소프트웨어 실행 제어 감사

소프트웨어 제어는 규칙으로 소프트웨어 실행을 식별하고 일치하는 대상에 대해 처리하지 않거나 차단합니다. 감사는 각 규칙에서 별도로 활성화할 수 있습니다. 소프트웨어 설치 제어, 소프트웨어 스토어 및 라이선스 관리는 각각 별도로 구성하며, 하나를 활성화해도 다른 기능이 자동으로 활성화되지는 않습니다.

정책 저장, 엔드포인트 수신, 소프트웨어 일치, 실제 차단 및 기록 보고는 서로 다른 단계입니다. 차단되더라도 감사 기록이 반드시 생성되는 것은 아니며 기록만으로 소프트웨어가 성공적으로 중지되었다고 증명할 수 없습니다.

전체 설정은 소프트웨어 실행 제어 정책을 참조하십시오.

기존 기록만 조회한다면 해당 조회 권한이 있는 계정으로 아래 조회 단계에 바로 진행할 수 있습니다. 조회만을 위해 정책을 새로 만들거나 시험 이벤트를 발생시킬 필요는 없습니다. 새 기록을 검증하려면 먼저 기존 적용 정책을 확인하고 필요한 경우에만 정책 관리 권한이 있는 담당자가 수정한 후 시험합니다.

준비

• Software 정책 변경과 감사 기록 조회에는 각각 해당 권한이 필요합니다. 시범 엔드포인트, 적용 시간과 조직의 제어 요구를 확인합니다.
• 식별할 소프트웨어와 실제 실행 방식을 확인합니다. 소프트웨어 목록 또는 분류로 일치 여부를 판단하려면 먼저 Objects & Templates에서 기존 소프트웨어 객체의 이름, 분류 및 연결된 애플리케이션을 확인하고 적합한 객체를 재사용합니다. 필요한 경우에만 객체를 생성하거나 수정하고 변경 사항을 저장한 뒤 제어 규칙에서 선택합니다.
• 복구 가능한 소수의 시험 엔드포인트를 선택하고 제어할 소프트웨어와 영향을 받지 않아야 하는 비교 소프트웨어를 준비합니다. 너무 넓은 차단은 업무를 중단할 수 있으므로 관련 담당자와 복구 절차를 미리 합의합니다.
• 소프트웨어, 분류, 프로세스 경로, 창 이름 및 SHA256 조건의 지원 여부는 플랫폼마다 다를 수 있습니다. 페이지에 조건이 있다고 모든 엔드포인트가 동일하게 실행한다는 뜻은 아니므로 대상 운영 체제와 실제 버전에서 시험합니다.

제어 규칙 구성

1. 새 기록을 검증하려면 Software > Policy에서 시범 엔드포인트 범위, 유효 시간과 소프트웨어 제어 활성 상태를 확인하고 Settings를 열어 기존 규칙을 확인합니다. 시험 계획에 맞으면 재사용하며 활성화나 변경이 필요하면 정책 관리 권한이 있는 사람이 영향을 평가하고 승인된 계획을 따릅니다.
2. 소프트웨어 개체 등 일치 조건, 규칙 순서, 주요 동작과 해당 규칙의 감사 상태를 확인합니다. Block을 선택해도 감사가 자동으로 켜지지 않습니다. 필요한 경우에만 권한 있는 사람이 조정하고 시험만을 위해 기존 차단 동작을 변경하지 마십시오. 전체 구성은 위 정책 장을 참조합니다.
3. 변경한 경우 설정 창을 확인하고 전체 정책을 저장한 뒤 단말 수신을 기다립니다. 일치 및 불일치 통제 샘플로 단말 동작과 기록 보고를 검증합니다. 저장이 실행이나 보고의 성공을 증명하지 않습니다.

