Cloud System Engineer

Intune 메세지 정책 TEST

클라우드 엔지니어 — Wed, 12 Jun 2024 10:44:39 +0900

전사 공지를 위한 URL 입니다.

1. TEST

2. TEST

3. TEST

Defender For Cloud App Security

클라우드 엔지니어 — Fri, 24 May 2024 15:11:31 +0900

Microsoft 365 Defender for cloud app security

Defender for Cloud Apps는 SaaS 앱 사용 및 리소스로 인한 환경의 위험도를 전체적으로 보여주고, 사용 중인 항목과 시기를 제어할 수 있도록 해줍니다.

클라우드용 Defender 앱은 네트워크 트래픽 평가 및 광범위한 앱 카탈로그를 기반으로 데이터를 사용하여 조직 전체에서 사용자가 액세스하는 앱을 식별합니다. 클라우드용 Defender 앱은 실제로 회사 네트워크 온/오프에서 사용되는 앱에 대한 세부 정보를 제공합니다.

클라우드용 Defender 앱은 모든 클라우드 서비스를 검색하고 각 위험 순위를 할당하며 로그인할 수 있는 모든 사용자 및 타사 앱을 식별합니다.

앱을 모니터링하는 정책을 설정합니다.

예를 들어 비정상적인 사용량 급증과 같은 비정상 동작이 발생하면 자동으로 경고를 받고 조치를 취하라는 안내를 받을 수 있습니다.

정보 보호 기능

클라우드용 Defender 앱은 DLP 기능을 사용하여 중요한 정보를 식별하고 제어합니다.

Microsoft Purview의 통합을 통해 보안 팀은 정보 보호 정책에서 기본 데이터 분류 유형을 활용할 수 있습니다.

시나리오 예시

1. 민감도 레이블 적용

2. 비 관리형 디바이스에 대한 다운로드 차단

3. 기밀 파일에서 외부 공동 작업자 제거

xDR검색 및 응답

MDCA는 적응형 액세스 제어를 제공하고 사용자 및 엔터티 동작 분석을 제공하며 맬웨어를 완화하는데 도움이 됩니다.

Microsoft Defender XDR에 통합되어 Defender 제품군의 XDR 신호를 연계해 인시던트 검색 조사 및 대응을 제공합니다. SaaS 보안을 XDR 환경에 통합 하면 SOC팀에 가시성을 제공하고 효과적으로 운영하게 할 수 있습니다.

데이터 위치

클라우드용 Defender 앱은 가까운 지역의 데이터 센터에 저장되게 됩니다.

데이터 보존

클라우드용 Defender 앱은 다음과 같이 데이터를 유지합니다.

활동 로그:180일

검색 데이터: 90일

경고: 180일

거버넌스 로그: 120일

앱의 가시성, 보호,거버넌스 작업을 설정하기 위해 앱을 연결합니다.

연결 방법은 Microsoft 365 Defender 관리센터 -> 설정 -> 클라우드 앱 -> 앱커넥터 에서 연결할 수 있습니다.

앱을 연결하는 이유는 뭘까요? 바로 클라우드 환경에서 앱의 활동 파일 및 계정을 조사할 수 있습니다!

Defender 관리 센터에서 앱 커넥터 상태를 확인 할 수 있다.

파일 모니터링 사용 및 파일 정책 만들기

Microsoft 365 Defender 관리센터 -> 설정 -> 클라우드 앱 -> 정보 보호 -> Microsoft Information Protection 클릭

파일 모니터링 사용을 선택하고 저장을 클릭합니다.

민감도 레이블이 적용된 문서를 모니터링 할 수 있다.

조직으 클라우드 앱을 모니터링 하는데 어떤 사용자를 모니터링 할지 범위를 설정할 수 있습니다.

사용자 그룹 불러오기

Defender 관리센터에 Cloud App을 연결하려면 조건부 액세스를 통해 연결해야 합니다.

Entra ID -> 보호 -> 조건부 액세스 클릭

사용자 그룹을 선택합니다.

Microsoft Defender for Cloud app Security에 온보딩할 앱을 선택합니다.

세션을 클릭하여 조건부 액세스 앱 제어사용을 선택합니다.

사용자 지정 정책 사용을 클릭합니다.

조건부 액세스 정책을 배포 후 일반 사용자들이 Microsoft 365앱을 사용한 이력이 남아야합니다.

Microsoft Defender 포탈 -> 설정 -> 클라우드 앱 선택

연결된 앱 -> 조건부 액세스 앱 컨트롤앱 클릭

앱이 액세스 및 세션 제어를 사용하도록 구성 되어있는지 확인합니다.

