Microsoft Defender: 엔드포인트용 공격 표면 감소 규칙

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

엔드포인트를 공격 표면 감소 규칙으로 강화하세요. 고급 KQL 쿼리를 사용해 ASR 규칙의 효과를 감사하고, 탐지 성능을 높이고 제외 항목을 세밀하게 조정하세요.

Automatically translated with AI from the original post. Read the English original

공격 표면 감소 규칙을 감사하는 일은 조직의 보안 상태를 유지하는 데 중요한 역할을 합니다. 고급 KQL을 활용하면 이 과정을 상당히 간소화할 수 있습니다. 이 강력한 쿼리 언어를 사용하면 데이터를 더 효과적으로 분석할 수 있어 시간을 절약하고 정확성도 높일 수 있습니다. 고급 KQL로 취약점을 빠르게 식별하고 보안 정책 준수를 확인할 수 있습니다. 이러한 접근 방식은 감사 역량을 높일 뿐 아니라 보안 전략에 관한 정보에 입각한 결정을 내리는 데도 도움이 됩니다.

핵심 요약

• 감사 역량을 높이려면 KQL 쿼리의 기본 구조를 이해하세요.
• 필터링 기법을 사용해 특정 ASR 규칙과 관련 데이터에 집중하세요.
• 데이터 테이블을 조인해 정보를 결합하면 ASR 감사를 종합적으로 볼 수 있습니다.
• count() 및 summarize 같은 함수를 활용하면 추세와 패턴을 효과적으로 분석할 수 있습니다.
• 규정 준수와 보안 상태를 유지하려면 정기 감사 일정을 수립하세요.
• 진행 상황을 추적하고 시간에 따른 추세를 파악하려면 발견 사항을 꼼꼼히 문서화하세요.
• 결과를 분석하고 피드백을 수렴하며 감사 프로세스를 지속적으로 개선하세요.
• 감사 데이터의 신뢰성을 확보하려면 데이터 공백을 선제적으로 해결하세요.

1. 워크스페이스 간 조인은 실용적이고 빠릅니다 — 고급 KQL은 여러 워크스페이스에 걸친 조인을 지원하므로, 대규모 ETL 없이도 ASR 감사에서 엔드포인트 이벤트, 위협 신호, 구성 데이터를 상관 분석할 수 있습니다.
2. 근사 함수로 대규모 쿼리를 빠르게 처리합니다 — approx_count_distinct, percentile_approx 같은 함수를 사용하면 훨씬 적은 컴퓨팅 자원과 거의 실시간에 가까운 응답으로 방대한 ASR 텔레메트리를 요약할 수 있습니다.
3. 시계열 연산자로 미묘한 추세를 파악합니다 — make-series, series_fir, series_decompose 같은 연산자는 단순 필터로는 놓치기 쉬운 ASR 규칙의 점진적 변화와 반복되는 정책 예외를 찾아내는 데 도움이 됩니다.
4. 엔티티 보강이 기본으로 제공됩니다 — KQL은 위협 인텔리전스, 디바이스 인벤토리, ID 속성으로 ASR 감사 데이터를 즉석에서 보강할 수 있어, 별도의 보강 파이프라인 없이도 맥락이 담긴 경고를 생성합니다.
5. 렌더링과 시각화로 오탐을 줄입니다 — 쿼리에서 render timechart, barchart, heatmap을 직접 사용하면 감사자가 조사가 필요한 이상 ASR 규칙 적중과 단순 노이즈를 빠르게 구별할 수 있습니다.
6. 쿼리 제한과 비용 제어가 정밀합니다 — KQL은 take, limit, row_count_between 같은 쿼리 시점 제어 기능과 쿼리 진단 기능을 제공하므로, 감사자는 리소스 사용을 제한하면서도 실행 가능한 ASR 인사이트를 추출할 수 있습니다.
7. 정규식과 시퀀스를 활용한 고급 패턴 탐지 — regex, mv-expand, sequence 연산자를 결합하면 단순한 이벤트 수 집계로는 놓칠 수 있는 복합적인 다단계 공격 패턴을 ASR 로그에서 식별할 수 있습니다.

