이 문서는 Microsoft Entra ID Protection 알림에서 감지된 로그인 이상에 대한 XOps 스토리를 검토하기 위해 Stories Workbench를 사용하는 방법을 설명합니다.
참고
참고: XOps는 보안 및 운영을 위한 Cato의 통합 분석 계층으로, 인사이트와 가이드된 수정 조치를 제공합니다. XOps는 XDR을 대체했습니다. 자세한 정보는 XOps FAQ를 참조하세요.
Microsoft Entra ID 보호는 조직이 Entra ID 테넌트에 대한 신원 기반 위험을 탐지하도록 도우며, 예를 들어 악성 활동을 나타낼 수 있는 이상 로그인 같은 것입니다． Microsoft API를 사용하여 Microsoft Entra ID Protection의 알림 데이터를 통합하여 Cato XOps (이전의 XDR) 스토리를 생성할 수 있습니다. 이를 통해 분석가는 광범위한 XOps 조사 맥락 내에서 위험한 로그인 데이터를 포함할 수 있습니다. Cato Entra 신원 알림 엔진은 동일한 사용자에게 24시간 동안 발생한 Entra ID 보호 경고 데이터를 상관시켜 스토리를 생성합니다． XDR 발견 사건은 Entra 식별 경고 스토리를 다른 스토리 유형과 함께 보여주며, 스토리를 정렬하고 필터링하여 Entra 식별 경고 스토리를 집중적으로 볼 수 있습니다．
Microsoft Entra ID의 로그인 이벤트 데이터를 통합하여 Entra 식별 경고 스토리를 풍부하게 할 수 있습니다． 이는 Entra ID 보호가 제공하는 이상 알림 데이터와 비교할 수 있는 사용자의 일반적인 로그인 동작에 대한 컨텍스트를 제공합니다．
Microsoft Entra ID의 데이터를 포함하여 XOps 스토리 검토에 대한 자세한 내용은 XOps 보안 스토리 자세히 분석하기를 참조하세요.
-
Microsoft Entra ID Protection 알림에 대한 XOps 스토리는 Microsoft Entra ID Protection 커넥터를 구성해야 합니다. 필요한 Microsoft 라이선스 및 권한을 포함한 커넥터 구성에 대한 자세한 내용은 로그인 이상 현상 데이터에 대한 Microsoft Entra ID 보호 커넥터 구성을 참조하십시오．
-
로그인 이벤트 및 사용자 로그인 이벤트 위젯의 로그인 이벤트 데이터에 대한 Microsoft Entra ID 커넥터 구성이 필요합니다． 필요한 Microsoft 라이선스 및 권한을 포함한 커넥터 구성에 대한 자세한 내용은 Microsoft Entra ID (Azure AD) 커넥터 구성을 참조하십시오．
Note
참고：
-
Microsoft Entra ID 보호 커넥터만 구성하면 Entra 신원 스토리가 생성되지만 로그인 이벤트 및 사용자 로그인 이벤트 위젯에 데이터가 표시되지 않습니다．
-
Microsoft Entra ID 커넥터만 구성하면 Entra 신원 스토리가 생성되지 않습니다．
커넥터 설정 페이지의 상태 열에는 CrowdStrike 앱과 카토 계정 간 연결 상태가 표시됩니다. 상태에 대한 설명은 다음과 같습니다:
-
연결됨 - 귀하의 계정이 앱에 연결되어 정상적으로 작동 중입니다.
-
사용자 동의 대기 중 - 카토가 CrowdStrike 앱에 접근할 수 있는 권한이 아직 부여되지 않았습니다. 이 문제를 해결하려면 브라우저를 새로 고치십시오. 상태가 연결됨으로 변경되면 문제가 해결된 것입니다. 상태가 변경되지 않으면 커넥터를 삭제하고 다시 생성하십시오.
-
오류 - 커넥터에 연결, 권한, 라이센스 또는 기타 문제가 있습니다. 커넥터를 삭제하고 다시 생성하십시오.
커넥터를 생성하면 스토리가 스토리 작업 페이지에 표시됩니다.
XDR 발견 사건의 파일에 대한 정보는 XDR 발견 사건의 파일 이해를 참조하십시오
Microsoft Defender의 데이터를 포함하여 XOps 스토리 검토에 대한 자세한 내용은 XOps 보안 스토리 자세히 분석하기를 참조하세요.
댓글 0개
이 문서에는 댓글을 달 수 없습니다.