사용자가 조건부 액세스 정책에 의해 선택한 앱이 감지가 되면 아래 처럼 자동 연결이 됩니다.

회사가 아닌 외부 IP에서 SharePoint에 접속하려할때 차단하기.

Defender 관리센터 -> 클라우드 앱 -> 정책 -> 정책 관리로 이동합니다.

모든 정책 -> 새 정책 만들기 클릭

세션 정책 클릭

아래 정책대로 규칙을 설정합니다.

회사 IP가 아니게 되면 Cloud App Security 정책에 의해 차단되게 됩니다.

다음 활동에서는 Cloud App Security 에 대한 더 다양한 시나리오로 설명 드리겠습니다.

Defender for office365

클라우드 엔지니어 — Fri, 26 Apr 2024 16:51:38 +0900

Microsoft 365에서 효과적인 기업 보안 방어 전략이 있습니다.

바로 Defender for office 365 인데요.

피싱 방지 정책
맬웨어 방지 정책
안전한 링크 정책
안전한 첨부 파일 정책
등이 있습니다.

우선 항목들이 바로 메일과 많은 연관된 부분들입니다. EOP(Exchange Online Protection)는 Microsoft 365 구독에 대한 보안의 핵심이며 악의적인 전자 메일이 직원의 받은 편지함에 도달하지 못하도록 하는 데 도움이 됩니다.

Microsoft Defender 관리페이지 -> “전자 메일 및 공동작업” 에서 이메일 보안 정책을 만들 수 있습니다.

여기서 “위협 정책”을 관리 할 수 있습니다.

정책은 피싱 방지, 스팸 방지, 맬웨어 방지, 안전한 첨부 파일, 안전한 링크 입니다.

먼저 피싱 방지 정책부터 살펴보도록 하겠습니다.

[피싱 방지 정책]

피싱 방지는 사용자에 스푸핑 공격이나 피싱 공격으로부터 보호하는데 도움이 되는 기능을 제공합니다.

[피싱 방지 정책 생성 방법]

피싱 정책 이름과 설명을 적습니다.

피싱 방지 정책에 보호받을 사용자, 그룹,도메인을 선택합니다.

피싱 보호 정책의 핵심입니다.

피싱 이메일 임계값을 조절하여 보통 또는 매우 적극적으로 할지 설정합니다.

“임계값이 높을수록 예민해서 정상적인 메일도 격리가 될 확률이 높습니다.”

“가장” 에서 보호할 사용자 또는 보호할 도메인을 추가합니다.

-> 가장 보호란? 보낸사람 또는 보낸사람의 전자메일 도메인이 실제 보낸 사람의 도메인이 일치하는지 확인하는 것을 말합니다.

Ex) tistory.com의 가장의 예는 tist0ry.com 입니다.

가장 보호는 유사한 도메인을 찾는 검사입니다.

가장 보호를 할 사용자를 추가합니다.

도메인도 추가해 줍니다.

사서함 인텔리전스 사용

사서함 인텔리전스는 AI를 사용하여 사용자 이메일 패턴을 확인하고 대응합니다.

예를 들어 admin@tistoy.com 사용자는 전역관리자, IT관리자이기 때문에 사용자들의 요청사항을 받습니다.

사용자가 정책 설정을 보호할 수 있도록 이 사람을 보낸 사람으로 추가합니다.

그러나 받는 사람 중 일부는 jaehyeon@naver.com라는 업체와 메일을 주고받습니다.

jaehyeon@naver.com 과 메일 기록을 가지고 있기 때문에 사서함 인텔리전트에서는 가장 시도로

jaehyeon@naver.com 계정을 식별하지 않습니다.

그후 스푸핑 인텔리전스 사용 설정을 선택하고 다음을 클릭합니다.

메시지 작업에서는

가장으로 감지되었을 때 격리할지, 정크 메일함으로 이동할지 지정합니다.

격리 정책 적용은 정책 및 규칙 -> 위협 정책 -> 격리 정책에서 기본값에 있는 정책 또는 관리자가 직접 지정할 수 있습니다.

격리 정책의 내용은 다음과 같습니다. 받는 사용자가 격리에서 메시지를 해제하도록 요청하거나, 메시지를 삭제하거나 하는 내용입니다.

메시지가 스푸핑으로 검색되고 DMARC 정책이 p=quarantine(으)로 설정된 경우

메시지가 스푸핑으로 검색되고 DMARC 정책이 p=reject(으)로 설정된 경우

먼저 DMARC는 랜섬웨어 및 기타 피싱 공격에 사용되는 스푸핑된 보낸 사람을 방지하기 위한 이메일 유효성 검사입니다.

