Latest / M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어) / Microsoft Defender for Identity 쉽게 이해하기: Active Directory를 노리는 ID 공격 탐지 방법 (AI 더빙)

Transcript

Microsoft Defender for Identity 쉽게 이해하기: Active Directory를 노리는 ID 공격 탐지 방법 (AI 더빙) · M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어)

• 0:00
  마이크로소프트 365, 코파일럿, AI, 에이저, 그리고 일의 미래를 만들어가는 사람들과 함께하는 10일간의 여정을 준비되셨나요?
• 0:08
  오는 1월, M365 컨이더 커진 규모로 돌아옵니다.
• 0:12
  전세계 MVP와 업계 전문가들이 전하는 라이브 세션, 실전 데모, 그리고 실무 지식을 만나보세요.
• 0:18
  뻔한 슬라이드는 없습니다. 지루한 유행어도 없습니다.
• 0:21
  코파일럿 스튜디오, AI 에이전트, 패브릭, 보안, 거버넌스, 자동화 등 실제적인 과제들을 다룹니다.
• 0:29
  IT 전문가든, 개발자든, 비즈니스 리더든 여러분을 위한 맞춤형 세션이 준비되어 있습니다.
• 0:35
  10일간의 긴 일정 동안 다양한 기술을 탐구하고 글로벌 커뮤니티와 소통할 수 있습니다.
• 0:40
  라이브로 시청하고 조직에 바로 적용할 수 있는 실무 인사이트를 얻어가세요.
• 0:45
  2027년 1월, 10일간의 여정, 하나의 마이크로소프트 커뮤니티, 지금 바로 등록하세요.
• 0:51
  오늘 여러분의 자리를 확보하세요.
• 0:55
  사이트는 m365con.net입니다.
• 0:57
  m365con.net에서 참여하시고, 1월 라이브 세션에서 뵙겠습니다.
• 1:04
  공격자가 방화벽을 뚫고 침입하는 대신 정상적인 비밀번호를 훔치면 어떤 일이 벌어질까요?
• 1:09
  진행을 맡은 미르코 피터스입니다.
• 1:11
  오늘은 마이크로소프트 디펜더포 아이덴티티에 대해 이야기해보겠습니다.
• 1:14
  대부분의 보안도구는 경계방어에 집중합니다.
• 1:16
  뭐래요?
• 1:17
  의심스러운 파일, 비정상적인 네트워크 트래픽을 감시하죠.
• 1:20
  하지만 아이디 공격은 이 모든 과정을 완전히 건너뛭니다.
• 1:22
  훔친 비밀번호를 가진 공격자는 굳이 침입할 필요가 없습니다.
• 1:25
  그냥 로그인하면 그만이며, 외부에서 보기엔 모든 것이 정상적으로 보입니다.
• 1:28
  이 에피소드가 끝날 때 쯤이면 여러분은 마이크로소프트 디펜더포 아이덴티티 위 정의와 필요성,
• 1:33
  그리고 기존 보안도구가 놓치는 의협을 어떻게 감지하는지 이해하게 될 것입니다.
• 1:37
  먼저 왜 아이디 보안이 새로운 격전지가 되었는지부터 살펴보겠습니다.
• 1:41
  아이디 보안 문제.
• 1:42
  20년 전, 네트워크 보안은 건물을 철저히 잠그는 것을 의미했습니다.
• 1:46
  방화벽을 설치하고, 모든 기기에 백신을 돌리고, 모두에게 강력한 비밀번호 사용을 권장했죠.
• 1:51
  그 당시에는 공격자가 방어선을 뚫고 들어와야 했기 때문에 꽤 효과적이었습니다.
• 1:55
  그들은 취약점을 찾고, 이를 악용한 뒤 네트워크 내부를 이동해야 했습니다.
• 1:59
  경계가 곧 벽이었고, 그 벽은 경고했지만, 문제는 이제 그런 방식이 더 이상 통하지 않는다는 것입니다.
