위험 검색이란?
Microsoft Entra ID 보호의 위험 검색에는 디렉터리의 사용자 계정과 관련하여 식별된 모든 의심스러운 작업이 포함됩니다. 위험 검색(사용자 및 로그인 연결 모두)은 위험 사용자 보고서에 있는 전체 사용자 위험 점수에 영향을 미칩니다.
각 조직은 ID 보호를 사용해 강력한 리소스에 액세스하여 이러한 의심스러운 작업을 신속하게 확인하고 대응할 수 있습니다.
참고 항목
ID 보호는 올바른 자격 증명을 사용하는 경우에만 위험 검색을 생성합니다. 로그인에서 잘못된 자격 증명이 사용되는 경우에는 자격 증명 손상의 위험을 나타내지 않습니다.
위험 유형 및 검색
위험은 사용자 및 로그인 수준에서 검색할 수 있으며 검색 또는 계산은 실시간 및 오프라인 두 유형이 있습니다. 일부 위험은 Microsoft Entra ID P2 고객에게만 제공되는 프리미엄으로 간주되는 반면, 다른 위험은 무료 및 Microsoft Entra ID P1 고객에게 제공됩니다.
로그인 위험은 ID 소유자가 지정된 인증 요청에 권한을 부여하지 않았을 가능성을 나타냅니다. 특정 악성 로그인에 연결되지 않았지만 사용자 자체에 연결된 사용자에 대해 위험한 활동을 검색할 수 있습니다.
실시간 검색은 5~10분 동안 보고에 표시되지 않을 수 있습니다. 오프라인 검색은 48시간 동안 보고에 표시되지 않을 수 있습니다.
참고 항목
시스템에서 위험 사용자 위험 점수에 기여한 위험 이벤트가 다음 중 하나임을 감지할 수 있습니다.
- 가양성
- 다음 중 하나를 통해 정책에 따라 사용자 위험이 수정되었습니다.
- 다단계 인증 완료
- 암호 변경을 보호합니다.
Microsoft 시스템은 위험 상태를 해제하고 "AI 확인 로그인 안전"의 위험 세부 정보가 표시되고 더 이상 사용자의 위험에 영향을 주지 않습니다.
로그인 위험 검색
| 위험 검색 | 검색 유형 | Type |
|---|---|---|
| 비정상적 이동 | 오프라인 | Premium |
| 비정상적 토큰 | 실시간 또는 오프라인 | Premium |
| 의심스러운 브라우저 | 오프라인 | Premium |
| 일반적이지 않은 로그인 속성 | 실시간 | Premium |
| 악성 IP 주소 | 오프라인 | Premium |
| 의심스러운 받은 편지함 조작 규칙 | 오프라인 | Premium |
| 암호 스프레이 | 오프라인 | Premium |
| 이동 불가능 | 오프라인 | Premium |
| 새 국가 | 오프라인 | Premium |
| 익명 IP 주소에서의 활동 | 오프라인 | Premium |
| 의심스러운 받은 편지함 전달 | 오프라인 | Premium |
| 중요한 파일에 대량 액세스 | 오프라인 | Premium |
| 확인된 위협 행위자 IP | 실시간 | Premium |
| 검색된 추가 위험 | 실시간 또는 오프라인 | 비프리미엄 |
| 익명 IP 주소 | 실시간 | 비프리미엄 |
| 관리자가 확인한 사용자 손상 | 오프라인 | 비프리미엄 |
| Microsoft Entra 위협 인텔리전스 | 실시간 또는 오프라인 | 비프리미엄 |
사용자 위험 검색
| 위험 검색 | 검색 유형 | Type |
|---|---|---|
| PRT(기본 새로 고침 토큰)에 대한 가능성 있는 액세스 시도 | 오프라인 | Premium |
| 비정상적인 사용자 활동 | 오프라인 | Premium |
| 사용자가 의심스러운 활동 보고 | 오프라인 | Premium |
| 의심스러운 API 트래픽 | 오프라인 | Premium |
| 의심스러운 송신 패턴 | 오프라인 | Premium |
| 검색된 추가 위험 | 실시간 또는 오프라인 | 비프리미엄 |
| 유출된 자격 증명 | 오프라인 | 비프리미엄 |
| Microsoft Entra 위협 인텔리전스 | 오프라인 | 비프리미엄 |
프리미엄 검색
다음 프리미엄 검색은 Microsoft Entra ID P2 고객에게만 표시됩니다.