DMARC는 P는 정책을 의미하고 P= 격리, 거부, 해당되지 않음 등이 있습니다.

Quarantine는 메시지가 격리나 정크 메일함에 배달되는 경우입니다.

Reject는 메시지가 거부됩니다.

None는 DMARC에 대한 제안된 조치가 없습니다.

조치된 피싱 정책을 확인하고 제출하기를 클릭합니다.

[피싱 방지 정책 테스트]

가짜 메일 테스트

사서함에 전달 되더라도 정책에 의해 잘 알려지지 않는 사용자에게 피싱 경고 메시지가 뜨게 됩니다.

하지만 위험하다고 판단된 피싱 메시지는 정책에 의해 격리 됩니다.

무엇보다 안전한 사내 보안 문화를 만들기 위해서는 "평소에 주고받지 않는 메일은 클릭하지 마세요"

라는 사용자 보안 교육이 중요한 것 같습니다.

[Defender for office 365 스팸 정책]

스팸이란 무엇일까요?

사전적 의미로는 불특정 다수 에게 대량으로 전송되는 메시지입니다.

[스팸 정책 설정 방법]

Microsoft 365 Defender 관리센터 ->전자 메일 및 공동 작업 -> 정책 및 규칙 -> 위협정책 -> 스팸 방지 -> 정책 만들기 클릭합니다.

Inboud(들어오는 메일), Outbound(나가는 메일)중 어떤 정책을 사용할지 선택합니다.

조직에 들어오는 메일을 감지하기위해 Inbound로 선택합니다.

정책 이름을 지정합니다.

사용자 및 그룹을 선택합니다.

메일의 임계값을 설정합니다.

임계값은 7이 기본값이고 6이 표준 보안 5는 조금 더 엄격한 보안 수준입니다.

그 아래에 있는 스팸 속성 세션은 스팸으로 표시하거나 테스트 모드로 할 수 있습니다.

메일에 링크 또는 URL을 포함하는 메시지가 있다면 스팸점수를 증가하여 차단할 수 있습니다.

스팸 메일이 감지되면 해당 정책에 대한 작업 설정을 합니다.

메일을 격리할지, 정크 메일 폴더로 이동할지 선택합니다.

메일 격리를 선택했다면, 기본값을 선택해도 되고, 관리자가 만든 사용자 지정 격리 정책을 선택할 수 있습니다.

보안 팁은 사용자에게 잠재적으로 위험한 메일을 받았을 때 경고 표시를 합니다.

ZAP는 사용자 사서함에서 기존에 받았던 피싱, 스팸메일을 탐지합니다.

다음을 클릭하고 스팸정책을 검토하고 만들기를 클릭합니다.

[스팸 메일 테스트]

광고형 메일을 스팸메일 정책에 해당되는 계정에 보냅니다.

Exchange Online 관리센터에서 메시지 추적 확인결과 스팸으로 분류되어 메일이 정책에 의해 격리되었습니다.

Microsoft Defender 관리센터 -> 전자 메일 및 공동 작업 -> 검토에서 자세한 격리 사항들을 확인할 수 있습니다.

https://mha.azurewebsites.net/

이 페이지에 들어가면 메시지의 헤더를 분석할 수 있습니다.

검토 페이지에서 격리된 메시지의 헤더를 복사합니다.

헤더의 내용을 참고해보면

스팸 조건 레벨 =5

SCL=5로 나와있습니다.

레벨 5는 스팸 필터링으로 인해 해당 메시지가 스팸으로 표시되었다는 뜻입니다.

https://learn.microsoft.com/ko-kr/microsoft-365/security/office-365-security/anti-spam-spam-confidence-level-scl-about?view=o365-worldwide

SCL 값의 높을수록 메시지가 스팸일 가능성이 높다는 것을 의미합니다.

Entra ID 계정 보호

클라우드 엔지니어 — Sun, 21 Apr 2024 19:37:51 +0900

Entra ID 보호의 위험 검색에는 디텍터리의 사용자 계정 관련하여 식별된 모든 의심스러운 작업이 포함됩니다. 의심스러운 작업은 사용자 위험, 로그인 위험 두가지 형태가 존재합니다.

Entra ID 계정 보호를 통해 의심스러운 작업을 신속하게 확인하고 대응할 수 있습니다.

위험은 사용자 또는 로그인 수준에서 검색할 수 있습니다. Microsoft Entra ID P2 라이선스에게 제공되는 기능이기도 합니다.

