엔드포인트용 Microsoft Defender 서비스에 Windows 서버 온보딩

적용 대상:

• 엔드포인트 서버용 Microsoft Defender
• 서버용 Microsoft Defender

엔드포인트용 Defender를 경험하고 싶으신가요? 무료 평가판을 신청하세요.

엔드포인트용 Defender는 Windows Server 운영 체제도 포함하도록 지원을 확장합니다. 이 지원은 Microsoft Defender XDR 콘솔을 통해 고급 공격 탐지 및 조사 기능을 원활하게 제공합니다. Windows Server 지원은 서버 활동, 커널 및 메모리 공격 검색에 대한 적용 범위에 대한 심층적인 인사이트를 제공하고 응답 작업을 사용하도록 설정합니다.

이 문서에서는 특정 Windows 서버를 온보딩하여 엔드포인트용 Microsoft Defender 방법을 설명합니다.

Windows 서버용 Windows 보안 기준을 다운로드하고 사용하는 방법에 대한 지침은 Windows 보안 기준을 참조하세요.

Windows Server 온보딩 개요

서버를 성공적으로 온보딩하려면 다음 일반적인 단계를 완료해야 합니다.

서버용 Microsoft Defender 통합:

엔드포인트용 Microsoft Defender 서버용 Microsoft Defender 원활하게 통합됩니다. 서버를 자동으로 온보딩하고, 클라우드용 Microsoft Defender 모니터링되는 서버를 엔드포인트용 Defender에 표시하고, 클라우드 고객을 위한 Microsoft Defender 자세한 조사를 수행할 수 있습니다. 자세한 내용은 클라우드용 Defender의 통합 EDR 솔루션으로 엔드포인트 보호: 엔드포인트용 Microsoft Defender

Windows Server 2016 및 Windows Server 2012 R2:

• 설치 및 온보딩 패키지 다운로드
• 설치 패키지 적용
• 해당 도구에 대한 온보딩 단계를 따릅니다.

Windows Server Semi-Annual Enterprise Channel 및 Windows Server 2019:

• 온보딩 패키지 다운로드
• 해당 도구에 대한 온보딩 단계를 따릅니다.

Windows Server 2016 및 Windows Server 2012 R2

최신 통합 솔루션의 기능

온보딩 Windows Server 2016 및 Windows Server 2012 R2의 이전 구현(2022년 4월 이전)에는 MMA(Microsoft Monitoring Agent)를 사용해야 했습니다.

새로운 통합 솔루션 패키지를 사용하면 종속성 및 설치 단계를 제거하여 서버를 더 쉽게 온보딩할 수 있습니다. 또한 훨씬 확장된 기능 집합을 제공합니다. 자세한 내용은 방어 Windows Server 2012 R2 및 2016을 참조하세요.

온보딩하는 서버에 따라 통합 솔루션은 바이러스 백신 및/또는 EDR 센서에 Microsoft Defender 설치합니다. 다음 표에서는 설치된 구성 요소와 기본적으로 기본 제공되는 구성 요소를 나타냅니다.

서버 버전	AV	EDR
Windows Server 2012 R2
Windows Server 2016	기본 제공
Windows Server 2019 이상	기본 제공	기본 제공

이전에 MMA를 사용하여 서버를 온보딩한 경우 서버 마이그레이션 에 제공된 지침에 따라 새 솔루션으로 마이그레이션합니다.

필수 구성 요소

Windows Server 2016 및 Windows Server 2012 R2에 대한 필수 구성 요소

서버에 사용 가능한 최신 SSU 및 LCU를 설치하는 것이 좋습니다.

• 2021년 9월 14일 이상부터 SSU(서비스 스택 업데이트)를 설치해야 합니다.
• 2018년 9월 20일 이후의 최신 LCU(누적 업데이트)를 설치해야 합니다.
• Microsoft Defender 바이러스 백신 기능을 사용하도록 설정하고 최신 상태인지 확인합니다. Windows Server Defender 바이러스 백신 사용하도록 설정하는 방법에 대한 자세한 내용은 Windows Server Defender 바이러스 백신 다시 활성화 및 Windows ServerDefender 바이러스 백신 다시 사용을 참조하세요. 제거되었으면 입니다.
• Windows 업데이트 사용하여 최신 플랫폼 버전을 다운로드하고 설치합니다. 또는 Microsoft 업데이트 카탈로그 또는 MMPC에서 수동으로 업데이트 패키지를 다운로드합니다.

