Microsoft Defender 사용자 엔터티 페이지

Microsoft Defender 포털의 사용자 엔터티 페이지는 사용자 엔터티를 조사하는 데 도움이 됩니다. 페이지에는 지정된 사용자 엔터티에 대한 모든 중요한 정보가 포함되어 있습니다. 경고 또는 인시던트가 사용자가 손상되거나 의심스러운 것으로 표시되면 사용자 엔터티를 검사 조사합니다.

다음 보기에서 사용자 엔터티 정보를 찾을 수 있습니다.

• 자산 아래의 ID 페이지
• 경고 큐
• 개별 경고/인시던트
• 장치 페이지
• 모든 개별 디바이스 엔터티 페이지
• 활동 로그
• 고급 헌팅 쿼리
• 알림 센터

이러한 보기에 사용자 엔터티가 표시되는 위치마다 사용자 페이지를 볼 엔터티를 선택하여 사용자에 대한 자세한 정보를 표시합니다. 예를 들어 인시던트 & 인시던트 인시던트 자산 사용자의 Microsoft Defender 포털에서 인시>던트 >> 경고에서 식별된 사용자 계정의 세부 정보를 볼 수 있습니다>.

특정 사용자 엔터티를 조사할 때 엔터티 페이지에 다음 탭이 표시됩니다.

• 엔터티 세부 정보, 인시던트 및 경고 시각적 보기, 사용자 계정 컨트롤 플래그 등을 포함한 개요입니다.

• 인시던트 및 경고 탭

• organization 탭에서 관찰됨

• 타임라인 탭

• Sentinel 이벤트 탭

사용자 페이지에는 Microsoft Entra organization 그룹뿐만 아니라 사용자와 연결된 그룹 및 사용 권한을 이해하는 데 도움이 됩니다.

개요

엔터티 세부 정보

페이지 왼쪽의 엔터티 세부 정보 패널에는 Microsoft Entra ID 위험 수준, 내부자 위험 심각도 수준(미리 보기), 사용자가 로그인한 디바이스 수, 사용자가 처음 및 마지막으로 본 경우, 사용자의 계정, 사용자가 속한 그룹, 연락처 정보 등 사용자에 대한 정보가 제공됩니다. 을 선택합니다. 사용하도록 설정한 통합 기능에 따라 다른 세부 정보가 표시됩니다.

인시던트 및 경고의 시각적 보기

이 카드 심각도별로 그룹화된 사용자 엔터티와 관련된 모든 인시던트 및 경고를 포함합니다.

Active Directory 계정 컨트롤

이 카드 주의가 필요할 수 있는 Microsoft Defender for Identity 보안 설정을 표시합니다. 사용자가 암호를 무시하기 위해 Enter 키를 누를 수 있는지, 만료되지 않는 암호가 있는지 등과 같이 사용자의 계정 설정에 대한 중요한 플래그를 볼 수 있습니다.

자세한 내용은 사용자 계정 컨트롤 플래그를 참조하세요.

조직 트리

이 섹션에서는 Microsoft Defender for Identity 보고한 대로 조직 계층 구조에서 사용자 엔터티의 위치를 보여줍니다.

계정 태그

Microsoft Defender for Identity Active Directory에서 태그를 끌어와 Active Directory 사용자 및 엔터티를 모니터링하기 위한 단일 인터페이스를 제공합니다. 태그는 엔터티에 대한 Active Directory의 세부 정보를 제공하며 다음을 포함합니다.

자세한 내용은 Microsoft Defender XDR Defender for Identity 엔터티 태그를 참조하세요.

인시던트 및 경고

이 탭에서 지난 6개월 동안의 사용자와 관련된 모든 활성 인시던트 및 경고를 볼 수 있습니다. 기본 인시던트 및 경고 큐의 모든 정보는 여기에 표시됩니다. 이 목록은 인시던트 큐의 필터링된 버전이며 인시던트 또는 경고, 심각도(높음, 중간, 낮음, 정보), 큐의 상태(신규, 진행 중, 해결됨), 분류(설정되지 않음, 거짓 경고, 실제 경고), 조사 상태, 범주, 처리하도록 할당된 사람 및 관찰된 마지막 활동에 대한 간략한 설명을 보여 줍니다.

표시되는 항목 수와 각 항목에 대해 표시되는 열을 사용자 지정할 수 있습니다. 기본 동작은 페이지당 30개 항목을 나열하는 것입니다. 심각도, 상태 또는 디스플레이의 다른 열을 기준으로 경고를 필터링할 수도 있습니다.

영향을 받은 엔터티 열은 인시던트 또는 경고에서 참조되는 모든 디바이스 및 사용자 엔터티를 나타냅니다.