• 2:03
  공격자는 침입하지 않습니다.
• 2:05
  그냥 로그인합니다.
• 2:06
  피싱, 데이터 유출.
• 2:07
  단순 추측으로 정상적인 비밀번호를 탈취해 정문으로 당당히 걸어 들어옵니다.
• 2:11
  현재 랜섬웨어 공격의 79%가 유출된 자격 증명으로 인해 발생합니다.
• 2:14
  이는 결코 소수의 문제가 아닙니다.
• 2:16
  공격자가 침입하는 주된 경로이며, 그 수치는 매우 심각합니다.
• 2:19
  2025년 기준, 조직의 70%가 최소 한 번 이상의 아이디 관련 보안 침해를 경험했습니다.
• 2:23
  평균 복부 비용은 164만 달러에 달합니다.
• 2:26
  여기에는 단순히 랜섬워니 지불뿐만 아니라, 시스템 중단, 포렌식 조사, 법적 비용, 규제 벌금, 평판 손실까지 포함됩니다.
• 2:32
  중견기업의 경우, 평균 피해 비용은 여전히 75만 달러에 달합니다.
• 2:35
  즉, 이는 이론적 인위험이 아니라 어디에서나 일어나고 있는 현실입니다.
• 2:39
  핵심 문제는 다음과 같습니다.
• 2:40
  기존 보안도구는 뭐래요?
• 2:42
  위심스러운 파일, 비정상적인 네트워크 연결을 감시하지만, 사용자 행동은 파악하지 못합니다.
• 2:46
  로그인이 정상적인지, 위심스러운지 알지 못하는 것이죠.
• 2:49
  탈취된 비밀번호를 사용하는 공격자는 합법적인 사용자와 완전히 똑같이 보입니다.
• 2:52
  같은 사용자 이름, 같은 비밀번호, 같은 인증 과정을 거치니까요.
• 2:55
  유일한 차이점은 의도뿐입니다.
• 2:57
  비정상적인 행동 패턴을 감시하지 않는다면, 너무 늦기 전까지는 이를 알아챌 수 없습니다.
• 3:01
  이러한 공백을 메우기 위해 디펜더포 아이덴티티가 만들어졌습니다.
• 3:04
  감시자를 감시하는 역할을 하는 것이죠.
• 3:06
  아이디 인프라를 모니터링하여 각 사용자와 기기의 정상적인 상태를 학습하고,
• 3:09
  이에 부합하지 않는 모든 것을 표시합니다.
• 3:11
  머레어를 찾는 것이 아니라, 이해할 수 없는 행동을 찾아내는 것입니다.
• 3:14
  그렇다면 디펜더포 아이덴티티란 정확히 무엇이며 어떻게 작동할까요?
• 3:18
  디펜더포 아이덴티티란 무엇일까요?
• 3:20
  가장 간단하게 정의해드리겠습니다.
• 3:22
  마이크로소프트 디펜더포 아이덴티티는 온 프레미스 액티브 디렉토리를 대상으로
• 3:25
  아이디 기반 공격을 감시하는 클라우드 기반 보안도구입니다.
• 3:28
  엔트라 아이디라고 하지 않았다는 점에 주목하세요.
• 3:30
  흔히 혼동하는 부분입니다.
• 3:32
  디펜더포 아이덴티티는 도메인 컨트롤러, 액티브 디렉토리,
• 3:35
  ADFS 서버를 포함한 논 프레미스 아이디 인프라에 중점을 둡니다.
• 3:38
  이는 귀사의 데이터 센터나 서버에 직접 구축된 자산을 의미합니다.
• 3:41
  클라우드 전용 솔루션이 아닙니다.
• 3:43
  그럼 어떻게 작동할까요?
• 3:44
  행동 분석 기능을 사용합니다.
• 3:46
  각 사용자와 기기의 정상적인 상태를 학습한 다음,
• 3:48
  비정상적인 모든 상황을 표시합니다.
