주제 4, 혼합 질문
혼합 질문
SC-200 믹스 문제 이 사례 연구
Fabrikam. Inc.는 금융 서비스 회사입니다.
이 회사는 뉴욕, 런던, 싱가포르에 지사를 두고 있습니다. Fabrikam은 전 세계에 원격 사용자를 두고 있습니다. 원격 사용자는 VPN 연결을 통해 지사에 연결하여 클라우드 리소스를 포함한 회사 리소스에 접근합니다.
네트워크에는 fabrikam.com이라는 이름의 Active Directory Domain Services(AD DS) 포리스트가 있으며, 이 포리스트는 fabrikam.com이라는 이름의 Azure AD 테넌트와 동기화됩니다. Fabrikam은 포리스트를 동기화하기 위해 통과 인증을 활성화하고 암호 해시 동기화를 비활성화한 Azure AD Connect를 사용합니다.
fabrikam.com 포리스트에는 Group1과 Group2라는 두 개의 글로벌 그룹이 포함되어 있습니다.
Fabrikam의 모든 사용자에게는 Microsoft 365 E5 라이선스와 Azure Active Directory Premium Plan 2 라이선스가 할당됩니다. Fabrikam은 Microsoft Defender for Identity와 Microsoft Defender for Cloud Apps를 구현하고 로그 수집기를 활성화합니다.
Fabrikam은 다음 표에 나와 있는 리소스를 포함하는 Azure 구독을 보유하고 있습니다.

Fabrikam에는 Account1이라는 Amazon Web Services(AWS) 계정이 있습니다. Account1에는 사용자 지정 Windows Server 2022를 실행하는 Amazon Elastic Compute Cloud(EC2) 인스턴스 100개가 포함되어 있습니다. 이미지에는 Microsoft SQL Server 2019가 포함되어 있으며 에이전트가 설치되어 있지 않습니다.
사용자가 VPN 연결을 사용할 때 Microsoft 365 Defender는 오탐지인 불가능한 여행 알림을 대량으로 발생시킵니다. Defender for Identity는 오탐지인 의심되는 DCSync 공격 알림을 대량으로 발생시킵니다.
Fabrikam은 다음 서비스를 구현할 계획입니다.
* 클라우드용 Microsoft Defender
* 마이크로소프트 센티넬
Fabrikam은 다음과 같은 비즈니스 요구 사항을 파악했습니다.
* 가능하면 최소 권한의 원칙을 사용하세요.
♦ 행정적 노력을 최소화합니다.
Fabrikam은 다음과 같은 Microsoft Defender for Cloud Apps 요구 사항을 파악했습니다.
* 불가능한 여행 알림 정책이 각 사용자의 이전 활동을 기반으로 하는지 확인하세요.
* 거짓 양성인 불가능한 여행 알림의 양을 줄입니다.
거짓 양성 경고를 조사하는 데 필요한 관리적 노력을 최소화합니다.
Fabrikam은 다음과 같은 Microsoft Defender for Cloud 요구 사항을 파악했습니다.
* 그룹2의 구성원이 보안 정책을 수정할 수 있는지 확인하세요.
* Group1의 구성원이 Azure 구독 수준에서 규정 준수 정책 이니셔티브를 할당할 수 있는지 확인합니다.
* Azure Arc 지원 서버용 Azure Connected Machine 에이전트를 Account1의 기존 및 향후 리소스에 자동으로 배포합니다.
* 거짓 양성 경고를 조사하는 데 필요한 관리적 노력을 최소화합니다.
Fabrikam은 다음과 같은 Microsoft Sentinel 요구 사항을 파악했습니다.
* 내장된 ASIM(Advanced Security Information Model) 통합 파서를 사용하여 지난 7일간의 NXDOMAIN DNS 요청을 쿼리합니다.
* AWS EC2 인스턴스에서 로컬 그룹 멤버십 변경 사항을 포함하는 Windows 보안 이벤트 로그 항목을 수집합니다.
* 사용자 및 엔터티 동작 분석(UEBA)을 사용하여 Azure AD 사용자의 비정상적인 활동을 식별합니다.
* UEBA를 사용하여 손상된 Azure AD 사용자 자격 증명의 잠재적 영향을 평가합니다.
* Microsoft Sentinel 자동화 규칙에서 App1을 사용할 수 있는지 확인하세요.
* 지난 30일 동안 발생한 사고에 대한 분류에 걸리는 평균 시간을 파악합니다.
* 지난 30일 동안 발생한 사고를 종결하는 데 걸리는 평균 시간을 파악합니다.
* 그룹1의 멤버가 플레이북을 만들고 실행할 수 있는지 확인하세요.
* Group1의 멤버가 분석 규칙을 관리할 수 있는지 확인하세요.
* Jupyter 노트북을 사용하여 Pool!에서 헌팅 쿼리를 실행합니다.
* 그룹2 구성원이 사고를 관리할 수 있는지 확인하세요.
* 데이터 쿼리의 성능을 극대화합니다.
* 수집되는 데이터의 양을 최소화합니다.

Microsoft Defender for Cloud(이전 Azure Security Center 및 Azure Defender)에서 보안 경고에 대한 이메일 알림은 작업 영역 또는 구독 설정의 "가격 및 설정" 섹션에서 구성됩니다. Microsoft 설명서에 따르면 Defender for Cloud에 연결된 각 구독에는 관리자가 Defender 요금제 활성화, 데이터 수집 설정, 보안 경고에 대한 이메일 알림 등의 구성을 관리할 수 있는 "가격 및 설정" 페이지가 있습니다.
SOC 팀이 경고 알림을 수신하도록 하려면 Microsoft Defender for Cloud # 환경 설정 # [구독 선택] # 가격 및 설정 # 이메일 알림으로 이동합니다. 여기에서 다음을 지정할 수 있습니다.
* 알림을 받을 이메일 주소(최대 200개).
* 심각도가 높은 알림에 대해서만 알림을 보낼지, 아니면 모든 알림에 대해 알림을 보낼지 여부.
* 구독자, 기여자 또는 특정 이메일로 보낼지 여부.
이 구성을 사용하면 Defender for Cloud에서 새로운 보안 경고가 생성될 때마다 경고 이메일이 자동으로 전송되므로 보안 운영 팀은 수동 모니터링 없이도 최신 정보를 얻을 수 있습니다.
다른 옵션은 다음과 같은 이유로 올바르지 않습니다.
* 보안 솔루션은 타사 또는 파트너 보안 제품을 통합하기 위한 것입니다.
* 보안 정책은 규정 준수 및 평가 기준을 정의합니다.
* 보안 알림은 기존 알림을 표시하지만 알림 설정은 제어하지 않습니다.
* Azure Defender는 보호 계획이므로 알림 기본 설정을 제어하지 않습니다.
따라서 정답은 C입니다. 가격 및 설정.

참조:
https://docs.microsoft.com/en-us/azure/sentinel/tutorial-detect-threats-custom

설명:

1단계: https://portal.atp.azure.com에 글로벌 관리자로 로그인합니다.
2단계: 인스턴스 생성
3단계. 인스턴스를 Active Directory에 연결합니다.
4단계. 센서를 다운로드하고 설치합니다.
참조:
https://docs.microsoft.com/en-us/defender-for-identity/install-step1
https://docs.microsoft.com/en-us/defender-for-identity/install-step4

참조:
https://docs.microsoft.com/en-us/azure/sentinel/connect-log-forwarder?tabs=rsyslog