로그인 위험 검색 유형

사용자 위험 검색 유형

위험 유형 및 검색 방법

[필수 조건]

조건부 액세스 정책에 사용자위험, 로그인 위험을 만듭니다.

로그인 위협 정책 생성 방법

Entra ID -> 보호 -> 조건부 액세스 클릭

“새 정책” 클릭합니다.

대상인 클라우드 앱을 선택합니다.

조건 -> 로그인 위험을 클릭합니다. 구성에서 예를 클릭하고 높음, 보통을 선택합니다.

디바이스 플랫폼에서 적절한 플랫폼을 선택해줍니다.

허용 -> 액세스 허용 선택합니다.

세션에서 로그인 빈도를 -> 매번으로 선택해줍니다. 그럼 사용자가 로그인할 때 마다 검사하게 됩니다.

마지막으로 “정책 사용”에서 설정을 누르고 저장을 누릅니다.

사용자 위험 정책 생성 방법

[사용자 위험 발생 테스트]

https://developer.microsoft.com/en-us/graph/graph-explorer

여기에 접속합니다.

이 페이지는 Entra ID Protection 기능을 평가하기위해 시뮬레이션을 할 수 있습니다.

사용자 위험 정책을 테스트 하기위해 IdentityRiskyUser.ReadWrite.All권한에 동의 해야합니다.

다음으로, 이 API 호출을 수행하여 ID를 테스트 사용자의 ObjectID로 바꿉니다.

검색창에 ident를 검색하여 post -> confirmCompromised를 클릭합니다.

{

"userIds": [

"targeted-userId-1",

"targeted-userId-2"

]

}

직원 3의 개체 ID를 복사합니다. 그 후 Run query를 클릭합니다.

Entra ID -> 보호 -> 위험한 활동 -> 위험한 사용자로 가서 user03 사용자를 확인해봅니다.

https://graph.microsoft.com/beta/riskyUsers/confirmCompromised는 위험한 사용자를 가리키는데 사용됩니다. User03사용자가 손상된 것으로 확인되었기 때문에

사용자 위험 보호 조건부 액세스 정책에 의해 user03으로 로그인 시 비밀번호 변경이 되는지 확인합니다.

사용자 위험으로 감지가 됐기 때문에 비밀번호 변경하라고 뜹니다.

[Entra ID에서 사용자 위협 관리 방법]

è 선택 1 Microsoft Entra ID 관리 센터

Microsoft Entra ID 관리센터에 로그인합니다.

보호 -> ID 보호 -> 보고서 아래의 위험한 사용자을 클릭합니다.

위험 사용자 보고서에는 현재 계정이 있거나 손상 위험이 있는 것으로 간주되는 모든 사용자가 나열됩니다.

여기서 위험한 사용자의 내용을 지난 30일동안 데이터를 볼 수 있습니다.

세부 사항을 클릭하여 사용자를 차단할지, 암호를 재설정할지 관리자가 설정할 수 있습니다.

[Entra ID에서 로그인 위협 관리 방법]

위험한 로그인 탭을 눌러 조직의 모든 위험한 로그인 사용자를 볼 수 있습니다.

위험한 로그인도 역시 30일동안 데이터를 볼 수 있습니다.

관리자는 보고서를 통해 다음의 정보를 확인할 수 있습니다.

① 위험한 것으로 분류된 로그인, 도용된 것으로 확인된 로그인, 안전한 것으로 확인된 로그인, 위험이 해제된 로그인 또는 위험이 해결된 로그인

② 로그인 시도와 관련된 실시간 및 집계 위험 수준

③ 적용된 조건부 액세스 정책

④ MFA 세부 정보

⑤ 디바이스 정보

⑥ 애플리케이션 정보

⑦ 위치

위험한 로그인 세부 정보를 클릭하여 위험 정보를 확인하고, 조건부 액세스 실패 절차 확인 등 세부 정보를 확인할 수 있습니다.

[위협 검색 및 보고서 생성]

Entra ID -> 보호 -> 위험한 활동 여기서 모든 위험한 검색이 됩니다. 관리자가 기본 설정에서 열이나 필터를 추가해서 .CSV 또는 JSON 형식으로 다운로드 할 수 있도록 선택할 수 있습니다.

다운로드를 클릭하면 이런 식으로 서식, 파일이름을 지정하여 다운로드 받습니다.

완료된 보고서형식은 다음과 같습니다.

[Microsoft Entra ID 보호 및 Microsoft Graph Powershell

-> 선택 2 Powershell로 확인

필수 요건

Microsoft Graph Powershell SDK가 설치 되어 있어야합니다.