타사 보안 솔루션으로 실행하기 위한 필수 구성 요소

타사 맬웨어 방지 솔루션을 사용하려는 경우 수동 모드에서 Microsoft Defender 바이러스 백신을 실행해야 합니다. 설치 및 온보딩 프로세스 중에 수동 모드로 설정해야 합니다.

Windows Server 2016 및 Windows Server 2012 R2에서 엔드포인트용 Microsoft Defender 패키지 업데이트

EDR 센서 구성 요소에 대한 정기적인 제품 개선 및 수정 사항을 받으려면 Windows 업데이트 KB5005292 적용되거나 승인되었는지 확인합니다. 또한 보호 구성 요소를 업데이트된 상태로 유지하려면 Microsoft Defender 바이러스 백신 업데이트 관리 및 기준 적용을 참조하세요.

WSUS(Windows Server Update Services) 및/또는 Microsoft 엔드포인트 Configuration Manager 사용하는 경우 이 새로운 "EDR 센서용 엔드포인트용 Microsoft Defender 업데이트"는 "범주"에서 사용할 수 있습니다. 엔드포인트용 Microsoft Defender".

온보딩 단계 요약

• 1단계: 설치 및 온보딩 패키지 다운로드
• 2단계: 설치 및 온보딩 패키지 적용
• 3단계: 온보딩 단계 완료

1단계: 설치 및 온보딩 패키지 다운로드

포털에서 설치 및 온보딩 패키지를 모두 다운로드해야 합니다.

설치 패키지에는 엔드포인트용 Microsoft Defender 에이전트를 설치하는 MSI 파일이 포함되어 있습니다.

온보딩 패키지에는 다음 파일이 포함되어 있습니다.

• WindowsDefenderATPOnboardingScript.cmd - 온보딩 스크립트 포함

다음 단계에 따라 패키지를 다운로드합니다.

1. Microsoft Defender XDR 설정 > 엔드포인트 > 온보딩으로 이동합니다.

2. Windows Server 2016 선택하고 R2를 Windows Server 2012.

3. 설치 패키지 다운로드를 선택하고 .msi 파일을 저장합니다.

4. 온보딩 패키지 다운로드를 선택하고 .zip 파일을 저장합니다.

5. Microsoft Defender 바이러스 백신을 설치하는 옵션을 사용하여 설치 패키지를 설치합니다. 설치하려면 관리 권한이 필요합니다.

2단계: 설치 및 온보딩 패키지 적용

이 단계에서는 디바이스를 엔드포인트용 Microsoft Defender 클라우드 환경에 온보딩하기 전에 필요한 예방 및 검색 구성 요소를 설치하여 온보딩을 위해 컴퓨터를 준비합니다. 모든 필수 구성 요소가 충족되었는지 확인합니다.

엔드포인트용 Microsoft Defender 패키지를 설치하는 옵션

이전 섹션에서 설치 패키지를 다운로드했습니다. 설치 패키지에는 모든 엔드포인트용 Microsoft Defender 구성 요소에 대한 설치 관리자가 포함되어 있습니다.

다음 옵션 중 원하는 옵션을 사용하여 에이전트를 설치할 수 있습니다.

• 명령줄을 사용하여 설치
• 스크립트를 사용하여 설치
• 그룹 정책 사용하여 설치 및 온보딩 패키지 적용

명령줄을 사용하여 엔드포인트용 Microsoft Defender 설치

이전 단계의 설치 패키지를 사용하여 엔드포인트용 Microsoft Defender 설치합니다.

다음 명령을 실행하여 엔드포인트용 Microsoft Defender 설치합니다.

