Defender 포털의 여러 Microsoft Sentinel 작업 영역

Defender 포털을 사용하면 Microsoft Sentinel 위해 하나의 기본 작업 영역과 여러 보조 작업 영역에 연결할 수 있습니다. 이 문서의 컨텍스트에서 작업 영역은 Microsoft Sentinel 사용하도록 설정된 Log Analytics 작업 영역입니다.

이 문서는 주로 통합 보안 작업에 대한 Microsoft Defender XDR 함께 Defender 포털에 Microsoft Sentinel 온보딩하는 시나리오에 적용됩니다. Microsoft Defender XDR 않고 Defender 포털에서 Microsoft Sentinel 사용하려는 경우에도 여러 작업 영역을 관리할 수 있습니다. 그러나 Defender XDR 없으므로 기본 작업 영역에는 Defender XDR 데이터가 없으며 Defender XDR 기능에 액세스할 수 없습니다.

기본 및 보조 작업 영역

Defender 포털에 Microsoft Sentinel 온보딩할 때 기본 작업 영역을 선택합니다. Defender 포털에 온보딩하는 다른 모든 작업 영역은 보조 작업 영역으로 간주됩니다. Defender 포털은 Microsoft Sentinel 테넌트당 하나의 기본 작업 영역과 무제한의 보조 작업 영역을 지원합니다.

또한 Microsoft Defender XDR 경우 주 작업 영역의 경고는 Defender XDR 데이터와 상관 관계가 있으며 인시던트에는 주 작업 영역과 통합 큐의 Defender XDR 경고가 포함됩니다. 기본 작업 영역을 선택하면 인시던트 및 경고에 대한 Defender XDR 데이터 커넥터가 기본 작업 영역에만 연결됩니다.

이러한 경우:

예를 들어 여러 자율 작업 영역이 있는 회사의 글로벌 SOC 팀에서 작업할 수 있습니다. 이러한 경우 Defender 포털의 전역 SOC 큐에 있는 이러한 각 작업 영역의 인시던트 및 경고를 보고 싶지 않을 수 있습니다. 이러한 작업 영역은 보조 작업 영역으로 Defender 포털에 온보딩되므로 Defender 포털에 Defender 인시던트 및 경고 없이 Microsoft Sentinel만 표시되며 자율적으로 계속 작동합니다. 전역 SOC 작업 영역을 보면 이러한 보조 작업 영역의 데이터가 표시되지 않습니다.

Microsoft Entra ID 테넌트 내에 여러 Microsoft Sentinel 작업 영역이 있는 경우 전역 보안 운영 센터에 기본 작업 영역을 사용하는 것이 좋습니다.

작업 영역을 관리하고 작업 영역 데이터를 볼 수 있는 권한

다음 역할 또는 역할 조합 중 하나를 사용하여 기본 및 보조 작업 영역을 관리합니다.

Microsoft Sentinel Defender 포털에 연결한 후 기존 Azure RBAC(역할 기반 액세스 제어) 권한을 통해 액세스 권한이 있는 Microsoft Sentinel 기능 및 작업 영역을 보고 작업할 수 있습니다.

예외: Defender 포털에 하나의 작업 영역을 이미 온보딩한 경우 2025년 1월 중순 이전에 및 AlertEvidence 테이블에서 사용자 지정 검색 AlertInfo 을 사용하여 만든 모든 경고가 모든 사용자에게 표시됩니다.

자세한 내용은 Microsoft Sentinel 역할 및 권한을 참조하세요.

기본 작업 영역 변경 내용

Microsoft Sentinel Defender 포털에 온보딩한 후 기본 작업 영역을 변경할 수 있습니다. Microsoft Sentinel 기본 작업 영역을 전환하면 Defender XDR 커넥터가 새 주 데이터베이스에 연결되고 이전 작업 영역과 자동으로 연결이 끊어집니다.

시스템>설정>Microsoft Sentinel>Workspaces로 이동하여 Defender 포털에서 기본 작업 영역을 변경합니다.

다른 보기의 작업 영역 데이터 범위

Microsoft Sentinel 대한 기본 및 보조 작업 영역의 데이터를 볼 수 있는 적절한 권한이 있는 경우 다음 표의 작업 영역 scope 각 기능에 적용됩니다.

작업 영역에 대한 양방향 동기화

인시던트 변경 내용이 Azure Portal Defender 포털 간에 동기화되는 방식은 기본 작업 영역인지 보조 작업 영역인지에 따라 달라집니다.

IRM(내부 위험 관리) 지원

IRM(Microsoft Purview 내부 위험 관리) 경고는 기본 작업 영역과만 상관 관계가 있습니다. Microsoft Defender XDR IRM 경고가 있는 경우 작업 영역을 Defender 포털에 온보딩하기 전에 주 작업 영역의 Microsoft Defender XDR 커넥터에 IRM을 연결해야 합니다. 이는 IRM 경고 및 인시던트가 기본 작업 영역에서 사용할 수 있도록 하는 데 필요합니다. 기본 작업 영역에서 IRM 경고를 표시하지 않으려면 대신 Microsoft Defender XDR 통합을 옵트아웃할 수 있습니다.

또한 Microsoft Sentinel 데이터 커넥터에 대한 직접 Microsoft 365 Insider Risk Management 커넥터가 보조 작업 영역에 연결된 경우 작업 영역을 Defender 포털에 온보딩하기 전에 연결을 끊어야 합니다.

관련 콘텐츠

• 다중 테넌트 관리 Microsoft Defender
• Microsoft Defender 포털에 Microsoft Sentinel 연결
• 작업 영역 및 테넌트 간에 Microsoft Sentinel 확장