[설치 방법]

1.PowerShell 스크립트 실행 정책은 remote signed또는 로 설정되어야 합니다

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

2. PowerShell Core 또는 Windows PowerShell에 SDK의 v1 모듈을 설치하려면 다음 명령을 실행합니다.

Install-Module Microsoft.Graph -Scope CurrentUser

3.설치가 완료가 되면 다음 명령어로 버전을 확인 할 수 있습니다.

[연결 방법]

보안 관리자 역할을 하는 Microsoft Graph PowerShell. IdentityRiskEvent.Read.All 위임된 권한이 필요합니다.

Connect-MgGraph -Scopes "IdentityRiskEvent.Read.All","IdentityRiskyUser.ReadWrite.All"

Ex) powershell을 사용하여 위험 사용자 나열

Get-MgRiskyUser -Filter "RiskLevel eq 'high'" | Format-Table UserDisplayName, RiskDetail, RiskLevel, RiskLastUpdatedDateTime

Ex) Powershell를 사용하여 조직내 위험 감지에서 사용자,발생시간,위험 수준 확인

Get-MgRiskDetection |Format-Table UserDisplayName,ActivityDateTime,RiskLevel

Powershell 사용자 라이선스 할당/해제

클라우드 엔지니어 — Sun, 17 Mar 2024 01:15:38 +0900

우선 M365에 접근하기 위해

Microsoft Graph PowerShell SDK 모듈을 설치해야한다.

Powershell -> 관리자 권한으로 실행합니다.

다음 명령어를 입력하여 Microsoft Graph 모듈을 설치합니다.

Install-Module Microsoft.Graph -Scope CurrentUser

설치가 완료되면 다음 명령어로 확인할 수 있습니다.

Get-InstalledModule Microsoft.Graph

설치가 완료됐으면 Microsoft Graph에 연결합니다.

Connect-MgGraph -Scopes "User.Read.All","Group.ReadWrite.All"

Microsoft Graph의 각 API는 하나 이상의 권한 범위로 보호됩니다. 로그인하는 사용자는 사용하려는 API에 필요한 범위 중 하나에 동의해야 합니다.

“조직 대신 동의”를 체크하고 동의함을 누릅니다.

현재 라이선스 계획 및 각 계획에 사용 가능한 라이선스에 대한 요약 정보를 보려면 다음 명령을 실행합니다.

Get-MgSubscribedSku | Select -Property Sku*, ConsumedUnits -ExpandProperty PrepaidUnits | Format-List

현재 Microsoft 365 테넌트에 존재하는 라이선스 목록들입니다.

사용자 계정 라이선스 해제 명령어는 다음과 같습니다.

Set-MgUserLicense -UserId "<Account>" -RemoveLicenses @("<AccountSkuId1>") -AddLicenses @{}

시나리오1. E5라이선스를 해제해 보겠습니다.

Get-MgSubscribedSku | Select -Property Sku*, ConsumedUnits -ExpandProperty PrepaidUnits | Format-List 입력하여 라이선스를 확인합니다.

E5의 AccountSkuId1는 06ebc4ee-1bb5-47dd-8120-11324bc54e06입니다.

명령을 사용하여 특정 사용자 계정에 할당된 라이선스를 나열합니다.

명령어는 다음과 같습니다.

Get-MgUserLicenseDetail -UserId "<user sign-in name (UPN)>"

Ex) user03 사용자의 라이선스 할당 확인

Get-MgUserLicenseDetail -UserId user03@megazonemdw.onmicrosoft.com

Ex) use03 사용자의 E5 라이선스를 해제합니다.

Set-MgUserLicense -UserId "user03@megazonemdw.onmicrosoft.com" -RemoveLicenses @("06ebc4ee-1bb5-47dd-8120-11324bc54e06") -AddLicenses @{}

E5라이선스가 해제되었습니다.

Microsoft 365 관리센터에서 user03 사용자의 라이선스가 해제되었습니다.

다시 사용자에게 라이선스를 할당하는 방법입니다.

아래는 개별 사용자에게 라이선스를 할당하는 명령어입니다.

Set-MgUserLicense -UserId $userUPN -AddLicenses @{SkuId = "<SkuId>"} -RemoveLicenses @()

Ex). User03사용자에게 다시 E5라이선스를 할당해 보겠습니다.

Set-MgUserLicense -UserId "user03@megazonemdw.onmicrosoft.com" -AddLicenses @{SkuId = "06ebc4ee-1bb5-47dd-8120-11324bc54e06"} -RemoveLicenses @()

Microsoft 365 관리센터에도 E5라이선스가 정상적으로 할당되었습니다.