Msiexec /i md4ws.msi /quiet

제거하려면 적절한 오프보딩 스크립트를 사용하여 컴퓨터가 먼저 오프보딩되었는지 확인합니다. 그런 다음 제어판 > 프로그램 > 프로그램 및 기능을 사용하여 제거를 수행합니다.

또는 다음 제거 명령을 실행하여 엔드포인트용 Microsoft Defender 제거합니다.

Msiexec /x md4ws.msi /quiet

위의 명령이 성공하려면 설치에 사용한 것과 동일한 패키지를 사용해야 합니다.

스위치는 /quiet 모든 알림을 표시하지 않습니다.

Windows Server 지원은 서버 활동, 커널 및 메모리 공격 검색에 대한 적용 범위에 대한 심층적인 인사이트를 제공하고 응답 작업을 사용하도록 설정합니다.

스크립트를 사용하여 엔드포인트용 Microsoft Defender 설치

설치 관리자 도우미 스크립트를 사용하여 설치, 제거 및 온보딩을 자동화할 수 있습니다.

이 스크립트는 이전 MMA 기반 엔드포인트용 Microsoft Defender 솔루션의 서버 마이그레이션 시나리오 및 아래에 설명된 대로 그룹 정책 사용하여 배포에 설명된 시나리오를 포함하여 다양한 시나리오에서 사용할 수 있습니다.

설치 관리자 스크립트를 사용하여 설치를 수행할 때 그룹 정책을 사용하여 엔드포인트용 Microsoft Defender 설치 및 온보딩 패키지 적용

1. 그룹 정책 만들기:
   그룹 정책 관리 콘솔(GPMC)을 열고 구성하려는 그룹 정책 개체를 마우스 오른쪽 단추로 클릭하고 새로 만들기를 선택합니다. 표시되는 대화 상자에 새 GPO의 이름을 입력하고 확인을 선택합니다.

2. 그룹 정책 관리 콘솔(GPMC)을 열고 구성하려는 GPO(그룹 정책 개체)를 마우스 오른쪽 단추로 클릭하고 편집을 선택합니다.

3. 그룹 정책 관리 편집기컴퓨터 구성, 기본 설정, 제어판 설정으로 차례로 이동합니다.

4. 예약된 작업을 마우스 오른쪽 단추로 클릭하고 새로 만들기를 가리킨 다음 직접 작업(Windows 7 이상)을 클릭합니다.

5. 열리는 작업 창에서 일반 탭으로 이동합니다. 보안 옵션 에서 사용자 또는 그룹 변경을 선택하고 SYSTEM을 입력한 다음 이름 확인을 선택한 다음 확인을 선택합니다. NT AUTHORITY\SYSTEM은 작업이 실행될 사용자 계정으로 나타납니다.

6. 사용자가 로그온되었는지 여부에 관계없이 실행을 선택하고 가장 높은 권한으로 실행 검사 상자를 검사.

7. 이름 필드에 예약된 작업에 대한 적절한 이름(예: 엔드포인트 배포용 Defender)을 입력합니다.

8. 작업 탭으로 이동하여 새로 만들기...를 선택합니다.작업 필드에서 프로그램 시작을 선택했는지 확인합니다. 설치 관리자 스크립트는 설치를 처리하고 설치가 완료된 후 즉시 온보딩 단계를 수행합니다. C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe 선택한 다음, 인수를 제공합니다.

   -ExecutionPolicy RemoteSigned \\servername-or-dfs-space\share-name\install.ps1 -OnboardingScript \\servername-or-dfs-space\share-name\windowsdefenderatponboardingscript.cmd
   

   참고

   권장되는 실행 정책 설정은 입니다 Allsigned. 이렇게 하려면 스크립트가 엔드포인트에서 SYSTEM으로 실행되는 경우 로컬 컴퓨터 신뢰할 수 있는 게시자 저장소로 스크립트의 서명 인증서를 가져와야 합니다.

