에 저장된 콘텐츠는 Defender 포털의 해당 Microsoft Sentinel 페이지에 나타납니다.
- 저장소 페이지의 연결 세부 정보는 배포 상태, 마지막 배포 시간, 배포 로그 링크를 보여줍니다.
다음은 그 예입니다.
기본적으로 워크플로우는 이전 배포 이후 수정된 콘텐츠만 배포합니다. 배포 트리거를 변경하거나, 스마트 배포를 끄거나, 배포를 특정 루트 폴더로 제한함으로써 이 동작을 맞춤화할 수 있습니다.
자세한 내용은 저장소 배포 맞춤화를 참조하세요.
콘텐츠 편집
저장소 연결을 만든 후에는 Microsoft Defender에서 직접 편집하지 말고 저장소 내에서 연결된 콘텐츠를 편집하세요.
Microsoft Defender에서 배포된 콘텐츠를 편집하면, 업데이트된 콘텐츠를 소스 컨트롤 저장소로 내보내세요. 그렇지 않으면 다음에 저장소에서 콘텐츠가 배포될 때 변경 사항이 덮어써질 수 있습니다.
콘텐츠 삭제
저장소에서 콘텐츠를 삭제한다고 해서 ISOC 작업 공간에서 삭제되는 것은 아닙니다.
저장소를 통해 배포된 콘텐츠를 제거하려면:
저장소에서 콘텐츠를 삭제하세요.
Defender 포털에서 Microsoft Sentinel에서 해당 콘텐츠를 삭제하세요.
소스 이름으로 콘텐츠를 필터링하여 저장소에서 배포된 콘텐츠를 식별하는 데 도움을 줍니다.
리포지토리 연결 제거
저장소 연결을 제거하면 향후 콘텐츠 배포가 중단됩니다. 이전에 배포된 콘텐츠는 ISOC 작업 공간에 남아 있습니다.
Bicep 파일을 사용하려면 저장소 연결이 2024년 11월 1일 이전에 새로워야 합니다. 이전 연결을 제거하고 다시 생성하여 업데이트하세요.
저장소 연결을 제거하려면:
Microsoft Defender 포털에 로그인합니다.
Microsoft Sentinel>콘텐츠 관리>저장소를 선택하세요.
제거하고 싶은 연결을 선택하세요.
을 선택하고을 삭제합니다.
예를 선택하여 삭제를 확인합니다.
연결을 제거한 후에도 이전에 연결을 통해 배포된 콘텐츠는 ISOC 작업 공간에 남아 있습니다. 연결을 끊은 후 저장소에 추가된 콘텐츠는 배포되지 않습니다.
연결을 제거할 때 오류가 발생하면, 소스 관리 저장소를 확인하고 관련된 GitHub 워크플로우나 Azure DevOps 파이프라인이 삭제되었는지 확인하세요.
GitHub 리포지토리에서 Microsoft Sentinel 앱 제거
GitHub 저장소에서 Microsoft Sentinel 앱을 제거하기 전에, Microsoft Defender의 저장소 페이지에서 관련된 모든 연결을 제거하세요.
각 Microsoft Sentinel 앱 설치에는 연결을 추가하거나 제거할 때 사용되는 고유한 ID가 있습니다. ID가 누락되었거나 변경되었다면, 저장소 페이지에서 연결을 제거하고 GitHub 저장소에서 워크플로우를 수동으로 제거하여 향후 콘텐츠 배포를 방지하세요.