엔드포인트용 Defender에서 고급 기능 구성

적용 대상:

• 엔드포인트용 Microsoft Defender 플랜 2
• Microsoft Defender XDR

엔드포인트용 Defender를 경험하고 싶으신가요? 무료 평가판을 신청하세요.

사용하는 Microsoft 보안 제품에 따라 엔드포인트용 Defender를 통합할 수 있는 몇 가지 고급 기능을 사용할 수 있습니다.

고급 기능 사용

1. Microsoft Defender 포털로 이동하여 로그인합니다.

2. 탐색 창에서 설정>엔드포인트>고급 기능을 선택합니다.

3. 구성하려는 고급 기능을 선택하고 설정을 켜 기와 끄기 간에 전환 합니다.

4. 기본 설정 저장을 선택합니다.

다음 고급 기능을 사용하여 잠재적으로 악성 파일로부터 더 잘 보호하고 보안 조사 중에 더 나은 인사이트를 얻을 수 있습니다.

범위가 지정된 디바이스 그룹 내에서 상관 관계 제한

이 구성은 로컬 SOC 작업에서 액세스할 수 있는 디바이스 그룹으로만 경고 상관 관계를 제한하려는 시나리오에 사용할 수 있습니다. 이 설정을 켜면 디바이스 간 그룹이 더 이상 단일 인시던트로 간주되지 않는다는 경고로 구성된 인시던트가 발생합니다. 로컬 SOC는 관련된 디바이스 그룹 중 하나에 액세스할 수 있으므로 인시던트에 대한 조치를 취할 수 있습니다. 그러나 전역 SOC는 하나의 인시던트 대신 디바이스 그룹별로 여러 다른 인시던트가 표시됩니다. 이렇게 하면 전체 organization 인시던트 상관 관계의 이점을 능가하지 않는 한 이 설정을 켜지 않는 것이 좋습니다.

블록 모드에서 EDR 사용

블록 모드의 EDR(엔드포인트 검색 및 응답)은 Microsoft Defender 바이러스 백신이 수동 모드에서 실행되는 경우에도 악의적인 아티팩트로부터 보호를 제공합니다. 켤 때 블록 모드의 EDR은 디바이스에서 검색되는 악의적인 아티팩트 또는 동작을 차단합니다. 블록 모드의 EDR은 백그라운드에서 작동하여 위반 후 검색된 악성 아티팩트를 수정합니다.

경고 자동 resolve

이 설정을 켜면 위협이 발견되지 않거나 검색된 위협이 수정된 경고를 자동으로 resolve. 경고를 자동으로 해결하지 않으려면 기능을 수동으로 해제해야 합니다.

파일 허용 또는 차단

차단은 organization 다음 요구 사항을 충족하는 경우에만 사용할 수 있습니다.

• Microsoft Defender 바이러스 백신을 활성 맬웨어 방지 솔루션으로 사용하고,
• 클라우드 기반 보호 기능이 사용하도록 설정됨

이 기능을 사용하면 네트워크에서 잠재적으로 악성 파일을 차단할 수 있습니다. 파일을 차단하면 organization 디바이스에서 파일을 읽거나 쓰거나 실행할 수 없습니다.

파일 허용 또는 차단을 켜려면 다음을 수행합니다.

1. Microsoft Defender 포털의 탐색 창에서 설정>엔드포인트>일반>고급 기능>허용 또는 차단 파일을 선택합니다.

2. 켜기와 끄기 간에 설정을 전환합니다.

   

3. 페이지 아래쪽에서 기본 설정 저장 을 선택합니다.

이 기능을 켜면 파일의 프로필 페이지에서 표시기 추가 탭을 통해 파일을 차단할 수 있습니다.

잠재적인 중복 디바이스 레코드 숨기기

이 기능을 사용하도록 설정하면 잠재적인 중복 디바이스 레코드를 숨김으로써 디바이스에 대한 가장 정확한 정보를 볼 수 있습니다. 중복된 디바이스 레코드가 발생할 수 있는 여러 가지 이유가 있습니다. 예를 들어 엔드포인트용 Microsoft Defender 디바이스 검색 기능은 네트워크를 검색하고 이미 온보딩되었거나 최근에 오프보딩된 디바이스를 검색할 수 있습니다.