인시던트 또는 경고를 선택하면 플라이아웃이 나타납니다. 이 패널에서 인시던트 또는 경고를 관리하고 인시던트/경고 번호 및 관련 디바이스와 같은 자세한 정보를 볼 수 있습니다. 한 번에 여러 경고를 선택할 수 있습니다.

인시던트 또는 경고의 전체 페이지 보기를 보려면 제목을 선택합니다.

organization 관찰됨

• 디바이스: 이 섹션에서는 사용자 엔터티가 이전 180일 동안 로그인한 모든 디바이스를 보여 줍니다. 가장 적게 사용된 디바이스를 나타냅니다.

• 위치: 이 섹션에서는 지난 30일 동안 사용자 엔터티에 대해 관찰된 모든 위치를 보여 줍니다.

• 그룹: 이 섹션에서는 Microsoft Defender for Identity 보고한 대로 사용자 엔터티에 대해 관찰된 모든 온-프레미스 그룹을 보여 줍니다.

• 횡적 이동 경로: 이 섹션에서는 Defender for Identity에서 검색한 대로 온-프레미스 환경에서 프로파일된 모든 횡적 이동 경로를 보여 줍니다.

횡적 이동 탭을 선택하면 사용자를 오가는 횡적 이동 경로를 볼 수 있는 완전히 동적이고 클릭 가능한 맵을 볼 수 있습니다. 공격자는 경로 정보를 사용하여 네트워크에 침투할 수 있습니다.

맵은 공격자가 중요한 계정을 손상시키기 위해 활용할 수 있는 다른 디바이스 또는 사용자의 목록을 제공합니다. 사용자에게 중요한 계정이 있는 경우 직접 연결된 리소스 및 계정 수를 확인할 수 있습니다.

날짜별로 볼 수 있는 횡적 이동 경로 보고서는 검색된 잠재적인 횡적 이동 경로에 대한 정보를 제공하기 위해 항상 사용할 수 있으며 시간에 따라 사용자 지정할 수 있습니다. 다른 날짜 보기를 사용하여 다른 날짜를 선택하여 엔터티에 대해 찾은 이전 횡적 이동 경로를 봅니다. 그래프는 지난 2일 동안 엔터티에 대한 잠재적인 횡적 이동 경로가 발견된 경우에만 표시됩니다.

시간 표시 막대

타임라인 지난 180일 동안 사용자의 ID에서 관찰된 사용자 활동 및 경고를 표시합니다. Microsoft Defender for Identity, Microsoft Defender for Cloud Apps 및 엔드포인트용 Microsoft Defender 워크로드에서 사용자의 ID 항목을 통합합니다. 타임라인 사용하여 특정 기간 동안 사용자가 수행했거나 수행한 활동에 집중할 수 있습니다.

통합 SOC 플랫폼의 사용자가 이전 단락의 데이터 원본 이외의 데이터 원본을 기반으로 Microsoft Sentinel 경고를 보려면 아래에 설명된Sentinel 이벤트 탭에서 이러한 경고 및 기타 정보를 찾을 수 있습니다.

• 사용자 지정 시간 범위 선택기: 지난 24시간, 지난 3일 등에 대해 조사에 집중할 기간을 선택할 수 있습니다. 또는 사용자 지정 범위를 클릭하여 특정 기간을 선택할 수 있습니다. 30일보다 오래된 필터링된 데이터는 7일 간격으로 표시됩니다.
  예시:

  

• 타임라인 필터: 조사 환경을 개선하기 위해 유형(경고 및/또는 사용자의 관련 활동), 경고 심각도, 활동 유형, 앱, 위치, 프로토콜 등 타임라인 필터를 사용할 수 있습니다. 각 필터는 다른 필터에 따라 달라지며 각 필터(드롭다운)의 옵션에는 특정 사용자와 관련된 데이터만 포함됩니다.

• 내보내기 단추: 타임라인 CSV 파일로 내보낼 수 있습니다. 내보내기는 처음 5,000개의 레코드로 제한되며 UI에 표시되는 데이터를 포함합니다(동일한 필터 및 열).

• 사용자 지정된 열: 열 사용자 지정 단추를 선택하여 타임라인 노출할 열을 선택할 수 있습니다. 예시:

  

사용할 수 있는 데이터 형식은 무엇인가요?

타임라인 사용할 수 있는 데이터 형식은 다음과 같습니다.

• 사용자의 영향을 받은 경고
• Active Directory 및 Microsoft Entra 활동
• 클라우드 앱의 이벤트
• 디바이스 로그온 이벤트
• 디렉터리 서비스 변경 내용

표시되는 정보는 무엇인가요?

타임라인 다음 정보가 표시됩니다.

