1 - Log Analytics 에이전트를 다운로드하고 설치합니다.
2 - 포트 25226 및 ,,,,,,,,에서 수신하도록 Log Analytics 에이전트를 설정합니다.
3 - syslog 데몬을 구성합니다. syslog 데몬과 Log Analytics 에이전트를 다시 시작합니다. 참조:
https://docs.microsoft.com/en-us/azure/sentinel/connect-cef-agent?tabs=rsyslog

설명
이렇게 하면 171.23.34.32/27 범위의 모든 IP 주소가 위협 표시기로 추가됩니다. 이는 범위의 모든 IP 주소를 추가하는 가장 간단하고 효율적인 방법입니다.
참조:
[1] https://docs.microsoft.com/en-us/windows/security/threat-protection/microsoft-defender-atp/threat-intelligenc

참조:
https://techcommunity.microsoft.com/t5/azure-security-center/suppression-rules-for-azure-security-center-alerts-are-now/ba-p/1404920

섹션: [없음]
설명/참조:
테스트렛 2
사례 연구
이것은 사례 연구입니다. 사례 연구는 별도로 시간이 정해지지 않습니다. 각 사례를 완료하고 싶은 만큼 시험 시간을 사용할 수 있습니다. 그러나 이 시험에는 추가적인 사례 연구와 섹션이 있을 수 있습니다.
주어진 시간 내에 이 시험에 포함된 모든 문제를 완료할 수 있도록 시간을 관리해야 합니다.
사례 연구에 포함된 질문에 답하려면 사례 연구에 제공된 정보를 참조해야 합니다. 사례 연구에는 사례 연구에 설명된 시나리오에 대한 자세한 정보를 제공하는 전시물과 기타 리소스가 포함될 수 있습니다. 각 질문은 이 사례 연구의 다른 질문과 독립적입니다.
이 사례 연구가 끝나면 검토 화면이 나타납니다. 이 화면에서는 시험의 다음 섹션으로 이동하기 전에 답변을 검토하고 변경할 수 있습니다. 새 섹션을 시작한 후에는 이 섹션으로 돌아갈 수 없습니다.
사례 연구를 시작하려면
이 사례 연구의 첫 번째 질문을 표시하려면 다음 버튼을 클릭하세요. 질문에 답하기 전에 왼쪽 창에 있는 버튼을 사용하여 사례 연구의 내용을 살펴보세요. 이러한 버튼을 클릭하면 비즈니스 요구 사항, 기존 환경, 문제 설명 등의 정보가 표시됩니다. 사례 연구에 모든 정보 탭이 있는 경우 표시되는 정보는 후속 탭에 표시되는 정보와 동일합니다. 질문에 답할 준비가 되면 질문 버튼을 클릭하여 질문으로 돌아가세요.
개요
Litware Inc.는 재생 가능한 회사입니다.
Litware는 보스턴과 시애틀에 사무실을 두고 있습니다. Litware에는 미국 전역에 원격 사용자가 있습니다. 클라우드 리소스를 포함한 Litware 리소스에 액세스하기 위해 원격 사용자는 두 사무실 중 하나에 VPN 연결을 설정합니다.
기존 환경
신원 환경
네트워크에는 litware.com이라는 Azure AD(Azure Active Directory) 테넌트와 동기화되는 litware.com이라는 Active Directory 포리스트가 포함되어 있습니다.
Microsoft 365 환경
Litware에는 litware.com Azure AD 테넌트에 연결된 Microsoft 365 E5 구독이 있습니다. Microsoft Defender for Endpoint는 Windows 10을 실행하는 모든 컴퓨터에 배포됩니다. 모든 Microsoft Cloud App Security 기본 제공 변칙 검색 정책이 활성화됩니다.
Azure 환경
Litware에는 litware.com Azure AD 테넌트에 연결된 Azure 구독이 있습니다. 구독에는 다음 표에 표시된 대로 미국 동부 Azure 지역의 리소스가 포함되어 있습니다.

네트워크 환경
각 Litware 사무실은 인터넷에 직접 연결되며 Azure 구독의 가상 네트워크에 대한 사이트 간 VPN 연결이 있습니다.
온프레미스 환경
온프레미스 네트워크에는 다음 표에 표시된 컴퓨터가 포함되어 있습니다.

현재 문제
Cloud App Security는 사용자가 두 사무실에 동시에 연결할 때 오탐지 경고를 자주 생성합니다.
계획된 변경
Litware는 다음과 같은 변경 사항을 구현할 계획입니다.
* Azure 구독에서 Azure Sentinel을 만들고 구성합니다.
* Azure AD 테스트 사용자 계정을 사용하여 Azure Sentinel 기능의 유효성을 검사합니다.
비즈니스 요구 사항
Litware는 다음과 같은 비즈니스 요구 사항을 식별합니다.
* 가능하면 최소 권한의 원칙을 사용해야 합니다.
* 다른 모든 요구 사항이 충족되는 한 비용은 최소화되어야 합니다.
* Log Analytics에서 수집한 로그는 사용자 활동에 대한 전체 감사 추적을 제공해야 합니다.
* 모든 도메인 컨트롤러는 Microsoft Defender for Identity를 사용하여 보호되어야 합니다.
Azure 정보 보호 요구 사항
보안 레이블이 있고 Windows 10 컴퓨터에 저장된 모든 파일은 Azure Information Protection - 데이터 검색 대시보드에서 사용할 수 있어야 합니다.
끝점용 Microsoft Defender 요구 사항
모든 Cloud App Security 승인되지 않은 앱은 Microsoft Defender for Endpoint를 사용하여 Windows 10 컴퓨터에서 차단되어야 합니다.
Microsoft Cloud App Security 요구 사항
Cloud App Security는 테넌트 수준 데이터를 기반으로 사용자 연결이 비정상적인지 여부를 식별해야 합니다.
Azure Defender 요구 사항
모든 서버는 동일한 Log Analytics 작업 영역으로 로그를 보내야 합니다.
Azure 센티널 요구 사항
Litware는 다음 Azure Sentinel 요구 사항을 충족해야 합니다.
* Azure Sentinel과 Cloud App Security를 ​​통합합니다.
* admin1이라는 사용자가 Azure Sentinel 플레이북을 구성할 수 있는지 확인하세요.
* 사용자 지정 쿼리를 기반으로 Azure Sentinel 분석 규칙을 만듭니다. 규칙은 플레이북 실행을 자동으로 시작해야 합니다.
* 특정 IP 주소로부터의 데이터 접근을 나타내는 이벤트에 메모를 추가하여 헌팅 중 조사 그래프를 탐색할 때 IP 주소를 참조할 수 있는 기능을 제공합니다.
* Azure AD 테스트 사용자 계정의 Microsoft Office 365에 대한 인바운드 액세스가 감지되면 경고를 생성하는 테스트 규칙을 만듭니다. 규칙에 의해 생성된 경고는 테스트 사용자 계정당 하나의 사건으로 개별 사건으로 그룹화되어야 합니다.