ITDR 자주 묻는 질문

Microsoft Entra ID가 지원됩니다.

예, ID 설정 페이지에서 여러 개의 Entra ID 테넌트를 추가할 수 있습니다. 자세한 내용은 ID 설정를 참조하십시오.

ITDR을 사용하려면 Entra ID P1 또는 P2가 필요하며, 이는 독립형 제품, 추가 기능 또는 Microsoft 365 E3 및 E5, Microsoft Business Premium, Microsoft 365 Frontline Worker F1, F3 및 F5와 같은 다른 Microsoft 라이선스에 포함된 형태로 제공됩니다.

Microsoft Entra ID Free는 Microsoft API에 대한 액세스를 제공하지만, 수집할 수 있는 데이터와 실행할 수 있는 보안 상태 검사에 일부 제한이 있습니다. 이러한 이유로 Entra ID Free를 사용하는 일부 ITDR 통합에서 프로비저닝 실패 상태가 표시될 수 있습니다.

ITDR은 계정 정보를 수집하기 위해 Microsoft API를 사용합니다. 마이크로소프트는 라이선스에 따라 특정 API에 대한 접근을 제한하기도 하므로, 사용자가 관리자인지 또는 MFA가 등록되어 있는지와 같은 정보가 라이선스 업그레이드 후 바로 표시되지 않을 수 있습니다. 고객이 라이선스를 업그레이드한 후 마이크로소프트에서 업데이트된 사용자 정보를 제공하기까지 최대 일주일이 소요될 수 있습니다. Microsoft Entra 관리 센터에서 활동 보고서를 확인하여 해당 정보를 검증할 수 있습니다. 자세한 내용은 인증 방법 활동을 참조하세요. 사용자 보고서에 포함된 정보가 업데이트되지 않으면 Microsoft에서 정보를 새로 고칠 때까지 ITDR도 최신 상태가 아닙니다.

초기 설정이 완료되면 Microsoft Entra ID에서 전체 데이터 카탈로그를 수집합니다. 그 후, 아래에 설명된 데이터 유형에 따라 업데이트를 확인합니다.

• 사용자 세부 정보: 10분마다.
• 서비스 주체 및 앱 세부 정보: 10분마다.
• 그룹: 10분마다.
• 장치: 10분마다.
• 사용자 MFA 구성: 15분마다.
• 사용자 활동(마지막 로그인): 6시간마다.
• 도메인 데이터: 24시간마다.

신원 위험 태도 점수는 전날 대비 변동 사항을 반영하여 매일 업데이트됩니다. 점수는 새로운 발견이 있었는지, 기존 발견 사항이 해결되었는지 또는 기각되었는지에 따라 증가하거나 감소합니다.

아니요, ITDR은 모니터링하는 소프트웨어입니다. 하지만 MDR 서비스 이용 중인 경우, MDR 운영팀은 기존에 조사하던 내용 외에도 신원 기반 위협을 조사합니다.

MDR 운영팀은 주로 활성 ID 위협에 중점을 두고 있으며, 활성 위협을 나타낼 수 있는 중요 또는 심각도 높은 수준의 발견 사항 중 일부를 검토합니다. 하지만 조사 결과를 모니터링하고 관리하는 것은 귀하의 책임입니다.

MDR 운영팀은 Microsoft Entra ID에서 수집한 추가 ID 컨텍스트를 활용하여 사용자와 관련 위험을 더 잘 이해하고, 이를 통해 사용자가 연관된 ID 및 비ID 탐지 모두에서 조사 및 대응 프로세스를 가속화할 수 있습니다.

우리는 누출 여부를 지속적으로 모니터링하고 결과를 수집합니다. 누출이 감지되면 일반적으로 15분 이내에 보고됩니다.

아니요, 저희는 평문 비밀번호나 해시 값을 저장하지 않습니다. 또한 저희는 신원 제공업체로부터 이러한 정보를 수집할 수 있는 권한이 없습니다. 데이터를 검색하고 수집할 때, 관찰된 값에 사용자 지정 해시를 적용한 다음 해당 기록을 평문 또는 해시된 암호로 분류합니다. 이를 통해 비밀번호의 고유성을 판단하고 기본 비밀번호 값을 보관하지 않고도 지표를 계산할 수 있습니다.