   공유install.ps1 파일의 파일 서버의 FQDN(정규화된 도메인 이름)을 사용하여 \\servername-or-dfs-space\share-name을 UNC 경로로 바꿉니다. 설치 관리자 패키지 md4ws.msi 동일한 디렉터리에 배치해야 합니다. UNC 경로의 사용 권한이 패키지를 설치하는 컴퓨터 계정에 대한 쓰기 액세스를 허용하여 로그 파일 만들기를 지원하는지 확인합니다. 로그 파일 만들기를 사용하지 않도록 설정하려는 경우(권장되지 않음) -noETL -noMSILog 매개 변수를 사용할 수 있습니다.

   Microsoft Defender 바이러스 백신이 비 Microsoft 맬웨어 방지 솔루션과 공존하려는 시나리오의 경우 설치 중에 수동 모드를 설정하는 $Passive 매개 변수를 추가합니다.

9. 확인을 선택하고 열려 있는 GPMC 창을 닫습니다.

10. GPO를 OU(조직 구성 단위)에 연결하려면 마우스 오른쪽 단추를 클릭하고 기존 GPO 연결을 선택합니다. 표시되는 대화 상자에서 연결할 그룹 정책 개체를 선택합니다. 확인을 선택합니다.

자세한 구성 설정은 샘플 컬렉션 설정 구성 및 기타 권장 구성 설정을 참조하세요.

3단계: 온보딩 단계 완료

다음 단계는 타사 맬웨어 방지 솔루션을 사용하는 경우에만 적용됩니다. 다음 Microsoft Defender 바이러스 백신 수동 모드 설정을 적용해야 합니다. 올바르게 구성되었는지 확인합니다.

1. 다음 레지스트리 항목을 설정합니다.

   • 길: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
   • 이름: ForceDefenderPassiveMode
   • 형: REG_DWORD
   • 값: 1

   

Windows Server 2016 및 Windows Server 2012 R2에 대한 새로운 통합 솔루션 패키지의 알려진 문제 및 제한 사항

• 운영 체제 업데이트는 서비스 설치 시간 제한으로 인해 디스크가 느린 컴퓨터에 설치 문제가 발생할 수 있습니다. "c:\program files\windows defender\mpasdesc.dll - 310 WinDefend를 찾을 수 없습니다."라는 메시지와 함께 설치가 실패합니다. 필요한 경우 최신 설치 패키지 및 최신 install.ps1 스크립트를 사용하여 실패한 설치를 지울 수 있습니다.

• Windows Server 2016 및 Windows Server 2012 R2의 사용자 인터페이스는 기본 작업만 허용합니다. 디바이스에서 로컬로 작업을 수행하려면 PowerShell, WMI 및 MPCmdRun.exe엔드포인트용 Microsoft Defender 관리를 참조하세요. 따라서 사용자가 결정을 내리거나 특정 작업을 수행하라는 메시지가 표시되는 경우와 같이 사용자 상호 작용에 특히 의존하는 기능은 예상대로 작동하지 않을 수 있습니다. 보호 기능에 영향을 미칠 수 있으므로 사용자 인터페이스를 사용하지 않도록 설정하거나 사용하지 않도록 설정하거나 관리되는 서버에서 사용자 상호 작용을 요구하지 않는 것이 좋습니다.

• 모든 공격 표면 감소 규칙이 모든 운영 체제에 적용되는 것은 아닙니다. 공격 표면 감소 규칙을 참조하세요.

• 운영 체제 업그레이드는 지원되지 않습니다. 업그레이드하기 전에 오프보딩한 다음 제거합니다. 설치 관리자 패키지는 새 맬웨어 방지 플랫폼 또는 EDR 센서 업데이트 패키지로 아직 업데이트되지 않은 설치를 업그레이드하는 데만 사용할 수 있습니다.

• MECM(Microsoft Endpoint Configuration Manager)을 사용하여 새 솔루션을 자동으로 배포하고 온보딩하려면 버전 2207 이상에 있어야 합니다. 핫픽스 롤업과 함께 버전 2107을 사용하여 구성하고 배포할 수 있지만 추가 배포 단계가 필요합니다. 자세한 내용은 Microsoft 엔드포인트 Configuration Manager 마이그레이션 시나리오를 참조하세요.

