Managed Detection and Response

Kaspersky Endpoint Security 11.6.0에는 Managed Detection and Response 솔루션을 위한 내장 에이전트가 도입되었습니다. Kaspersky Managed Detection and Response(MDR) 솔루션은 인프라에서 보안 인시던트를 자동으로 감지하고 분석합니다. 이를 위해 MDR은 엔드포인트 및 기계 학습에서 수신한 원격 측정 데이터를 사용합니다. MDR은 인시던트 데이터를 Kaspersky 전문가에게 보냅니다. 그러면 전문가는 인시던트를 처리하고, 안티 바이러스 데이터베이스에 새 항목 추가 등의 행동을 할 수 있습니다. 또는 전문가가 인시던트 처리에 대한 권장 사항을 발표하고 예를 들어 네트워크에서 컴퓨터를 격리하도록 제안할 수 있습니다. 솔루션 작동 방식에 대한 자세한 내용은 Kaspersky Managed Detection and Response 도움말을 참조하십시오.

Kaspersky Managed Detection and Response와 상호 작용할 때 애플리케이션을 통해 다음 기능을 수행할 수 있습니다:

• BLOB 구성 파일을 사용하여 Managed Detection and Response를 활성화합니다.
• Kaspersky Managed Detection and Response에서 명령을 실행합니다.
• 위협 탐지를 위해 원격 측정 데이터를 Kaspersky Managed Detection and Response로 보냅니다.

Kaspersky Managed Detection and Response와 통합

Kaspersky Managed Detection and Response와의 통합은 다음 단계로 구성됩니다:

1. 사설 Kaspersky Security Network 구성

   Kaspersky Security Center 클라우드 콘솔을 사용한다면 이 단계를 건너뜁니다. Kaspersky Security Center 클라우드 콘솔은 MDR 플러그인 설치 시 자동으로 로컬 Kaspersky Security Network를 구성합니다.

   사설 KSN은 컴퓨터와 Kaspersky Security Network 전용 서버 간의 데이터 교환을 지원하지만 글로벌 KSN은 지원하지 않습니다.

   중앙 관리 서버 속성에 Kaspersky Security Network 구성 파일을 업로드합니다. Kaspersky Security Network 구성 파일은 MDR 구성 파일의 ZIP 압축파일 내에 있습니다. Kaspersky Managed Detection and Response 콘솔에서 ZIP 압축파일을 얻을 수 있습니다. 사설 Kaspersky Security Network 구성에 관한 자세한 내용은 Kaspersky Security Center 도움말을 참조하십시오. 명령 줄에서 Kaspersky Security Network 구성 파일을 컴퓨터에 업로드할 수도 있습니다(아래 지침 참조).

   명령 줄에서 사설 Kaspersky Security Network를 구성하는 방법

   1. 명령줄 해석기(cmd.exe)를 관리자 권한으로 실행합니다.
   2. Kaspersky Endpoint Security 배포 패키지가 있는 폴더로 이동합니다.
   3. 다음 명령을 실행합니다:

      avp.com KSN /private <파일 이름>

      <파일 이름>은 사설 KSN 설정(PKCS7 또는 PEM 파일 형식)을 포함하는 구성 파일의 이름입니다.

      예: avp.com KSN /private C:\kpsn_config.pkcs7

   결과적으로 Kaspersky Endpoint Security는 개인 KSN을 사용하여 파일, 애플리케이션 및 웹사이트의 평판을 결정합니다. Kaspersky Security Network 섹션의 정책 설정에는 다음과 같은 동작 상태가 표시됩니다: KSN 네트워크: 사설 KSN.

   Managed Detection and Response가 작동하려면 확장 KSN 모드를 사용해야 합니다.

2. Managed Detection and Response 활성화

   Kaspersky Endpoint Security 정책에서 BLOB 구성 파일을 로드합니다(아래 지침 참조). BLOB 파일에는 클라이언트 ID와 Kaspersky Managed Detection and Response 라이센스에 대한 정보가 포함되어 있습니다. BLOB 파일은 MDR 구성 파일의 ZIP 압축파일 안에 있습니다. Kaspersky Managed Detection and Response 콘솔에서 ZIP 압축파일을 얻을 수 있습니다. BLOB 파일에 대한 자세한 내용은 Kaspersky Managed Detection and Response 도움말을 참조하십시오.

   관리 콘솔(MMC)에서 Managed Detection and Response를 활성화하는 방법

   1. Kaspersky Security Center 관리 콘솔 창을 엽니다.
   2. 관리 콘솔 트리의 관리 중인 장치 폴더에서 관련 클라이언트 컴퓨터가 속한 관리 그룹의 이름을 가진 폴더를 엽니다.
   3. 작업 공간에서 정책 탭을 선택합니다.
   4. 필요한 정책을 선택하고 더블 클릭하여 정책 속성을 엽니다.
   5. 정책 창에서 Detection and Response → Managed Detection and Response를 선택합니다.
   6. Managed Detection and Response 확인란을 선택합니다.
   7. 설정 블록에서 가져오기를 클릭하고 Kaspersky Managed Detection and Response 콘솔에서 받은 BLOB 파일을 선택합니다. 파일의 확장자는 P7입니다.
   8. 변경 사항을 저장합니다.

   웹 콘솔 및 클라우드 콘솔에서 Managed Detection and Response를 활성화하는 방법

   1. 웹 콘솔의 메인 창에서 장치 → 정책 및 프로필을 선택합니다.
   2. Kaspersky Endpoint Security 정책 이름을 클릭합니다.

