설명:

설명:
'작업 수행'을 선택합니다.
트리거 자동 응답 설정을 구성합니다.
알림 제목으로 필터링합니다.
Microsoft Defender for Cloud에서 알림에 대한 자동 응답은 '작업 수행 # 자동 응답 트리거'를 통해 구현됩니다. 이 기능은 워크플로 자동화를 생성하거나 로직 앱에 바인딩합니다. "의심스러운 프로세스가 실행됨"과 같은 알림의 경우, 가장 간편한 방법은 알림 환경에서 시작하여 "Defender for Cloud 알림이 생성되거나 트리거될 때" 트리거를 사용하는 미리 빌드된 로직 앱(LogicApp2)을 연결하는 것입니다. 문서화된 흐름은 다음과 같습니다. 알림을 열고 '작업 수행'을 선택합니다. 해당 블레이드에서 '자동 응답 트리거'를 선택하여 로직 앱을 연결합니다. 그런 다음 조건을 설정하여 자동화 범위를 지정합니다.
/filters에는 알림 제목을 포함하여 특정 알림("의심스러운 프로세스가 실행됨")이 생성될 때만 실행되도록 설정합니다. 이는 위의 세 단계와 정확히 일치합니다.
조치 수행 - 위협 완화 및 향후 공격 방지 아래의 다른 창들은 수동 지침을 제공하거나 강화 단계를 권장하며, 로직 앱을 바인딩하는 데 사용되지 않습니다. 마찬가지로, 유사 알림 표시 안 함 기능은 노이즈를 조정하기 위한 것이며 자동화를 실행하기 위한 것이 아닙니다. 이미 Defender for Cloud 알림 트리거가 포함된 LogicApp2가 있으므로, "자동 응답 트리거"를 선택하고 알림 제목으로 필터링하면 특정 알림이 발생할 때마다 플레이북이 실행되므로 최소한의 관리 작업과 추가 사용자 지정 로직 생성 없이도 플레이북이 실행됩니다.

Microsoft Sentinel에서 사용자 지정 분석(예약) 규칙은 일시적인 이유로 간헐적으로 실패할 수 있습니다.
Microsoft의 분석 규칙 문제 해결 지침에 따르면:
* 일시적인 오류는 일시적인 상황으로 인해 발생하며, 해결을 위해 사용자의 개입이 필요하지 않은 오류입니다. 예를 들어 다음과 같습니다. * 규칙 쿼리 실행 시간이 너무 길어 시간 초과. * 데이터 원본과 Log Analytics 간 또는 Log Analytics와 Microsoft Sentinel 간의 연결 문제. Microsoft Sentinel은 미리 정해진 재시도 횟수까지 지연 후 규칙을 다시 실행하려고 시도합니다.
따라서 옵션 A(규칙 쿼리가 너무 오래 걸림)와 옵션 D(연결 문제)는 간헐적 오류의 올바른 원인입니다.
반면, 영구적인 오류나 구성 수준 문제로 인해 규칙이 "자동으로 비활성화"될 수 있지만, 이는 간헐적인 오류가 아닙니다. 설명서에는 대상 작업 영역 삭제 또는 데이터 원본 권한 변경과 같은 영구적인 오류 원인이 나와 있습니다. Microsoft Learn의 예:
* 옵션 B(대상 작업 공간이 삭제됨)는 일시적인 원인이 아니라 영구적인 원인입니다. 작업 공간이 삭제되면 규칙은 더 이상 실행될 수 없습니다.
* 옵션 C(규칙 쿼리의 데이터 소스에 대한 권한이 수정됨)도 영구적인 실패 시나리오입니다. 권한이 변경되면 규칙은 수정될 때까지 액세스 권한을 잃게 되는데, 이는 누군가가 반복적으로 권한을 전환하지 않는 한 간헐적으로 발생하는 일이 아니기 때문입니다.