이 문서에서는 Microsoft Defender for Endpoint에서 데이터를 통합하여 Cato 스토리 워크벤치에서 검토할 수 있는 스토리를 생성하는 방법을 논의합니다.
Microsoft API를 사용하여 Microsoft Defender for Endpoint에서 경고 데이터를 통합하여 엔드포인트 장치를 위한 스토리를 생성할 수 있습니다. 엔드포인트 스토리는 네트워크 내 잠재적 위협에 대한 보다 완전한 그림을 제공하는 데 도움이 됩니다.
Cato 엔드포인트 경고 엔진은 동일한 Defender 사건과 관련된 Defender 경고 데이터의 상관관계를 분석하여 스토리를 생성합니다. 엔드포인트 경고 스토리에는 Defender에 의해 감지된 경고에 대한 모든 관련 증거가 포함됩니다. 스토리 워크벤치에서는 엔드포인트 스토리와 다른 스토리 유형을 함께 표시하며, 엔드포인트 경고 스토리에 집중할 수 있도록 스토리를 정렬하고 필터링할 수 있습니다.
Defender for 엔드포인트 알림 데이터를 Cato XOps와 통합하려면 먼저 Microsoft 365와 Defender for 엔드포인트에 대한 API 커넥터를 설정해야 합니다. 커넥터를 생성한 후, 엔드포인트 경고 엔진은 Defender for Endpoint에서 경고 데이터를 검색하고 분석합니다.
Microsoft Defender의 데이터를 포함한 XOps 스토리 검토에 대한 자세한 내용은 Drilling-Down and Analyzing XOps Security Stories를 참조하세요.
스토리 워크벤치에서 Defender for Endpoint 스토리를 통합 및 검토하는 워크플로의 개략적인 설명입니다:
- Microsoft 365 상위 커넥터를 생성합니다.
- Defender for Endpoint 커넥터를 생성합니다.
- 스토리 작업 영역에서 엔드포인트 경고 스토리를 검토하십시오.
- 스토리 작업 패널의 설정은 엔드포인트 경고 스토리에 대해 구성할 수 없습니다. 작업과 관련된 모든 필드는 N/A로 나타납니다. 스토리 작업 패널에 대한 자세한 내용은 아래를 참조하십시오.
- 공유 디바이스의 Microsoft 엔드포인트 경고 스토리에는 디바이스에 로그인한 모든 사용자가 포함되어 있는 반면, 관련된 Defender for Endpoint 경고에는 단일 사용자만 표시될 수 있습니다.
- 커넥터를 추가하려면 자원 섹션에서 통합에 대한 편집자 권한이 필요합니다. 자세한 내용은 RBAC 사용하여 관리자 역할 관리를 참조하십시오.
Microsoft 엔드포인트 경고 스토리 이해하기
Microsoft 엔드포인트 경고 생성자는 통합을 기반으로 스토리를 생성합니다. 이 섹션은 스토리 드릴다운 페이지의 개요 탭에서 사용할 수 있는 정보를 설명합니다.
다음은 스토리 개요 위젯입니다:
| 이름 | 설명 |
|---|---|
| 요약 위젯 |
페이지 상단의 막대는 스토리에 대한 기본 정보를 요약하여 포함합니다.:
|
| 타임라인 | 스토리 내에서 발생한 이벤트 또는 조치의 타임라인. |
| 세부 정보 |
스토리의 기본 정보입니다.
|
| 엔터티 | 사건에 관련된 엔터티. 이는 사용자, 장치, 사이트, 데이터 저장소, 애플리케이션 등이 될 수 있습니다. 스토리는 여러 사용자 및 디바이스에 대한 경고를 포함할 수 있습니다. |
| 알림 |
Defender 사건과 관련된 알림의 세부 정보를 보여줍니다.
다음은 테이블에 있는 열입니다:
|
| 증거 |
모든 프로세스, 파일, 레지스트리 값 및 네트워크 매개변수에 대한 세부 정보가 스토리의 다양한 알림에 대해 증거로 식별됩니다. 증거 테이블의 일부 열은 모든 유형의 증거에 공유되고 일부는 유형에 따라 다릅니다. 다음은 모든 유형의 증거에 나타나는 열입니다:
다음은 각 유형의 증거에 대한 특정 열입니다:
|
Microsoft 커넥터 개요
Cato의 Microsoft Defender 커넥터를 구성하여 경고 데이터를 가져오려면 먼저 Microsoft 365 커넥터를 부모 앱으로 구성하여 Defender 커넥터에 읽기 권한을 부여해야 합니다. 부모 앱은 Microsoft 커넥터를 관리할 수 있는 권한만 가집니다. Microsoft 365 커넥터를 구성한 후 경고 데이터를 검색하기 위해 Defender 커넥터를 구성할 수 있습니다.
조직 내 다양한 하위 조직에서 경고 데이터를 가져오려면 관련 Azure 테넌트별로 별도의 Microsoft 365 커넥터를 생성한 다음 각 테넌트에 대한 Defender 커넥터를 구성합니다.
- Microsoft 365 E3 라이선스 이상이 필요합니다
- Microsoft 365 커넥터는 Cato의 Defender 커넥터에 권한을 부여하기 위해 글로벌 관리자 역할을 가진 관리자가 필요합니다.
Microsoft 365 계정을 위한 부모 Microsoft 365 커넥터를 구성한 다음 Defender 커넥터를 정의합니다.