엔드포인트용 Microsoft Defender

클라우드 엔지니어 — Wed, 6 Sep 2023 13:17:01 +0900

엔드포인트용 Microsoft Defender

엔드포인트용 Microsoft Defender는 엔터프라이즈 네트워크가 지능형 위협을 방지, 감지, 조사 및 대응할 수 있도록 설계된 엔터프라이즈 엔드포인트 보안 플랫폼입니다.

- 엔드포인트용 Microsoft Defender는 엔드포인트용 Defender 플랜 1과 플랜 2의 두 가지 플랜으로 제공됩니다.

이것을 쓰는 이유는?

엔드포인트 동작 센서

① Windows 10에 포함된 이 센서는 운영체제에서 동작 신호를 수집 및 처리합니다

② 이 센서 데이터를 엔드포인트용 Microsoft Defender의 격리된 프라이빗 클라우드 인스턴스로 보냅니다.

클라우드 보안 분석

빅데이터와 장치 학습, 그리고 Windows 에코시스템과 Office 365 등 기업 클라우드 제품, 온라인 자산 전반의 Microsoft만의 눈을 활용하여 행동적 신호를 해석하고 인사이트와 검색, 지능형 위협에 대한 권장 조치를 생성합니다.

위협 인텔리전스

Microsoft 헌터 및 보안 팀이 생성하고 파트너가 제공하는 위협 인텔리전스로 강화된 위협 인텔리전스는 엔드포인트용 Microsoft Defender를 사용하여 공격자의 도구, 기술 및 절차를 식별하고 수집된 센서 데이터가 관찰되면 경고를 생성합니다.

엔드포인트용 defender 핵심

Defender 취약점 관리

① 디바이스의 취약점 또는 잘못된 구성 감지

② 감지된 내용에서 어떻게 수정할지 우선순위 및 최신 위험 기반 접근 방식을 사용함.

공격 표면 감소

주로 악성 IP주소 도메인 및 URL에 대한 액세스를 규제하는 네트워크 보호 및 웹 보호도 포함

엔드포인트 Denfender로 도메인 차단 방법

웹 위협 방지는 엔드포인트용 Defender의 웹 보호의 일부입니다. 네트워크 보호를 사용하여 웹 위협 방지 디바이스를 보호합니다.

웹 위협 방지는 Microsoft Edge 및 Chrome 및 Firefox와 같은 인기 있는 타사 브라우저와 통합하여 웹 프록시 없이 웹 위협을 중지하고 멀리 있거나 온-프레미스에 있는 동안 디바이스를 보호할 수 있습니다.

네트워크 보호

먼저 Intune 엔드포인트 보안에서 바이러스 방지 정책을 설정해야합니다.

정책을 만든다음

Intune으로 관리하는 PC에 들어가서

NetworkPretection이 1로 되어있는지 확인합니다.

동시에 Microsoft 365 Defender에는 웹 필터링 기능도 있습니다.

이는 NAC장비와 비슷한 역할을 하게되며,

기본적으로 MS에서 제공하는 위험한 범주들을 제공해주지만,

알려지지 않은 사이트는 관리자가 직접 URL이나, ip를 등록해야 합니다.

웹 위협 방지는 엔드포인트용 Defender의 웹 보호 의 일부입니다. 네트워크 보호를 사용하여 웹 위협 방지 디바이스를 보호합니다. 웹 위협 방지는 Microsoft Edge 및 Chrome 및 Firefox와 같은 인기 있는 타사 브라우저와 통합하여 디바이스를 보호할 수 있습니다.

Mircrosoft 365 Defender에서 URL에 대한 차단/허용정책을 설정합니다.

처음 들어가면 공간을 생성하라는 준비가 뜬다. 대략 15분정도 걸렸던걸로 기억함..

SmartScreen 및 네트워크 보호를 함께 사용하여 자사 브라우저와 타사 브라우저 및 프로세스 모두에서 보호 할 수 있습니다.

SmartScreen은 Microsoft Edge에 직접 빌드되고 네트워크 보호는 타사 브라우저 및 프로세스에서 트래픽을 모니터링합니다.

Azure 백업 분석 리포트

클라우드 엔지니어 — Wed, 9 Aug 2023 16:19:42 +0900

백업 관리자의 일반적인 요구 사항은 장기간에 걸친 데이터를 기반으로 백업에 대한 정보를 획득하는 것입니다. 대시보드로 시각화 하면 더욱더 관리하기 편하겠죠.

이러한 솔루션에 대한 사용 사례는 다음과 같습니다.

사용된 클라우드 스토리지를 할당하고 예측합니다.
백업 및 복원을 감사합니다.
여러 세분성 수준에서 주요 추세를 확인합니다.
금액을 산정할 수 있습니다.