프리미엄 로그인 위험 검색
비정상적 이동
오프라인으로 계산됩니다. 이 위험 검색 유형은 지리적으로 먼 위치에서 발생하는 두 개의 로그인을 식별합니다. 여기서 과거 동작을 고려할 때 하나 이상의 위치가 사용자에게 비정형일 수도 있습니다. 알고리즘은 두 로그인 사이의 시간과 사용자가 첫 번째 위치에서 두 번째 위치로 이동하는 데 걸리는 시간을 포함하여 여러 요소를 고려합니다. 이 위험은 다른 사용자가 동일한 자격 증명을 사용하고 있음을 나타낼 수 있습니다.
이 알고리즘은 조직의 다른 사용자가 정기적으로 사용하는 VPN 및 위치와 같은 불가능한 이동 조건에 영향을 주는 확실한 "가양성"을 무시합니다. 시스템은 초기 학습 기간(14일 또는 로그인 10회 중 먼저 다가오는 날짜) 동안 새 사용자의 로그인 동작을 학습합니다.
비정상적 이동 검색 조사
- 활동이 합법적인 사용자에 의해 수행되지 않았음을 확인할 수 있는 경우:
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
- 사용자가 자신의 업무 범위에서 IP 주소를 사용하는 것으로 알려진 경우:
- 권장 작업: 경고 해제
- 사용자가 최근에 대상으로 이동했는지 확인할 수 있는 경우 경고에 자세히 멘션.
- 권장 작업: 경고를 해제합니다.
- IP 주소 범위가 승인된 VPN에서 온 것임을 확인할 수 있는 경우:
- 권장 작업: 로그인을 안전한 것으로 표시하고 Microsoft Entra ID 및 클라우드용 Microsoft Defender 앱의 명명된 위치에 VPN IP 주소 범위를 추가합니다.
비정상적 토큰
실시간 또는 오프라인으로 계산됩니다. 이 검색은 비정상적인 토큰 수명 또는 낯선 위치에서 재생된 토큰 등 토큰에 비정상적인 특성이 있음을 나타냅니다. 이 검색에서는 세션 토큰 및 새로 고침 토큰을 다룹니다.
참고 항목
비정상적인 토큰은 동일한 위험 수준에서 다른 검색보다 더 많은 노이즈를 발생하도록 조정됩니다. 이 절충은 그렇지 않으면 눈에 띄지 않을 수 있는 재생된 토큰을 검색할 가능성을 높이기 위해 선택됩니다. 노이즈 감지가 높기 때문에 이 검색에 의해 플래그가 지정된 세션 중 일부는 평소보다 가양성 비율이 높을 가능성이 높습니다. 사용자의 다른 로그인 컨텍스트에서는 이 검색으로 플래그가 지정된 세션을 조사하는 것이 좋습니다. 사용자에게 위치, 애플리케이션, IP 주소, 사용자 에이전트 또는 기타 특성이 예기치 않은 경우 테넌트 관리자는 이 위험을 잠재적 토큰 재생의 지표로 고려해야 합니다.
비정상적인 토큰 검색 조사
- 활동이 합법적인 사용자에 의해 수행되지 않았음을 위험 경고, 위치, 애플리케이션, IP 주소, 사용자 에이전트 또는 사용자에게 예기치 않은 기타 특성을 조합하여 확인할 수 있는 경우:
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정하고 모든 토큰을 해지할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
- 사용자에게 위치, 애플리케이션, IP 주소, 사용자 에이전트 또는 기타 특징을 확인할 수 있으며 손상의 다른 징후가 없는 경우:
- 권장 작업: 사용자가 조건부 액세스 위험 정책을 사용하여 자체 수정하거나 관리자가 로그인을 안전한 것으로 확인하도록 허용합니다.
토큰 기반 검색에 대한 추가 조사는 토큰 전술: 클라우드 토큰 도난을 방지, 탐지 및 대응하는 방법 문서와 토큰 도난 조사 플레이북을 참조하세요.