고급 KQL 환경 설정

KQL 사전 요구 사항

고급 KQL을 시작하기 전에 몇 가지 사전 요구 사항을 충족해야 합니다. 먼저 쿼리에 필요한 데이터를 제공하는 Microsoft Defender에 접근할 수 있어야 합니다. 기본적인 프로그래밍 개념에 익숙하면 KQL을 이해하는 데도 도움이 됩니다. 주요 사전 요구 사항은 다음과 같습니다.

• Microsoft Defender 접근 권한: 보안 데이터를 수집하는 데 필수적인 도구입니다.
• 데이터 쿼리 기본 이해: 간단한 쿼리를 읽고 작성할 수 있으면 학습 과정이 한결 수월해집니다.
• 보안 개념에 대한 이해: 취약점과 규정 준수 같은 용어를 이해하면 감사 역량을 높이는 데 도움이 됩니다.

KQL 도구

KQL을 효율적으로 다루려면 적절한 도구가 필요합니다. 시작하는 데 도움이 되는 권장 도구는 다음과 같습니다.

• Kusto Query Explorer: 웹 기반 도구로, KQL 쿼리를 실시간으로 작성하고 테스트할 수 있습니다.
• Azure Data Explorer: 대규모 데이터셋에 대해 KQL 쿼리를 실행할 수 있는 강력한 환경을 제공하는 플랫폼입니다.
• Microsoft Defender 포털: 이 포털에서 보안 데이터와 인사이트에 접근할 수 있으며, KQL을 사용해 이를 분석할 수 있습니다.

환경 구성

최적의 KQL 성능을 얻으려면 환경을 올바르게 구성하는 것이 무엇보다 중요합니다. 다음 단계를 따라 환경을 효과적으로 설정하십시오.

1. 필수 도구 설치: 먼저 Kusto Query Explorer를 설치하고 Microsoft Defender에 접근할 수 있는지 확인합니다.
2. 데이터 소스 설정: 도구를 관련 데이터 소스에 연결합니다. 이 연결을 통해 쿼리에 필요한 데이터를 가져올 수 있습니다.
3. 쿼리 성능 최적화: materialize 함수를 사용하면 중간 결과를 캐시하여 쿼리 속도를 높일 수 있습니다. KQL 쿼리에서 연산자의 배치는 출력과 성능 모두에 큰 영향을 미칩니다. 따라서 최상의 결과를 얻으려면 쿼리를 신중하게 구성하십시오.

이 단계를 따르면 ASR 감사에서 고급 KQL을 사용하기 위한 탄탄한 기반을 마련할 수 있습니다. 이 설정은 감사 프로세스를 간소화할 뿐만 아니라 결과의 정확성도 높여 줍니다.

ASR 감사를 위한 KQL 쿼리

기본 쿼리 구조

ASR 감사를 위해 KQL 쿼리를 작성하기 시작할 때는 기본 구조를 이해하는 것이 필수적입니다. KQL 쿼리는 보통 원하는 데이터를 가져오기 위해 함께 작동하는 여러 구성 요소로 이루어집니다. KQL 쿼리의 핵심 구성 요소는 다음과 같습니다.

• 테이블 이름: 쿼리할 데이터 소스를 지정합니다. ASR 감사에서는 DeviceEvents나 AlertEvidence와 같은 테이블을 사용할 수 있습니다.
• 연산자: 데이터에 대해 작업을 수행하는 명령입니다. 대표적인 연산자로는 where, project, summarize가 있습니다.
• 필터: 필터를 적용해 결과 범위를 좁힐 수 있습니다. 예를 들어 날짜나 특정 ASR 규칙으로 필터링할 수 있습니다.
• 함수: 함수를 사용하면 데이터를 가공할 수 있습니다. 함수로 발생 횟수를 세거나 평균을 계산할 수 있습니다.