• 3:50
  모든 직원의 일과를 알고 있는 보안요원이라고 생각하면 됩니다.
• 3:53
  누가 오전 8시에 출근하고, 누가 야근을 하며,
• 3:56
  누가 서버실에 출입하는지 알고 있죠.
• 3:57
  누군가 새벽 3시에 나타나 서버실 문을 열려고 하면,
• 4:00
  보안요원은 즉시 알아챕니다.
• 4:02
  디펜더포 아이덴티티가 디지털 환경에서 하는 역할이 바로 그것입니다.
• 4:05
  이 도구가 무엇이 아닌지 확실히 짚고 넘어가죠.
• 4:07
  백신도, 방화벽도, 패치 관리 솔루션도 아닙니다.
• 4:11
  완전히 다른 범주인 아이디 의협탐지 도구입니다.
• 4:14
  악성 파일을 찾는 것이 아니라 악성 행동을 찾는 것입니다.
• 4:17
  이러한 구분이 중요한 이유는 오늘날 가장 위험한 공격들은 머레어를 전혀 사용하지 않고 합법적인 자격증명을 사용하기 때문입니다.
• 4:23
  디펜더포 아이덴티티는 마이크로소프트 위 확장탐지 및 대응 플랫폼인 마이크로소프트 디펜더 XDR 내부에 위치합니다.
• 4:29
  실제로 이는 디펜더포 엔드포인트, 디펜더포 오피스 365, 마이크로소프트 센티널과 신호를 공유한다는 의미입니다.
• 4:35
  따라서 디펜더포 아이덴티티 가 도메인 컨트롤러에서 위심스러운 로그인을 감지하면 디펜더포 오피스 365가 탐지 한 피싱 이메일이나 디펜더포 엔드포인트 가 탐지 한 사용자 노트북의 위심스러운 프로세스와 상호 참조할 수 있습니다.
• 4:47
  진정한 가치는 단일 경고에 있는 것이 아니라 이러한 도구들이 함께 작동하여 공격의 전체 과정을 파악하는 데 있습니다.
• 4:53
  단일 경고는 오탐처럼 보일 수 있지만 피싱 이메일, 유출된 자격 증명, 측면 이동을 포함한 전체 상황을 보면 정확히 무슨 일이 일어났는지 알 수 있습니다.
• 5:01
  시스템 내부를 살펴보고 실제로 위협을 어떻게 감지하는지 알아보겠습니다.
• 5:05
  작동 방식, 센서 및 행동 분석에 대해 설명합니다.
• 5:08
  디펜더포 아이덴티티는 도메인 컨트롤러에 설치되는 경량 센서를 사용합니다.
• 5:11
  그것이 퍼즐의 핵심 조각입니다.
• 5:13
  센서가 없으면 아무것도 이루어지지 않습니다.
• 5:15
  센서는 데이터를 캡처하며 가능한 한 방해가 되지 않도록 설계되었습니다.
• 5:19
  백그라운드에서 조용히 실행되면서 도메인 컨트롤러의 속도를 저하시키지 않고 네트워크 트래픽과 윈도우즈 이벤트를 익습니다.
• 5:24
  이 센서들을 시스템의 눈과 귀라고 생각하십시오.
• 5:28
  센서는 세 가지 주요 정보를 캡처합니다.
• 5:30
  기기 간의 인증 요청 흐름을 확인하는 네트워크 트래픽, 운영체제 수준의 이벤트를 확인하는 윈도우즈 이벤트, 그리고 누가 어디서 언제 로그인하는지 확인하는 인증 활동입니다.
• 5:39
  이 모든 데이터는 분석을 위해 디펜더포 아이덴티티 클라우드 서비스로 전송됩니다.
• 5:43
  센서 자체가 복잡한 작업을 수행하는 것은 아니면 단지 데이터를 수집하고 전달할 뿐입니다.