토큰 발급자 이상
오프라인으로 계산됩니다. 이 위험 검색은 연결된 SAML 토큰에 대한 SAML 토큰 발급자가 잠재적으로 손상되었음을 나타냅니다. 토큰에 포함된 클레임아 비정상적이거나 알려진 공격자 패턴과 일치합니다.
토큰 발급자 이상 탐지 조사
- 활동이 합법적인 사용자에 의해 수행되지 않았음을 확인할 수 있는 경우:
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정하고 모든 토큰을 해지할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
- 사용자가 이 작업이 수행되었음을 확인한 경우 다른 손상 지표가 없습니다.
- 권장 작업: 사용자가 조건부 액세스 위험 정책을 사용하여 자체 수정하거나 관리자가 로그인을 안전한 것으로 확인하도록 허용합니다.
토큰 기반 검색에 대한 추가 조사는 토큰 전술: 클라우드 토큰 도난을 방지, 탐지 및 대응하는 방법 문서를 참조하세요.
의심스러운 브라우저
오프라인으로 계산됩니다. 의심스러운 브라우저 검색은 동일한 브라우저에서 서로 다른 국가의 여러 테넌트에서 의심스러운 로그인 활동을 기반으로 하는 비정상적인 동작을 나타냅니다.
의심스러운 브라우저 검색 조사
- 브라우저는 일반적으로 사용자가 사용하지 않거나 브라우저 내의 활동이 사용자의 일반적인 동작과 일치하지 않습니다.
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정하고 모든 토큰을 해지할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
일반적이지 않은 로그인 속성
실시간으로 계산됩니다. 이 위험 검색 유형은 이전 로그인 기록을 고려하여 비정상적인 로그인을 찾습니다. 시스템은 이전 로그인에 대한 정보를 저장하고 사용자에게 익숙하지 않은 속성으로 로그인이 발생할 때 위험 검색을 트리거합니다. 이러한 속성에는 IP, ASN, 위치, 디바이스, 브라우저 및 테넌트 IP 서브넷이 포함될 수 있습니다. 새로 만든 사용자는 알고리즘이 사용자의 행동을 파악하는 동안 익숙하지 않은 로그인 속성 위험 검색이 해제되는 “학습 모드” 기간이 적용됩니다. 학습 모드 기간은 유동적이며, 알고리즘이 사용자의 로그인 패턴에 대한 충분한 정보를 수집하는 데 얼마나 많은 시간이 걸리는지에 따라 달라집니다. 최소 기간은 5일입니다. 장기간 비활성 상태였던 사용자는 학습 모드로 돌아갈 수 있습니다.
기본 인증이나 레거시 프로토콜의 경우에도 이 검색이 실행됩니다. 이러한 프로토콜에는 클라이언트 ID와 같은 최신 속성이 없으므로 가양성을 줄이기 위한 제한된 데이터가 있습니다. 따라서 고객은 최신 인증 방식으로 이전하는 것이 좋습니다.
익숙하지 않은 로그인 속성은 대화형 및 비 대화형 로그인 모두에서 검색할 수 있습니다. 비 대화형 로그인에서 이 검색을 감지하면 토큰 재생 공격의 위험으로 인해 검사가 증가합니다.
익숙하지 않은 로그인 속성 위험을 선택하면 이 위험이 트리거된 이유에 대한 자세한 내용을 보여 주는 추가 정보를 볼 수 있습니다. 다음 스크린샷에서는 이러한 세부 정보의 예를 보여줍니다.
악성 IP 주소
오프라인으로 계산됩니다. 이 검색은 악성 IP 주소에서의 로그인을 나타냅니다. IP 주소 또는 다른 IP 평판 출처에서 받은 잘못된 자격 증명으로 인한 높은 실패율을 기준으로 IP 주소를 악성으로 간주합니다.