Microsoft Defender for Endpoint의 고급 헌팅 기능을 사용하면 사용자 지정 KQL 쿼리로 ASR 규칙을 자세히 분석할 수 있습니다. 이러한 쿼리를 통해 규칙 탐지 현황, 영향을 받은 디바이스, 애플리케이션에 미치는 영향을 파악할 수 있습니다.

KQL 쿼리의 구성 요소

다음은 간단한 KQL 쿼리 구조의 예입니다.

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

이 예에서는 DeviceEvents 테이블을 쿼리하고, 작업 유형이 "ASRRuleTriggered"인 이벤트로 필터링한 다음, 디바이스 이름, 타임스탬프, 작업 유형만 프로젝션합니다.

KQL의 주요 함수

KQL에는 쿼리 기능을 강화하는 여러 함수가 있습니다. 꼭 알아 두어야 할 주요 함수는 다음과 같습니다.

• count(): 지정한 조건에 맞는 레코드 수를 셉니다.
• distinct(): 지정한 열에서 고유한 값을 반환합니다.
• summarize: 지정한 기준에 따라 데이터를 집계하여 시간에 따른 추세를 분석할 수 있게 합니다.

고급 쿼리 기법

기본을 익혔다면 고급 KQL 기법을 살펴보면서 ASR 감사 데이터에서 더 자세한 정보를 추출할 수 있습니다. 이러한 기법은 보안 상태를 더 깊이 이해하는 데 도움이 됩니다.

ASR 데이터 필터링

ASR 데이터의 특정 측면에 집중하려면 필터링이 매우 중요합니다. where 절에서 여러 조건을 사용해 결과를 세분화할 수 있습니다. 예를 들면 다음과 같습니다.

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

이 쿼리는 최근 30일 동안의 ASR 규칙 트리거를 필터링하고, 디바이스 이름별 트리거 횟수를 요약합니다.

데이터 테이블 조인

데이터 테이블을 조인하면 서로 다른 소스의 정보를 결합하여 ASR 감사에 대한 더 포괄적인 시각을 얻을 수 있습니다. 공통 필드를 기준으로 테이블을 병합하려면 join 연산자를 사용할 수 있습니다. 예는 다음과 같습니다.

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

이 쿼리에서는 DeviceId 필드를 기준으로 DeviceEvents 테이블과 Alerts 테이블을 조인합니다. 이를 통해 어떤 알림이 ASR 규칙 트리거에 해당하는지 확인할 수 있습니다.

이러한 기본 및 고급 KQL 기법을 익히면 ASR 감사 역량을 크게 높일 수 있습니다. 이를 통해 의미 있는 인사이트를 얻고, 조직의 보안 조치에 대해 근거 있는 결정을 내릴 수 있습니다.

ASR 감사 결과 해석하기

출력 형식 이해하기

KQL 쿼리를 실행하면 조회하는 데이터에 따라 출력 형식이 달라질 수 있습니다. 이러한 형식을 이해하면 ASR 감사에서 실행 가능한 인사이트를 얻는 데 도움이 됩니다. 확인해야 할 주요 사항은 다음과 같습니다.

• Microsoft Defender 포털에서는 탐지된 활동에 대한 자세한 보고서를 제공합니다. 이 보고서를 통해 공격 표면 감소 규칙의 효과를 추적할 수 있습니다.
• 규칙이 트리거되면 경고가 생성되어 잠재적 위협을 즉시 확인할 수 있습니다.
• Windows 이벤트 로그를 검토할 수 있습니다. 구체적으로 Microsoft-Windows-Windows Defender/Operational 로그에서 이벤트 ID 1121을 필터링하면 ASR 규칙에 의해 차단되었을 애플리케이션을 식별할 수 있습니다.

ASR 결과 분석하기

ASR 감사 결과를 분석하는 것은 보안 조치의 효과를 측정하는 데 매우 중요합니다. 다음과 같이 철저한 분석을 수행할 수 있습니다.