다음은 몇 가지 잠재적인 원인입니다.

• P1 또는 P2와 같은 필수 Microsoft Entra ID 라이선스가 없습니다.
• 최근에 라이선스를 업그레이드하셨는데 Microsoft에서 아직 관련 데이터를 제공하지 않았습니다. 자세한 내용은 "Entra ID 무료 버전에서 P1 또는 P2 라이선스로 업그레이드한 후 ITDR이 업데이트되는 데 걸리는 시간은 얼마나 되나요?"를 참조하세요.

• Okta 또는 Duo와 같은 타사 MFA 제공업체를 기존 구성으로 사용하고 있습니다. 이 시나리오에서는 Microsoft Entra ID가 외부 MFA 공급자의 사용자 수준 MFA 정보를 저장하지 않으므로 MFA 상태가 제대로 보고되지 않습니다. 하지만 Entra ID 테넌트 구성에서 새로운 Microsoft 외부 인증 방식을 사용하는 경우 외부 공급자가 사용되고 있음을 추론할 수 있습니다.

  자세한 내용은 Microsoft Entra 블로그를 참조하세요. Duo 및 Okta에 대한 추가 설정 세부 정보는 별도로 제공됩니다. 자세한 내용은 Duo 설명서 및 Okta 설명서를 참조하세요.

Entra ID에서 관리자 플래그는 Entra ID 내에서 관리자 또는 특권 사용자로 인식되는 역할이 할당된 사용자에게 true로 설정됩니다. 이러한 역할은 일반적으로 디렉터리 리소스, 사용자 또는 보안 설정에 대한 상당한 제어 권한을 가지고 있습니다. 다음은 관리자 플래그를 true로 설정하는 Entra ID 역할 목록입니다.

• 글로벌 관리자: Entra ID의 모든 관리 기능에 대한 전체 액세스 권한이 부여됩니다.
• 관리자 권한: Entra ID에서 다른 관리자를 지정하는 것을 포함하여 역할 할당을 관리합니다.
• 사용자 관리자: 사용자 계정, 그룹 및 일부 사용자 속성을 관리합니다.
• 보안 관리자: 모든 보안 기능 및 설정에 대한 완전한 접근 권한을 가지고 있습니다.
• 규정 준수 관리자: 전자증거개시 및 감사와 같은 규정 준수 관련 기능을 관리합니다.
• 애플리케이션 관리자: Entra ID에서 애플리케이션 등록 및 설정을 관리합니다.
• 인증 관리자: 비밀번호 재설정을 포함하여 인증 방법 및 제어를 보고, 설정하고, 재설정할 수 있습니다.
• 교환 관리자: Microsoft Exchange Online의 설정을 관리합니다.
• SharePoint 관리자: SharePoint Online의 설정을 관리합니다.
• 팀 관리자: Microsoft Teams 설정을 관리합니다.
• Intune 관리자: Microsoft Intune에서 장치 관리 설정 및 구성을 관리합니다.
• 청구 관리자: 구독, 청구 및 지원 티켓을 관리합니다.
• 헬프데스크 관리자: 비밀번호 재설정 및 기본적인 문제 해결로 제한됩니다.
• 서비스 지원 관리자: 서비스 지원 관련 설정을 관리합니다.
• 디렉토리 읽기 권한(다른 권한 있는 역할과 함께 사용하는 경우): 디렉터리 정보를 읽을 수 있으며, 일반적으로 다른 역할과 함께 사용하여 권한을 상승시킵니다.
• 글로벌 리더(다른 관리자 역할과 결합된 경우): Entra ID 및 Microsoft 서비스 전반에 걸쳐 읽기 전용 액세스 권한을 가지며, 다른 관리자 역할과 결합될 경우 관리자 플래그를 true로 설정할 수 있습니다.
• 보고서 열람자 (다른 관리자 역할과 결합된 경우): 보고서 및 로그에 대한 접근 권한은 다른 관리 업무와 함께 주어지는 경우가 많습니다.
• 조건부 액세스 관리자: 조건부 액세스 정책을 관리합니다.
• ID 관리 담당자: ID 관리, 액세스 검토 및 권한 관리와 관련된 설정을 관리합니다.
• 관리자 권한이 있는 사용자 지정 역할: 위의 역할들과 유사한 관리자 권한을 가진 사용자 지정 역할 도 관리자 플래그를 true로 설정할 수 있습니다.