      정책 속성 창이 열립니다.

   3. 애플리케이션 설정 탭을 선택합니다.
   4. Detection and Response → Managed Detection and Response를 선택합니다.
   5. Managed Detection and Response 토글을 켭니다.
   6. 가져오기를 클릭하고 Kaspersky Managed Detection and Response 콘솔에서 얻은 BLOB 파일을 선택합니다. 파일의 확장자는 P7입니다.
   7. 변경 사항을 저장합니다.

   명령 줄에서 Managed Detection and Response를 활성화하는 방법

   1. 명령줄 해석기(cmd.exe)를 관리자 권한으로 실행합니다.
   2. Kaspersky Endpoint Security 배포 패키지가 있는 폴더로 이동합니다.
   3. 다음 명령을 실행합니다:
      • 애플리케이션 설정이 암호로 보호되지 않은 경우:

        avp.com MDRLICENSE / ADD<파일 이름>

        <파일 이름>은 Managed Detection and Response(P7 파일 형식)를 활성화하기 위한 BLOB 구성 파일의 이름입니다.

      • 애플리케이션 설정이 암호로 보호 중인 경우:

        avp.com MDRLICENSE /ADD <파일 이름> /login=<사용자 이름> /password=<암호>

   결과적으로 Kaspersky Endpoint Security에서 BLOB 파일을 확인합니다. BLOB 파일 확인에는 디지털 서명 및 라이선스 기간 확인이 포함됩니다. BLOB 파일을 성공적으로 확인하면 Kaspersky Endpoint Security는 다음번에 Kaspersky Security Center와 동기화하는 동안 파일을 업로드하고 파일을 컴퓨터로 보냅니다. 애플리케이션 구성 요소 상태 리포트를 확인하여 구성 요소의 작동 상태를 확인합니다. 또한 Kaspersky Endpoint Security의 로컬 인터페이스에 있는 보고서에서 구성 요소의 작동 상태를 볼 수 있습니다. Managed Detection and Response 구성 요소가 Kaspersky Endpoint Security 구성 요소 목록에 추가됩니다.

3. Managed Detection and Response 지원

   Managed Detection and Response가 작동하려면 다음 구성 요소를 활성화해야 합니다:

   • Kaspersky Security Network(확장 모드).
   • 행동 탐지.

   이 구성 요소들은 반드시 활성화해야 합니다. 아니면 Kaspersky Managed Detection and Response가 필요한 원격 측정 데이터를 받지 못해 제대로 작동할 수 없습니다.

   또한 Kaspersky Managed Detection and Response는 다른 애플리케이션 구성 요소에서 받은 데이터를 사용합니다. 해당 구성 요소의 활성화는 선택 사항입니다. 추가 데이터를 제공하는 구성 요소는 다음을 포함합니다:

   • 웹 위협 보호.
   • 메일 위협 보호.
   • 방화벽.

   Kaspersky Managed Detection and Response가 Kaspersky Security Center 웹 콘솔을 통해 관리 서버를 사용하려면 새로운 보안 연결인 백그라운드 연결도 구성해야 합니다. 솔루션 배포 시 Kaspersky Managed Detection and Response가 백그라운드 연결을 구성할 것인지 묻는 메시지를 표시합니다. 백그라운드 연결을 구성해야 합니다. Kaspersky Security Center와 다른 Kaspersky 솔루션의 통합에 관한 자세한 사항은 Kaspersky Security Center 도움말을 참조하십시오.

Kaspersky Endpoint Agent에서 Kaspersky Endpoint Security for Windows로의 마이그레이션

Kaspersky Endpoint Security 버전 11 이상은 MDR 솔루션을 지원합니다. Kaspersky Endpoint Security 버전 11~11.5.0는 보안위협 탐지 활성화를 위해 Kaspersky Managed Detection and Response에 원격 측정 데이터만을 전송합니다. Kaspersky Endpoint Security 버전 11.6.0은 내장 에이전트의 모든 기능이 있습니다(Kaspersky Endpoint Agent).

Kaspersky Endpoint Security 11~11.5.0을 사용한다면 MDR 솔루션 사용을 위해 데이터베이스를 최신 버전으로 업데이트해야 합니다. Kaspersky Endpoint Agent도 설치해야 합니다.

Kaspersky Endpoint Security 11.6.0 이상을 사용 중이라면 애플리케이션을 설치할 때 Managed Detection and Response 구성 요소를 선택해야 MDR 솔루션을 사용할 수 있습니다. 이때는 Kaspersky Endpoint Agent를 설치할 필요가 없습니다.

Kaspersky Endpoint Agent에서 Kaspersky Endpoint Security for Windows로 마이그레이션하려면:

1. Kaspersky Endpoint Security 정책에서 Kaspersky Managed Detection and Response와의 통합을 구성합니다.
2. Kaspersky Endpoint Agent 정책에서 Managed Detection and Response 구성 요소를 비활성화합니다.

Kaspersky Endpoint Security 정책이 Kaspersky Endpoint Security 11~11.5.0가 설치되어 있지 않은 컴퓨터에도 적용된다면, 먼저 해당 컴퓨터에 대한 별도의 Kaspersky Endpoint Agent 정책을 생성해야 합니다. 새 정책에서 Kaspersky Managed Detection and Response와의 통합을 구성합니다.

맨 위로