1. 감사 모드를 사용하여 ASR 정책에 대한 인사이트를 수집하세요.
2. Microsoft Defender 포털에 접속하여 '보고서'로 이동하세요.
3. '엔드포인트'에서 '공격 표면 감소 규칙'을 선택하세요.
4. 포괄적인 데이터를 보려면 '모두'를 선택하여 규칙을 필터링하고 지표를 확인하세요.
5. '감사된 탐지'를 분석하여 차단되었을 작업의 필요성을 평가하세요.
6. 장치가 올바르게 설정되었는지 확인하기 위해 추세와 구성을 주기적으로 검토하세요.
7. '예외 추가' 페이지를 사용하여 특정 ASR 규칙 적중을 관리하세요.

이러한 단계를 따르면 감사 결과를 효과적으로 분석하고 보안 전략을 개선할 수 있습니다.

보안 공백 식별하기

보안 공백을 식별하는 것은 ASR 감사 프로세스에서 매우 중요한 부분입니다. KQL 쿼리로 얻은 인사이트를 활용하여 보안 상태의 취약점을 정확히 찾아낼 수 있습니다. 다음은 이러한 공백을 찾아내는 데 도움이 되는 몇 가지 전략입니다.

• 데이터의 패턴을 살펴보세요. 예를 들어 특정 장치가 ASR 규칙을 자주 트리거한다면 추가 보안 조치가 필요할 수 있습니다.
• 시간에 따라 ASR 감사 결과를 비교하세요. 이 비교를 통해 보안 상태가 개선되고 있는지 악화되고 있는지 확인할 수 있습니다.
• 고급 KQL 쿼리를 활용하여 특정 사고를 더 깊이 분석하세요. 예를 들어 DeviceEvents | where ActionType startswith 'Asr'와 같은 쿼리를 실행하면 정책 개선을 위한 인사이트를 얻을 수 있습니다.

보안 공백을 적극적으로 식별하면 조직의 보안을 강화하고 잠재적 위협의 위험을 줄이기 위한 선제적 조치를 취할 수 있습니다.

ASR 감사를 위한 모범 사례

정기 감사 일정

공격 표면 감소 규칙의 효과를 유지하려면 정기적인 감사 일정을 수립하는 것이 매우 중요합니다. 최소 분기별로 감사를 수행해야 합니다. 이렇게 하면 보안 환경의 변화를 지속적으로 파악할 수 있습니다. 감사 일정을 설정할 때 참고할 수 있는 몇 가지 팁은 다음과 같습니다.

• 구체적인 날짜 지정: 분기마다 감사를 수행할 특정 날짜를 정하세요. 이렇게 일관성을 유지하면 작업을 기억하고 우선순위를 정하는 데 도움이 됩니다.
• 팀 참여시키기: 일정 수립 과정에 보안 팀을 참여시키세요. 팀의 의견은 업무량과 기타 일정을 고려한 최적의 감사 시점을 찾는 데 도움이 됩니다.
• 자동 알림 사용: 캘린더 도구를 활용하여 예정된 감사에 대한 알림을 설정하세요. 자동화하면 감사를 놓칠 가능성이 줄어듭니다.

결과 문서화

감사 중 결과를 문서화하는 것은 진행 상황을 추적하고 추세를 파악하는 데 필수적입니다. 체계적인 문서 형식을 만드세요. 다음 요소를 포함하는 것을 고려하세요.

• 감사 날짜: 감사를 수행한 날짜를 기록하세요.
• 결과 요약: 트리거된 공격 표면 감소 규칙을 포함하여 주요 결과를 요약하세요.
• 권장 사항: 결과를 바탕으로 실행 가능한 권장 사항을 제시하세요. 이 단계를 거치면 확인된 문제를 신속하게 해결할 수 있습니다.
• 후속 조치: 필요한 후속 조치를 나열하고 팀원에게 담당자를 지정하세요.