악성 IP 주소 검색 조사
- 활동이 합법적인 사용자에 의해 수행되지 않았음을 확인할 수 있는 경우:
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정하고 모든 토큰을 해지할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
- 사용자가 자신의 업무 범위에서 IP 주소를 사용하는 것으로 알려진 경우:
- 권장 작업: 경고 해제
의심스러운 받은 편지함 조작 규칙
오프라인으로 계산됩니다. 이 검색은 클라우드용 Microsoft Defender 앱에서 제공한 정보를 사용하여 검색됩니다. 이 검색은 사용자의 받은 편지함에 메시지 또는 폴더를 삭제하거나 이동하는 의심스러운 규칙이 설정되면 환경을 살펴보고 경고를 트리거합니다. 이 검색은 사용자의 계정이 손상되고, 메시지가 의도적으로 숨겨지고, 사서함이 조직에서 스팸 또는 맬웨어를 배포하는 데 사용되고 있음을 나타낼 수 있습니다.
암호 스프레이
오프라인으로 계산됩니다. 암호 스프레이 공격은 무단으로 액세스하기 위해 일반적인 암호를 무차별 대입 방식으로 사용하여 여러 사용자 이름을 공격하는 경우입니다. 이 위험 검색은 암호 스프레이 공격이 성공적으로 수행되었을 때 트리거됩니다. 예를 들어 공격자가 검색된 인스턴스에서 성공적으로 인증됩니다.
암호 스프레이 검색 조사
- 활동이 합법적인 사용자에 의해 수행되지 않았음을 확인할 수 있는 경우:
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정하고 모든 토큰을 해지할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
- 사용자가 자신의 업무 범위에서 IP 주소를 사용하는 것으로 알려진 경우:
- 권장 작업: 경고 해제
- 계정이 손상되지 않았음을 확인할 수 있고 계정에 대한 무차별 암호 스프레이 표시기 또는 무차별 암호 스프레이 표시기를 볼 수 없는 경우
- 권장 작업: 사용자가 조건부 액세스 위험 정책을 사용하여 자체 수정하거나 관리자가 로그인을 안전한 것으로 확인하도록 허용합니다.
암호 스프레이 위험 검색에 대한 추가 조사는 암호 스프레이 공격 식별 및 조사에 대한 지침 문서를 참조하세요.
이동 불가능
오프라인으로 계산됩니다. 이 검색은 클라우드용 Microsoft Defender 앱에서 제공한 정보를 사용하여 검색됩니다. 이 검색은 첫 번째 위치에서 두 번째 위치로 이동하는 데 걸리는 시간보다 짧은 기간 내에 지리적으로 멀리 떨어진 위치에서 발생한 사용자 작업(단일 또는 여러 세션)을 식별합니다. 이 위험은 다른 사용자가 동일한 자격 증명을 사용하고 있음을 나타낼 수 있습니다.
새 국가
오프라인으로 계산됩니다. 이 검색은 클라우드용 Microsoft Defender 앱에서 제공한 정보를 사용하여 검색됩니다. 이 검색은 새롭고 자주 사용되지 않는 위치를 결정하기 위해 과거의 활동 위치를 고려합니다. 변칙 검색 엔진은 조직에서 사용자가 사용한 이전 위치에 대한 정보를 저장합니다.
익명 IP 주소에서의 활동
오프라인으로 계산됩니다. 이 검색은 클라우드용 Microsoft Defender 앱에서 제공한 정보를 사용하여 검색됩니다. 이 검색은 익명 프록시 IP 주소로 식별된 IP 주소에서 사용자가 활성화되었음을 나타냅니다.
의심스러운 받은 편지함 전달
오프라인으로 계산됩니다. 이 검색은 클라우드용 Microsoft Defender 앱에서 제공한 정보를 사용하여 검색됩니다. 이 검색은 의심스러운 메일 전달 규칙(예: 사용자가 모든 메일의 복사본을 외부 주소로 전달하는 받은 편지함 규칙을 만든 경우)을 찾습니다.
중요한 파일에 대량 액세스
오프라인으로 계산됩니다. 이 검색은 클라우드용 Microsoft Defender 앱에서 제공한 정보를 사용하여 검색됩니다. 이 검색은 환경을 확인하고 사용자가 Microsoft SharePoint 또는 Microsoft OneDrive에서 여러 파일에 액세스할 때 경고를 트리거합니다. 액세스된 파일 수가 사용자에게 일반적이지 않고 파일에 중요한 정보가 포함될 수 있는 경우에만 경고가 트리거됩니다.