조직이 Microsoft 앱에 대한 Saas Security API 정책이나 DLP 정책에 대한 MIP 라벨 가져오기 등 다른 기능을 위해 이미 Microsoft 365 부모 커넥터를 구성한 경우, Defender 커넥터만 구성하면 됩니다.
관련 Azure 테넌트를 위해 Microsoft 365 SaaS 애플리케이션 커넥터를 생성하려면 Cato 관리 애플리케이션을 사용합니다. 커넥터를 Cato 계정에 추가하려면 Microsoft 365에 인증할 수 있는 올바른 자격 증명이 필요합니다.
Microsoft 365 부모 엔드포인트 커넥터를 구성하려면:
- 내비게이션 메뉴에서 보안 > 커넥터를 선택하고, 커넥터 설정 탭을 선택합니다.
- 새로 만들기를 클릭합니다. 새 커넥터 패널이 열립니다.
-
SaaS 애플리케이션 드롭다운 메뉴에서 Microsoft 365 앱을 선택합니다.
- 고유한 커넥터 이름을 입력합니다.
-
인증 및 저장을 클릭합니다.
새 브라우저 탭이 Microsoft 365 앱으로 열립니다.
- 새 브라우저 탭에서 Microsoft 365 앱에 인증합니다:
- Microsoft 365 앱에 대한 Microsoft 계정을 선택합니다.
- 앱의 비밀번호를 입력하고 승인합니다.
-
Cato가 Microsoft 365 앱에 액세스할 수 있는 권한을 허용합니다.
-
화면에 앱에 대한 권한을 성공적으로 적용했다는 메시지가 표시됩니다.
브라우저 탭을 닫고 Cato 관리 애플리케이션으로 돌아갑니다.
-
Microsoft 365 SaaS 애플리케이션이 커넥터 설정 페이지에 추가됩니다.
Microsoft Azure가 요청을 처리하는 데 몇 초가 걸릴 수 있으며, 상태가 사용자 동의 대기 중으로 표시되면 브라우저를 새로 고칩니다.
Microsoft Defender for Endpoint SaaS 애플리케이션 커넥터를 Azure 테넌트에 대해 생성하려면 Cato 관리 애플리케이션을 사용하십시오. 커넥터를 Cato 계정에 추가하려면 Microsoft 365에 인증할 수 있는 올바른 자격 증명이 필요합니다.
참고
참고: Microsoft 365 앱에 대한 API 커넥터를 생성할 때, 커넥터는 3개월 동안 유효한 인증서를 만들고, 만료 7일 전에 인증서를 갱신합니다.
Microsoft Defender 커넥터를 구성하려면:
- 내비게이션 메뉴에서 보안 > 커넥터를 선택하고, 커넥터 설정 탭을 선택합니다.
- 새로 만들기를 클릭합니다. 새 커넥터 패널이 열립니다.
-
SaaS 애플리케이션 드롭다운 메뉴에서 Microsoft Defender 앱을 선택합니다.
- 커넥터 테넌트 드롭다운 메뉴에서 사용하고자 하는 경고 데이터를 가진 테넌트에 대한 부모 Microsoft 365 커넥터를 선택합니다.
- Defender 커넥터에 대한 고유한 커넥터 이름을 입력합니다.
- 저장을 클릭합니다.
-
커넥터가 성공적으로 생성되면 인증을 클릭합니다.
새 브라우저 탭이 Microsoft 365 앱으로 열립니다.
- 새 브라우저 탭에서 Microsoft 365 앱에 인증합니다:
- Microsoft 365 앱에 대한 Microsoft 계정을 선택합니다.
- 앱의 비밀번호를 입력하고 승인합니다.
-
Cato가 Microsoft 365 앱에 액세스할 수 있는 권한을 허용합니다.
-
화면에 앱에 대한 권한을 성공적으로 적용했다는 메시지가 표시됩니다.
브라우저 탭을 닫고 Cato 관리 애플리케이션으로 돌아갑니다.
-
Microsoft Defender SaaS 애플리케이션이 커넥터 설정 페이지에 추가됩니다.
Microsoft Azure가 요청을 처리하는 데 몇 초가 걸릴 수 있으며, 상태가 사용자 동의 대기 중으로 표시되면 브라우저를 새로 고칩니다.
커넥터 설정 페이지의 상태 열은 Microsoft 앱과 Cato 계정 간 연결 상태를 보여줍니다. 이것들은 상태에 대한 설명입니다:
- 연결됨 - 계정이 앱과 연결되어 있으며 제대로 작동하고 있습니다
- 사용자 동의 대기 중 - Cato가 Microsoft 365 앱에 액세스할 수 있도록 권한이 부여되지 않았습니다. 이 문제를 해결하려면 브라우저를 새로 고칩니다. 상태가 연결됨으로 변경되면 문제가 해결되었으며, 상태가 변경되지 않으면 커넥터를 삭제하고 다시 생성합니다.
- 오류 - Microsoft 커넥터에 연결, 권한, 기타 문제가 있습니다. 커넥터를 삭제하고 다시 생성합니다.
커넥터를 생성한 후 스토리는 스토리 워크벤치에 표시됩니다.
Stories Workbench의 열에 관한 정보는 스토리 열 이해하기를 참조하십시오.
Microsoft Defender의 데이터를 포함한 XOps 스토리 검토에 대한 자세한 내용은 Drilling-Down and Analyzing XOps Security Stories를 참조하세요.
댓글 0개
댓글을 남기려면 로그인하세요.