상세한 문서를 꾸준히 남겨 두면 향후 감사에 활용할 수 있는 귀중한 자료가 됩니다. 이 자료는 시간에 따른 결과를 비교하고 보안 전략을 개선하는 데 도움이 됩니다.

지속적인 개선 전략

효과적인 감사를 위해서는 지속적인 개선이 무엇보다 중요합니다. 감사 프로세스를 정기적으로 검토하고 필요에 따라 조정해야 합니다. ASR 감사를 강화할 수 있는 몇 가지 전략은 다음과 같습니다.

1. 추세 분석: 감사 결과에서 반복되는 패턴을 살펴보십시오. 반복적으로 발생하는 문제를 파악하면 개선이 필요한 영역에 집중할 수 있습니다.
2. 피드백 요청: 팀원들이 감사 프로세스에 대한 의견을 제시하도록 독려하십시오. 그들의 통찰은 가치 있는 개선으로 이어질 수 있습니다.
3. 최신 동향 파악: 보안 및 감사 방법의 최신 动향을 꾸준히 확인하십시오. 웨비나에 참석하고, 기사를 읽고, 포럼에 참여하여 업계의 다른 사람들로부터 배우십시오.
4. 새로운 방식 시험: 새로운 감사 기법이나 도구를 적용해 보는 것을 주저하지 마십시오. 다양한 방법을 시험하다 보면 더 효율적으로 감사를 수행하는 방법을 발견할 수 있습니다.

이러한 모범 사례를 실천하면 ASR 감사를 강화하고 전반적인 보안 태세를 한층 더 탄탄하게 만들 수 있습니다. 정기적인 감사, 철저한 문서화, 그리고 지속적인 개선에 대한 의지는 잠재적 위협보다 한발 앞서 대응하는 데 도움이 될 것입니다.

KQL 감사의 일반적인 과제

KQL 쿼리 문제 해결

KQL을 사용하다 보면 작업을 방해하는 문제에 부딪힐 수 있습니다. 효과적인 감사를 위해서는 이러한 쿼리의 문제를 해결하는 것이 필수적입니다. 자주 발생하는 문제와 해결 방법은 다음과 같습니다.

• 구문 오류: 오타나 잘못된 구문이 없는지 확인하십시오. KQL은 형식에 민감합니다. 올바른 연산자와 함수를 사용하고 있는지 확인하십시오.
• 데이터 형식 불일치: 쿼리의 데이터 형식이 데이터베이스에서 예상하는 형식과 일치하는지 확인하십시오. 예를 들어, 문자열과 숫자를 비교하면 오류가 발생합니다.
• 성능 문제: 쿼리 실행 속도가 느리다면 최적화를 고려하십시오. summarize 함수를 사용하여 처리되는 데이터 양을 줄이십시오. 또한 쿼리에서 가능한 한 일찍 데이터를 필터링하십시오.

팁: 쿼리는 항상 작은 단위로 나누어 테스트하십시오. 이 방법을 사용하면 문제를 더 효과적으로 분리하여 찾아낼 수 있습니다.

데이터 공백 처리

감사 과정에서 데이터 공백은 상당한 어려움을 초래할 수 있습니다. 누락되거나 불완전한 데이터는 부정확한 결론으로 이어질 수 있습니다. 이러한 공백을 해결하기 위한 전략은 다음과 같습니다.

1. 정기적인 데이터 점검: 데이터 소스에 대해 정기 점검을 예약하십시오. 관련된 모든 데이터 피드가 올바르게 작동하고 있는지 확인하십시오.
2. 알림 사용: 중요한 데이터 포인트에 대한 알림을 설정하십시오. 이렇게 설정하면 데이터를 사용할 수 없게 되었을 때 신속하게 대응할 수 있습니다.
3. 교차 검증: 감사 데이터를 다른 출처와 비교하십시오. 이 방법은 불일치를 파악하고 누락된 정보를 보완하는 데 도움이 됩니다.

