참조:
https://docs.microsoft.com/en-us/azure/governance/policy/concepts/effects
https://docs.microsoft.com/en-us/azure/security-center/workflow-automation

참조:
https://techcommunity.microsoft.com/t5/azure-security-center/security-control-restrict-unauthorized-network-access/ba-p/1593833
https://techcommunity.microsoft.com/t5/azure-security-center/security-control-secure-management-ports/ba-p/1505770

섹션: [없음]
설명/참조:
https://docs.microsoft.com/en-us/azure/sentinel/tutorial-investigate-cases#use-the-investigation-graph-to-deep-dive

섹션: [없음]
설명/참조:
https://docs.microsoft.com/en-us/windows/security/threat-protection/microsoft-defender-atp/microsoft-defender-atp-ios
사례 연구
이것은 사례 연구입니다. 사례 연구는 별도로 시간이 지정되지 않습니다. 각 사례를 완료하는 데 원하는 만큼 시험 시간을 사용할 수 있습니다. 그러나 이 시험에 추가 사례 연구 및 섹션이 있을 수 있습니다.
제공된 시간 내에 이 시험에 포함된 모든 문제를 완료할 수 있도록 시간을 관리해야 합니다.
사례 연구에 포함된 질문에 답하려면 사례 연구에 제공된 정보를 참조해야 합니다. 사례 연구에는 사례 연구에 설명된 시나리오에 대한 추가 정보를 제공하는 전시회 및 기타 리소스가 포함될 수 있습니다. 각 질문은 이 사례 연구의 다른 질문과 독립적입니다.
이 사례 연구가 끝나면 검토 화면이 나타납니다. 이 화면에서는 답안을 검토하고 시험의 다음 섹션으로 이동하기 전에 변경할 수 있습니다. 새 섹션을 시작한 후에는 이 섹션으로 돌아갈 수 없습니다.
사례 연구를 시작하려면
이 사례 연구의 첫 번째 질문을 표시하려면 다음 버튼을 클릭하세요. 질문에 답하기 전에 왼쪽 창에 있는 버튼을 사용하여 사례 연구의 내용을 탐색하십시오. 이 버튼을 클릭하면 비즈니스 요구 사항, 기존 환경 및 문제 설명과 같은 정보가 표시됩니다. 사례 연구에 모든 정보 탭이 있는 경우 표시되는 정보는 후속 탭에 표시되는 정보와 동일합니다. 질문에 답할 준비가 되면 질문 버튼을 클릭하여 질문으로 돌아갑니다.
개요
Contoso Ltd.라는 회사는 북미 전역에 본사와 5개의 지사를 두고 있습니다.
본사는 시애틀에 있다. 지사는 토론토, 마이애미, 휴스턴, 로스앤젤레스, 밴쿠버에 있습니다.
Contoso에는 뉴욕과 샌프란시스코에 지사가 있는 Fabrikam, Ltd.라는 자회사가 있습니다.
기존 환경
최종 사용자 환경
Contoso의 모든 사용자는 Windows 10 장치를 사용합니다. 각 사용자는 Microsoft 365에 대한 라이선스가 부여됩니다. 또한 iOS 장치는 Contoso의 영업 팀원에게 배포됩니다.
클라우드 및 하이브리드 인프라
모든 Contoso 애플리케이션은 Azure에 배포됩니다.
Microsoft Cloud App Security를 ​​사용하도록 설정합니다.
Contoso와 Fabrikam에는 서로 다른 Azure AD(Azure Active Directory) 테넌트가 있습니다. Fabrikam은 최근에 Azure 구독을 구매했고 지원되는 모든 리소스 유형에 대해 Azure Defender를 사용하도록 설정했습니다.
현재 문제
Contoso의 보안 팀은 수많은 사이버 보안 경고를 받습니다. 보안 팀은 어떤 사이버 보안 경고가 합법적인 위협인지 아닌지 식별하는 데 너무 많은 시간을 소비합니다.
Contoso 영업 팀은 iOS 장치만 사용합니다. 영업 팀원은 다양한 타사 도구를 사용하여 고객과 파일을 교환합니다. 과거에 영업팀은 장치에 대한 다양한 공격을 경험했습니다.
Contoso의 마케팅 팀에는 외부 공급업체와의 공동 작업을 위한 여러 Microsoft SharePoint Online 사이트가 있습니다. 마케팅 팀은 공급업체가 맬웨어가 포함된 파일을 업로드한 여러 사건을 겪었습니다.
Contoso의 경영진은 보안 침해를 의심합니다. 경영진은 Microsoft Cloud App Security로 보호되는 애플리케이션에 대한 데이터 액세스, 다운로드 또는 삭제를 포함하여 지난 48시간 동안 5개 이상의 활동이 있었던 파일을 식별하도록 요청합니다.
요구 사항
계획된 변경
Contoso는 두 회사의 보안 작업을 통합하고 모든 보안 작업을 중앙에서 관리할 계획입니다.
기술 요구 사항
Contoso는 다음과 같은 기술 요구 사항을 식별합니다.
* Azure 가상 머신이 무차별 암호 대입 공격을 받는 경우 경고를 받습니다.
* Azure Sentinel을 사용하여 환경에 대한 활성 공격을 신속하게 수정하여 조직의 위험을 줄입니다.
* Contoso 및 Fabrikam의 Azure AD 테넌트 간에 데이터를 상호 연결하는 Azure Sentinel 쿼리를 구현합니다.
* 외부 공격자가 발생하고 자체 Azure AD 애플리케이션이 손상될 가능성이 있는 경우 Fabrikam에 대한 Key Vault 경고에 대해 Azure Defender를 수정하는 절차를 개발합니다.
* 지정된 국가에서 처음으로 Azure 리소스에 로그인하지 못한 사용자의 모든 사례를 식별합니다. 하급 보안 관리자는 다음과 같은 불완전한 쿼리를 제공합니다.
행동 분석
| 여기서 ActivityType == "FailedLogOn"
| 여기서 ________ == 참

자동화 규칙을 사용하면 억제할 알림을 지정할 수 있으므로 관리 작업을 최소화하면서 다른 계정에 대해 실패한 로그인 알림이 생성되도록 할 수 있습니다. 자동화 규칙을 만들려면 Microsoft Sentinel 작업 영역의 자동화 규칙 페이지로 이동하고 가양성 경고를 억제하도록 규칙 매개 변수를 구성합니다.