• 5:47
  데이터가 클라우드에 도달하면 본격적인 작업이 시작됩니다.
• 5:49
  클라우드 서비스는 사용자 환경에 모든 사용자에 대한 기준 프로필을 구축합니다.
• 5:54
  일반적인 로그인 시간, 주로 사용하는 워크 스테이션, 평소 액세스하는 리소스를 학습합니다.
• 5:59
  이것이 행동 분석 부분입니다.
• 6:01
  시스템에는 무엇이 정상인지에 대한 사전 구성된 규칙이 없습니다.
• 6:04
  실제 환경에서 직접 학습하며, 이는 조직마다 정상적인 상태의 기준이 다르기 때문에 중요합니다.
• 6:09
  기준에서 벗어나는 무언가가 발생하면 경고가 트리거됩니다.
• 6:12
  예를 들어, 항상 오전 9시에서 오후 5시 사이에 로그인하던 사용자가 갑자기 오전 3시에 사용한 적 없는 워크 스테이션에서 인증을 시도하는 경우입니다.
• 6:18
  이는 편차이며, 시스템은 이를 플래그 처리합니다.
• 6:20
  즉시 악의적이라고 단정하지는 않지만, 보안팀이 조사할 수 있도록 경고를 발생시킵니다.
• 6:25
  어떤 종류의 공격을 실제로 감지할까요?
• 6:27
  목록은 길지만, 주요 공격은 다음과 같습니다.
• 6:29
  패스 더 해시 공격.
• 6:30
  공격자가 비밀번호 해시를 훔쳐 인증해 사용하는 방식입니다.
• 6:33
  커버호스팅.
• 6:34
  공격자가 권한 있는 계정에 대한 서비스 티켓을 요청하고, 오프라인에서 크랙하는 방식입니다.
• 6:38
  골든 티켓 사용.
• 6:39
  공격자가 커버로스 티켓을 위조하여 도메인 전체 액세스 권한을 얻는 방식입니다.
• 6:48
  그리고 공격자가 침해된 계정을 사용하여, 기기에서 기기로 이동하는 측면 이동이 있습니다.
• 6:53
  각 탐지 항목은 공격기법을 설명하는 업계 표준인 MITRE ATTNCK 프레임워크에 맵핑됩니다.
• 6:58
  따라서 디펜더4 아이덴티티가 무언가를 표시할 때 단순히, 위심스러운 활동이라고만 말하지 않습니다.
• 7:03
  이것은 특정 기법에 맵핑된 패스 더 해시, 패스 더 해시, 공격입니다. 라고 알려줍니다.
• 7:07
  이는 보안팀에게 무엇을 다루고, 어떻게 대응해야 할지에 대한 즉각적인 맥락을 제공합니다.
• 7:12
  여기 진짜 차이점이 있습니다.
• 7:14
  단순히 무슨 일이 일어났다고 알리는 것이 아니라, 공격 타임라인을 보여줍니다.
• 7:18
  비지점으로 어떻게 이동했는지 추적합니다.
• 7:20
  따라서, 위심스러운 로그인, 이라는 단일 경고 대신 전체적인 이야기를 확인할 수 있습니다.
• 7:24
  초기 침해, 측면 이동, 권한 상승, 도메인 장악이 모두 하나의 타임라인으로 연결됩니다.
• 7:31
  그것이 경고만 주는 도구와 이해를 돕는 도구의 차이입니다.
• 7:34
  공격 단계를 살펴보고 디펜더4 아이덴티티 가각 단계를 어디서 포착하는지 확인해보겠습니다.
• 7:39
  디펜더4 아이덴티티 가 포착하는 공격 수명 주기입니다.
• 7:41
  공격자들은 예측 가능한 패턴을 따릅니다.
• 7:43
  전혀 무작위가 아닙니다.
• 7:44
  그들은 단계를 거치며, 각 단계에는 구체적인 목표가 있습니다.