하지만, 담당자분들이 대부분 알기 힘들기 때문에

몇가지 팁을 드립니다.

Azure에서는 Azure Monitor라고 리소스를 모니터링 할 수있는 도구를 제공합니다.

Monitor를 사용하기위해선 Log Analytics 작업 영역을 생성해야하는데요.

Log Analytics의 용도는 데이터를 보관하기 위해서 입니다.

데이터를 보관해야 담당자가 로그를 쿼리를 할 수있고, 또 Azure Monitor가 참고할 데이터가 생기는 것 이지요.

1. Backup 보고 데이터를 저장할 Log Analytics 작업 영역을 하나 이상 설정합니다.

2. Recovery Services 자격 증명 모음과 같은 Azure Resource Manager 리소스는 예약된 작업과 사용자가 트리거한 작업에 대한 정보를 진단 데이터로 기록합니다.

자격 증명 모음에 대한 진단 설정을 구성하려면 다음 단계를 수행합니다.

진단 설정을 추가합니다.

진단 설정은 백업의 어떤 로그를 Log Analytics에게 보관한다라는 용도로 알고 있으면 됩니다.

Azure Portal를 통해 자격 증명 모음으로 이동하고 진단 설정을 선택하여 Recovery Services 자격 증명 모음용 진단 설정을 구성할 수 있습니다.

+ 진단 설정 추가를 선택하면 하나 이상의 진단 이벤트를 스토리지 계정, 이벤트 허브 또는 Log Analytics 작업 영역으로 보낼 수 있습니다.

백업 작업 진단 설정

https://learn.microsoft.com/ko-kr/azure/backup/configure-reports?tabs=recovery-services-vaults

Azure Backup 보고서 구성 - Azure Backup

Log Analytics 및 Azure 통합 문서를 사용하여 Azure Backup에 대한 보고서 구성 및 보기

learn.microsoft.com

이에 대한 항목은 다음과 같다.

https://learn.microsoft.com/ko-kr/azure/backup/backup-azure-reports-data-model?tabs=recovery-services-vaults

Azure Backup 진단 이벤트에 대한 데이터 모델 - Azure Backup

이 데이터 모델은 LA(Log Analytics)로 진단 이벤트를 보내는 리소스별 모드를 참조합니다.

learn.microsoft.com

동기화 까지 시간이 걸린다.

하지만 시간이 지나고 데이터가 쌓이면 아래 사진처럼 대시보드 형태로 제공받을 수 있습니다.

결국 클라우드상 백업 용량은 돈이니때문에, 무수히 많은 csv 파일로 일일히 계산하는것 보단 저런식으로 제공 받아서 보는것도 좋은 방법인것 같습니다.

Azure 게스트 OS 수동에서 자동 업데이트

클라우드 엔지니어 — Thu, 3 Aug 2023 17:30:19 +0900

현재 업데이트는 수동인 상태입니다.

VM의 게스트 OS 업데이트 패치를 수동으로 하는 경우는

업데이트를 진행하면 서버가 꺼지게 된다

서버가 꺼지게 된다라는 것은 장애가 발생한다는 아주 큰 문제입니다.

하지만, 예전에는 Portal에서 업데이트 수동 자동을 유연하게 바꾸는것이 가능했었던걸로 알았는데...

업데이트가 안되게 된다..

기존 VM을 수정하려면 az vm update를 사용한다.

az vm update --resource-group myResourceGroup --name myVM --set osProfile.windowsConfiguration.enableAutomaticUpdates=true osProfile.windowsConfiguration.patchSettings.patchMode=AutomaticByPlatform

Changing property 'windowsConfiguration.enableAutomaticUpdates' is not allowed.

windowsConfiguration.enableAutomaticUpdates가 허용되지 않는다는 오류가 뜬다

powershell로 트러블 슈팅해봅니다.

# 변수 선언

$VirtualMachine = Get-AzVM -ResourceGroupName "Richard-RG" -Name "richardSR2022STD"

# 게스트 OS 자동업데이트 설정
Set-AzVMOperatingSystem -VM $VirtualMachine -PatchMode "AutomaticByPlatform"

# 정책 적용
Update-AzVM -VM $VirtualMachine

지원되는 이미지는 Windows server 2022 STD 기준인데, 자동업데이트가 지원되지 않는 OS라 한다

찾아보니까 Azure에서 있는 이미지만 가능한것 같다.

그렇다면, 수동일때 자동으로 업데이트 변경은 불가능한 것인가?