데이터 공백을 사전에 해결하면 감사 데이터의 신뢰성을 높일 수 있습니다. 이러한 신뢰성은 정보에 기반한 보안 결정을 내리는 데 매우 중요합니다.

ASR 규정 준수 확보

ASR 규칙을 준수하는 것은 조직의 보안 태세를 유지하는 데 매우 중요합니다. 규정 준수를 보장하기 위해 취할 수 있는 단계는 다음과 같습니다.

• 정기 감사: ASR 규칙이 올바르게 적용되었는지 확인하기 위해 감사를 자주 수행하십시오. 정기적인 점검은 규정 준수에서 벗어난 부분을 파악하는 데 도움이 됩니다.
• 문서화: 감사 기록을 상세하게 유지하십시오. 발견 사항과 취한 조치를 문서화하면 책임 소재가 명확해지고 향후 감사를 위한 참고 자료가 됩니다.
• 교육: ASR 규칙과 KQL 사용법에 대해 팀을 교육하십시오. 잘 알고 있는 팀이 규정 준수를 유지하고 보안 위협에 대응하는 데 더 효과적입니다.

이러한 영역에 집중하면 규정 준수 노력을 강화하고 전반적인 보안 전략을 개선할 수 있습니다.

요약하면, ASR 감사에 고급 KQL을 사용하면 보안 감사 프로세스가 크게 향상됩니다. 분석을 간소화하고 취약점을 더 효과적으로 식별할 수 있습니다. 다음은 핵심 요약입니다.

이러한 기법을 적용하여 감사 프로세스를 지속적으로 개선하시기 바랍니다. 보안 조치를 개선하는 데 적극적인 자세를 유지하십시오. 조직의 안전이 여기에 달려 있습니다! 🔒

자주 묻는 질문

고급 KQL이란 무엇입니까?

고급 KQL(Kusto Query Language)은 Microsoft Defender에서 대규모 데이터 세트를 분석하는 데 사용되는 강력한 쿼리 언어입니다. 보안 데이터에서 인사이트를 효율적으로 추출하는 데 도움이 됩니다.

KQL은 어떻게 사용을 시작합니까?

Microsoft Defender에 접속하고 Kusto Query Explorer에 익숙해지는 것부터 시작하십시오. 간단한 쿼리를 작성해 보면서 언어에 대한 이해를 쌓으시기 바랍니다.

KQL 쿼리를 자동화할 수 있습니까?

예, Azure Logic Apps 또는 Power Automate를 사용하여 KQL 쿼리를 자동화할 수 있습니다. 이러한 도구를 사용하면 쿼리를 예약하고 특정 조건에 따라 알림을 받을 수 있습니다.

KQL에서 흔히 발생하는 오류에는 무엇이 있습니까?

흔한 오류로는 구문 실수, 데이터 형식 불일치, 성능 문제가 있습니다. 항상 쿼리 구조를 확인하고 데이터 형식이 예상과 일치하는지 확인하시기 바랍니다.

ASR 규칙은 얼마나 자주 감사해야 합니까?

ASR 감사는 최소 분기별로 수행하는 것이 좋습니다. 정기적인 감사를 통해 보안 상태를 지속적으로 파악하고 ASR 규칙 준수를 보장할 수 있습니다.

KQL을 지원하는 도구에는 무엇이 있습니까?

KQL의 주요 도구로는 Kusto Query Explorer, Azure Data Explorer, Microsoft Defender 포털이 있습니다. 이러한 도구는 쿼리를 작성하고 테스트할 수 있는 환경을 제공합니다.

KQL 실력을 어떻게 향상시킬 수 있습니까?

KQL 실력을 높이려면 꾸준히 연습하고, 교육 세션에 참석하며, 온라인 포럼에 참여하시기 바랍니다. 커뮤니티와 교류하면 유용한 인사이트와 팁을 얻을 수 있습니다.