• 7:48
  단계는 정찰, 자격 증명 침해, 측면 이동, 도메인 장악입니다.
• 7:52
  이 단계들을 이해하면 디펜더4 아이덴티티 가 어디에 적용되는지 정확히 알게 될 것입니다.
• 7:56
  그런데 실제로 어떤 모습일까요?
• 7:58
  정찰부터 시작하겠습니다.
• 7:59
  공격자는 아직 접근 권한이 없습니다.
• 8:01
  그들은 단지 주변을 둘러보고, 네트워크를 스캔하며,
• 8:04
  계정, 그룹, 신뢰관계를 찾고 있습니다.
• 8:06
  누가 관리자인지, 어떤 계정이 높은 권한을 가졌는지,
• 8:09
  도메인이 어떻게 구성되어 있는지 파악하려고 합니다.
• 8:11
  그들은 종종 블러드하운드와 같은 도구를 사용하여 환경을 맵핑합니다.
• 8:14
  디펜더4 아이덴티티는 의심스러운 LDAP 쿼리나 열거 시도를 감시하여 이를 찾아 냅니다.
• 8:19
  이전에 시도한 적 없는 워크스테이션에서 누군가 모든 도메인 관리자 계정을 쿼리하기 시작하면 경고가 발생합니다.
• 8:24
  공격자는 아직 해로운 행동은 하지 않았지만, 그들이 탐색 중이라는 것을 알 수 있습니다.
• 8:28
  다음은 자격 증명 침해입니다.
• 8:29
  공격자는 피싱, 데이터 유출 또는 다크 웹 구매를 통해 비밀번호를 얻을 방법을 찾았습니다.
• 8:34
  이제 그들은 합법적인 사용자 이름과 비밀번호를 확보했습니다.
• 8:37
  디펜더4 아이덴티티는 이 단계에서 비정상적인 로그인을 표시합니다.
• 8:40
  비정상적인 로그인에는 사용자가 새벽 3시에 새로운 위치에서 로그인하거나,
• 8:44
  평소 5개의 파일만 접근하던 사용자가 갑자기 수백 개의 파일에 접근하는 경우가 포함됩니다.
• 8:48
  이는 매뢰어 탐지가 필요 없는 행동의 편차입니다.
• 8:51
  단지 무엇이 정상인지 이해하는 것만으로 충분합니다.
• 8:54
  그 다음 측면 이동이 이어집니다.
• 8:56
  공격자는 발판을 마련했지만, 아직 권한 있는 계정은 아닐 가능성이 큽니다.
• 8:59
  그들은 고가치 타겟에 도달하기 위해 네트워크 전반을 이동해야 합니다.
• 9:02
  그들은 패스더 해시, 패스더 해시, 패스더 티켓, 패스더 티켓, 오버패스더 해시와 같은 기술을 사용하여 기기관을 이동합니다.
• 9:07
  각 이동은 정상적인 인증처럼 보이지만, 그 패턴은 의심스럽습니다.
• 9:10
  디펜더4 아이덴티티는 인증 이상 징후를 감시하여 이를 탐지합니다.
• 9:14
  사용자 계정이 5분 만에 서로 다른 3개의 워크스테이션에서 인증을 시도한다면,
• 9:17
  이는 정상적인 인간의 행동이 아닙니다.
• 9:18
  그것은 공격자가 측면으로 이동, 레터럴 무브먼트, 하고 있다는 뜻입니다.
• 9:21
  마지막으로, 도메인 장악 단계입니다.
• 9:22
  여러분에게 보이는 것, 즉 경고, 인시던트, 그리고 조치 취하기에 대해 알아봅니다.
• 9:26
  security.microsoft.com에서 마이크로소프트 디펜더 포털을 열고 아이디 섹션으로 이동하세요.
• 9:29
  그곳이 바로 여러분의 지휘센터입니다.
• 9:31
  가장 먼저 보이는 것은 대시보드이며,
• 9:33
  이는 아이디 환경에서 발생하는 모든 상황을 빠르게 파악할 수 있게 해줍니다.
