Microsoft Defender for Endpoint

이 문서에서는 Microsoft Defender For Endpoint를 Google SecOps와 통합하는 방법을 안내합니다.

사용 사례

  1. 특정 케이스를 조사하는 동안 보강을 위해 Microsoft Defender for Endpoint에서 수집된 데이터를 사용합니다.

    분석가는 Microsoft Defender for Endpoint에서 수집 및 저장된 데이터를 조사에 사용할 수 있습니다. 예를 들어 Microsoft Defender for Endpoint에서 감지된 알림에 대한 정보를 가져오거나 Microsoft Defender for Endpoint에 등록된 머신을 나열할 수 있습니다.

  2. 특정 호스트를 네트워크에서 격리하거나 바이러스 백신 검사를 실행하는 등 잠재적인 보안 사고에 적극적으로 대응합니다.

  3. 각 커넥터에서 가져온 Google Security Operations 알림으로 Microsoft Defender for Endpoint 알림을 모니터링하고 검사합니다.

기본 요건

Google SecOps 플랫폼에서 통합을 구성하기 전에 다음 기본 요건 단계를 완료해야 합니다.

  1. Microsoft Entra 앱을 만듭니다.

  2. 앱의 API 권한을 구성합니다.

  3. 클라이언트 보안 비밀번호를 만듭니다.

Microsoft Defender for Endpoint API에 액세스할 때는 사용자 컨텍스트 대신 애플리케이션 컨텍스트를 사용하는 것이 좋습니다.

Microsoft Entra 앱 만들기

  1. 사용자 관리자 또는 비밀번호 관리자로 Azure 포털에 로그인합니다.

  2. Microsoft Entra ID를 선택합니다.

  3. 앱 등록 > 새 등록으로 이동합니다.

  4. 앱 이름을 입력합니다.

  5. 등록을 클릭합니다.

  6. 나중에 통합 파라미터를 구성할 때 사용할 수 있도록 애플리케이션 (클라이언트) ID 및 디렉터리 (테넌트) ID 값을 저장합니다.

API 권한 구성

  1. API 권한 > 권한 추가 > 조직에서 사용하는 API로 이동합니다. API 권한 요청 대화상자가 열립니다.

  2. 검색 필드에 WindowsDefenderATP를 입력합니다.

  3. WindowsDefenderATP > 애플리케이션 권한을 선택합니다.

  4. 알림 권한 유형에서 다음 권한을 선택합니다.

    • Alert.Read.All

  5. 권한 추가를 클릭합니다.

  6. API 권한 페이지에서 권한 추가를 클릭합니다.

  7. Microsoft Graph > 위임된 권한을 선택합니다.

  8. 권한 선택 섹션에서 다음 필수 권한을 선택합니다.

    • User.Read

  9. 권한 추가를 클릭합니다.

  10. API 권한 페이지에서 권한 추가를 클릭합니다.

  11. WindowsDefenderATP > 애플리케이션 권한을 선택합니다.

  12. 권한 선택 섹션에서 다음 필수 권한을 선택합니다.

    • AdvancedQuery.Read.All
    • Alert.Read.All
    • Alert.ReadWrite.All
    • Event.Write
    • File.Read.All
    • Ip.Read.All
    • Machine.Isolate
    • Machine.Read.All
    • Machine.ReadWrite.All
    • Machine.Scan
    • Machine.StopAndQuarantine
    • Ti.ReadWrite
    • Url.Read.All
    • User.Read.All

  13. ORGANIZATION_NAME에 대해 관리자의 동의 제출을 클릭합니다.

    관리자 동의 허용 확인 대화상자가 표시되면 예를 클릭합니다.

Defender ATP 알림을 가져오는 API 요청의 예시는 다음과 같습니다(IP 주소, 도메인, 파일에 대한 데이터를 가져오는 데 사용되는 $expand 매개변수 참고).

GET /api/alerts?$expand=files,ips,domains HTTP/1.1
Host: api.securitycenter.windows.com
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJ...
User-Agent: PostmanRuntime/7.19.0
Accept: */ *
Cache-Control: no-cache
Postman-Token: 2dc0f885-068a-45d4-81a6-2da0d23a58ad,d3dd0e6e-83ab-4d27-94d2-0f3889dff324
Host: api.securitycenter.windows.com
Accept-Encoding: gzip, deflate
Connection: keep-alive
cache-control: no-cache

요청 매개변수와 필터 또는 확장과 같은 요청 옵션에 대한 자세한 내용은 Microsoft 문서의 지원되는 Microsoft Defender for Endpoint API를 참조하세요.

클라이언트 보안 비밀번호 만들기

  1. 인증서 및 보안 비밀 > 새 클라이언트 보안 비밀번호로 이동합니다.

  2. 클라이언트 보안 비밀번호에 대한 설명을 입력하고 만료 기한을 설정합니다.

  3. 추가를 클릭합니다.

  4. 클라이언트 보안 비밀번호 값 (보안 비밀 ID 아님)을 저장하여 통합을 구성할 때 Client Secret 파라미터 값으로 사용합니다. 클라이언트 보안 비밀번호 값은 한 번만 표시됩니다.

SIEM 통합 사용 설정 - 지원 중단됨

  1. 탐색창에서 설정 > SIEM을 선택합니다.

  2. SIEM 통합 사용 설정을 선택합니다.

그러면 미리 입력된 값으로 SIEM 커넥터 액세스 세부정보 섹션이 활성화되고 Azure AD 테넌트 아래에 애플리케이션이 생성됩니다.

  • SIEM 유형을 일반 API로 선택합니다.
  • 개별 값을 복사하거나 '파일에 세부정보 저장'을 선택하여 모든 값이 포함된 파일을 다운로드합니다.
  • 감지 데이터에 액세스하기 위한 토큰을 생성하려면 이 페이지에 표시된 값(클라이언트 ID, 클라이언트 보안 비밀번호, 리소스)이 필요합니다.

Microsoft Defender for Endpoint를 Google SecOps와 통합

Google SecOps에서 통합을 구성하는 방법에 대한 자세한 안내는 통합 구성을 참조하세요.

통합 매개변수

통합을 구성하려면 다음 매개변수를 사용합니다.

매개변수
Client ID 필수

통합에 사용할 Microsoft Entra 앱의 클라이언트 (애플리케이션) ID입니다.
Client Secret 필수

통합에 사용할 Microsoft Entra 앱의 클라이언트 보안 비밀번호 값입니다.
Azure Active Directory ID 필수

Microsoft Entra ID (테넌트 ID) 값입니다.
Verify SSL 선택사항

선택하면 Microsoft 365 Defender 서버 연결에 대한 SSL 인증서가 유효한지 확인합니다.

이 설정은 기본적으로 선택됩니다.
API Root 필수

통합에 사용할 API 기준 URL입니다. 성능을 향상하려면 현재 위치에서 가장 가까운 서버를 사용하면 됩니다.

  • api-us.securitycenter.windows.com
  • api-eu.securitycenter.windows.com
  • api-uk.securitycenter.windows.com

기본값은 https://api.securitycenter.windows.com입니다.

작업

항목 표시기 삭제

Microsoft Defender for Endpoint에서 항목 지표를 삭제합니다.

매개변수

해당 사항 없음

실행

이 작업은 다음 항목에서 실행됩니다.

  • IP 주소
  • URL
  • Filehash

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

204 상태 코드가 보고된 경우 (is_success=true): 'Microsoft Defender for Endpoint에서 다음 항목을 지표로 삭제했습니다. {entity.identifier}.

사고를 찾을 수 없는 경우 (is_success=true): '다음 항목이 Microsoft Defender for Endpoint: {entity.identifier}에 지표로 존재하지 않습니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

잘못된 사용자 인증 정보, 서버 연결 없음과 같은 치명적인 오류가 보고되는 경우: ''항목 지표 삭제' 작업 실행 중에 오류가 발생했습니다.' 이유: {0}''.format(error.Stacktrace)

 일반

항목 보강

Microsoft Defender for Endpoint의 정보를 기반으로 Google SecOps 호스트, IP 주소 또는 파일 해시 항목을 보강합니다.