Windows 일치 범위: 일반 규칙의 서로 다른 일치 항목이 모두 동시에 맞아야 하는 것은 아닙니다. 예를 들어 프로세스 조건과 SHA256 값을 모두 추가하면 어느 하나만 일치해도 규칙이 적용될 수 있으므로 이중 제한으로 간주하면 안 됩니다. 반면 하나의 구조화된 프로세스 조건에 입력한 여러 필드는 모두 일치해야 합니다. 경로는 프로그램의 실제 전체 경로와 대조합니다. 항목을 추가하면 규칙 범위가 넓어질 수 있습니다. 차단을 켜기 전에 한 항목만 일치하는 표본과 두 항목 모두 일치하지 않는 표본을 각각 시험합니다.

검증 및 기록 확인

1. 새 기록을 검증하려면: 시험 엔드포인트가 정책을 수신했는지 확인합니다. 규칙에 일치하는 시험 소프트웨어와 일치하지 않는 시험 소프트웨어를 각각 실행하고 실제 실행 또는 차단 결과를 관찰합니다.
2. 새 기록을 검증할 때는 먼저 단말의 처리와 보고를 기다립니다. Software > Audit > Software Control을 엽니다.
3. 날짜 범위를 선택하고 필요하면 키워드를 입력합니다. 엔드포인트, IP, 규칙 이름, 소프트웨어 이름, 파일 경로 및 시간을 확인하고 기록을 열어 상세 정보를 살펴봅니다.
4. 부서, 엔드포인트, IP, 규칙 이름 및 소프트웨어 이름 등의 고급 필터는 현재 불러온 페이지만 필터링합니다. 시간 필터는 조회 날짜를 변경합니다. 한 페이지가 비어 있으면 기록이 없다고 판단하기 전에 필터를 지우고 다른 페이지를 확인합니다.
5. 차단의 경우 엔드포인트에서 소프트웨어가 실제로 중지되었거나 계속 실행할 수 없는지 확인합니다. 기록과 엔드포인트 결과가 다르면 각각 기록하고 조사합니다. 어느 한쪽만으로 완전한 결론을 내리지 않습니다.

기록 목록과 상세 정보에는 동작이나 실제 적용 결과가 표시되지 않습니다. 정책 설정과 단말의 실제 상태를 함께 확인하십시오. 조회에 실패하면 이전 결과가 계속 표시될 수 있습니다. 조건을 변경한 후 조회가 끝날 때까지 기다리고 날짜, 단말 및 키워드를 확인하십시오. 요청 오류가 발생하거나 결과가 조건과 일치하지 않으면 다시 조회하고 기술 지원에 문의하십시오. 이전 목록을 새 결과로 간주하지 마십시오.

문제 해결

1. 규칙을 저장할 수 없는 경우: 이름, 일치 조건 하나 이상 및 각 구조화된 프로세스 조건에 와일드카드가 아닌 필드가 있는지 확인합니다. 설정 창과 전체 정책이 저장되었는지도 확인합니다.
2. 소프트웨어가 예상대로 차단되지 않는 경우: 대상 엔드포인트와 시간, 정책 수신, 동작, 조건, 규칙 순서 및 플랫폼 지원을 확인합니다. 필요하면 특정 프로세스 조건으로 시험 엔드포인트에서 다시 검증합니다.
3. 차단되었지만 기록이 없는 경우: 규칙에서 감사가 활성화되어 있는지 확인한 다음 엔드포인트 보고, 날짜, 키워드, 현재 페이지 필터 및 관리자의 열람 범위를 확인합니다.
4. 기록이나 상세 정보를 볼 수 없는 경우: 계정 권한, 엔드포인트 열람 범위 및 페이지 메시지를 확인합니다. 문제가 지속되면 관리자 또는 기술 지원에 문의하고 민감한 경로를 전달하여 검토를 우회하지 않습니다.
5. 업무 소프트웨어가 잘못 차단된 경우: 조직의 사고 대응 절차에 따라 필수 업무를 먼저 복구합니다. 일치한 규칙, 범위 및 순서를 확인하고 통제된 엔드포인트에서 수정과 검증을 마친 뒤 배포를 확대합니다.