• 9:37
  모니터링 중인 사용자 수, 활성 경고 수, 센서의 상태 등을 확인할 수 있습니다.
• 9:42
  이 대시보드는 몇 분이 아닌 몇 초 만에 현황을 파악하도록 설계되었습니다.
• 9:45
  대시보드에는 아이디 보안 점수라는 항목도 있습니다.
• 9:48
  이는 0점에서 100점 사이의 수치로 아이디 인프라를 얼마나 잘 보호하고 있는지 보여줍니다.
• 9:53
  이는 이론적인 지표가 아니라 실제 구성과 권장사항을 기반으로 합니다.
• 9:56
  센서가 없는 도메인 컨트롤러가 있다면 점수가 하락합니다.
• 9:59
  다단계 인증을 사용하지 않는 사용자가 있다면 점수가 하락합니다.
• 10:03
  이러한 문제를 해결하면 점수는 올라갑니다.
• 10:05
  이는 보안 상태를 지속적으로 추적할 수 있는 구체적인 방법입니다.
• 10:08
  이제 경고에 대해 이야기해보겠습니다.
• 10:10
  경고는 탐지 규칙에 위해 생성되는데,
• 10:12
  이는 의심스러운 행동이 무엇인지 정의하는 사전 구성된 조건입니다.
• 10:15
  수년간의 위협 연구를 바탕으로 마이크로소프트는 수백 가지의 이러한 규칙을 구축했습니다.
• 10:19
  사용자가 평소와 다른 위치에서 로그인하면 그것이 하나의 탐지 규칙입니다.
• 10:22
  누군가 DC 동기화 공격을 시도하면 그것이 탐지 규칙입니다.
• 10:25
  공격자가 골든 티켓을 사용하면 그것이 탐지 규칙입니다.
• 10:28
  시스템은 환경에서 일어나는 이르리 규칙들과 끊임없이 비교합니다.
• 10:32
  하지만 중요한 점은 여러 경고가 결합되어 하나의 인시던트를 구성할 수 있다는 것입니다.
• 10:35
  공격자는 단순히 한 가지 의심스러운 행동만 하지 않기 때문에 이는 매우 중요합니다.
• 10:39
  그들은 여러 행동을 순차적으로 수행합니다.
• 10:40
  단일 경고는 오탄처럼 보일 수 있지만 정찰, 자격증명 침해, 측면 이동, 도메인 장악 등 전체 인시던트를 보면 무슨 일이 일어났는지 정확히 알 수 있습니다.
• 10:49
  인시던트는 하나의 이야기입니다.
• 10:50
  경고는 그 이야기에 개별 문장 드릴 뿐입니다.
• 10:53
  각 인시던트에는 공격 그래프가 포함되어 있습니다.
• 10:55
  이것은 공격자가 귀하의 환경을 어떻게 이동했는지 보여주는 시각적 지도입니다.
• 10:58
  시작 지점과 이동 경로 상위 모든 지점 그리고 최종 목적지까지 보여줍니다.
• 11:01
  어떤 계정이 침해되었는지, 어떤 기기에 액세스했는지, 어떤 기술이 사용되었는지 확인할 수 있습니다.
• 11:06
  마치 전체 공격에 대한 보안 카메라 영상을 다이어그램 형태로 다시 보는 것과 같습니다.
• 11:10
  또한 포털에서 직접 조치를 취할 수 있습니다.
• 11:12
  손상된 사용자 계정을 식별하더라도 도메인 컨트롤러에 로그인하여 비활성화할 필요가 없습니다.
• 11:17
  디펜더 포털에서 바로 수행할 수 있습니다.
• 11:19
  계정 비활성화, 암호 재설정 강제, 로그인 시도 요청 등이 가능합니다.
• 11:23
  센서가 온 프레미스 액티브 디렉토리와 통신하여 즉시 변경 사항을 적용합니다.
