대응 오케스트레이션 구성 및 결과 확인

Markdown으로 보기

대응 오케스트레이션은 지정한 이벤트가 규칙과 일치하면 엔드포인트에 기존 태그를 추가합니다. 태그만으로 차단이나 격리가 이루어지지는 않습니다. 해당 태그를 대상으로 하는 활성 정책과 엔드포인트의 수신 및 실행을 확인해야 합니다. 기능, 이벤트 및 권한은 배포 환경에 따라 확인하고 소수의 시험 엔드포인트와 비민감 테스트 파일로 시작합니다. 파일 작업 수집은 Windows 엔드포인트를 예로 설명합니다. 다른 플랫폼과 작업 방식은 별도로 검증하십시오.

이벤트와 정책 준비

엔드포인트 목록의 태그 관리에서 시범 운영에 적합한 태그를 확인하고 없을 때만 새로 만듭니다. 이름, 활성 상태, 기존 엔드포인트, 대응 및 정책 참조를 확인하고 영향을 평가해 승인된 시범 범위에 맞는지 확인합니다. 시범 엔드포인트에 태그를 먼저 수동으로 지정하지 마십시오. 시범 엔드포인트에 해당 태그가 이미 없는지 확인하십시오. 이미 있다면 승인 없이 제거하지 말고 적합한 전용 태그를 사용합니다.
파일 삭제를 시험할 때 먼저 시험 엔드포인트에 적용된 파일 추적 정책을 확인합니다. 필요한 경우에만 데이터 유출 방지 정책을 만들거나 수정하고 파일 추적을 활성화한 뒤 전체 정책을 저장합니다. 설정의 수신 및 적용을 기다린 다음 비민감 테스트 파일을 삭제하고 파일 작업 기록을 확인합니다.
관련 제품에서 기존 적용 정책을 확인하고 필요한 경우에만 정책을 만들거나 편집하고 일반 설정에서 시범 대상 태그를 대상으로 선택합니다. 적용 시간과 필요한 제어 또는 감사를 설정합니다. 먼저 위험이 낮고 복구 가능한 시험 설정을 사용하고 저장 후 활성 상태와 범위를 확인합니다. 태그나 대응 규칙을 만들어도 이 정책은 자동 생성되지 않습니다.

활성화 전에 시험 범위와 최근 이벤트를 확인하십시오. 특정 이벤트 원본의 규칙을 처음 활성화하면 시스템이 최근 약 5분의 기존 일치 기록을 검색할 수 있으며 활성화 전 시험 이벤트도 대응에 포함될 수 있습니다. 적중 시간 창은 엔드포인트 이벤트 발생 시각이 아닌 서버의 기록 처리 시각으로 집계되므로 보고 지연이나 적체가 결과에 영향을 줄 수 있습니다. 활성 대응이 다시 조건을 충족하면 유효 기간이 연장될 수 있습니다. 만료는 백그라운드에서 처리되므로 정확한 만료 시점의 태그 제거는 보장되지 않습니다. 해제 후 새 일치 이벤트가 다시 대응을 일으킬 수 있으므로 대응 기록, 태그와 관련 정책을 계속 확인하십시오.

대응 규칙 만들기

홈의 Security Operations에서 Response Orchestration을 열고 New Rule을 선택합니다. Basics에서 규칙 이름과 활성 상태를 확인합니다.
Trigger에서 Source Product는 Data Loss Prevention, Event Source는 File Operation, Event Type은 Delete Files를 선택합니다. 다른 선택 가능한 이벤트가 모든 엔드포인트 활동을 포함하는 것은 아닙니다.
Minimum Severity, Time Window, Hit Count, Cooldown을 설정합니다. 예를 들어 시험에 10분, 2회, 30분을 설정합니다. 시간 창과 횟수는 양수여야 하며 쿨다운은 0일 수 있습니다. 최소 심각도는 실제 이벤트와 일치해야 합니다.
Scope에서 시험 엔드포인트를 추가하고 확인합니다. Action에서 대상 태그와 양수의 Tag TTL(예: 60분)을 선택합니다. 구성과 연결 정책을 검토하고 저장한 후 Response Rules에서 활성 상태를 확인합니다.

확인, 해제 및 문제 해결

승인된 방법으로 시험 파일을 삭제하여 임계값에 도달하는 이벤트를 만들고 보고와 처리를 기다립니다. 파일 작업 기록을 먼저 확인한 다음 Response Records와 Active Responses를 확인합니다. 임계값 미달, 쿨다운 또는 중복으로 건너뛴 기록이 표시될 수 있습니다.
엔드포인트 태그, 연결 정책, 실제 수신 및 실행을 확인합니다. 이벤트 적중이나 태그 표시만으로 제어 적용을 증명할 수 없습니다. 대응이 없으면 규칙 상태, 이벤트, 심각도, 범위, 시간 창, 횟수 및 쿨다운을 확인합니다.
일찍 종료하려면 Active Responses에서 해당 항목의 Clear를 선택하고 태그와 정책을 다시 확인합니다. 다른 활성 대응이 공유하거나 수동으로 지정한 태그는 남을 수 있습니다. 규칙 비활성화나 해제가 모든 제어를 즉시 취소한다고 가정하지 마십시오.

수정일 2026. 11. 15.