매개변수

해당 사항 없음

사용 사례

이 작업은 기기 활동을 조사하는 플레이북에서 사용할 수 있습니다. 기기에 엔드포인트용 Microsoft Defender 에이전트가 설치된 경우 이 작업은 기기의 Defender ATP에서 정보를 가져와 Google SecOps 항목을 보강합니다. 이 작업은 Defender ATP의 정보로 알림 파일 해시를 보강하는 데도 사용할 수 있습니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • 호스트
  • IP 주소
  • Filehash

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과

보강이 IP 주소 또는 호스트에서 작동하는 경우:

[
    {
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines/$entity",
            "id": "example_id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-24T18:31:50.581058Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.138",
            "lastExternalIpAddress": "203.0.113.28",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    }
]

Filehash에서 보강이 작동하는 경우:

[
    {
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Files/$entity",
            "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
            "sha256": "328954033456d5c13e58fb5bcc6c0232f9f62cb6d9185afa51c7913338992491",
            "md5": "9512e1cc66a1d36feb0a290cab09087b",
            "globalPrevalence": 5205000,
            "globalFirstObserved": "2018-06-22T12:59:21.6460311Z",
            "globalLastObserved": "2019-11-21T00:24:01.921338Z",
            "size": 245760,
            "fileType": "APP",
            "isPeFile": true,
            "filePublisher": "Microsoft Corporation",
            "fileProductName": "Microsoft Windows Operating System",
            "signer": "Microsoft Windows",
            "issuer": "Microsoft Windows Production PCA 2011",
            "signerHash": "419e77aed546a1a6cf4dc23c1f977542fe289cf7",
            "isValidCertificate": true
            },
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#microsoft.windowsDefenderATP.api.InOrgFileStats",
            "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
            "orgPrevalence": "1",
            "orgFirstSeen": "2019-11-19T03:54:15Z",
            "orgLastSeen": "2019-11-19T04:21:18Z",
            "globalPrevalence": "5205000",
            "globalFirstObserved": "2018-06-22T12:59:21.6460311Z",
            "globalLastObserved": "2019-11-21T00:24:01.921338Z",
            "topFileNames": ["notepad.exe"]
        }
    }
]
항목 보강

IP 및 호스트

보강 필드 이름 로직 - 적용 시기
Defender_ATP.sha1 JSON 결과에 존재하는 경우에 반환
Defender_ATP.sha256 JSON 결과에 존재하는 경우에 반환
Defender_ATP.md5 JSON 결과에 존재하는 경우에 반환
Defender_ATP.globalPrevalence JSON 결과에 존재하는 경우에 반환
Defender_ATP.globalFirstObserved JSON 결과에 존재하는 경우에 반환
Defender_ATP.globalLastObserved JSON 결과에 존재하는 경우에 반환
Defender_ATP.size JSON 결과에 존재하는 경우에 반환
Defender_ATP.fileType JSON 결과에 존재하는 경우에 반환
Defender_ATP.isPeFile JSON 결과에 존재하는 경우에 반환
Defender_ATP.filePublisher JSON 결과에 존재하는 경우에 반환
Defender_ATP.fileProductName JSON 결과에 존재하는 경우에 반환
Defender_ATP.signer JSON 결과에 존재하는 경우에 반환
Defender_ATP.issuer JSON 결과에 존재하는 경우에 반환
Defender_ATP.signerHash JSON 결과에 존재하는 경우에 반환
Defender_ATP.isValidCertificate JSON 결과에 존재하는 경우에 반환
Defender_ATP.orgPrevalence JSON 결과에 존재하는 경우에 반환
Defender_ATP.orgFirstSeen JSON 결과에 존재하는 경우에 반환
Defender_ATP.orgLastSeen JSON 결과에 존재하는 경우에 반환
Defender_ATP.topFileNames JSON 결과에 존재하는 경우에 반환

파일 해시

보강 필드 이름 로직 - 적용 시기
Defender_ATP.sha1 JSON 결과에 존재하는 경우에 반환
Defender_ATP.sha256 JSON 결과에 존재하는 경우에 반환
Defender_ATP.md5 JSON 결과에 존재하는 경우에 반환
Defender_ATP.globalPrevalence JSON 결과에 존재하는 경우에 반환
Defender_ATP.globalFirstObserved JSON 결과에 존재하는 경우에 반환
Defender_ATP.globalLastObserved JSON 결과에 존재하는 경우에 반환
Defender_ATP.size JSON 결과에 존재하는 경우에 반환
Defender_ATP.fileType JSON 결과에 존재하는 경우에 반환
Defender_ATP.isPeFile JSON 결과에 존재하는 경우에 반환
Defender_ATP.filePublisher JSON 결과에 존재하는 경우에 반환
Defender_ATP.fileProductName JSON 결과에 존재하는 경우에 반환
Defender_ATP.signer JSON 결과에 존재하는 경우에 반환
Defender_ATP.issuer JSON 결과에 존재하는 경우에 반환
Defender_ATP.signerHash JSON 결과에 존재하는 경우에 반환
Defender_ATP.isValidCertificate JSON 결과에 존재하는 경우에 반환
Defender_ATP.orgPrevalence JSON 결과에 존재하는 경우에 반환
Defender_ATP.orgFirstSeen JSON 결과에 존재하는 경우에 반환
Defender_ATP.orgLastSeen JSON 결과에 존재하는 경우에 반환
Defender_ATP.topFileNames JSON 결과에 존재하는 경우에 반환

실시간 대응 명령어 실행

실시간 응답 명령어 실행 작업을 사용하여 Microsoft Defender for Endpoint에서 실시간 응답 명령어를 실행합니다.

작업 입력

실시간 대응 명령어 실행 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Command

필수 항목입니다.

실행할 명령어를 나타내는 JSON 객체로, 유형과 매개변수를 포함합니다.

지원되는 명령어 구조에 대한 자세한 내용은 Microsoft Defender for Endpoint API 문서를 참조하세요.

형식 예:

{
    "type": "Command",
    "params": [
        {
            "key": "string",
            "value": "string"
        }
    ]
}
Comment

(선택사항)

실행된 명령어에 대한 주석 또는 설명입니다.

작업 출력

실시간 응답 명령어 실행 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시에서는 실시간 응답 명령어 실행 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Entity": "",
   "EntityResult": {
       "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#MachineActions/$entity",
       "id": "00000000-0000-0000-0000-000000000000",
       "type": "LiveResponse",
       "title": null,
       "requestor": "SEC_OPS_USER",
       "requestorComment": "Execution of live response command",
       "status": "Pending",
       "machineId": "MACHINE_ID_HASH",
       "computerDnsName": "hostname.domain.local",
       "creationDateTimeUtc": "2026-01-04T10:57:33.032Z",
       "lastUpdateDateTimeUtc": "2026-01-04T10:57:33.032Z",
       "cancellationRequestor": null,
       "cancellationComment": null,
       "cancellationDateTimeUtc": null,
       "errorHResult": 0,
       "scope": null,
       "externalId": null,
       "requestSource": "PublicApi",
       "relatedFileInfo": null,
       "commands": [],
       "troubleshootInfo": null,
       "results": {
           "filepath": "",
           "script_name": "remediation_script.ps1",
           "exit_code": 0,
           "script_output": "Script completed successfully",
           "script_errors": ""
       }
   }
}
출력 메시지

실시간 응답 명령어 실행 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully executed command on the following endpoints in Microsoft Defender for Endpoint: ENTITY_ID.

 작업이 완료되었습니다.

The command didn't complete for the following endpoints in Microsoft Defender for Endpoint: ENTITY_ID.

The scan didn't complete for all of the provided endpoints in Microsoft Defender for Endpoint.

Error executing action "Execute Live Response Command". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 실시간 대응 명령어 실행 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

현재 작업 상태 가져오기

작업의 현재 상태를 가져옵니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
태스크 ID 문자열 해당 사항 없음 예 쉼표로 구분된 문자열로 표시된 태스크 ID 목록입니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
[
    {
        "status": "Succeeded",
        "creation_date_time_utc": "2020-02-08T03:24:52.8526634Z",
        "cancellation_requestor": null,
        "cancellation_date_time_utc": null,
        "id": "2e39d22e-60a7-4267-899c-a1471e800000",
        "last_update_date_time_utc": "2020-02-08T03:25:35.8345081Z",
        "related_file_info": null,
        "cancellation_comment": null,
        "requestor": "e4fc6454-754d-47f7-bbdb-045fad600000",
        "error_h_result": 0,
        "scope": "Selective",
        "machine_id": "fbc85cf3fbcc8bb14d1a84fcf7bbae4531f00000",
        "type": "Isolate",
        "requestor_comment": "test"
    }
]

파일 해시를 기반으로 Microsoft Defender for Endpoint에서 파일과 관련된 알림을 가져옵니다.

매개변수

매개변수 표시 값 유형 기본값 필수 항목 설명
상태 문자열 알 수 없음, 신규, 진행 중, 해결됨 아니요

확인할 알림 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
심각도 문자열 지정되지 않음, 정보, 낮음, 보통, 높음 아니요

찾을 사고의 심각도를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
카테고리 문자열 해당 사항 없음 아니요

찾을 알림 카테고리를 지정합니다.

제공하지 않으면 작업이 모든 카테고리를 찾습니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.

가능한 값: 'Collection', 'CommandAndControl', 'CredentialAccess', 'DefenseEvasion', 'Discovery', 'Execution', 'Exfiltration', 'Exploit', 'InitialAccess', 'LateralMovement', 'Malware', 'Persistence', 'PrivilegeEscalation', 'Ransomware', 'SuspiciousActivity', 'UnwantedSoftware'.
사고 ID 정수 해당 사항 없음 아니요 관련 알림을 찾으려는 Microsoft Defender 사고 ID를 지정합니다.

‌사용 사례

Defender ATP 커넥터에서 발생한 알림을 조사하는 동안 이 작업을 사용하여 이 파일이 알림과 연결되어 있는지에 대한 정보를 수집하여 파일이 악성인지 여부에 대한 유용한 정보를 얻을 수 있습니다.

