Microsoft Defender for Cloud

Microsoft Defender for Cloud는 통합 클라우드 보안 상태 관리(CSPM) 및 워크로드 보호 플랫폼입니다. Azure 리소스, 하이브리드 서버 및 다중 클라우드 환경(AWS, GCP)을 지속적으로 모니터링하여 보안 구성 오류, 위협 및 취약성을 탐지합니다. 환경을 강화하기 위한 권장 사항을 우선순위가 지정된 목록으로 제공하고, 진행 중인 공격을 적극적으로 탐지합니다.

Defender for Cloud는 두 가지 주요 요소를 중심으로 작동합니다. Cloud Security Posture Management (CSPM)은 보안 모범 사례 및 규정 준수 프레임워크에 따라 리소스 구성을 평가하고 구독에 Secure Score를 할당합니다. Defender 플랜을 통해 사용하도록 설정되는 Cloud Workload Protection (CWP)은 실행 중인 워크로드를 보호하기 위해 능동적인 위협 탐지, 취약성 검사 및 Just-In-Time VM 액세스를 추가합니다.

Secure Score는 구독의 보안 상태를 나타내는 숫자 지표(0~100)입니다. 각 보안 권장 사항에는 점수 영향도가 있으며, 영향도가 큰 권장 사항을 수정할수록 점수가 더 많이 향상됩니다. Microsoft의 벤치마크에 따르면 Secure Score가 높은 고객일수록 보안 사고를 더 적게 경험합니다. 점수 대시보드는 보안 제어 영역( ID, 네트워크, 데이터 등)별로 세부 정보를 제공하여 수정 작업의 우선순위를 정하는 데 도움을 줍니다.

Defender for Cloud에는 무료 기본 CSPM 계층(항상 사용 가능)과 특정 리소스 유형을 위한 유료 Defender 계획이 있습니다. 계획에는 Defender for Servers(VM의 엔드포인트 위협 탐지), Defender for Containers(Kubernetes 위협 탐지 및 이미지 검사), Defender for Databases(SQL 삽입 및 비정상 액세스 탐지), Defender for Key Vault 등이 포함됩니다. 각 계획은 리소스별로 요금이 부과됩니다.

Defender for Cloud에서 잘못된 구성을 탐지하면 보안 권장 사항을 만듭니다. 각 권장 사항에는 문제 설명, 영향을 받는 리소스 목록, 심각도(높음/중간/낮음), 문제를 수정했을 때 증가할 수 있는 Secure Score, 그리고 간단한 수정 작업을 한 번의 클릭으로 수행하는 빠른 수정 단추가 포함된 수정 단계가 제공됩니다. 권장 사항은 Microsoft Cloud Security Benchmark(MCSB)에 매핑됩니다.

Defender for Cloud에서 활성 위협을 탐지하면 공격, 영향을 받는 리소스 및 권장 대응 단계를 설명하는 보안 경고를 생성합니다. 동일한 공격 캠페인에서 발생한 관련 경고는 자동으로 상관 분석되어 보안 인시던트로 통합됩니다. 따라서 서로 고립된 수십 개의 경고 대신 공격의 진행 과정(킬 체인)을 통합된 보기로 확인할 수 있습니다. 경고는 Microsoft Sentinel, Logic 앱 또는 전자 메일로 라우팅할 수 있습니다.

JIT(Just-In-Time) VM 액세스(Defender for Servers에서 사용 가능)는 사용하지 않을 때 NSG 수준에서 RDP(3389) 및 SSH(22)와 같은 관리 포트를 차단합니다. 관리자가 액세스해야 하는 경우 Defender for Cloud를 통해 특정 시간 범위(예: 3시간)와 특정 원본 IP를 지정하여 요청합니다. 해당 시간 범위에 NSG 규칙이 생성되고 이후 자동으로 제거되므로 관리 포트를 항상 열어 두었을 때 발생하는 공격 표면이 제거됩니다.

적응형 애플리케이션 제어는 기계 학습을 사용하여 VM에서 실행 중인 애플리케이션을 분석하고 권장 허용 목록을 생성합니다. 목록을 검토하고 승인하면 Defender for Cloud에서 Windows AppLocker 규칙 또는 Linux 감사 규칙을 만들어 승인된 집합에 포함되지 않은 애플리케이션을 표시하거나 차단합니다. 이는 승인되지 않은 소프트웨어를 악용하는 맬웨어 및 랜섬웨어에 대응하는 강력한 도구입니다.

Defender for Cloud에는 보안 상태를 ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 및 CIS 벤치마크와 같은 특정 프레임워크에 매핑하는 규정 준수 대시보드가 포함되어 있습니다. 프레임워크의 각 제어 항목은 하나 이상의 Defender for Cloud 권장 사항에 매핑됩니다. 감사자는 대시보드에서 통과한 제어 항목 수와 수정이 필요한 항목을 확인할 수 있으므로 규정 준수 증거를 훨씬 빠르게 수집할 수 있습니다.

Defender for Cloud는 Azure를 넘어 클라우드 커넥터를 통해 AWS 및 GCP 리소스에 대한 보안 범위를 제공하고, Azure Arc 에이전트를 통해 온-프레미스 서버에도 보안을 제공합니다. 이를 통해 하이브리드 및 멀티 클라우드 환경 전반을 하나의 통합 화면에서 확인할 수 있습니다. 권장 사항과 Secure Score에는 Azure가 아닌 리소스도 포함되므로 진정으로 통합된 보안 관리 플랫폼으로 사용할 수 있습니다.

일반적인 Defender for Cloud 워크플로는 다음과 같습니다. 평가 — Secure Score를 검토하고 권장 사항을 엽니다. 보안 유지 — 영향이 가장 큰 권장 사항부터 수정합니다. 방어 — 실시간으로 위협을 탐지하고 대응하도록 Defender 계획을 사용하도록 설정합니다. 이 반복 주기는 보안 상태를 지속적으로 개선하고 시간이 지남에 따라 보안 인시던트의 발생 가능성과 영향을 줄입니다.

이 단원에서 다룬 Microsoft Azure Fundamentals(AZ-900) 개념에 대한 이해도를 확인합니다.

이 단원에서는 다음을 배웠습니다. Defender for Cloud는 Secure Score를 통해 CSPM 보안 상태를 관리하고 Defender 계획을 통해 활성 위협을 보호합니다. 또한 JIT VM 액세스는 관리 포트를 닫고 요청이 있을 때만 엽니다. 규정 준수 대시보드는 보안 상태를 ISO 27001 및 PCI DSS와 같은 프레임워크에 매핑합니다. 다음 단원에서는 비밀 및 인증서 관리를 위한 Azure Key Vault를 살펴봅니다.