이 목록은 Entra ID에서 관리자 플래그에 영향을 미치는 표준 역할을 다룹니다. 하지만 마이크로소프트가 이러한 역할을 업데이트하거나 새로운 역할을 추가하는 경우, 관리자 플래그의 동작 방식이 그에 따라 변경될 수 있습니다.

마지막 로그인 시간이 90일 이상 경과한 사용자는 휴면 사용자로 표시됩니다.

각 계정의 위험 점수는 계정 변경 사항이 감지되거나 발견 사항이 수정될 때 업데이트됩니다. 점수 계산 방법 및 점수에 영향을 미치는 요소에 대한 자세한 내용은 다음을 참조하십시오.신원 위험 점수 .

가장 흔한 원인은 새롭게 발견된 위중하거나 중증도가 높은 개방성 병변입니다. 적극적인 조사 결과는 해당 기록 의 이력이 깨끗하더라도 점수를 적절한 범위로 끌어올립니다. 해당 사용자의 상세 정보를 열고 위험 점수 섹션에서 변경을 유발한 요인을 검토하여 어떤 사항이 변경을 촉발했는지 확인하십시오. 자세한 내용은 신원 위험 점수을 참조하십시오.

신원 위험 점수는 문제가 해결되면 자동으로 재계산되므로, 해결 후 얼마 지나지 않아 업데이트된 점수를 확인할 수 있습니다. 하지만 해결된 결과는 다음 일일 채점 주기까지 감소된 가중치로 계속 반영됩니다. 점수 감면액이 다음 날 계산된 점수에 그대로 반영됩니다.

기본 머신 러닝 모델이 경고 및 조사 활동과 같은 행동 신호를 통합하기 때문에 구성 변경 없이도 점수는 매일 다시 계산됩니다. 신원의 점수는 신원 속성 수정 여부와 관계없이 이러한 활동이 누적되거나 만료됨에 따라 매일 변동될 수 있습니다.

아니요. 위험 점수는 단순한 체크리스트를 합산하는 방식이 아니라 특허 출원 중인 머신러닝 모델을 통해 생성됩니다. 이 모델은 각 요소가 위험과 실제로 얼마나 강하게 상관관계가 있는지 학습하고 그에 따라 기여도를 가중치로 부여합니다. 따라서 동일한 요소들을 가진 두 사람이라 하더라도 점수 변동폭이 반드시 같지는 않습니다. 개인 정보 페이지에 표시된 영향 요인은 해당 점수에 가장 큰 영향을 미친 요소를 반영합니다.

이 모델은 ITDR 고객 기반 전체의 집계된 행동 및 계정 신호를 기반으로 학습되어 일반적으로 위험과 상관관계가 있는 요소를 파악합니다. 사용자 신원에 대한 점수는 사용자의 현재 테넌트 데이터를 사용하여 계산됩니다.

빈칸이라고 해서 자동으로 중립적인 것은 아닙니다. 이 모델은 유사한 신원으로부터 학습된 패턴을 기반으로 값을 추론하므로, 부서, 직원 유형 또는 직책이 누락된 경우에도 모델 내 다른 유사한 신원의 위험도와 상관관계가 있는 요소에 따라 점수가 오르거나 내릴 수 있습니다. 정확한 데이터로 필드를 채우면 모델이 더욱 정밀한 신호를 기반으로 작동할 수 있습니다.

점수는 역할 하나만이 아니라 모든 속성을 종합적으로 반영합니다. 동일한 직함을 가진 두 사람이라도 MFA(미술관 석사) 자격, 도시 위험도, 초청 연사 자격, 공개 조사 결과 또는 과거 활동 내역이 다를 수 있습니다. 각 계정의 위험 점수 섹션에서 차이 발생 요인을 검토하여 어떤 요인이 차이에 영향을 미치는지 확인하십시오.