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example_id",
            "incidentId": 2,
            "investigationId": 1,
            "assignedTo": null,
            "severity": "Medium",
            "status": "New",
            "classification": null,
            "determination": null,
            "investigationState": "TerminatedBySystem",
            "detectionSource": "WindowsDefenderAtp",
            "category": "DefenseEvasion",
            "threatFamilyName": null,
            "title": "Suspicious process injection observed",
            "description": "A process abnormally injected code into another process, As a result, unexpected code may be running in the target process memory. Injection is often used to hide malicious code execution within a trusted process. \nAs a result, the target process may exhibit abnormal behaviors such as opening a listening port or connecting to a command and control server.",
            "alertCreationTime": "2019-11-19T03:56:37.7335862Z",
            "firstEventTime": "2019-11-19T03:54:15.7698362Z",
            "lastEventTime": "2019-11-19T03:54:15.7698362Z",
            "lastUpdateTime": "2019-11-20T10:13:31.7266667Z",
            "resolvedTime": null,
            "machineId": "machine-id",
            "alertUser": {
                "accountName": "example.user",
                "domainName": "EXAMPLELAB"
            },
            "comments": [],
            "alertFiles": [
                {
                    "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
                    "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
                    "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                    "fileName": "powershell.exe"
                },{
                    "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
                    "sha256": "328954033456d5c13e58fb5bcc6c0232f9f62cb6d9185afa51c7913338992491",
                    "filePath": "C:\\Windows\\System32\\notepad.exe",
                    "fileName": "notepad.exe"
                }
            ],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
        }
    ]
}

파일 해시를 기반으로 Microsoft Defender for Endpoint에서 파일과 관련된 머신을 가져옵니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
시스템 이름 문자열 해당 사항 없음 아니요 찾으려는 전체 머신 이름을 지정합니다.
머신 IP 주소 문자열 해당 사항 없음 아니요 찾을 머신 IP 주소를 지정합니다.
머신 위험 점수 문자열 해당 사항 없음 아니요

찾을 머신 위험 점수를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
머신 상태 문자열 Active, Inactive, ImpairedCommunication, NoSensorData, NoSensorDataImpairedCommunication 아니요

찾을 머신 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
머신 OS 플랫폼 문자열 해당 사항 없음 아니요 찾을 머신 OS 플랫폼을 지정합니다.
RBAC 그룹 ID 문자열 해당 사항 없음 아니요 찾을 RBAC 그룹 ID를 지정합니다.

사용 사례

Defender ATP 커넥터에서 발생한 알림을 조사하는 동안 이 작업을 사용하여 Defender ATP에서 이 파일이 등록된 머신에 대한 정보를 수집할 수 있습니다.

실행

이 작업은 Filehash 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines",
    "value": [
        {
            "id": "example_id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-20T19:35:36.4619266Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.1",
            "lastExternalIpAddress": "203.0.113.121",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    ]
}

사용자의 머신 로그 가져오기

특정 머신에서 사용자의 로그온에 대한 정보를 가져옵니다.

매개변수

해당 사항 없음

사용 사례

이 작업은 Defender ATP 서버에서 문제가 있는 머신에 로그인한 사용자에 대한 특정 세부정보를 가져오기 위한 조사 목적으로 사용할 수 있습니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • 호스트
  • IP 주소

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Users",
    "value": [
        {
            "id": "example\\example.user",
            "accountName": "example.user",
            "accountDomain": "example",
            "accountSid": null,
            "firstSeen": "2019-11-19T03:50:36Z",
            "lastSeen": "2019-11-19T03:50:36Z",
            "mostPrevalentMachineId": null,
            "leastPrevalentMachineId": null,
            "logonTypes": "Interactive",
            "logOnMachinesCount": 1,
            "isDomainAdmin": false,
            "isOnlyNetworkUser": null
        }
    ]
}

머신 추천 받기

머신 추천 가져오기 작업을 사용하여 Microsoft Defender for Endpoint에서 특정 머신에 대한 보안 추천 목록을 가져옵니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

  • Hostname

  • IP Address

작업 입력

머신 추천 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Max Recommendations To Return

필수 항목입니다.

각 항목에 대해 검색할 최대 추천 수입니다.

최댓값은 100입니다.

기본값은 100입니다.

작업 출력

머신 추천 가져오기 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시는 머신 추천 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Entity": "",
   "EntityResult": [
         {
            "id": "va-_-7-zip-_-7-zip",
            "productName": "7-zip",
            "recommendationName": "Update 7-zip to version 25.01.0.0",
            "weaknesses": 12,
            "vendor": "7-zip",
            "recommendedVersion": "25.01.0.0",
            "recommendedVendor": "",
            "recommendedProgram": "",
            "recommendationCategory": "Application",
            "subCategory": "",
            "severityScore": 0.0,
            "publicExploit": true,
            "activeAlert": false,
            "associatedThreats": [],
            "remediationType": "Update",
            "status": "Active",
            "configScoreImpact": 0.0,
            "exposureImpact": 0.0,
            "totalMachineCount": 0,
            "exposedMachinesCount": 1,
            "nonProductivityImpactedAssets": 0,
            "relatedComponent": "7-zip",
            "hasUnpatchableCve": false,
            "tags": [],
            "exposedCriticalDevices": 0
        }
   ]
}
출력 메시지

머신 추천 가져오기 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully returned recommendations for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS.

No recommendations were found for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS.

No recommendations were found for the provided endpoints in Microsoft Defender for Endpoint.

 작업이 완료되었습니다.
Error executing action "Get Machine Recommendations". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 머신 추천 가져오기 작업을 사용할 때의 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

Defender ATP에 등록된 특정 머신과 관련된 알림을 받습니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
상태 문자열 알 수 없음, 신규, 진행 중, 해결됨 아니요

확인할 알림 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
심각도 문자열 지정되지 않음, 정보, 낮음, 보통, 높음 아니요

찾을 사고의 심각도를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
카테고리 문자열 해당 사항 없음 아니요

찾을 알림 카테고리를 지정합니다.

제공하지 않으면 작업이 모든 카테고리를 찾습니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.

가능한 값: 'Collection', 'CommandAndControl', 'CredentialAccess', 'DefenseEvasion', 'Discovery', 'Execution', 'Exfiltration', 'Exploit', 'InitialAccess', 'LateralMovement', 'Malware', 'Persistence', 'PrivilegeEscalation', 'Ransomware', 'SuspiciousActivity', 'UnwantedSoftware'.
사고 ID 정수 해당 사항 없음 아니요 관련 알림을 찾으려는 Microsoft Defender 사고 ID를 지정합니다.

사용 사례

이 작업은 Defender ATP 서버에서 문제가 있는 특정 머신과 관련된 알림을 가져오는 조사 목적으로 사용할 수 있습니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • 호스트
  • IP 주소

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example-id",
            "incidentId": 1,
            "investigationId": null,
            "assignedTo": "testuser@example.com",
            "severity": "Informational",
            "status": "Resolved",
            "classification": "FalsePositive",
            "determination": "SecurityTesting",
            "investigationState": "UnsupportedAlertType",
            "detectionSource": "WindowsDefenderAtp",
            "category": "Execution",
            "threatFamilyName": null,
            "title": "[Test Alert] Suspicious Powershell commandline",
            "description": "*** This is a test alert ***\nA suspicious Powershell commandline was found on the machine. This commandline might be used during installation, exploration, or in some cases with lateral movement activities which are used by attackers to invoke modules, download external payloads, and get more information about the system. Attackers usually use Powershell to bypass security protection mechanisms by executing their payload in memory without touching the disk and leaving any trace.",
            "alertCreationTime": "2019-11-18T11:17:48.287421Z",
            "firstEventTime": "2019-11-18T11:15:06.5226815Z",
            "lastEventTime": "2019-11-18T11:15:06.5226815Z",
            "lastUpdateTime": "2019-11-20T04:12:03.91Z",
            "resolvedTime": "2019-11-20T04:12:03.4976288Z",
            "machineId": "machine-id",
            "alertUser": {
                "accountName": "Administrator",
                "domainName": "US-LT-V13007"
            },
            "comments": [],
            "alertFiles": [
                {
                    "sha1": "3ce71813199abae99348f61f0caa34e2574f831c",
                    "sha256": "9a7c58bd98d70631aa1473f7b57b426db367d72429a5455b433a05ee251f3236",
                    "filePath": "C:\\Windows\\System32\\cmd.exe",
                    "fileName": "cmd.exe"
                },
                {
                    "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
                    "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
                    "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                    "fileName": "powershell.exe"
                }
            ],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
        }
    ]
}

머신 취약점 가져오기

머신 취약점 가져오기 작업을 사용하여 Microsoft Defender for Endpoint에서 특정 머신과 연결된 취약점을 나열합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

  • Hostname

  • IP Address

작업 입력

머신 취약점 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Severity Filter

(선택사항)

반환된 취약점을 필터링하는 데 사용되는 심각도 수준입니다.

가능한 값은 다음과 같습니다.

  • Critical
  • High
  • Medium
  • Low

기본값은 Critical입니다.
Threat Filter

(선택사항)

반환된 취약점을 필터링하는 데 사용되는 위협 인텔리전스 기준입니다.

가능한 값은 다음과 같습니다.