고급 헌팅 및 Defender: ASR 감사를 위한 고급 KQL 활용

"ASR 감사를 위한 고급 KQL"이란 무엇이며, 고급 헌팅에서 어떤 역할을 합니까?

"ASR 감사를 위한 고급 KQL"은 공격 표면 감소(ASR) 규칙과 해당 감사 이벤트에 대한 상세 정보를 찾아내도록 작성된 Kusto Query Language 쿼리를 말합니다. Defender 고급 헌팅과 Microsoft 365 Defender 고급 헌팅에서 이러한 쿼리는 위협 헌팅 팀과 보안 운영자가 감사 모드로 설정된 규칙이 있는 장치, 영향을 받는 장치 목록, Intune을 통한 정책 배포, Microsoft Defender for Endpoint가 표시한 잠재적 악성 활동을 식별하는 데 도움이 됩니다.

헌팅 쿼리로 ASR 규칙이 감사 모드인지 어떻게 확인합니까?

Defender 고급 헌팅 쿼리를 사용하여 규칙이 사용 설정되어 있고 모드(감사 또는 차단)가 어떻게 설정되어 있는지 보여 주는 규칙 보고서와 감사 이벤트를 조회하십시오. 상세 정보를 보여 주는 일반적인 KQL은 ASR 규칙 보고서를 장치 및 이벤트 테이블과 조인하여 감사 모드 규칙을 확인하고, 지난 30일 동안의 규칙 이벤트를 표시하며, Intune 정책과 Microsoft Defender XDR 텔레메트리를 교차 참조하는 등 감사 결과를 검증하는 다양한 방법을 제공합니다.

Microsoft 365 Defender로 ASR 이벤트에 대한 사용자 지정 탐지를 만들 수 있습니까?

예. Microsoft 365 Defender에서 고급 헌팅 쿼리를 사용하여 사용자 지정 탐지 및 탐지 규칙을 작성할 수 있습니다. 공격 벡터와 맬웨어 활동에 대한 상세 정보를 보여 주는 KQL을 사용하면 반복되는 규칙 이벤트, 예외 항목 또는 Microsoft가 모니터링을 권장하는 의심스러운 감사 이벤트에 대해 경고하도록 사용자 지정 탐지를 구현할 수 있습니다. 그런 다음 이러한 탐지를 규칙 보고서 또는 자동 대응 플레이북으로 전환할 수 있습니다.

ASR 활동을 보고하고 규정 준수를 위해 ASR 규칙 보고서를 어떻게 생성합니까?

탐지 규칙과 Defender 고급 헌팅 테이블을 쿼리하여 공격 표면 감소 규칙 보고서와 ASR 규칙 보고서를 생성하고, 지난 30일 또는 사용자 지정 기간의 이벤트를 내보내십시오. API 또는 Microsoft 365의 기본 제공 규칙 보고 기능을 사용하여 사용 설정된 규칙, 감사 모드 규칙, 영향을 받는 장치 수, 그리고 Intune 및 온-프레미스 장치 전반의 ASR 규칙 배포를 최적화하고 관리하는 데 유용한 추세를 보여 주는 대시보드를 만드십시오.

쿼리 결과를 기반으로 감사를 검증하고 ASR 규칙을 최적화하는 일반적인 방법은 무엇입니까?

ASR 감사를 검증하는 방법에는 감사 이벤트 검토, 장치 간 감사 규칙 비교, Intune 정책 및 배포 상태 확인, 고급 헌팅 쿼리를 이용한 위협 헌팅이 있습니다. 이를 통해 감사 모드가 악의적인 동작을 통과시키고 있지 않은지 확인할 수 있습니다. 이러한 결과를 바탕으로 감사 또는 차단을 결정하고, 필요한 경우 제외 항목을 추가하며, 표준 보호 규칙을 조정하거나 추가 탐지 규칙을 구현하여 ASR을 최적화합니다.

Defender XDR과 Microsoft Sentinel 전반에서 고급 KQL로 위협을 헌팅하려면 어떻게 해야 하나요?