• 활동의 날짜 및 시간
• 활동/경고 설명
• 작업을 수행한 애플리케이션
• 원본 디바이스/IP 주소
• MITRE ATT&CK 기술
• 경고 심각도 및 상태
• 클라이언트 IP 주소가 지리적으로 할당된 국가/지역
• 통신 중에 사용되는 프로토콜
• 대상 디바이스(선택 사항, 열 사용자 지정으로 볼 수 있습니다)
• 활동이 발생한 횟수(선택 사항, 열을 사용자 지정하여 볼 수 있습니다).

예시:

Sentinel 이벤트

organization Defender 포털에 Microsoft Sentinel 온보딩한 경우 이 추가 탭은 사용자 엔터티 페이지에 있습니다. 이 탭은 Microsoft Sentinel 계정 엔터티 페이지를 가져옵니다.

Sentinel 타임라인

이 타임라인 사용자 엔터티와 연결된 경고를 보여 줍니다. 이러한 경고에는 인시던트 및 경고 탭에 표시되는 경고와 타사, 타사 데이터 원본에서 Microsoft Sentinel 만든 경고가 포함됩니다.

또한 이 타임라인 이 사용자 엔터티를 참조하는 다른 조사, 외부 데이터 원본의 사용자 활동 이벤트 및 Microsoft Sentinel 변칙 규칙에 의해 검색된 비정상적인 동작을 참조하는 다른 조사의 책갈피가 지정된 헌팅을 보여 줍니다.

Insights

엔터티 인사이트는 보다 효율적이고 효과적으로 조사할 수 있도록 Microsoft 보안 연구원이 정의한 쿼리입니다. 이러한 인사이트는 사용자 엔터티에 대한 큰 질문을 자동으로 제공하여 테이블 형식 데이터 및 차트 형태로 중요한 보안 정보를 제공합니다. 인사이트에는 로그인, 그룹 추가, 비정상적인 이벤트 등에 관한 데이터가 포함되며 비정상적인 동작을 감지하는 고급 기계 학습 알고리즘이 포함됩니다.

다음은 표시된 몇 가지 인사이트입니다.

• 보안 그룹 멤버 자격을 기반으로 하는 사용자 피어입니다.
• 계정별 작업입니다.
• 계정에 대한 작업입니다.
• 사용자가 지워진 이벤트 로그입니다.
• 그룹 추가.
• 비정상적으로 높은 사무실 작업 수입니다.
• 리소스 액세스.
• 비정상적으로 높은 Azure 로그인 결과 수입니다.
• UEBA 인사이트.
• Azure 구독에 대한 사용자 액세스 권한.
• 사용자와 관련된 위협 지표입니다.
• 관심 목록 인사이트(미리 보기).
• Windows 로그인 작업.

인사이트는 다음 데이터 원본을 기반으로 합니다.

• Syslog(Linux)
• SecurityEvent(Windows)
• AuditLogs(Microsoft Entra ID)
• SigninLogs(Microsoft Entra ID)
• OfficeActivity(Office 365)
• BehaviorAnalytics(Microsoft Sentinel UEBA)
• 하트비트(Azure Monitor 에이전트)
• CommonSecurityLog(Microsoft Sentinel)

이 패널에서 인사이트를 자세히 살펴보려면 인사이트와 함께 링크를 선택합니다. 링크는 고급 헌팅 페이지로 이동하며, 여기서 원시 결과와 함께 인사이트의 기본 쿼리를 표시합니다. 쿼리를 수정하거나 결과를 드릴다운하여 조사를 확장하거나 호기심을 충족할 수 있습니다.

수정 작업

개요 페이지에서 다음 추가 작업을 수행할 수 있습니다.

• Microsoft Entra ID 사용자 사용, 사용 안 함 또는 일시 중단
• 사용자가 다시 로그인하거나 암호 재설정을 강제하도록 요구하는 등의 특정 작업을 수행하도록 사용자에게 지시합니다.
• Microsoft Entra 계정 설정, 관련 거버넌스, 사용자 소유 파일 또는 사용자의 공유 파일 보기

자세한 내용은 Microsoft Defender for Identity 수정 작업을 참조하세요.

다음 단계

In-Process 인시던트에 필요한 경우 조사를 계속합니다.

참고 항목

• 인시던트 개요
• 인시던트 우선 순위 지정
• 인시던트 관리
• Microsoft Defender XDR 개요
• Microsoft Defender XDR 켜기
• Microsoft Defender 디바이스 엔터티 페이지
• Microsoft Defender IP 주소 엔터티 페이지
• Microsoft Sentinel Microsoft Defender XDR 통합
• Microsoft Defender XDR에 Microsoft Sentinel 연결