  • Associated Active Alert
  • Exploit is available
  • Exploit is verified
  • This exploit is part of an exploit kit
Sort By

(선택사항)

반환된 취약점을 정렬하는 데 사용되는 필드입니다.

가능한 값은 다음과 같습니다.

  • First Detection Time
  • Severity
  • Update Time

기본값은 Severity입니다.
Sort Order

(선택사항)

정렬된 결과가 표시되는 순서입니다.

가능한 값은 다음과 같습니다.

  • ASC
  • DESC

기본값은 ASC입니다.
Max Vulnerabilities To Return

필수 항목입니다.

각 항목에 대해 반환할 최대 취약점 수입니다.

최댓값은 100입니다.

기본값은 100입니다.

작업 출력

머신 취약점 가져오기 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시는 머신 취약점 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Entity": "",
   "EntityResult": [
       {
           "@odata.type": "#microsoft.windowsDefenderATP.api.PublicVulnerabilityDto",
           "id": "CVE-2025-21266",
           "name": "CVE-2025-21266",
           "description": "Summary: The Windows Telephony Service in Microsoft Windows is vulnerable to remote code execution. An attacker can exploit this vulnerability by tricking a user into visiting a malicious website, which would allow them to execute arbitrary code on the system. Impact: If successfully exploited, this vulnerability could allow an attacker to execute arbitrary code on the affected system. This could lead to a complete compromise of the system, enabling the attacker to gain unauthorized access, steal sensitive information, or perform other malicious activities. Remediation: Apply the latest patches and updates provided by the respective vendors. Generated by AI",
           "severity": "High",
           "cvssV3": 8.8,
           "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C",
           "exposedMachines": 1,
           "publishedOn": "2025-01-14T08:00:00Z",
           "updatedOn": "2025-09-09T23:45:43.5Z",
           "firstDetected": "2025-01-14T18:31:29Z",
           "patchFirstAvailable": null,
           "publicExploit": false,
           "exploitVerified": false,
           "exploitInKit": false,
           "exploitTypes": [],
           "exploitUris": [],
           "cveSupportability": "Supported",
           "tags": [],
           "epss": 0.01391,
           "status": "RemediationRequired"
       }
   ]
}
출력 메시지

머신 취약점 가져오기 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully returned vulnerabilities for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS.

The action wasn't able to return vulnerabilities for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS.

The action wasn't able to return vulnerabilities for the provided endpoints in Microsoft Defender for Endpoint.

No vulnerabilities were found for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS.

No vulnerabilities were found for the provided endpoints in Microsoft Defender for Endpoint.

 작업이 완료되었습니다.
Error executing action "Get Machine Vulnerabilities". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 머신 취약점 가져오기 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

사용자 관련 알림 가져오기 작업을 사용하여 Microsoft Defender for Endpoint에서 특정 사용자와 연결된 알림을 나열합니다.

이 작업은 Google SecOps User 항목에서 실행됩니다.

작업 입력

사용자 관련 알림 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Max Alerts To Return

필수 항목입니다.

사용자별로 검색할 최대 알림 수입니다.

최댓값은 100입니다.

기본값은 100입니다.

작업 출력

사용자 관련 알림 가져오기 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시는 사용자 관련 알림 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
    {
        "Entity": "User@domain.local",
        "EntityResult": [
            {
                "id": "da06788650-4d45-4dcf-ae23-d1071ad426ec_1",
                "incident_id": 864492,
                "investigation_id": 1778,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active '' malware ",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-02-27T06:58:08.1366667Z",
                "first_event_time": "2026-02-27T06:55:51.021546Z",
                "last_event_time": "2026-02-27T06:55:51.021546Z",
                "last_update_time": "2026-02-27T07:13:46.2333333Z",
                "resolved_time": "2026-02-27T07:13:44.3513463Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0b1f334d-b5e5-4618-8a2a-d3675e62a93b_1",
                "incident_id": 864492,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "New",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2026-02-27T06:58:38.5533333Z",
                "first_event_time": "2026-02-27T06:55:32.6699867Z",
                "last_event_time": "2026-03-05T07:24:52.7415066Z",
                "last_update_time": "2026-03-05T07:28:04.67Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0cfbb355-b5a5-43a5-adb6-d0879d0b0917_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "analyst@company.onmicrosoft.com",
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious behavior by cmd.exe was observed",
                "description": "A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.",
                "alert_creation_time": "2025-10-13T10:26:21.3333333Z",
                "first_event_time": "2025-10-13T10:23:58.1472359Z",
                "last_event_time": "2025-10-13T10:25:22.714708Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 13 Oct 25 | 10:26 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da0cfbb355-b5a5-43a5-adb6-d0879d0b0917_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-13T10:40:32.4733451Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0e3de096-1789-43ff-bb2e-6cc22e5037ad_1",
                "incident_id": 864492,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "New",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "DefenseEvasion",
                "threat_family_name": null,
                "title": "Suspicious registry modification",
                "description": "A suspicious process modified the registry on this device. Registry entries can be added, modified, or removed to change various settings of the system or behavior of a program. Attackers leverage this technique to gain persistence, escalate privileges, launch malicious codes, or to tamper with security products.",
                "alert_creation_time": "2026-02-27T06:58:38.7266667Z",
                "first_event_time": "2026-02-27T06:56:11.3416006Z",
                "last_event_time": "2026-03-05T07:25:30.6007486Z",
                "last_update_time": "2026-03-05T07:28:07.39Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da13c4af0a-bd35-4cb2-a556-fa972f3b80da_1",
                "incident_id": 864492,
                "investigation_id": 1779,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active '' malware ",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-03-02T07:26:21.22Z",
                "first_event_time": "2026-03-02T07:25:05.4166175Z",
                "last_event_time": "2026-03-02T07:25:05.4166175Z",
                "last_update_time": "2026-03-02T07:37:19.2666667Z",
                "resolved_time": "2026-03-02T07:37:19.1231428Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2052972f-7cc3-42c8-8abf-8ac490d63c35_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "analyst@company.onmicrosoft.com",
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious behavior by cmd.exe was observed",
                "description": "A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.",
                "alert_creation_time": "2025-10-07T10:25:41.1666667Z",
                "first_event_time": "2025-10-07T10:23:44.5677721Z",
                "last_event_time": "2025-10-07T10:25:10.6581007Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\ud83e\udde8 Generic Threat - APTSimulator_schedu... - Not Mitigated - Escalated\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 07 Oct 25 | 10:25 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Isolation, Stop and Quarantine File, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis)\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2052972f-7cc3-42c8-8abf-8ac490d63c35_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-07T10:27:41.3867936Z"
                    },
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage (\ud83d\udca1Triage updated \u2192 Risk Deescalated)\n===================================\n\u26a0\ufe0f Suspicious - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 07 Oct 25 | 10:25 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2052972f-7cc3-42c8-8abf-8ac490d63c35_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-07T10:32:21.417826Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2068d331-0335-4479-9f96-e8f33db81aa9_1",
                "incident_id": 864492,
                "investigation_id": 1780,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active 'Ceprolad' malware in a command line was prevented from executing",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-03-05T07:26:09.89Z",
                "first_event_time": "2026-03-05T07:25:08.6889036Z",
                "last_event_time": "2026-03-05T07:25:08.6889036Z",
                "last_update_time": "2026-03-05T07:37:44.9066667Z",
                "resolved_time": "2026-03-05T07:37:44.65021Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da29243e25-be1e-47b7-9d40-e626df36345c_1",
                "incident_id": 688299,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Persistence",
                "threat_family_name": null,
                "title": "New group added suspiciously",
                "description": "A new group was added after suspicious activities were detected. An attacker might add new users to the group in an attempt to gain a better foothold on the machine or network.",
                "alert_creation_time": "2025-09-18T14:59:47.52Z",
                "first_event_time": "2025-09-18T14:53:30.7348596Z",
                "last_event_time": "2025-09-21T14:53:43.8093531Z",
                "last_update_time": "2025-09-21T14:56:44.5166667Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - APTSimulator_schedu... - Not Mitigated - Follow Up Required\n===================================\n\n- Title: New group added suspiciously\n- Source: Microsoft Defender for Endpoint\n- Creation time: 18 Sep 25 | 14:59 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A new group was added after suspicious activities were detected. An attacker might add new users to the group in an attempt to gain a better foothold on the machine or network.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Discovery: Local Groups [T1069.001]\n  * Persistence: Account Manipulation [T1098]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da29243e25-be1e-47b7-9d40-e626df36345c_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-09-18T15:03:43.2796289Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2be6df1c-2401-4545-8111-5f75d0fd0223_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "analyst@company.onmicrosoft.com",
                "severity": "Low",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2025-10-01T10:26:20.6566667Z",
                "first_event_time": "2025-10-01T10:24:19.1071611Z",
                "last_event_time": "2025-10-07T10:24:27.1065475Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - en-US.js - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious JavaScript process\n- Source: Microsoft Defender for Endpoint\n- Creation time: 01 Oct 25 | 10:26 UTC\n- External severity: Low\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: Indicator Removal on Host [T1070]\n  * Defense Evasion: Indicator Removal on Host: Timestomp [T1070.006]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2be6df1c-2401-4545-8111-5f75d0fd0223_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-01T10:30:36.462226Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da37252b75-0446-4a7b-99b4-e64886557bd3_1",
                "incident_id": 688299,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2025-09-18T14:59:46.57Z",
                "first_event_time": "2025-09-18T14:54:11.4061419Z",
                "last_event_time": "2025-09-21T14:54:00.575478Z",
                "last_update_time": "2025-09-21T14:56:36.6533333Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - wscript.exe - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious JavaScript process\n- Source: Microsoft Defender for Endpoint\n- Creation time: 18 Sep 25 | 14:59 UTC\n- External severity: Low\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: Indicator Removal on Host [T1070]\n  * Defense Evasion: Indicator Removal on Host: Timestomp [T1070.006]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da37252b75-0446-4a7b-99b4-e64886557bd3_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-09-18T15:06:13.2743521Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            }
        ]
    }
]
출력 메시지

사용자 관련 알림 가져오기 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully returned alerts related to the following users in Microsoft Defender for Endpoint: ENTITY_IDS.