이 기능은 호스트 이름과 마지막으로 본 시간을 기반으로 잠재적인 중복 디바이스를 식별합니다. 중복 디바이스는 컴퓨터 데이터에 대한 디바이스 인벤토리, Microsoft Defender 취약성 관리 페이지 및 공용 API와 같은 포털의 여러 환경에서 숨겨지고 가장 정확한 디바이스 레코드가 표시됩니다. 그러나 중복 항목은 전역 검색, 고급 헌팅, 경고 및 인시던트 페이지에 계속 표시됩니다.

이 설정은 기본적으로 켜져 있으며 테넌트 전체에 적용됩니다. 잠재적인 중복 디바이스 레코드를 숨기지 않으려면 기능을 수동으로 해제해야 합니다.

사용자 지정 네트워크 표시기

이 기능을 켜면 IP 주소, 도메인 또는 URL에 대한 표시기를 만들 수 있습니다. 이 지표는 사용자 지정 표시기 목록에 따라 허용 또는 차단되는지 여부를 결정합니다.

이 기능을 사용하려면 디바이스가 Windows 10 버전 1709 이상 또는 Windows 11 실행 중이어야 합니다. 또한 맬웨어 방지 플랫폼의 블록 모드 및 버전 4.18.1906.3 이상에서는 KB 4052623 참조하세요.

자세한 내용은 지표 개요를 참조하세요.

변조 방지

일부 종류의 사이버 공격 중에 악의적인 행위자가 컴퓨터에서 바이러스 백신 보호와 같은 보안 기능을 사용하지 않도록 설정하려고 합니다. 악의적인 행위자는 데이터에 더 쉽게 액세스하거나, 맬웨어를 설치하거나, 데이터, ID 및 디바이스를 악용하기 위해 보안 기능을 사용하지 않도록 설정하는 것을 좋아합니다. 변조 방지는 기본적으로 바이러스 백신에 Microsoft Defender 잠그고 앱 및 방법을 통해 보안 설정이 변경되지 않도록 방지합니다.

변조 방지를 구성하는 방법을 비롯한 자세한 내용은 변조 방지를 사용하여 보안 설정 보호를 참조하세요.

사용자 세부 정보 표시

Microsoft Entra ID 저장된 사용자 세부 정보를 볼 수 있도록 이 기능을 켭니다. 세부 정보에는 사용자 계정 엔터티를 조사할 때 사용자의 사진, 이름, 제목 및 부서 정보가 포함됩니다. 다음 보기에서 사용자 계정 정보를 찾을 수 있습니다.

• 경고 큐
• 디바이스 세부 정보 페이지

자세한 내용은 사용자 계정 조사를 참조하세요.

비즈니스용 Skype 통합

비즈니스용 Skype 통합을 사용하도록 설정하면 비즈니스용 Skype, 전자 메일 또는 전화를 사용하여 사용자와 통신할 수 있습니다. 이 활성화는 사용자와 통신하고 위험을 완화해야 하는 경우에 유용할 수 있습니다.

Microsoft Defender for Cloud Apps

이 설정을 사용하도록 설정하면 엔드포인트용 Defender 신호를 Microsoft Defender for Cloud Apps 전달하여 클라우드 애플리케이션 사용에 대한 심층적인 가시성을 제공합니다. 전달된 데이터는 Defender for Cloud Apps 데이터와 동일한 위치에 저장되고 처리됩니다.

웹 컨텐츠 필터링

원치 않는 콘텐츠가 포함된 웹 사이트에 대한 액세스를 차단하고 모든 도메인에서 웹 활동을 추적합니다. 차단하려는 웹 콘텐츠 범주를 지정하려면 웹 콘텐츠 필터링 정책을 만듭니다. 엔드포인트용 Microsoft Defender 보안 기준을 배포할 때 블록 모드에서 네트워크 보호를 수행했는지 확인합니다.

통합 감사 로그

Microsoft Purview에서 검색을 사용하면 보안 및 규정 준수 팀이 중요한 감사 로그 이벤트 데이터를 보고 인사이트를 얻고 사용자 활동을 조사할 수 있습니다. 사용자 또는 관리자가 감사한 활동을 수행할 때마다 감사 레코드가 생성되고 organization 대한 Microsoft 365 감사 로그에 저장됩니다. 자세한 내용은 감사 로그 검색을 참조하세요.

장치 검색

추가 어플라이언스 또는 번거로운 프로세스 변경 없이 회사 네트워크에 연결된 관리되지 않는 디바이스를 찾을 수 있습니다. 온보딩된 디바이스를 사용하여 네트워크에서 관리되지 않는 디바이스를 찾고 취약성 및 위험을 평가할 수 있습니다. 자세한 내용은 디바이스 검색을 참조하세요.