확인된 위협 행위자 IP
실시간으로 계산됩니다. 이 위험 검색 유형은 MSTIC(Microsoft 위협 인텔리전스 센터)를 기반으로 국가 주 행위자 또는 사이버 범죄 그룹과 연결된 알려진 IP 주소와 일치하는 로그인 활동을 나타냅니다.
프리미엄 사용자 위험 검색
PRT(기본 새로 고침 토큰)에 액세스하려고 할 수 있습니다.
오프라인으로 계산됩니다. 이 위험 검색 유형은 MDE(엔드포인트용 Microsoft Defender)에서 제공한 정보를 사용하여 검색됩니다. PRT(기본 새로 고침 토큰)는 Windows 10, Windows Server 2016 이상 버전, iOS 및 Android 디바이스에서 Microsoft Entra 인증의 주요 아티팩트입니다. PRT는 이러한 디바이스에 사용되는 애플리케이션 전체에서 SSO(Single Sign-On)를 사용하도록 설정하기 위해 Microsoft의 자사 토큰 브로커에 특별히 발급된 JWT(JSON Web Token)입니다. 공격자는 이 리소스에 액세스하여 조직으로 수평 이동하거나 자격 증명 도용을 수행할 수 있습니다. 이 검색은 사용자를 고위험으로 이동하고 MDE를 배포한 조직에서만 발생합니다. 이 검색은 용량이 많지 않으며 대부분의 조직에서는 흔히 나타나지 않습니다. 이 검색이 나타나면 위험이 높고 사용자를 수정해야 합니다.
비정상적인 사용자 활동
오프라인으로 계산됩니다. 이 위험 검색은 Microsoft Entra ID의 일반적인 관리자 동작을 기준으로 삼고 디렉터리에 대한 의심스러운 변경과 같은 비정상적인 동작 패턴을 찾아냅니다. 변경을 수행하는 관리자 또는 변경된 개체에 대한 검색이 트리거됩니다.
사용자가 의심스러운 활동을 보고했습니다.
오프라인으로 계산됩니다. 이 위험 검색은 MFA(다단계 인증) 프롬프트를 거부하고 의심스러운 활동으로 보고한 사용자가 보고합니다. 사용자가 시작하지 않은 MFA 프롬프트는 자격 증명이 손상되었음을 의미할 수 있습니다.
의심스러운 API 트래픽
오프라인으로 계산됩니다. 이 위험 검색은 사용자가 비정상적인 그래프 트래픽 또는 디렉터리 열거형을 관찰할 때 보고됩니다. 의심스러운 API 트래픽은 사용자가 손상되어 해당 환경에서 정찰을 수행하고 있음을 시사할 수 있습니다.
의심스러운 송신 패턴
오프라인으로 계산됩니다. 이 위험 검색 유형은 MDO(Microsoft Defender for Office)에서 제공하는 정보를 사용하여 검색됩니다. 이 경고는 조직의 누군가가 의심스러운 전자 메일을 보내거나 전자 메일 전송이 제한될 위험이 있거나 이미 전자 메일 보내기가 제한되었을 때 생성됩니다. 이 검색은 사용자를 중간 위험으로 이동하고 MDO를 배포한 조직에서만 발생합니다. 이 검색은 용량이 많지 않으며 대부분의 조직에서는 흔히 나타나지 않습니다.
프리미엄이 아닌 검색
Microsoft Entra ID P2 라이선스가 없는 고객은 P2 라이선스가 있는 고객이 수행하는 검색에 대한 자세한 정보 없이 "추가 위험 검색"라는 제목의 검색을 받습니다.
비프리미엄 로그인 위험 검색
추가 위험이 감지됨(로그인)
실시간 또는 오프라인으로 계산됩니다. 이 검색은 프리미엄 검색 중 하나가 검색되었음을 나타냅니다. 프리미엄 검색은 Microsoft Entra ID P2 고객에게만 표시되므로 Microsoft Entra ID P2 라이선스가 없는 고객의 경우 "추가 위험 검색"라는 제목이 붙습니다.