No alerts were related to the following users in Microsoft Defender for Endpoint: ENTITY_IDS.

No alerts were related to the provided users in Microsoft Defender for Endpoint.

 작업이 완료되었습니다.
Error executing action "Get User Related Alerts". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인하세요.
스크립트 결과

다음 표에는 사용자 관련 알림 가져오기 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

머신 격리

Microsoft Defender for Endpoint를 사용하여 머신을 격리합니다. 머신은 완전 격리 또는 선택적 격리로 설정할 수 있습니다. Outlook, 비즈니스용 Skype, Teams 애플리케이션은 격리된 머신에서 계속 작동합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
격리 유형 DDL

전체

가능한 값은 다음과 같습니다.

  • 전체
  • 선택적
 예 격리 유형을 지정합니다.
댓글 문자열 해당 사항 없음 예 머신을 격리해야 하는 이유에 대한 설명을 지정합니다.
인사이트를 만드시겠습니까? 체크박스 선택됨 사용 설정하면 작업이 성공적으로 실행될 경우 관련 정보가 포함된 Google SecOps 통계를 만듭니다.

사용 사례

감염된 것으로 간주되는 머신을 격리합니다. 예를 들어 Defender ATP 커넥터 알림이 Google SecOps 서버에 수집되었고 알림 분석 중에 알림 머신 (케이스 항목)과 관련하여 감염될 수 있으며 격리해야 하는 것으로 확인되었습니다.

실행

이 작업은 다음 작업에서 실행됩니다.

  • 호스트
  • IP 주소

작업 결과

스크립트 결과

API 엔드포인트가 실행된 모든 제공된 항목에 대해 JSON 응답 'status': 'Pending'에서 상태 201을 반환한 경우 True입니다. 이는 API 요청이 성공적으로 실행되었음을 나타냅니다. 항목 중 하나 이상에서 작업이 실패하면 최종 결과는 실패 (False)여야 합니다.

스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "Isolate",
    "requestor": "requestor-id",
    "requestorComment": "Machine Isolation due to alert ...",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T03:55:59.5419077Z",
    "lastUpdateDateTimeUtc": "2019-11-21T03:55:59.5419077Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}
통계
  • Insight Logic: Defender ATP 에이전트를 사용하여 머신이 격리된 경우 이를 나타내는 인사이트를 만듭니다.
  • 유형: 항목
  • 제목 (문자열): 항목
  • IdentifierMessage: "Host was isolated using Microsoft Defender for Endpoint."

알림 나열

제공된 검색 기준에 따라 엔드포인트용 Microsoft Defender 알림을 나열합니다. 이 작업은 발견된 알림에 대한 정보를 테이블 및 JSON 뷰 형식으로 작업 출력으로 반환하며, 작업 출력 JSON 파일에 저장되고 첨부된 원시 알림 데이터도 함께 반환합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
기간 정수 3 아니요 알림을 가져올 기간(시간)을 지정합니다.
상태 문자열 알 수 없음, 신규, 진행 중, 해결됨 아니요

확인할 알림 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
심각도 문자열 해당 사항 없음 아니요

찾을 사고의 심각도를 지정합니다.

제공하지 않으면 작업에서 모든 심각도를 찾습니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.

가능한 값: UnSpecified, Informational, Low, Medium, High
카테고리 문자열 해당 사항 없음 아니요

찾을 알림 카테고리를 지정합니다.

제공하지 않으면 작업이 모든 카테고리를 찾습니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.

가능한 값: 'Collection', 'CommandAndControl', 'CredentialAccess', 'DefenseEvasion', 'Discovery', 'Execution', 'Exfiltration', 'Exploit', 'InitialAccess', 'LateralMovement', 'Malware', 'Persistence', 'PrivilegeEscalation', 'Ransomware', 'SuspiciousActivity', 'UnwantedSoftware'.
사고 ID 정수 해당 사항 없음 아니요 관련 알림을 찾으려는 Microsoft Defender 사고 ID를 지정합니다.

사용 사례

이 작업은 최종 사용자를 위해 Google SecOps 서버에 대한 Defender ATP 경고를 검토하는 데 사용될 수 있습니다. 예를 들어 Defender ATP 커넥터에서 발생한 경고를 처리할 때 사용자는 '경고 나열' 작업을 구성하여 처리된 알림 IncidentId를 입력 매개변수로 수락하여 Defender ATP 서버에서 세부정보를 가져옵니다. 단일 Defender ATP 사고의 일부인 다른 경고가 있습니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example_id",
            "incidentId": 2,
            "investigationId": null,
            "assignedTo": null,
            "severity": "Medium",
            "status": "New",
            "classification": null,
            "determination": null,
            "investigationState": "UnsupportedAlertType",
            "detectionSource": "WindowsDefenderAtp",
            "category": "Execution",
            "threatFamilyName": null,
            "title": "Unexpected behavior observed by a process run with no command line arguments",
            "description": "The legitimate process by this name does not normally exhibit this behavior when run with no command line arguments. \nSuch unexpected behavior may be a result of extraneous code injected into a legitimate process, or a malicious executable masquerading as the legitimate one by name.",
            "alertCreationTime": "2019-11-19T03:56:35.3007009Z",
            "firstEventTime": "2019-11-19T03:54:16.0441057Z",
            "lastEventTime": "2019-11-19T03:54:16.0441057Z",
            "lastUpdateTime": "2019-11-19T03:56:38.45Z",
            "resolvedTime": null,
            "machineId": "machine-id",
            "alertUser": null,
            "comments": [],
            "alertFiles": [],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
            }
    ]
}

지표 나열

Microsoft Defender for Endpoint의 지표를 나열합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
지표 CSV 해당 사항 없음 아니요 검색할 지표를 쉼표로 구분한 목록을 지정합니다.
지표 유형 CSV FileSha1,FileSha256,FileMd5,CertificateThumbprint,IpAddress,DomainName, Url 아니요

검색하려는 쉼표로 구분된 표시기 유형 목록을 지정합니다.

가능한 값: FileSha1, FileSha256, FileMd5, CertificateThumbprint, IpAddress,DomainName, Url
작업 CSV Warn,Block,Audit,Alert,AlertAndBlock,BlockAndRemediate,Allowed 아니요

필터링에 사용할 쉼표로 구분된 지표 작업 목록을 지정합니다.

가능한 값: Warn,Block,Audit,Alert, AlertAndBlock,BlockAndRemediate,Allowed
심각도 CSV 정보,낮음,중간,높음 아니요

필터링에 사용할 심각도를 쉼표로 구분한 목록을 지정합니다.

가능한 값: Informational,Low,Medium,High
반환할 최대 결과 수 정수 50 아니요 반환할 지표 수를 지정합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "id": "18",
    "indicatorValue": "110e7d15b011d7fac48f2bd61114db1022197f7a",
    "indicatorType": "FileSha1",
    "action": "Audit",
    "createdBy": "45e9773c-100e-4a9f-ad37-d8e182e9ed26",
    "severity": "Informational",
    "category": 1,
    "application": "demo-test",
    "educateUrl": null,
    "bypassDurationHours": null,
    "title": "test",
    "description": "test",
    "recommendedActions": "nothing",
    "creationTimeDateTimeUtc": "2022-02-08T14:20:34.9071582Z",
    "expirationTime": null,
    "lastUpdateTime": "2022-02-08T14:20:34.9151307Z",
    "lastUpdatedBy": null,
    "rbacGroupNames": [],
    "rbacGroupIds": [],
    "notificationId": null,
    "notificationBody": null,
    "version": null,
    "mitreTechniques": [],
    "historicalDetection": false,
    "lookBackPeriod": null,
    "generateAlert": true,
    "additionalInfo": null,
    "createdByDisplayName": "Example Defender ATP",
    "externalId": null,
    "createdBySource": "PublicApi",
    "certificateInfo": null
}
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

데이터를 사용할 수 있는 경우(is_success=true): 'Microsoft Defender for Endpoint에서 제공된 기준에 대한 지표를 찾았습니다.'

데이터를 사용할 수 없는 경우 (is_success=false): 'Microsoft Defender for Endpoint에서 제공된 기준에 대한 지표를 찾을 수 없습니다.'

작업이 실패하고 플레이북 실행을 중지합니다.