격리된 파일 다운로드

격리된 파일을 격리에서 직접 다운로드할 수 있도록 안전하고 호환되는 위치에 백업합니다. 파일 다운로드 단추는 항상 파일 페이지에서 사용할 수 있습니다. 이 설정은 기본적으로 켜져 있습니다. 요구 사항에 대해 자세히 알아보기

Defender 포털에서 디바이스를 온보딩할 때 기본적으로 간소화된 연결

이 설정은 기본 온보딩 패키지를 해당 운영 체제에 대한 간소화된 연결 로 설정합니다. 여전히 온보딩 페이지 내에서 표준 온보딩 패키지를 사용할 수 있지만 드롭다운에서 특별히 선택해야 합니다.

실시간 응답

적절한 권한이 있는 사용자가 디바이스에서 라이브 응답 세션을 시작할 수 있도록 이 기능을 켭니다.

역할 할당에 대한 자세한 내용은 역할 만들기 및 관리를 참조하세요.

서버에 대한 라이브 응답

적절한 권한이 있는 사용자가 서버에서 라이브 응답 세션을 시작할 수 있도록 이 기능을 켭니다.

역할 할당에 대한 자세한 내용은 역할 만들기 및 관리를 참조하세요.

라이브 응답 서명되지 않은 스크립트 실행

이 기능을 사용하면 라이브 응답 세션에서 서명되지 않은 스크립트를 실행할 수 있습니다.

기만

속임수를 사용하면 보안 팀이 사용자 환경에서 공격자를 잡기 위해 미끼와 미끼를 관리하고 배포할 수 있습니다. 이 기능을 켜면 규칙 > 기만 규칙으로 이동하여 기만 캠페인을 실행합니다. Microsoft Defender XDR 기만 기능 관리를 참조하세요.

Microsoft 규정 준수 센터와 엔드포인트 경고 공유

엔드포인트 보안 경고 및 심사 상태 Microsoft Purview 규정 준수 포털 전달하여 경고를 사용하여 내부 위험 관리 정책을 개선하고 피해를 입기 전에 내부 위험을 수정할 수 있습니다. 전달된 데이터는 처리되고 Office 365 데이터와 동일한 위치에 저장됩니다.

내부 위험 관리 설정에서 보안 정책 위반 지표를 구성한 후 엔드포인트용 Defender 경고는 해당 사용자에 대한 내부 위험 관리와 공유됩니다.

Microsoft Intune 연결

엔드포인트용 Defender를 Microsoft Intune 통합하여 디바이스 위험 기반 조건부 액세스를 사용하도록 설정할 수 있습니다. 이 기능을 켜면 엔드포인트용 Defender 디바이스 정보를 Intune 공유하여 정책 적용을 강화할 수 있습니다.

이 기능은 다음 필수 구성 요소가 있는 경우에만 사용할 수 있습니다.

• Enterprise Mobility + Security E3 라이선스가 부여된 테넌트 및 Windows E5(또는 Microsoft 365 Enterprise E5)
• Intune 관리형 Windows 디바이스가 조인될 Microsoft Entra 있는 활성 Microsoft Intune 환경입니다.

인증된 원격 분석

인증된 원격 분석을 켜서 원격 분석을 dashboard 스푸핑하지 않도록 할 수 있습니다.

미리 보기 기능

엔드포인트용 Defender 미리 보기 릴리스의 새로운 기능에 대해 알아봅니다.

미리 보기 환경을 켜서 예정된 기능을 사용해 보세요. 기능을 일반 공급하기 전에 전반적인 환경을 개선하는 데 도움이 되는 피드백을 제공할 수 있는 예정된 기능에 액세스할 수 있습니다.

미리 보기 기능이 이미 켜져 있는 경우 기본 Defender XDR 설정에서 설정을 관리합니다.

자세한 내용은 Microsoft Defender XDR 미리 보기 기능을 참조하세요.

엔드포인트 공격 알림

엔드포인트 공격 알림을 사용하면 Microsoft가 엔드포인트 데이터에 대한 긴급성과 영향에 따라 우선 순위를 지정하는 중요한 위협을 적극적으로 헌팅할 수 있습니다.

전자 메일, 공동 작업, ID, 클라우드 애플리케이션 및 엔드포인트에 걸친 위협을 포함하여 Microsoft Defender XDR 전체 scope 사전 헌팅을 위해 Microsoft Defender 전문가에 대해 자세히 알아보세요.

관련 항목

• 데이터 보존 설정 업데이트
• 경고 알림 구성