익명 IP 주소
실시간으로 계산됩니다. 이 위험 검색 유형은 익명 IP 주소(예: Tor 브라우저, 익명 VPN)에서 수행하는 로그인을 나타냅니다. 이러한 IP 주소는 일반적으로 잠재적인 악의적인 의도를 위해 로그인 정보(IP 주소, 위치, 디바이스 등)를 숨기려는 작업자가 사용합니다.
관리자가 확인한 사용자 손상
오프라인으로 계산됩니다. 이 검색은 관리자가 위험 사용자 UI 또는 riskyUsers API를 사용하여 '사용자 손상 확인'을 선택했음을 나타냅니다. 이 사용자가 손상되었음을 확인한 관리자를 확인하려면 사용자의 위험 기록을 확인합니다(UI 또는 API를 통해).
Microsoft Entra 위협 인텔리전스(로그인)
실시간 또는 오프라인으로 계산됩니다. 이 위험 검색 유형은 사용자에 대해 비정상적이거나 알려진 공격 패턴과 일치하는 사용자 활동을 나타냅니다. 이 검색은 Microsoft의 내부 및 외부 위협 인텔리전스 원본을 기반으로 합니다.
비프리미엄 사용자 위험 검색
검색된 추가 위험(사용자)
실시간 또는 오프라인으로 계산됩니다. 이 검색은 프리미엄 검색 중 하나가 검색되었음을 나타냅니다. 프리미엄 검색은 Microsoft Entra ID P2 고객에게만 표시되므로 Microsoft Entra ID P2 라이선스가 없는 고객의 경우 "추가 위험 검색"라는 제목이 붙습니다.
유출된 자격 증명
오프라인으로 계산됩니다. 이 위험 검색은 사용자의 유효한 자격 증명이 유출되었음을 나타냅니다. 사이버 범죄자가 합법적인 사용자의 유효한 암호를 손상시키는 경우 범죄자는 종종 이러한 수집된 자격 증명을 공유합니다. 이 공유는 주로 다크 웹, 붙여넣기 사이트에 공개적으로 게시하거나 암시장에서 자격 증명을 거래하고 판매하는 방식으로 이루어집니다. Microsoft 유출 자격 증명 서비스가 다크 웹, 붙여넣기 사이트 또는 기타 원본에서 사용자 자격 증명을 획득하면 Microsoft Entra 사용자의 현재 유효한 자격 증명과 비교하여 유효한 일치 항목을 찾습니다. 유출된 자격 증명에 대한 자세한 내용은 일반적인 질문을 참조하세요.
유출된 자격 증명 검색 조사
- 이 검색 신호가 사용자에 대해 유출된 자격 증명에 대해 경고한 경우:
- 권장 작업: 로그인을 손상됨으로 표시하고, 자체 수정으로 아직 수행되지 않은 경우 암호 재설정을 호출합니다. 공격자가 암호를 재설정하거나 MFA를 수행하고 암호를 재설정하고 모든 토큰을 해지할 수 있는 액세스 권한이 있는 경우 사용자를 차단합니다.
Microsoft Entra 위협 인텔리전스(사용자)
오프라인으로 계산됩니다. 이 위험 검색 유형은 사용자에 대해 비정상적이거나 알려진 공격 패턴과 일치하는 사용자 활동을 나타냅니다. 이 검색은 Microsoft의 내부 및 외부 위협 인텔리전스 원본을 기반으로 합니다.
일반적인 질문
위험 수준
ID 보호는 위험을 낮음, 중간 및 높음의 세 가지 계층으로 분류합니다. 기계 학습 알고리즘에 의해 계산된 위험 수준 및 Microsoft가 인증되지 않은 엔터티에서 하나 이상의 사용자 자격 증명을 알고 있다는 확신을 나타냅니다. 위험 수준이 높은 위험 검색은 Microsoft가 계정이 손상되었음을 매우 확신한다는 것을 의미합니다. 낮은 위험은 로그인 또는 사용자의 자격 증명에 변칙이 있음을 의미하지만, 이러한 변칙이 계정이 손상되었다는 것을 확신할 수 없습니다.
