설명

참조:
https://docs.microsoft.com/en-us/cloud-app-security/data-protection-policies

주제 1, Litware, Inc
개요
Litware, Inc.는 시카고 본사에 사용자 1,000명, 샌프란시스코 지점에 사용자 100명을 보유한 금융 회사입니다.
기존 환경
내부 네트워크 인프라
네트워크에는 단일 도메인 포리스트가 포함되어 있습니다. 포리스트 기능 수준은 Windows Server 2016입니다.
사용자에게는 Active Directory에 정의된 로그인 시간 제한이 적용됩니다.
네트워크에는 다음 표에 표시된 IP 주소 범위가 있습니다.

사무실은 MPLS(Multiprotocol Label Switching)를 사용하여 연결합니다.
다음 운영 체제가 네트워크에서 사용됩니다.
* 윈도우 서버 2016
* 윈도우 10 엔터프라이즈
* 윈도우 8.1 엔터프라이즈
내부 네트워크에는 다음 표에 표시된 시스템이 포함됩니다.

Litware는 타사 이메일 시스템을 사용합니다.
클라우드 인프라
Litware는 최근 모든 사용자를 위해 Microsoft 365 구독 라이선스를 구입했습니다.
Microsoft Azure Active Directory(Azure AD) Connect가 설치되고 기본 인증 설정을 사용합니다.
사용자 계정은 아직 Azure AD와 동기화되지 않았습니다.
다음 표에 표시된 Microsoft 365 사용자 및 그룹이 있습니다.

계획된 변경
Litware는 다음 변경 사항을 구현할 계획입니다.
* 전자 메일 시스템을 Microsoft Exchange Online으로 마이그레이션
* Azure AD Privileged Identity Management 구현
보안 요구 사항
Litware는 다음과 같은 보안 요구 사항을 식별합니다.
* 모든 Azure AD 사용자 계정을 포함할 Group2라는 그룹을 만듭니다. Group2는 Windows Analytics에 대한 제한된 액세스를 제공하는 데 사용됩니다.
* 파일럿 사용자에게 Azure Information Protection 정책을 적용하는 데 사용할 Group3이라는 그룹을 만듭니다. Group3은 사용자 계정만 포함해야 합니다.
* Azure ATP(Advanced Threat Protection)를 사용하여 포리스트를 대상으로 하는 모든 보안 위협 감지
* Active Directory에서 잠긴 사용자가 Azure AD 및 Active Directory에 로그인하지 못하도록 방지
* User1에 대한 규정 준수 관리자 역할의 영구적인 적격 할당을 구현합니다.
* 도메인 가입 서버에서 Windows Defender 및 Windows Defender ATP 통합
* 기본적으로 게스트 사용자 계정의 Azure 리소스에 대한 액세스 방지
* 모든 도메인 가입 컴퓨터가 Azure AD에 등록되어 있는지 확인
다단계 인증(MFA) 요구 사항
Microsoft Office 365 및 Azure의 보안 기능은 파일럿 Azure 사용자 계정을 사용하여 테스트됩니다.
MFA 테스트를 위해 다음 요구 사항을 식별합니다.
* 파일럿 사용자는 시카고 사무실의 내부 네트워크에서 로그인하지 않는 한 MFA를 사용해야 합니다.
MFA는 시카고 사무실 내부 네트워크에서 사용하면 안 됩니다.
* 인증 시도가 의심스러운 경우 사용자 위치와 상관없이 MFA를 사용해야 함
* 합법적인 인증 시도의 중단을 최소화해야 합니다. 일반 요구 사항 Litware는 Active Directory 포리스트에서 추가 서버 및 서비스의 배포를 최소화하려고 합니다.

참조:
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/overview-identity-protection
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-risk-policies

항목 3, Contoso, Ltd
개요
Contoso, Ltd.는 몬트리올에 본사가 있고 시애틀과 뉴욕에 3개의 지사가 있는 컨설팅 회사입니다.
회사에는 다음 표에 표시된 사무실이 있습니다.

Contoso에는 IT, 인사(HR), 법무, 마케팅 및 재무 부서가 있습니다. Contoso는 Microsoft를 사용합니다.
365.
기존 환경
하부 구조
네트워크에는 Microsoft Azure AD(Azure Active Directory) 테넌트와 동기화되는 contoso.com이라는 Active Directory 도메인이 포함되어 있습니다. 비밀번호 쓰기 저장이 활성화되었습니다.
도메인에는 Windows Server 2016을 실행하는 서버가 포함됩니다. 도메인에는 Windows 10 Enterprise를 실행하는 랩톱 및 데스크톱 컴퓨터가 포함됩니다.
각 클라이언트 컴퓨터에는 단일 볼륨이 있습니다.
각 사무실은 NAT 장치를 사용하여 인터넷에 연결합니다. 사무실에는 다음 표에 표시된 IP 주소가 있습니다.

명명된 위치는 다음 표와 같이 Azure AD에서 정의됩니다.

Multi-Factor Authentication 페이지에서 198.35.3.0/24의 주소 공간이 신뢰할 수 있는 IP 목록에 정의됩니다.
Azure MFA(Multi-Factor Authentication)는 재무 부서의 사용자에 대해 활성화됩니다.
테넌트에는 다음 표에 표시된 사용자가 포함됩니다.

테넌트에는 다음 표에 표시된 그룹이 포함되어 있습니다.

고객 Lockbox는 Microsoft 365에서 활성화됩니다.
마이크로소프트 인튠 구성
Intune에 등록된 디바이스는 다음 표와 같이 구성됩니다.

Intune의 장치 규정 준수 정책은 다음 표와 같이 구성됩니다.

장치 규정 준수 정책에는 다음 표에 표시된 할당이 있습니다.

준수 정책이 할당되지 않은 장치 표시 설정이 준수로 설정됩니다.
요구 사항
기술 요구 사항
Contoso는 다음과 같은 기술 요구 사항을 식별합니다.
최소 권한 원칙 사용
User1이 보고서 독자 역할을 사용자에게 할당할 수 있도록 합니다.
User6이 가능한 한 빨리 고객 Lockbox 요청을 승인하는지 확인합니다. User9가 Azure AD Privileged Identity Management를 구현할 수 있는지 확인합니다.

설명/참조:
참조:
https://docs.microsoft.com/en-us/office365/securitycompliance/working-with-compliance-manager