SAC(Windows Server Semi-Annual Enterprise Channel), Windows Server 2019 및 Windows Server 2022

패키지 다운로드

1. Microsoft Defender XDR 설정 > 엔드포인트 > 장치 관리 > 온보딩으로 이동합니다.

2. Windows Server 1803 및 2019를 선택합니다.

3. 패키지 다운로드를 선택합니다. WindowsDefenderATPOnboardingPackage.zip 저장합니다.

4. 온보딩 단계 완료 섹션에 제공된 단계를 따릅니다.

온보딩 및 설치 확인

Microsoft Defender 바이러스 백신 및 엔드포인트용 Microsoft Defender 실행 중인지 확인합니다.

검색 테스트를 실행하여 온보딩 확인

디바이스를 온보딩한 후 검색 테스트를 실행하여 디바이스가 서비스에 제대로 온보딩되었는지 확인할 수 있습니다. 자세한 내용은 새로 온보딩된 엔드포인트용 Microsoft Defender 디바이스에서 검색 테스트 실행을 참조하세요.

1. 다음 명령을 실행하여 Microsoft Defender 바이러스 백신이 설치되어 있는지 확인합니다.

   참고

   이 확인 단계는 Microsoft Defender 바이러스 백신을 활성 맬웨어 방지 솔루션으로 사용하는 경우에만 필요합니다.

   sc.exe query Windefend
   

   결과가 '지정된 서비스가 설치된 서비스로 존재하지 않습니다.'인 경우 Microsoft Defender 바이러스 백신을 설치해야 합니다.

   그룹 정책 사용하여 Windows 서버에서 Microsoft Defender 바이러스 백신을 구성하고 관리하는 방법에 대한 자세한 내용은 그룹 정책 설정을 사용하여 Microsoft Defender 바이러스 백신 구성 및 관리를 참조하세요.

2. 다음 명령을 실행하여 엔드포인트용 Microsoft Defender 실행 중인지 확인합니다.

   sc.exe query sense
   

   결과에 실행 중이 표시됩니다. 온보딩에 문제가 발생하는 경우 온보딩 문제 해결을 참조하세요.

검색 테스트 실행

새로 온보딩된 디바이스에서 검색 테스트 실행의 단계에 따라 서버가 엔드포인트 서비스용 Defender에 보고하고 있는지 확인합니다.

다음 단계

디바이스를 서비스에 성공적으로 온보딩한 후에는 엔드포인트용 Microsoft Defender 개별 구성 요소를 구성해야 합니다. 다양한 구성 요소를 사용하도록 설정하는 방법을 안내하려면 기능 구성 을 따릅니다.

Windows 서버 오프보딩

Windows Server 2012 Windows 10 사용할 수 있는 동일한 방법으로 R2, Windows Server 2016, Windows Server(SAC), Windows Server 2019 및 Windows Server 2019 Core 버전을 오프보딩할 수 있습니다Windows 10 클라이언트 디바이스.

• 그룹 정책 사용하여 디바이스 오프보딩
• Configuration Manager 사용하여 디바이스 오프보딩
• 모바일 장치 관리 도구를 사용하여 디바이스 오프보딩
• 로컬 스크립트를 사용하여 디바이스 오프보딩

오프보딩한 후 Windows Server 2016 통합 솔루션 패키지를 제거하고 R2를 Windows Server 2012 수 있습니다.

다른 Windows 서버 버전의 경우 서비스에서 Windows 서버를 오프보딩하는 두 가지 옵션이 있습니다.

• MMA 에이전트 제거
• 엔드포인트용 Defender 작업 영역 구성 제거

관련 문서

• Configuration Manager 사용하여 Windows 디바이스 온보딩
• 이전 버전의 Windows 온보딩
• 그룹 정책을 통한 Windows 10 장치 온보딩
• Windows가 아닌 장치 온보딩
• 프록시 및 인터넷 연결 설정 구성
• 새로 온보딩된 엔드포인트용 Defender 디바이스에서 검색 테스트 실행
• 엔드포인트용 Microsoft Defender 온보딩 문제 해결
• 원활한 Single Sign-On Microsoft Entra
• 엔드포인트용 Microsoft Defender 보안 관리와 관련된 온보딩 문제 해결