보안 요소는 계정 구성 및 보안 상태 와 관련이 있으며, MFA 활성화, 불필요한 관리자 역할 제거 또는 미해결 문제 해결과 같이 직접 변경할 수 있습니다. 프로필 요소는 부서, 직책, 거주 도시와 같이 신원 자체의 속성이므로 쉽게 통제할 수 없습니다. 둘 다 점수를 높이거나 낮출 수 있지만, 수정 보안 요소에 집중해야 합니다. 왜냐하면 보안 요소는 실제로 조치를 취할 수 있는 부분이기 때문입니다. 자세한 내용은 점수를 높이는 요소는 무엇일까요?을 참조하십시오.

현재 점수는 사용자 신원을 기준으로 계산됩니다. 서비스 주체 및 애플리케이션 ID 점수 계산 기능은 향후 릴리스에 포함될 예정입니다.

위험 점수는 활성 계정에 대해서만 계산됩니다. ID 제공업체에서 ID가 삭제됨 또는 사용 안 함으로 표시된 경우 위험 점수가 부여되지 않습니다.

시스템이 경고 데이터를 축적하고 각 사용자에 대한 행동 프로필을 구축함에 따라 점수가 향상됩니다. 신규 임차인 또는 최근 추가된 사용자의 경우, 기준선이 설정되는 동안 최대 30일 동안 점수가 참고용으로만 제공될 수 있습니다. 충분한 데이터가 수집되면 점수는 위험 신호의 모든 범위를 반영하기 시작할 것입니다. 공개된 정보를 가진 사용자는 온보딩 시기와 관계없이 더 높은 점수를 받습니다.

Identities 테이블을 위험 점수 내림차순으로 정렬하세요. 주요 사용자 계정에 대한 신원 정보의 위험 점수 섹션에서 위험 요인을 검토하고, 심각하거나 높은 수준의 위험 요소가 발견된 계정을 우선적으로 처리하십시오. 이는 가장 실질적인 출발점이자 점수 감소를 위한 가장 빠른 경로를 나타냅니다.

실질적인 결과를 도출하기 위해 수집 및 분석하는 데이터의 상관관계를 파악하고 검증하기 위해 다음과 같은 처리 단계를 거칩니다.

1. 구성된 ID 공급자 내에 활성 ID가 있는지 확인하십시오.
2. 사용 가능한 과거 데이터를 기반으로 평문 암호 또는 해시값이 처음 유출된 시점을 파악합니다. 이는 새로 공개된 콤보리스트에 이전 유출 데이터의 오래된 내용이 포함되는 경우가 많기 때문에 중요합니다.
3. 암호 값이 평문인 경우, Microsoft Entra ID의 전역 암호 복잡성 요구 사항과 비교하여 유효하지 않은 값을 걸러냅니다.
4. 마지막으로, 비밀번호가 처음 유출된 날짜와 해당 사용자의 비밀번호가 마지막으로 변경된 시점을 비교합니다. 만약 정보 유출이 마지막 비밀번호 변경 이후에 발생했다면, 저희는 이를 오류로 보고합니다.

만약 문제가 발생하여 보고서를 작성해야 한다고 판단되면, 해당 계정에 다단계 인증(MFA)이 활성화되어 있는지, 그리고 활성화되어 있다면 어느 정도 강도로 설정되어 있는지 확인합니다. 사용자 유형, 유출 유형 및 MFA 구성에 따른 위험 수준은 다음과 같습니다.

신원 설정 페이지의 자세 확인 기본 설정 탭 에서 확인 목록을 볼 수 있습니다. 자세한 내용은 ID 설정를 참조하십시오.

네, 신원 설정 페이지의 자세 확인 기본 설정 탭 에서 자세 확인 기능을 켜거나 끌 수 있습니다. 자세한 내용은 ID 설정를 참조하십시오.

저희는 러시아 마켓플레이스, 제네시스 마켓과 같은 다양한 다크 웹 마켓플레이스, TOR 사이트, 공개 및 비공개 텔레그램 채널, 그리고 스틸러 로그 파일의 데이터를 활용합니다.

VIP 모니터링을 위해 사용자를 구성하면, 지난 1년 동안 유출된 추가 사용자 속성을 파악하기 위해 다크 웹과 오픈 웹을 모니터링합니다. 단일 누출에서 여러 필드가 동시에 노출되는 것을 관찰하면 다음과 같은 결과 중 하나를 도출합니다.