엔드포인트용 Microsoft Defender 디바이스 제어 이벤트 및 정보 보기

아티클
04/26/2024

엔드포인트용 Microsoft Defender 디바이스 제어는 특정 디바이스가 사용자의 컴퓨터에 연결되도록 허용하거나 차단하여 잠재적인 데이터 손실, 맬웨어 또는 기타 사이버 위협으로부터 organization 보호하는 데 도움이 됩니다. 고급 헌팅을 사용하거나 디바이스 제어 보고서를 사용하여 디바이스 제어 이벤트에 대한 정보를 볼 수 있습니다.

Microsoft Defender 포털에 액세스하려면 구독에 E5용 Microsoft 365 보고가 포함되어야 합니다.

고급 헌팅 및 디바이스 제어 보고서에 대해 자세히 알아보려면 각 탭을 선택합니다.

고급 헌팅
디바이스 제어 보고서

고급 헌팅

적용 대상:

디바이스 제어 정책이 트리거되면 시스템에서 시작했는지 또는 로그인한 사용자가 시작했는지 여부에 관계없이 고급 헌팅으로 이벤트가 표시됩니다. 이 섹션에는 고급 헌팅에 사용할 수 있는 몇 가지 예제 쿼리가 포함되어 있습니다.

예제 1: 디스크 및 파일 시스템 수준 적용에 의해 트리거되는 이동식 스토리지 정책

RemovableStoragePolicyTriggered 작업이 발생하면 디스크 및 파일 시스템 수준 적용에 대한 이벤트 정보를 사용할 수 있습니다.

팁

현재 고급 헌팅에서는 이벤트에 대해 디바이스당 하루 RemovableStoragePolicyTriggered 300개의 이벤트로 제한됩니다. 디바이스 제어 보고서를 사용하여 추가 데이터를 봅니다.


//RemovableStoragePolicyTriggered: event triggered by Disk and file system level enforcement for both Printer and Removable storage based on your policy
DeviceEvents
| where ActionType == "RemovableStoragePolicyTriggered"
| extend parsed=parse_json(AdditionalFields)
| extend RemovableStorageAccess = tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend MediaBusType = tostring(parsed.BusType)
| extend MediaClassGuid = tostring(parsed.ClassGuid)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaInstanceId = tostring(parsed.DeviceInstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
|project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, RemovableStorageAccess, RemovableStoragePolicyVerdict, MediaBusType, MediaClassGuid, MediaClassName, MediaDeviceId, MediaInstanceId, MediaName, RemovableStoragePolicy, MediaProductId, MediaVendorId, MediaSerialNumber, FolderPath, FileSize
| order by Timestamp desc

예제 2: 이동식 스토리지 파일 이벤트

RemovableStorageFileEvent 작업이 발생하면 증거 파일에 대한 정보를 프린터 보호 및 이동식 스토리지 모두에 사용할 수 있습니다. 다음은 고급 헌팅과 함께 사용할 수 있는 예제 쿼리입니다.


//information of the evidence file
DeviceEvents
| where ActionType contains "RemovableStorageFileEvent"
| extend parsed=parse_json(AdditionalFields)
| extend Policy = tostring(parsed.Policy)
| extend PolicyRuleId = tostring(parsed.PolicyRuleId)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaInstanceId = tostring(parsed.InstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
| extend FileInformationOperation = tostring(parsed.DuplicatedOperation)
| extend FileEvidenceLocation = tostring(parsed.TargetFileLocation)
| project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, Policy, PolicyRuleId, FileInformationOperation, MediaClassName, MediaInstanceId, MediaName, MediaProductId, MediaVendorId, MediaSerialNumber, FileName, FolderPath, FileSize, FileEvidenceLocation, AdditionalFields
| order by Timestamp desc