잘못된 사용자 인증 정보, 서버 연결 없음과 같은 치명적인 오류가 보고되는 경우: ''지표 나열' 작업 실행 중에 오류가 발생했습니다.' 이유: {0}'.format(error.Stacktrace)

잘못된 '지표 유형' 매개변수가 제공된 경우: '지표 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: '지표 유형' 매개변수의 값이 잘못되었습니다. 가능한 값: FileSha1, FileSha256, FileMd5, CertificateThumbprint, IpAddress, DomainName, Url

잘못된 '작업' 매개변수가 제공된 경우: ''지표 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: '작업' 매개변수의 값이 잘못되었습니다. 가능한 값: Warn, Block, Audit, Alert, AlertAndBlock, BlockAndRemediate, Allowed

잘못된 '심각도' 매개변수가 제공된 경우: ''지표 나열' 작업을 실행하는 중에 오류가 발생했습니다. 이유: '작업' 매개변수의 값이 잘못되었습니다. 가능한 값: Informational, Low, Medium, High

 일반
케이스 월 테이블

발견된 지표

유형: indicatorType

작업: action

Severity: severity Description: description Title: title Recommendation: recommendedActions

 항목

머신 나열

검색에 지정된 매개변수를 기반으로 Microsoft Defender for Endpoint 서버에 등록된 머신에 대한 정보를 가져옵니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
마지막 확인 시간대 정수 해당 사항 없음 아니요 마지막으로 확인된 기간을 시간 단위로 지정합니다.
시스템 이름 문자열 해당 사항 없음 아니요 찾으려는 전체 머신 이름을 지정합니다.
머신 IP 주소 문자열 해당 사항 없음 아니요 찾을 머신 IP 주소를 지정합니다.
머신 위험 점수 문자열 없음, 낮음, 보통, 높음 아니요

찾을 머신 위험 점수를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
머신 상태 문자열 Active, Inactive, ImpairedCommunication, NoSensorData, NoSensorDataImpairedCommunication 아니요

찾을 머신 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 허용합니다.
머신 OS 플랫폼 문자열 해당 사항 없음 아니요 찾을 머신 OS 플랫폼을 지정합니다.
RBAC 그룹 ID 문자열 해당 사항 없음 아니요 찾을 RBAC 그룹 ID를 지정합니다.

사용 사례

이 작업은 Defender ATP 서버에 등록된 기기에 대한 정보를 가져오는 조사 목적으로 사용할 수 있습니다. 이 작업은 주로 사용자가 Defender ATP 콘솔로 다시 전환하여 Defender ATP 에이전트가 작동하는 머신을 찾을 필요가 없도록 수동 작업으로 사용됩니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines",
    "value": [
        {
            "id": "example-id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-20T09:59:28.0646303Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.138",
            "lastExternalIpAddress": "203.0.113.35",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        },{
            "id": "example-id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-20T08:36:16.2721384Z",
            "lastSeen": "2019-11-20T08:36:52.7182837Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.141",
            "lastExternalIpAddress": "203.0.113.35",
            "agentVersion": "10.4850.17134.191",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "None",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    ]
}

핑

통합 구성 페이지에서 제공된 매개변수를 사용하여 Microsoft Defender for Endpoint 인스턴스에 대한 연결을 테스트합니다.

매개변수

해당 사항 없음

사용 사례

이 작업은 연결을 테스트하는 데 사용되며 플레이북에 포함되지 않는 직접 조치로 실행될 수 있습니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False

고급 추적 쿼리 실행

엔드포인트용 Microsoft Defender 고급 헌팅 쿼리를 실행합니다. 따옴표, 새 줄 또는 기타 특수 기호는 이스케이프 처리해야 합니다. 예를 들어 따옴표를 이스케이프 처리하려면 백슬래시를 사용합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
매개변수 표시 이름 유형 기본값 필수 항목 설명
쿼리 문자열 해당 사항 없음 예 실행할 지능형 탐지 쿼리입니다.

사용 사례

사용자는 특정 Defender 알림을 처리하는 동안 Defender ATP에서 수집된 데이터를 쿼리하는 데 사용할 헌팅 쿼리를 가질 수 있으며, 이 작업을 통해 사용자는 이러한 고급 헌팅 쿼리를 실행할 수 있습니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "Stats": {
        "ExecutionTime": 0.0156652,
        "resource_usage": {
            "cache": {
                "memory": {
                    "hits": 13,
                    "misses": 0,
                    "total": 13
                },
                "disk": {
                    "hits": 0,
                    "misses": 0,
                    "total": 0
                }
            },
            "cpu": {
                "user": "00:00:00.0156250",
                "kernel": "00:00:00",
                "total cpu": "00:00:00.0156250"
            },
            "memory": {
                "peak_per_node": 33554624
            }
        },
        "dataset_statistics": [
            {
                "table_row_count": 2,
                "table_size": 60
            }
        ]
    },
    "Schema": [
        {
            "Name": "EventTime",
            "Type": "DateTime"
        },
        {
            "Name": "FileName",
            "Type": "String"
        },
        {
            "Name": "InitiatingProcessFileName",
            "Type": "String"
        }
    ],
    "Results": [
        {
            "EventTime": "2019-11-18T11:13:07.043128Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe"
        },
        {
            "EventTime": "2019-11-19T03:54:14.4256361Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe"
        }
    ]
}

바이러스 백신 검사 실행

엔드포인트용 Microsoft Defender를 사용하여 호스트에서 바이러스 백신 검사를 시작합니다. 사용할 수 있는 Defender ATP 스캔 유형에는 전체 또는 빠름 등 두 가지 유형이 있습니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
바이러스 백신 검사 유형 DDL

전체

가능한 값은 다음과 같습니다.

  • 전체
  • 빠른 키보드 레이아웃
 예 기기에서 전체 또는 빠른 바이러스 백신 검사를 시작할지 지정합니다.
댓글 문자열 해당 사항 없음 예 머신에서 바이러스 백신 검사를 실행해야 하는 이유에 대한 주석을 지정합니다.

사용 사례

Defender ATP 커넥터에서 알림이 전송되었고, 알림 처리 중에 Google SecOps 케이스 항목과 관련된 머신에서 멀웨어 침해 지표가 발견되었으며, 이로 인해 사용자가 호스트에서 멀웨어를 찾기 위해 머신에서 바이러스 백신 검사를 실행하기로 결정했습니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • 호스트
  • IP 주소

작업 결과

스크립트 결과

API 엔드포인트가 실행된 모든 제공된 항목에 대해 JSON 응답 'status': 'Pending'에서 상태 201을 반환한 경우 True입니다. 이는 API 요청이 성공적으로 실행되었음을 나타냅니다. 항목 중 하나 이상에서 작업이 실패하면 최종 결과는 실패 (False)여야 합니다.

스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "RunAntiVirusScan",
    "requestor": "requestor_id",
    "requestorComment": "Run antivirus scan on suspect",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T11:07:06.611628Z",
    "lastUpdateDateTimeUtc": "2019-11-21T11:07:06.611628Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

특정 머신에서 파일 중지 및 격리

Microsoft Defender For Endpoint 에이전트를 사용하여 특정 머신에서 파일 실행을 중지하고 격리합니다. 이 작업은 호스트 또는 IP Google SecOps 항목에서 작동합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
격리할 SHA1 파일 해시 문자열 해당 사항 없음 예

중지 및 격리할 파일의 SHA-1 파일 해시를 지정합니다.

참고: 작업에서 일치하는 파일을 찾으려면 SHA-1 해시가 소문자여야 합니다.
댓글 문자열 해당 사항 없음 예 머신에서 바이러스 백신 검사를 실행해야 하는 이유에 대한 주석을 지정합니다.
인사이트를 만드시겠습니까? 체크박스 선택됨 사용 설정하면 작업이 성공적으로 실행될 경우 관련 정보가 포함된 Google SecOps 통계가 생성됩니다.

사용 사례

Defender ATP 커넥터에서 발생한 알림을 처리하는 동안 '파일 중지 및 격리' 작업을 사용하여 특정 파일이 실행되지 않도록 차단하여 머신이 손상되지 않도록 할 수 있습니다. 이 작업은 고급 헌팅에서 필요할 수 있으며, 사용자는 현재 단일 머신에서 차단하려는 잠재적으로 악의적인 파일을 발견할 수 있습니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • 호스트
  • IP 주소

작업 결과

스크립트 결과

참 또는 거짓일 수 있습니다. API 엔드포인트가 실행된 모든 제공된 항목에 대해 JSON 응답 '상태': '대기 중'에서 상태 201을 반환한 경우 True입니다. 이는 API 요청이 성공적으로 실행되었음을 나타냅니다. 하나 이상의 항목에 대한 작업이 실패하면 최종 결과는 실패 (False)여야 합니다.

스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "StopAndQuarantineFile",
    "requestor": "requestor-id",
    "requestorComment": "Stopping and quarantining putty",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-25T10:05:21.3641296Z",
    "lastUpdateDateTimeUtc": "2019-11-25T10:05:21.3641296Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": {
        "fileIdentifier": "d932604ab8e9debe475415851fd26929a0c0dcd1",
        "fileIdentifierType": "Sha1"
    }
}
통계
  • 유형: 항목
  • 제목 (문자열): 항목
  • IdentifierMessage (문자열): "SHA-1 파일 해시 {0}이 있는 파일이 {1}에서 중지되고 격리되었습니다." format (filehash,entity.Identifier).