• 11:27
  이것이 도메인 컨트롤러에 센서를 설치하는 것에 강력한 장점입니다.
• 11:30
  단순히 모니터링만 하는 것이 아니라 직접 조치를 취할 수 있습니다.
• 11:32
  이메일 알림도 구성할 수 있습니다. 중요한 경고가 발생하면 보안팀에게 즉시 이메일이 전송됩니다.
• 11:38
  대시보드를 24시간 내내 모니터링 할 필요가 없습니다.
• 11:40
  시스템이 알림을 보내줍니다.
• 11:42
  경고가 MITRE ATTNCK 프레임워크에 맵핑되어 있으므로 포털을 열기 전에도 어떤 유형의 공격인지 정확히 파악할 수 있습니다.
• 11:48
  기본 기능 외에도 알아두면 좋은 몇 가지 고급 기능이 있습니다.
• 11:52
  허니팟, 태깅, 그리고 예외 처리입니다.
• 11:54
  허니팟 계정에 대해 이야기해보겠습니다.
• 11:56
  이것은 허니 토큰이라고도 불리며 이름 그대로의 역할을 합니다.
• 11:59
  공격자를 유인하기 위해 특별히 만든 가짜 사용자 계정입니다.
• 12:03
  익스체인지 관리자나 도메인 백업 서비스와 같이 매력적인 이름을 지정합니다.
• 12:06
  높은 권한을 가진 것처럼 보이는 그룹 멤버십을 부여합니다.
• 12:09
  하지만 중요한 점이 있습니다.
• 12:10
  이 계정들은 실제로는 아무런 용도가 없습니다.
• 12:12
  그 누구도 이 계정에 로그인해서는 안 됩니다.
• 12:14
  어떠한 합법적인 목적으로도 사용되지 않습니다.
• 12:16
  그저 그 자리에 대기하고 있을 뿐입니다.
• 12:17
  누군가 허니팟 계정에 로그인하면 즉시 알 수 있습니다.
• 12:20
  사용자 지정 모니터링을 설정하거나 복잡한 탐지 규칙을 작성해서가 아니라
• 12:23
  디펜더 포 아이덴티티가 해당 계정을 절대 사용해서는 안 된다는 것을 알고 있기 때문입니다.
• 12:27
  누군가 그 계정으로 인증하는 순간 경고가 발생하며 정확히 무슨 일이 일어났는지 알 수 있습니다.
• 12:31
  공격자가 윗기 계정을 발견하고 사용하려고 시도한 것입니다.
• 12:34
  이것은 오탄지가 아니라 확인된 침입 시도입니다.
• 12:37
  디펜더 포털의 설정, 아이디 및 토큰 메뉴에서 이를 설정할 수 있습니다.
• 12:41
  약 30초 정도 걸립니다.
• 12:42
  엔티티 태깅은 또 다른 기능입니다.
• 12:44
  특정 사용자, 장치 또는 그룹을 민감한 것으로 표시하여 추가 모니터링을 수행할 수 있습니다.
• 12:48
  이것이 무엇을 의미하는지 생각해 보십시오.
• 12:51
  도메인 관리자 계정을 민감한 것으로 태그하면
• 12:53
  디펜더 포 아이덴티티는 해당 계정이 수행하는 모든 작업을 더 면밀히 감시합니다.
• 12:56
  정상적인 동작에서 벗어난 모든 행위는 더 높은 우선순위로 표시됩니다.
• 13:00
  해당 계정과 관련된 모든 측면 이동은 경고 수준이 격상됩니다.
• 13:03
  가장 가치 있는 자산에 GPS 추적기를 부착하는 것과 같습니다.
• 13:06
  다음은 예외 규칙입니다.
• 13:07
  때로는 합법적인 보안도구나 관리 프로세스가 잘못된 경고를 유발하기도 합니다.
• 13:11
  취약점 스캐너가 네트워크 내의 모든 머신에 대해 인증을 시도할 수 있습니다.
