Microsoft Defender for IoT 경고

Microsoft Defender for IoT 경고는 네트워크에 기록된 이벤트와 관련된 실시간 세부 정보로 네트워크 보안 및 운영을 강화합니다. OT 네트워크 센서가 네트워크 트래픽에서 주의를 기울여야 하는 변경 내용 또는 의심스러운 활동을 탐지하면 경고가 트리거됩니다.

예시:

경고 페이지 또는 경고 세부 정보 페이지에 표시된 세부 정보를 사용하여 관련 디바이스 또는 경고를 실행한 네트워크 프로세스로 인한 네트워크 위험을 조사하고 수정하는 조치를 취합니다.

경고 관리 옵션

Defender for IoT 경고는 Azure Portal, OT 네트워크 센서 콘솔 및 온-프레미스 관리 콘솔에서 사용할 수 있습니다. Enterprise IoT 보안을 사용하면 Microsoft 365 Defender의 엔드포인트용 Defender에서 검색된 Enterprise IoT 디바이스에 대한 경고도 사용할 수 있습니다.

경고 세부 정보를 보고, 경고 컨텍스트를 조사하고, 이러한 위치 중 하나에서 경고 상태를 심사 및 관리할 수 있지만 각 위치에서는 추가 경고 작업도 제공합니다. 다음 표에서는 각 위치에 대해 지원되는 경고와 해당 위치에서만 사용할 수 있는 추가 작업에 대해 설명합니다.

자세한 내용은 다음을 참조하세요.

• 경고 데이터 보존
• OT 경고 워크플로 가속화
• 경고 상태 및 분류 옵션
• OT 사이트 및 영역 계획

경고 옵션도 위치와 사용자 역할에 따라 다릅니다. 자세한 내용은 Azure 사용자 역할 및 권한과 온-프레미스 사용자 및 역할을 참조하세요.

OT/IT 환경의 포커스된 알림

OT 네트워크와 IT 네트워크 사이에 센서를 배포한 조직은 OT 및 IT 트래픽과 관련된 많은 알림을 처리합니다. 관련 없는 알림이 너무 많으면 알림 피로를 유발하고 전반적인 성능에 영향을 줄 수 있습니다. 이러한 문제를 해결하기 위해 Defender for IoT의 탐지 정책은 다양한 알림 엔진을 조정하여 비즈니스에 미치는 영향과 OT 네트워크와의 관련성이 있는 알림에 집중하고 가치가 낮은 IT 관련 알림을 줄입니다. 예를 들어, 권한 없는 인터넷 연결 알림은 OT 네트워크에서는 관련성이 높지만 IT 네트워크에서는 상대적으로 가치가 낮습니다.

이러한 환경에서 트리거되는 알림에 집중하기 위해 멀웨어 엔진을 제외한 모든 알림 엔진은 관련 OT 서브넷 또는 프로토콜을 감지하는 경우에만 알림을 트리거합니다. 그러나 중요한 시나리오를 나타내는 경고 트리거를 유지하려면 다음을 수행합니다.

• 맬웨어 엔진은 경고가 OT 또는 IT 디바이스와 관련이 있는지 여부에 관계없이 맬웨어 알림을 트리거합니다.
• 다른 엔진에는 중요한 시나리오에 대한 예외가 포함됩니다. 예를 들어 운영 엔진은 경고가 OT 또는 IT 트래픽과 관련이 있는지 여부에 관계없이 센서 트래픽과 관련된 알림을 트리거합니다.

하이브리드 환경에서 OT 경고 관리

하이브리드 환경에서 작업하는 사용자는 Azure Portal, OT 센서 및 온-프레미스 관리 콘솔의 Defender for IoT에서 OT 경고를 관리할 수 있습니다.

그렇지 않으면 경고 상태는 Azure Portal과 OT 센서, 센서와 온-프레미스 관리 콘솔 간에 완전히 동기화됩니다. 즉, Defender for IoT에서 경고를 관리하는 위치에 관계없이 다른 위치에서도 경고가 업데이트됩니다.

센서 또는 온-프레미스 관리 콘솔에서 경고 상태를 종료됨 또는 음소거로 설정하면 Azure Portal에서 경고 상태가 종료됨으로 업데이트됩니다. 온-프레미스 관리 콘솔에서는 종료됨 경고 상태를 승인됨이라고 합니다.

Enterprise IoT 경고 및 엔드포인트용 Microsoft Defender

Microsoft 365 Defender에서 Enterprise IoT 보안을 사용하는 경우 엔드포인트용 Microsoft Defender에서 검색한 Enterprise IoT 디바이스에 대한 경고는 Microsoft 365 Defender에서만 사용할 수 있습니다. 엔드포인트용 Microsoft Defender의 많은 네트워크 기반 검색은 관리 엔드포인트와 관련된 검사에 의해 트리거되는 경고와 같은 엔터프라이즈 IoT 디바이스와 관련됩니다.

