Azure Portal에서 연속 내보내기 설정

클라우드용 Microsoft Defender는 자세한 보안 경고 및 권장 사항을 생성합니다. 이러한 경고 및 권장 사항에 포함된 정보를 분석하려면 해당 정보를 Azure Monitor의 Log Analytics, Azure Event Hubs 또는 다른 SIEM(보안 정보 및 이벤트 관리), SOAR(보안 오케스트레이션 자동 응답) 또는 IT 클래식 배포 모델 솔루션으로 내보낼 수 있습니다. 경고 및 권장 사항이 생성될 때 스트리밍하거나 모든 새 데이터의 주기적 스냅샷을 보내는 일정을 정의할 수 있습니다.

이 문서에서는 Log Analytics 작업 영역 또는 Azure의 이벤트 허브로 연속 내보내기를 설정하는 방법을 설명합니다.

팁

클라우드용 Defender는 CSV(쉼표로 구분된 값) 파일로 일회성 수동 내보내기를 수행하는 옵션도 제공합니다. CSV 파일을 다운로드하는 방법을 알아봅니다.

필수 조건

• Microsoft Azure 구독이 필요합니다. Azure 구독이 없는 경우 무료 구독에 등록하면 됩니다.

• Azure 구독에서 클라우드용 Microsoft Defender를 사용하도록 설정해야 합니다.

필요한 역할 및 권한:

• 리소스 그룹의 보안 관리자 또는 소유자
• 대상 리소스에 대한 쓰기 권한
• Azure Policy DeployIfNotExist 정책을 사용하는 경우 정책을 할당할 수 있는 권한이 있어야 합니다.
• 데이터를 Event Hubs로 내보내려면 Event Hubs 정책에 대한 쓰기 권한이 있어야 합니다.
• Log Analytics 작업 영역으로 내보내려면 다음을 수행합니다.

  • SecurityCenterFree 솔루션이 있는 경우 작업 영역 솔루션에 대해 최소한의 읽기 권한이 있어야 합니다. Microsoft.OperationsManagement/solutions/read.

  • SecurityCenterFree 솔루션이 없는 경우 작업 영역 솔루션: Microsoft.OperationsManagement/solutions/action에 대한 쓰기 권한이 있어야 합니다.

    Azure Monitor 및 Log Analytics 작업 영역 솔루션에 대해 자세히 알아보세요.

Azure Portal에서 연속 내보내기 설정

Azure Portal의 클라우드용 Microsoft Defender 페이지에서 REST API를 사용하거나 제공된 Azure Policy 템플릿을 사용하여 대규모로 연속 내보내기를 설정할 수 있습니다.

Azure Portal을 사용하여 Log Analytics 또는 Azure Event Hubs로 연속 내보내기를 설정하려면:

1. 클라우드용 Defender 리소스 메뉴에서 환경 설정을 선택합니다.

2. 데이터 내보내기를 구성하려는 구독을 선택합니다.

3. 설정 아래 리소스 메뉴에서 연속 내보내기를 선택합니다.

   

   내보내기 옵션이 나타납니다. 사용 가능한 각 내보내기 대상(이벤트 허브 또는 Log Analytics 작업 영역)에 대한 탭이 있습니다.

4. 내보내려는 데이터 형식을 선택하고, 각 형식의 필터에서 선택합니다(예: 높은 심각도 경고만 내보내기).

5. 내보내기 빈도를 선택합니다.

   • 스트리밍. 리소스의 성능 상태가 업데이트되면 평가가 전송됩니다(업데이트가 발생하지 않으면 데이터가 전송되지 않습니다).
   • 스냅샷. 구독당 일주일에 한 번 전송되는 선택된 데이터 형식의 현재 상태에 대한 스냅샷입니다. 스냅샷 데이터를 식별하려면 IsSnapshot 필드를 찾습니다.

   선택 항목에 다음 권장 사항 중 하나가 포함되어 있으면 취약성 평가 결과도 함께 포함할 수 있습니다.

   • SQL 데이터베이스가 발견한 취약성을 해결해야 함
   • 컴퓨터의 SQL Server는 발견한 취약성을 해결해야 함
   • 컨테이너 레지스트리 이미지에는 취약성 발견이 해결되어야 합니다(Qualys에 의해 구동됨).
   • 컴퓨터에서 취약성 결과를 해결해야 함
   • 시스템 업데이트를 머신에 설치해야 합니다.

   이러한 권장 사항에 발견 항목을 포함하려면 보안 발견 항목 포함을 예로 설정합니다.

   

6. 내보내기 대상에서 데이터를 저장할 위치를 선택합니다. 데이터는 다른 구독(예: 중앙 Event Hub 인스턴스 또는 중앙 Log Analytics 작업 영역)의 대상에 저장할 수 있습니다.

   데이터를 다른 테넌트의 이벤트 허브 또는 Log Analytics 작업 영역으로 보낼 수도 있습니다.

7. 저장을 선택합니다.

참고 항목

Log Analytics는 크기가 최대 32KB인 레코드만 지원합니다. 데이터 한도에 도달하면 경고에 데이터 한도가 초과되었습니다라는 메시지가 표시됩니다.

관련 콘텐츠

이 문서에서는 권장 사항 및 경고의 연속 내보내기를 구성하는 방법을 알아보았습니다. 또한 경고 데이터를 CSV 파일로 다운로드하는 방법을 알아보았습니다.

관련 콘텐츠를 보려면:

• 워크플로 자동화 템플릿에 대해 자세히 알아보세요.
• Azure Event Hubs 설명서를 참조하세요.
• Microsoft Sentinel에 대해 자세히 알아봅니다.
• Azure Monitor 설명서를 검토합니다.
• 데이터 형식 스키마 내보내기 방법을 알아봅니다.
• 연속 내보내기에 대한 일반적인 질문을 확인합니다.