• 13:14
  그것은 의심스러운 활동으로 보일 수 있습니다.
• 13:16
  백업 소프트웨어가 비정상적인 시간에 도메인 컨트롤러에 액세스할 수 있습니다.
• 13:19
  이것 역시 의심스러워 보입니다.
• 13:21
  특정 IP 주소, 디바이스, 사용자를 특정 탐지 규칙에서 제외하여
• 13:24
  오탄으로 인해 알림 대기열이 복잡해지는 것을 방지할 수 있습니다.
• 13:28
  전역 제외는 모든 탐지 규칙에 적용됩니다.
• 13:30
  규칙별 제외는 좀 더 타겟팅된 방식입니다.
• 13:33
  목표는 동일합니다.
• 13:34
  불필요한 알림을 줄여 보안팀이 실제 위협에 집중하도록 하는 것입니다.
• 13:37
  디펜더 포 아이덴티티는 단독으로 작동하지 않습니다.
• 13:39
  더 큰 그림에서 어떻게 부합하는지 살펴보겠습니다.
• 13:42
  마이크로소프트 보안 에코 시스템에서의 역할입니다.
• 13:44
  그렇다면 디펜더 포 아이덴티티는 마이크로소프트 위더 큰 보안 그림에 어떻게 부합할까요?
• 13:48
  디펜더 XDR 퍼즐의 한 조각으로 생각하시면 됩니다.
• 13:51
  각 도구는 단독으로도 유용하지만 함께 사용할 때 진정한 힘이 발휘됩니다.
• 13:55
  디펜더 포 엔드포인트는 디바이스를 보호합니다.
• 13:58
  모든 노트북과 서버에서 매료어 및 위심스러운 네트워크 활동을 확인합니다.
• 14:01
  디펜더 포 오피스 365는 피싱 시도와 악성 첨부 파일을 차단하여 이메일 및 협업 도구를 보호합니다.
• 14:07
  그리고 디펜더 포 아이덴티티는 사용자 계정을 감시하며 도난된 자격 증명, 측면 이동, 도메인 장악 시도를 탐지합니다.
• 14:13
  각 도구는 개별적으로도 유용하지만 핵심은 함께 신호를 공유하고 연관성을 파악한다는 점입니다.
• 14:19
  도메인 컨트롤러에서의 위심스러운 로그인을 상상해보십시오.
• 14:22
  그 동일한 로그인이 디펜더 포 오피스 365가 이미 차단한 피싱 이메일과 연결되어 있을 수 있습니다.
• 14:26
  공격자가 사서함을 손상시킨 후 측면 이동을 시도하는 상황입니다.
• 14:30
  디펜더 포 아이덴티티가 로그인을 확인하고 디펜더 포 오피스 365가 이메일을 확인하면 마이크로소프트 디펜더 XDR 플랫폼이 단일 인시던트를 생성합니다.
• 14:38
  그것이 바로 개별 알림과 전체적인 공격 시나리오 간의 차이입니다.
• 14:41
  또한 마이크로소프트 위 클라우드 네이티브 SIEM인 마이크로소프트 센티널과도 통합됩니다.
• 14:45
  이곳에서 고급 헌팅과 사용자 지정 탐지를 수행할 수 있습니다.
• 14:48
  쿠스톡 쿼리를 작성하여 모든 디펜더 데이터 즉 아이디, 엔드포인트, 이메일, 클라우드 앱 전반을 검색하고 자동화된 규칙이 놓칠 수 있는 패턴을 찾을 수 있습니다.
• 14:56
  또한 마이크로소프트 엔트라 아이디 프로텍션과 함께 작동합니다.
• 14:59
  차이점은 다음과 같습니다.
• 15:01
  엔트라 아이디 프로텍션은 위험한 로그인과 같은 클라우드 기반 로그인 위험을 처리합니다.
• 15:04
  엔트라 아이디 프로텍스