항목 지표 제출

Microsoft Defender for Endpoint에서 항목을 지표로 제출합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
작업 DDL

Block

가능한 값은 다음과 같습니다.

  • Block
  • 감사
  • 차단 및 해결
  • 허용
 예

항목에 적용해야 하는 작업을 지정합니다.

참고: '차단 및 해결' 값은 filehash 항목에만 지원됩니다.
심각도 DDL

높음

가능한 값은 다음과 같습니다.

  • 높음
  • 중간
  • 낮음
  • 정보 제공
 예 발견된 항목의 심각도를 지정합니다.
애플리케이션 문자열 해당 사항 없음 아니요 항목과 관련된 애플리케이션을 지정합니다.
지표 알림 제목 문자열 해당 사항 없음 예 환경에서 식별된 경우 알림 제목을 지정합니다.
설명 문자열 Google SecOps Remediation 예 항목에 대한 설명을 지정합니다.
권장 조치 문자열 해당 사항 없음 아니요 항목 처리를 위한 권장 조치를 지정합니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • IP 주소
  • URL
  • Filehash

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

항목 하나에 데이터를 사용할 수 있는 경우 (is_success = true): '다음 항목을 Microsoft Defender for Endpoint에 지표로 제출했습니다. {entity.identifier}'

항목 하나에 데이터를 사용할 수 없는 경우(is_success=true): '작업에서 다음 항목을 Microsoft Defender for Endpoint: {entity.identifier}에 지표로 제출할 수 없습니다.'

항목 하나에 403 상태 코드가 보고된 경우: '인스턴스에 다음 항목을 제출할 수 있는 권한이 없습니다. {entity.identifier}

모든 항목에 데이터를 사용할 수 없는 경우(is_success=false): '제공된 항목이 Microsoft Defender for Endpoint에 지표로 제출되지 않았습니다.'

"The following entities are already indicators in Microsoft Defender for Endpoint: {entity.identifier}"

작업이 실패하고 플레이북 실행을 중지해야 합니다.

잘못된 사용자 인증 정보, 서버 연결 없음과 같은 치명적인 오류의 경우: ''항목 지표 제출' 작업 실행 중에 오류가 발생했습니다.' 이유: {0}''.format(error.Stacktrace)

모든 항목에 대해 403 상태 코드가 보고된 경우: '항목 지표 제출' 작업을 실행하는 중에 오류가 발생했습니다. 이유: 인스턴스 권한으로 인해 생성된 지표가 없습니다. 구성을 확인하세요.''.

 일반

머신 격리 해제

Microsoft Defender for Endpoint를 사용하여 이전에 격리된 머신을 격리 해제합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
댓글 문자열 해당 사항 없음 예 머신을 격리 해제해야 하는 이유에 대한 주석을 지정합니다.
인사이트를 만드시겠습니까? 체크박스 선택됨 사용 설정하면 작업이 성공적으로 실행될 경우 관련 정보가 포함된 Google SecOps 통계를 만듭니다.

사용 사례

이 작업은 머신이 이미 격리되었지만 플레이북 처리 중에 수집된 새 데이터 (예: 첫 번째 머신이 격리되고 다음으로 의심스러운 파일에 대한 위협 지표를 만들고 '중지 및 격리' 작업을 실행하여 영향을 받은 머신에서 이 파일을 삭제함)를 사용하여 영향을 받은 머신을 격리에서 삭제하는 것이 안전하다고 간주할 수 있는 상황에 사용할 수 있습니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • 호스트
  • IP 주소

작업 결과

스크립트 결과

API 엔드포인트가 실행된 모든 제공된 항목에 대해 JSON 응답 'status': 'Pending'에서 상태 201을 반환한 경우 True입니다. 이는 API 요청이 성공적으로 실행되었음을 나타냅니다. 항목 중 하나 이상에서 작업이 실패하면 최종 결과는 실패 (False)여야 합니다.

스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "Unisolate",
    "requestor": "requestor-id",
    "requestorComment": "Unisolate machine due to the following remediation measures taken...",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T03:59:34.7389352Z",
    "lastUpdateDateTimeUtc": "2019-11-21T03:59:34.7389352Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}
통계
  • 유형: 항목
  • 제목: 항목
  • IdentifierMessage: 엔드포인트 격리를 위한 Microsoft Defender가 삭제되었습니다.

알림 업데이트

특정 Microsoft Defender for Endpoint 알림을 업데이트합니다. 이 작업은 엔드포인트용 Microsoft Defender에서 알림을 닫는 데 사용할 수 있습니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
알림 ID 문자열 해당 사항 없음 예 업데이트할 Microsoft Defender for Endpoint 알림 ID를 지정합니다.
상태 DDL

신규

가능한 값은 다음과 같습니다.

  • 신규
  • InProgress
  • 해결됨
 아니요 업데이트할 알림 상태를 지정합니다.
할당 대상 문자열 해당 사항 없음 아니요 이 필드를 업데이트하려면 사용자 정보를 지정합니다.
분류 DDL

알 수 없음

가능한 값은 다음과 같습니다.

  • 알 수 없음
  • FalsePositive
  • TruePositive
 아니요 알림을 업데이트할 분류를 지정합니다.
결정 DDL

NotAvailable

가능한 값은 다음과 같습니다.

  • NotAvailable
  • Apt
  • 멀웨어
  • SecurityPersonnel
  • SecurityTesting
  • UnwantedSoftware
  • 기타
 아니요 알림을 업데이트할 결정을 지정합니다.

사용 사례

  • 이 작업을 사용하여 Defender ATP 경고를 업데이트합니다.

  • 이 작업을 사용하여 Defender ATP 경고 분석과 관련된 워크플로에 개입합니다.

    Google SecOps에서 알림이 처리된 후 Defender ATP 알림을 무시하여 Defender ATP 및 Google SecOps 알림 목록을 정렬된 상태로 유지할 수 있습니다. 또한 알림을 변경하여 알림 분석 진행 상황을 표시할 수 있습니다 (예: assignedTo 속성 설정 또는 알림 상태를 inProgress로 설정).

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts/$entity",
    "id": "example-id",
    "incidentId": 1,
    "investigationId": null,
    "assignedTo": null,
    "severity": "Informational",
    "status": "Resolved",
    "classification": null,
    "determination": null,
    "investigationState": "UnsupportedAlertType",
    "detectionSource": "WindowsDefenderAtp",
    "category": "Execution",
    "threatFamilyName": null,
    "title": "[Test Alert] Suspicious Powershell commandline",
    "description": "*** This is a test alert ***\nA suspicious Powershell commandline was found on the machine. This commandline might be used during installation, exploration, or in some cases with lateral movement activities which are used by attackers to invoke modules, download external payloads, and get more information about the system. Attackers usually use Powershell to bypass security protection mechanisms by executing their payload in memory without touching the disk and leaving any trace.",
    "alertCreationTime": "2019-11-18T11:17:48.287421Z",
    "firstEventTime": "2019-11-18T11:15:06.5226815Z",
    "lastEventTime": "2019-11-18T11:15:06.5226815Z",
    "lastUpdateTime": "2019-11-20T04:12:03.6066667Z",
    "resolvedTime": "2019-11-20T04:12:03.4976288Z",
    "machineId": "machine-id",
    "alertUser": {
        "accountName": "Administrator",
        "domainName": "example-domain"
    },
    "comments": [],
    "alertFiles": [
        {
            "sha1": "3ce71813199abae99348f61f0caa34e2574f831c",
            "sha256": "9a7c58bd98d70631aa1473f7b57b426db367d72429a5455b433a05ee251f3236",
            "filePath": "C:\\Windows\\System32\\cmd.exe",
            "fileName": "cmd.exe"
        },
        {
            "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
            "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
            "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "fileName": "powershell.exe"
        }
    ],
    "alertDomains": [],
    "alertIps": [],
    "alertProcesses": []
}

작업 상태 대기

태스크 상태를 기다립니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
태스크 ID 문자열 해당 사항 없음 예 쉼표로 구분된 문자열로 표시된 태스크 ID 목록입니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션 예시
is_success True/False is_success:False
JSON 결과
[
    {
        "status": "Succeeded",
        "creation_date_time_utc": "2020-02-08T03:24:52.8526634Z",
        "cancellation_requestor": null,
        "cancellation_date_time_utc": null,
        "id": "2e39d22e-60a7-4267-899c-a1471e800000",
        "last_update_date_time_utc": "2020-02-08T03:25:35.8345081Z",
        "related_file_info": null,
        "cancellation_comment": null,
        "requestor": "e4fc6454-754d-47f7-bbdb-045fad600000",
        "error_h_result": 0,
        "scope": "Selective",
        "machine_id": "fbc85cf3fbcc8bb14d1a84fcf7bbae4531f00000",
        "type": "Isolate",
        "requestor_comment": "test"
    }
]

커넥터

Google SecOps에서 커넥터를 구성하는 방법에 대한 자세한 내용은 커넥터 구성을 참조하세요.