많은 검색은 검색된 변칙의 수 또는 심각도에 따라 둘 이상의 수준에서 실행될 수 있습니다. 예를 들어 사용자에 대한 위험 수준이 높은 알 수 없는 로그인 속성 검색은 Microsoft가 낮은 위험 또는 중간 위험 의 알 수 없는 로그인 속성 검색보다 계정이 손상되었다고 믿는 신뢰도를 높입니다. 유출된 자격 증명 및 확인된 위협 행위자 IP와 같은 일부 검색은 항상 높은 위험으로 제공됩니다.
위험 수준은 조사 및 수정의 우선 순위를 지정할 검색을 결정할 때 중요합니다. 또한 위험 기반 조건부 액세스 정책을 구성하는 데 핵심적인 역할을 합니다. 각 정책은 낮음, 중간, 높음 또는 검색된 위험 없음을 트리거하도록 설정할 수 있습니다.
Important
모든 "낮은" 위험 수준 검색 및 사용자는 6개월 동안 제품에서 유지되며, 그 후에는 자동으로 숙성되어 클린더러 조사 환경을 제공합니다. 중간 및 높은 위험 수준은 수정되거나 해제될 때까지 유지됩니다.
조직의 위험 허용 오차에 따라 ID 보호에서 특정 위험 수준을 검색할 때 MFA 또는 암호 재설정이 필요한 정책을 만들 수 있습니다. 이러한 정책은 사용자가 허용 오차에 따라 위험을 자체 수정하고 해결하거나 차단하도록 안내할 수 있습니다.
암호 해시 동기화
유출된 자격 증명 같은 위험 검색은 암호 해시가 있어야 검색할 수 있습니다. 암호 해시 동기화에 대한 자세한 내용은 Microsoft Entra Connect 동기화를 사용하여 암호 해시 동기화 구현 문서를 참조하세요.
비활성화된 사용자 계정에 대해 생성되는 위험 검색은 왜 있나요?
비활성화된 사용자 계정을 다시 활성화할 수 있습니다. 비활성화된 계정의 자격 증명이 손상되고 계정을 다시 활성화하면 잘못된 행위자는 이러한 자격 증명을 사용하여 액세스 권한을 얻을 수 있습니다. ID 보호는 비활성화된 사용자 계정에 대해 의심스러운 활동에 대한 위험 검색을 생성하여 잠재적인 계정 손상에 대해 고객에게 알립니다. 계정이 더 이상 사용되지 않으며 다시 활성화되지 않은 경우 고객은 이를 삭제하여 손상을 방지해야 합니다. 삭제된 계정에 대해서는 위험 검색이 생성되지 않습니다.
Microsoft는 유출된 자격 증명을 어디에서 찾나요?
Microsoft는 다음을 비롯한 다양한 위치에서 유출된 자격 증명을 찾습니다.
- 일반적으로 공격자가 이러한 자료를 게시하는 pastebin.com 및 paste.ca 같은 공개 붙여넣기 사이트. 이 위치는 도난당한 자격 증명을 찾을 때 대부분의 공격자가 처음 들르는 곳입니다.
- 법률 집행 기관.
- 다크 웹을 조사하는 Microsoft 내 기타 그룹.
유출된 자격 증명이 표시되지 않는 이유는 무엇인가요?
Microsoft에서 공개된 새 일괄 처리를 찾을 때마다 유출된 자격 증명이 처리됩니다. 유출된 자격 증명은 중요하기 때문에 처리 직후 삭제됩니다. PHS(암호 해시 동기화)를 활성화한 후 발견된 새로 유출된 자격 증명만 테넌트에 대해 처리됩니다. 이전에 찾은 자격 증명 쌍에 대한 확인은 수행되지 않습니다.
상당 기간 동안 유출된 자격 증명 위험 이벤트가 표시되지 않았습니다.
유출된 자격 증명 위험 이벤트가 표시되지 않았다면 그 이유는 다음과 같습니다.
- 테넌트에 PHS를 사용하도록 설정하지 않았습니다.
- Microsoft에서 사용자와 일치하는 유출된 자격 증명 쌍을 찾지 못했습니다.
Microsoft에서 얼마나 자주 새 자격 증명을 처리하나요?
자격 증명은 일반적으로 매일 여러 번의 일괄 처리에서 검색된 후 즉시 처리됩니다.
위치
위험 검색의 위치는 IP 주소 조회를 사용하여 결정됩니다.