기술 문서에 찾아보니 처음에 배포할때 자동업데이트를 하지않으면 수동에서 자동으로 변경은 불가능하다는 얘기다.

예약된 이벤트로 가능합니다.

먼저 VM -> 관리 -> 업데이트로 들어가

예약 이벤트를 구성해줍니다.

이제 모든 구성이 완료되었고, OS 마다 어떤 부분을 업데이트 할지 범위를 설정합니다

게스트 OS 자동업데이트 일정이 만들어졌습니다.

예약 업데이트가 진행 되고 있다.

업데이트가 완료 되었습니다.

디스크 확장 방법

클라우드 엔지니어 — Wed, 2 Aug 2023 16:56:34 +0900

Azure 포탈에서 디스크 성능이나 크기를 유연하게 확장 시킬 수 있다.

128GB -> 256GB으로 변경함.

Windows Server 에서 확장된 공간을 확장하려하는데, 확장 버튼이 비활성 되었다.

중간에 복구파티션이 껴 있으면 C드라이브 볼륨 확장이 진행되지 않습니다.

명령어로 복구 파티션만 제거해줍니다.

CMD(관리실행)

diskpart

lisk disk

c드라이브 이니 디스크 0입니다.

select disk 0

복구파티션이 몇번인지 알아야 합니다

list partition 명령어를 치고

파티션 3를 선택합니다.

select partition 3

delete partition override 입력

복구 파티션을 지웠더니 볼륨확장버튼이 활성화 되었습니다.

결과적으로 디스크 확장이 되었는데요.

Azure VM 크기VM(Size) cpu ram등을 유연하게 줄이고 키울 수 있지만

디스크는 데이터 공간이기 때문에 축소하면 VM이 고장날 우려가 있습니다.

비용도 문제지만, 이런 문제를 방지하기위해 최소로 올린다음. 필요할때 확장하는 방향으로 운영했으면 좋겠습니다.

[메일 보안] DKIM

클라우드 엔지니어 — Tue, 1 Aug 2023 18:04:43 +0900

DKIM이란?

DKIM은 공격이 도메인에서 발송된 것 같은 메시지를 보내지 못하도록 도와주는 SPF, DKIM 및 DMARC(인증 방법) 중 하나입니다.

Microsoft-365의 기본 제공 DKIM 구성은 대부분의 고객에게 충분한 범위입니다. 그러나 다음과 같은 경우 사용자 지정 도메인에 대해 DKIM을 수동으로 구성해야 합니다.

Microsoft 365에 두 개 이상의 사용자 지정 도메인이 있는 경우
DMARC 또한 설정하려는 경우(권장됨)
개인 키를 제어하려는 경우
CNAME 레코드를 사용자 지정하려는 경우
타사 대량 메일 프로그램을 사용하는 경우와 같이 타사 도메인에서 시작되는 전자 메일에 대해 DKIM 키를 설정하려는 경우

Microsoft 365는 초기 'onmicrosoft.com' 도메인에 대해 DKIM을 자동으로 설정합니다. 즉, 초기 도메인 이름

(예: litware.onmicrosoft.com)의 DKIM을 설정하기 위한 작업을 수행하지 않아도 됩니다.

보통 Microsoft 365를 구독하면 도메인을 직접 부여하지 않는 테넌트는 onmicrosoft.com으로 시작합니다.

Microsoft 365 Defender -> 위협정책 -> 전자 메일 인증 설정에 들어갑니다.

사용하기를 눌러줍니다.

메일을 보내고

원본 보기를 클릭합니다.

SPF만 인증 됐고 DKIM은 인증되지 않았습니다.

설정 방법은

도메인을 호스팅하는 곳에 로그인하여

DNS 관리 페이지에 selector1, selector2 값을 등록해야 합니다.

가비아의 DNS 설정 관리 페이지에 등록해야합니다.

https://dnschecker.org/#TXT/_dmarc.mcblab.site

DNS Checker - DNS Check Propagation Tool

Check DNS Propagation worldwide. DNS Checker provides name server propagation check instantly. Changed nameservers so do a DNS lookup and check if DNS and nameservers have propagated.

dnschecker.org

에서 해당 도메인의 CNAME이 전파 되어있는지 확인합니다.

아래 상태가 되면 Microsoft 365 Defender 에서 전자 메일 인증 설정에 들어가

DKIM 활성화를 해줍니다.

DNS 전파까지 완료되면, 아래와 같이 활성화가 됩니다.

https://learn.microsoft.com/ko-kr/microsoft-365/security/office-365-security/email-authentication-dkim-configure?view=o365-worldwide

DKIM 인증이 되었습니다.