Defender for Endpoint, Microsoft Defender XDR 데이터, Microsoft Sentinel 로그 사이를 오가며 분석할 수 있는 고급 헌팅 쿼리를 작성합니다. ASR 감사 이벤트를 엔드포인트 텔레메트리, 맬웨어 탐지, 네트워크 지표와 상관 분석하여 의심스러운 패턴을 드러냅니다. 이 방식을 사용하면 감사 이벤트가 정상 소프트웨어에 해당하는지, 제외 항목이 필요한지, 아니면 즉각적인 조치가 필요한 실제 공격 시도인지 판단하는 데 도움이 됩니다.

영향을 받은 장치와 규칙별 세부 정보를 확인하려면 쿼리에 무엇을 포함해야 하나요?

KQL에 DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName, DetectionSource 같은 필드를 포함하세요. ASR 규칙 보고서 또는 규칙 이벤트를 장치 인벤토리 및 Intune 등록 테이블과 조인하면 영향을 받은 장치 목록, 장치별 활성화된 규칙, 규칙이 감사 모드인지 차단 모드인지를 한눈에 볼 수 있습니다. 이렇게 상세 정보를 보여주는 KQL은 조치 우선순위를 정하고 규칙 보고를 업데이트하는 데 유용합니다.

고급 헌팅 쿼리는 얼마나 자주 실행해야 하며, 조회 기간은 얼마나 거슬러 올라가야 하나요(예: 30일)?

위협 모델에 맞춰 지속적으로 실행하거나 적절한 일정에 따라 실행하세요. 일반적인 기준은 추세와 반복되는 이벤트를 파악하기 위해 최근 30일을 분석하는 것입니다. Microsoft 365 Defender에서 예약 쿼리를 사용하거나 API를 활용하면 규칙 보고를 자동화할 수 있습니다. 조회 기간은 사고 대응 요구에 따라 조정하고, 규칙을 감사 모드에서 테스트하는 경우에는 차단 모드로 전환하기 전에 충분한 텔레메트리를 확보할 수 있도록 조정하세요.

제외 항목과 차단 모드는 ASR 감사에 어떤 영향을 미치며, 쿼리에서는 무엇을 고려해야 하나요?

제외 항목과 차단 모드는 ASR의 동작을 변경합니다. 제외 항목은 알려진 정상 앱에 대한 경고를 억제하고, 차단 모드는 사전 방지를 강제합니다. 고급 헌팅 쿼리는 제외된 프로세스를 필터링하거나 표시하여 제외 항목을 고려해야 하며, 정책 출처(Intune, 로컬 정책)를 나타내는 필드를 포함해야 합니다. 이렇게 하면 감사 이벤트를 올바르게 해석하고, 감사 모드에서 차단 모드로 전환할 때 업무에 중요한 애플리케이션이 예기치 않게 중단되지 않도록 할 수 있습니다.

ASR을 위한 KQL 학습과 효과적인 고급 헌팅 쿼리 작성법은 어디에서 더 배울 수 있나요?

먼저 Microsoft Learn의 Defender 고급 헌팅 및 Microsoft 365 Defender 고급 헌팅 모듈부터 시작하세요. 이후 샘플 데이터 세트와 실제 ASR 규칙 이벤트를 활용해 상세 정보를 보여주는 KQL을 직접 작성하며 연습합니다. Microsoft Defender for Endpoint 문서, Microsoft Defender 공격 표면 감소 가이드, 커뮤니티 헌팅 쿼리를 함께 활용하면 위협 헌팅, 규칙 보고, ASR 규칙 관리 역량을 넓힐 수 있습니다.

데이터 격차가 발생하면 어떻게 해야 하나요?

데이터 격차를 발견하면 데이터 소스를 정기적으로 점검하세요. 중요한 데이터 포인트에 대해 경고를 설정하여 데이터를 사용할 수 없게 되는 시점에 신속하게 대응할 수 있도록 하세요.