자세한 내용은 엔터프라이즈의 IoT 디바이스 보안 및 Microsoft 365 Defender의 경고 큐를 참조하세요.

OT 경고 워크플로 가속화

최초 검색 후 90일 동안 동일한 트래픽이 검색되지 않으면 새 경고가 자동으로 닫힙니다. 처음 90일 이내에 동일한 트래픽이 검색되면 90일 카운트가 다시 설정됩니다.

기본 동작 외에도 SOC 및 OT 관리 팀이 경고를 더 빠르게 심사하고 수정하도록 도울 수 있습니다. 다음 옵션을 사용하려면 OT 센서 또는 온-프레미스 관리 콘솔에 관리자 사용자로 로그인합니다.

• 사용자 지정 경고 규칙을 만듭니다. OT 센서만 해당됩니다.

  사용자 지정 경고 규칙을 추가하여 기본 기능이 적용되지 않는 네트워크의 특정 활동에 대한 경고를 트리거합니다.

  예를 들어 특정 IP 주소 및 이더넷 대상에서 메모리 레지스터에 기록된 명령을 검색하기 위해 MODBUS를 실행하는 환경에 대한 규칙을 추가할 수 있습니다.

  자세한 내용은 OT 센서에서 사용자 지정 경고 규칙 만들기를 참조하세요.

• 경고 주석 만들기. OT 센서만 해당됩니다.

  사용자 지정 완화 단계, 다른 팀 멤버와의 통신, 이벤트에 대한 기타 인사이트이나 경고와 같은 세부 정보를 포함하여 다른 OT 센서 사용자가 개별 경고에 추가할 수 있는 경고 설명 집합을 만듭니다.

  팀 멤버는 경고 상태를 심사하고 관리할 때 이러한 사용자 지정 설명을 재사용할 수 있습니다. 경고 설명은 경고 세부 정보 페이지의 설명 영역에 표시됩니다. 예시:

  

  자세한 내용은 OT 센서에 대한 경고 설명 만들기를 참조하세요.

• 경고 제외 규칙 만들기: 온-프레미스 관리 콘솔에만 해당됩니다.

  온-프레미스 관리 콘솔을 사용하는 경우 특정 기준을 충족하는 여러 센서에서 이벤트를 무시하도록 경고 제외 규칙을 정의합니다. 예를 들어, 특정 유지 관리 기간 동안 관련 없는 경고를 트리거하는 모든 이벤트를 무시하는 경고 제외 규칙을 만들 수 있습니다.

  제외 규칙에 의해 무시되는 경고는 Azure Portal, 센서 또는 온-프레미스 관리 콘솔이나 이벤트 로그에 표시되지 않습니다.

  자세한 내용은 온-프레미스 관리 콘솔에서 경고 제외 규칙 만들기를 참조하세요.

• 경고 데이터를 파트너 시스템으로 전달하여 파트너 SIEM, syslog 서버, 지정된 이메일 주소 등으로 전달합니다.

  OT 센서와 온-프레미스 관리 콘솔 모두에서 지원됩니다. 자세한 내용은 전달 경고 정보를 참조하세요.

경고 상태 및 분류 옵션

다음 경고 상태 및 분류 옵션을 사용하여 Defender for IoT 전체에서 경고를 관리합니다.

경고를 분류할 때 일부 경고는 권한이 있는 디바이스가 다른 디바이스의 새 리소스에 액세스하려고 시도하는 등 유효한 네트워크 변경 내용을 반영할 수 있다는 점을 고려합니다.

OT 센서 및 온-프레미스 관리 콘솔의 분류 옵션은 OT 경고에만 사용할 수 있지만 Azure Portal에서 사용할 수 있는 옵션은 OT 및 Enterprise IoT 경고 모두에 사용할 수 있습니다.

다음 표를 사용하여 각 경고 상태 및 심사 옵션에 대해 자세히 알아봅니다.

학습 모드 중 OT 경고 심사

학습 모드는 OT 센서가 배포된 후 초기 기간을 의미하며, OT 센서가 네트워크의 디바이스 및 프로토콜을 포함한 네트워크의 기본 작업과 특정 디바이스 간에 발생하는 정기적인 파일 전송을 학습합니다.

학습 모드를 사용하여 네트워크의 경고에 대한 초기 심사를 수행하고 권한이 있는 예상 작업으로 표시하려는 경고를 학습합니다. 학습된 트래픽은 다음에 동일한 트래픽이 검색될 때 새 경고를 생성하지 않습니다.

자세한 내용은 OT 경고의 학습된 기준 만들기를 참조하세요.

다음 단계

문제 수정 작업과 플레이북 통합을 이해하고 계획하는 데 도움이 되는 경고 형식과 메시지를 검토합니다. 자세한 내용은 OT 모니터링 경고 유형 및 설명을 참조하세요.