선택한 커넥터를 구성하려면 다음 표에 나열된 커넥터별 매개변수를 사용하세요.

Microsoft Defender ATP 커넥터

이벤트용 Microsoft Defender ATP 커넥터에 사용되는 Defender ATP SIEM API는 2022년 3월 1일부터 지원 중단되었습니다.

이 커넥터는 주기적으로 Defender ATP API 엔드포인트에 연결하고 특정 기간 동안 생성된 알림 목록을 가져옵니다. 처리된 알림의 경우 커넥터는 별도의 요청으로 Defender ATP에서 감지 정보를 가져옵니다. 감지에는 감지를 특정 알림과 연결하는 데 사용할 수 있는 AlertId 필드가 있습니다.

커넥터 매개변수

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 표시 이름 유형 기본값 필수 항목 설명
제품 필드 이름 문자열 ProductName 예 제품 이름이 저장된 필드의 이름을 설명합니다.
이벤트 필드 이름 문자열 AlertName 예 이벤트 이름이 저장된 필드의 이름을 설명합니다.
환경 필드 이름 문자열 "" 아니요

환경 이름이 저장된 필드의 이름을 설명합니다.

환경 필드를 찾을 수 없는 경우 환경은 ''입니다.
환경 정규식 패턴 문자열 .* 아니요

Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다.

기본값은 .* 로서 모두 포착하고 변경되지 않은 값을 반환합니다.

사용자가 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있도록 허용하는 데 사용됩니다.

정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null이면 최종 환경 결과는 ''입니다.
API 루트 문자열 https://api.securitycenter.windows.com 예

통합에 사용할 API 기준 URL입니다.

성능을 향상하려면 내 위치에서 가장 가까운 서버를 사용하면 됩니다.

  • api-us.securitycenter.windows.com
  • api-eu.securitycenter.windows.com
  • api-uk.securitycenter.windows.com
Azure Active Directory ID 문자열 해당 사항 없음 예 Microsoft Entra 테넌트 ID는 Active Directory > 앱 등록 > 애플리케이션 > 디렉터리 (테넌트) ID에서 확인할 수 있습니다.
통합 클라이언트 ID 문자열 해당 사항 없음 예 통합을 위해 Microsoft Entra에서 앱 등록을 위해 추가된 클라이언트 (애플리케이션) ID입니다.
통합 클라이언트 보안 비밀번호 비밀번호 해당 사항 없음 예 통합을 위해 Azure AD 앱 등록에 입력된 보안 비밀입니다.
SIEM 클라이언트 ID 문자열 해당 사항 없음 예 Microsoft Defender for Endpoint에서 사용 설정된 SIEM 통합의 클라이언트 (애플리케이션) ID입니다.
SIEM 클라이언트 보안 비밀번호 비밀번호 해당 사항 없음 예 Microsoft Defender for Endpoint에서 사용 설정된 SIEM 통합의 보안 비밀입니다.
오프셋 시간(단위: 시간) 정수 24 예 X시간부터 역순으로 알림을 가져옵니다.
주기당 최대 알림 수 정수 100 예 커넥터 실행 1회 동안 처리되는 알림 수입니다.
가져올 알림 상태 문자열 알 수 없음, 신규, 진행 중, 해결됨 예

Google SecOps 서버에서 가져와야 하는 Defender ATP 알림의 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 사용할 수 있습니다.
가져올 알림 심각도 문자열 지정되지 않음, 정보, 낮음, 보통, 높음 예

Google SecOps 서버에서 가져와야 하는 Defender ATP 알림의 심각도를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 사용할 수 있습니다.
프록시 서버 주소 IP_OR_HOST 해당 사항 없음 No 연결에 사용할 프록시 서버입니다.
프록시 서버 사용자 이름 문자열 해당 사항 없음 No 프록시 서버 사용자 이름
프록시 서버 비밀번호 비밀번호 해당 사항 없음 No 프록시 서버 비밀번호입니다.

커넥터 규칙

  • 커넥터는 차단 목록 또는 동적 목록 규칙을 지원하지 않습니다.

  • 커넥터는 프록시를 지원합니다.

Microsoft Defender ATP 커넥터 V2

365 Defender 사고 API를 사용하여 Defender ATP 알림을 가져와 이벤트 데이터를 가져옵니다. 커넥터 동적 목록을 사용하여 알림 detectionSource 속성 값을 기반으로 특정 유형의 알림만 수집합니다.

커넥터 SourceGroupIdentifier 속성을 사용하여 Defender ATP 사고 ID를 기준으로 알림을 그룹화할 수 있습니다.

기본 요건

커넥터를 구성하기 전에 Microsoft Entra 애플리케이션에 추가 권한을 부여해야 합니다.

  1. 사용자 관리자 또는 비밀번호 관리자로 Azure 포털에 로그인합니다.

  2. Microsoft Entra ID를 선택합니다.

  3. API 권한 > 권한 추가 > 조직에서 사용하는 API로 이동합니다.

  4. Microsoft Threat Protection(Microsoft 위협 보호) > Application permissions(애플리케이션 권한)를 선택합니다.

  5. 권한 선택 섹션에서 다음 필수 권한을 선택합니다.

    • Incident.Read.All
    • Incident.ReadWrite.All

  6. 권한 추가를 클릭합니다.

  7. YOUR_ORGANIZATION_NAME에 대해 관리자의 동의 제출을 클릭합니다.

커넥터 매개변수

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 표시 이름 유형 기본값 필수 항목 설명
제품 필드 이름 문자열 :: 예 제품 이름이 저장된 필드의 이름을 설명합니다.
이벤트 필드 이름 문자열 EventName 예 이벤트 이름이 저장된 필드의 이름을 설명합니다.
환경 필드 이름 문자열 "" 아니요

환경 이름이 저장된 필드의 이름을 설명합니다.

환경 필드를 찾을 수 없는 경우 환경은 ''입니다.
환경 정규식 패턴 문자열 .* 아니요

Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다.

기본값은 .* 로서 모두 포착하고 변경되지 않은 값을 반환합니다.

사용자가 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있도록 허용하는 데 사용됩니다.

정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null이면 최종 환경 결과는 ''입니다.
Defender ATP API 루트 문자열 https://api.securitycenter.windows.com 예

통합에 사용할 API 기준 URL

성능을 향상하려면 내 위치와 가장 가까운 서버를 사용하면 됩니다.

  • api-us.securitycenter.windows.com
  • api-eu.securitycenter.windows.com
  • api-uk.securitycenter.windows.com
365 Defender API 루트 문자열 https://api.security.microsoft.com 예 Google SecOps 이벤트 데이터를 가져오는 데 사용되는 Microsoft 365 Defender 인스턴스의 API 루트입니다.
Azure Active Directory ID 문자열 해당 사항 없음 예 Microsoft Entra > 앱 등록 > 애플리케이션 > 디렉터리 (테넌트) ID에서 찾을 수 있는 Microsoft Entra 테넌트 ID입니다.
통합 클라이언트 ID 문자열 해당 사항 없음 예 통합을 위해 Microsoft Entra에서 앱 등록을 위해 추가된 클라이언트 (애플리케이션) ID입니다.
통합 클라이언트 보안 비밀번호 비밀번호 해당 사항 없음 예 통합을 위해 Azure AD 앱 등록에 입력된 보안 비밀입니다.
SSL 확인 체크박스 선택 예 사용 설정하면 Microsoft 365 Defender 서버 연결에 사용되는 SSL 인증서가 유효한지 확인합니다.
오프셋 시간(단위: 시간) 정수 24 예 X시간부터 역순으로 알림을 가져옵니다.
주기당 최대 알림 수 정수 10 예 커넥터 실행 1회 동안 처리되는 알림 수입니다.
가져올 알림 상태 문자열 알 수 없음, 신규, 진행 중, 해결됨 예

Google SecOps 서버에서 가져와야 하는 Defender ATP 알림의 상태를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 사용할 수 있습니다.
가져올 알림 심각도 문자열 지정되지 않음, 정보, 낮음, 보통, 높음 예

Google SecOps 서버에서 가져와야 하는 Defender ATP 알림의 심각도를 지정합니다.

매개변수는 여러 값을 쉼표로 구분된 문자열로 사용할 수 있습니다.
오버플로 사용 중지 체크박스 선택 해제 아니요 사용 설정하면 커넥터가 오버플로 메커니즘을 무시합니다.
스크립트 제한 시간 정수 300 예 커넥터가 실행될 제한 시간을 지정합니다.
허용 목록을 차단 목록으로 사용 체크박스 선택 해제 아니요 사용 설정하면 동적 목록이 차단 목록으로 사용됩니다.
프록시 서버 주소 IP_OR_HOST 해당 사항 없음 No 연결에 사용할 프록시 서버입니다.
프록시 서버 사용자 이름 문자열 해당 사항 없음 No 프록시 서버 사용자 이름
프록시 서버 비밀번호 비밀번호 해당 사항 없음 No 프록시 서버 비밀번호입니다.

커넥터 규칙

커넥터는 detectionSource Defender ATP 알림 필드 값을 기반으로 동적 목록 로직을 지원합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.