Microsoft 365 Response Actions

Microsoft 소프트웨어 및 서비스를 Sophos Central과 통합할 수 있습니다. 이를 사용하여 감지된 문제를 해결하기 위해 이러한 작업을 수행할 수 있습니다.

이것은 API 기반 통합입니다.

통합을 완료하면 다음 작업을 수행할 수 있습니다:

• 사용자 로그인 차단 또는 허용합니다. 이를 통해 시스템에 대한 무단 액세스를 방지할 수 있습니다.
• 모든 현재 세션을 연결 해제/취소합니다. 이렇게 하면 손상된 계정을 격리하고 내부망 이동을 방지하는 데 도움이 됩니다.
• 사용자의 받은 편지함 규칙을 비활성화합니다. 이는 민감한 이메일의 악의적 전달, 보안 회피 전술, 증거물 삭제 등을 방지하는 데 도움이 됩니다.

제한 사항

마이크로소프트 365 응답 조치에 대한 다음 제한 사항이 적용됩니다:

• MDR 고객

  Microsoft 365 응담 조치 통합에 설정한 권한과는 무관하게, Sophos Central은 MDR 설정에서 선택한 위협 대응 옵션을 강제합니다. 예를 들어, 협업을(를) 선택한 경우, 귀하의 승인 없이 MDR 분석가들은 조치를 취할 수 없습니다.

• 사용자 로그인 차단은 Entra ID 계정을 영구적으로 연결 해제할 수도 있습니다.

  만일 Microsoft Entra Connect Sync를 사용하여 하이브리드 Entra ID 구성 환경이라면, 동기화 중에 온프레미스 환경이 우선권을 가집니다. Microsoft 365 Response Actions을 사용하여 Entra ID 계정을 연결 해제하면, Entra Connect Sync가 나중에 다시 연결할 수 있습니다. 이는 우리의 통제를 벗어난 상황입니다.

요구 사항

이 통합 구성을 위해 Microsoft 365 관리자 여야 합니다.

이 통합에 대해 Microsoft 라이선스 요구 사항이 없습니다.

권장 사항

Microsoft 365 응답 조치를 구성하는 경우 Microsoft 365 관리 활동 및 Microsoft Graph Security v2 데이터 수집 통합도 구성하는 것이 좋습니다. 이러한 기능은 감지를 생성하고 조사를 풍부하게하여 Microsoft 에스테이트에서 이벤트에 대응하는 데 도움을 줍니다.

통합 구성

마이크로소프트 365 응답 조치 통합을 Sophos Central과 구성하려면 다음을 수행하십시오:

1. Sophos Central에서 위협 분석 센터 > 통합 > 마켓플레이스로 이동합니다.

2. Microsoft 365 - Response Actions

   응답 작업 페이지가 열립니다. 통합이 이미 구성되어 있는 경우 여기에 표시되며 다른 것을 추가할 수 없습니다.

3. 구성 추가를 클릭합니다.

4. 페이지에 응답 동작 추가을 입력하십시오. 그리고 통합 이름과 통합 설명을 입력하십시오.
5. 저장 및 계속을 클릭합니다.

6. Microsoft 365에 연결의 내용을 읽은 다음 계속을 클릭합니다.

   Sophos Central에 통합되는 응용 프로그램을 만들기 위해 Microsoft 365에 연결됩니다.

7. Microsoft 계정을 입력하거나 선택하고 로그인합니다.

   

8. 앱에 권한을 부여하라는 메시지가 표시됩니다. 이러한 권한을 통해 Sophos Central에 통합할 Microsoft 앱을 만들 수 있습니다. 수락을 클릭합니다.

   

9. 새로 생성된 Sophos Central 통합 앱에 권한을 부여하여 필요한 대응 조치를 취할 수 있도록 합니다. 수락을 클릭합니다.

   

통합이 구성된 Sophos Central로 돌아왔습니다.

응답 작업 실행

이제 Microsoft 365 응답 작업을 Sophos Central의 케이스 세부 정보 페이지의 응답 탭에서 실행할 수 있습니다. 사례 대응을 참조하십시오.

문제 해결 응답 작업

이 섹션은 응답 작업 실행 시 발생할 수 있는 문제들을 나열합니다.

“개별 받은 편지함 규칙 비활성화” 작업이 실패했습니다.

수신함 규칙 이름이 정확한지 확인하십시오. 본 작업의 목적을 위해, 받은 편지함 규칙 이름은 대소문자를 구분합니다.