SC-900 도메인 3의 공식 출제 범위에는 Microsoft Defender for Cloud에 관해 "보안 정책, 표준, 권장 사항이 클라우드 보안 태세를 어떻게 개선하는지", "클라우드 워크로드 보호가 제공하는 고급 보안 기능"이 따로 적혀 있습니다. Defender for Cloud가 보안 점수를 보여 준다는 것만 알아서는 부족하고, 정책이 어떻게 권장 사항이 되고 권장 사항이 어떻게 점수로 이어지는지 흐름을 설명할 수 있어야 합니다.
이 글은 Defender for Cloud의 두 기둥인 CSPM과 CWP를 나눈 뒤, 보안 정책·이니셔티브·표준·권장 사항의 관계, 기본 표준인 Microsoft 클라우드 보안 벤치마크(MCSB), 보안 점수 계산 방식, 무료 기본 CSPM과 유료 Defender CSPM의 차이, 그리고 리소스 종류별 Defender 플랜을 차례로 정리합니다.
---
Defender for Cloud의 두 기둥: CSPM과 CWP
건물 안전을 지키는 방법은 두 가지입니다. 하나는 정기 점검으로 깨진 창문이나 잠기지 않는 문을 미리 찾아 고치는 것이고, 다른 하나는 경비원이 실제로 침입한 사람을 잡아내는 것입니다. Defender for Cloud도 이 두 가지를 함께 합니다.
| 구분 | CSPM (클라우드 보안 태세 관리) | CWP (클라우드 워크로드 보호) | |------|------|------| | 묻는 질문 | 공격받기 전에 약한 곳이 어디인가? | 지금 공격이 일어나고 있는가? | | 하는 일 | 잘못된 구성을 찾아 권장 사항과 보안 점수로 보여 줌 | 리소스 종류별 Defender 플랜으로 위협을 탐지하고 경고 | | 대표 예 | "스토리지 계정에 공용 접근이 열려 있음" | "VM에서 의심스러운 프로세스 실행 탐지" |
보호 범위는 Azure만이 아닙니다. AWS와 GCP 계정을 커넥터로 연결하고, 온프레미스 서버는 Azure Arc로 연결해 같은 화면에서 평가합니다.
시험 팁: "잘못된 구성을 찾아 강화 지침을 제시"는 CSPM, "서버·스토리지·데이터베이스에 대한 공격을 탐지"는 CWP입니다.
---
보안 정책, 이니셔티브, 표준, 권장 사항의 관계
건축 법규를 떠올려 보세요. "비상구는 항상 열려 있어야 한다" 같은 조항이 하나하나 있고, 조항을 모은 법규집이 있으며, 점검원은 법규집과 실제 건물을 비교해 지적 사항을 적어 줍니다. Defender for Cloud의 보안 정책은 Azure Policy를 기반으로 이와 같은 구조로 움직입니다.
| 개념 | 의미 | 예 | |------|------|------| | Azure Policy 정의 | 지켜야 할 보안 조건 하나에 대한 규칙 | "스토리지 계정은 보안 전송만 허용해야 함" | | 보안 이니셔티브 | 같은 목적을 가진 정책 정의의 묶음 | 데이터 보호와 관련된 정책 모음 | | 보안 표준 | 규정이나 벤치마크의 요구 사항에 맞춘 이니셔티브 | 기본 표준 MCSB, ISO 27001, PCI DSS | | 권장 사항 | 정책을 지키지 않는 리소스를 찾아낸 결과와 해결 방법 | "VM에 엔드포인트 보호를 설치하세요" |
정책과 이니셔티브는 관리 그룹, 구독, 리소스 그룹, 개별 리소스 같은 범위에 할당합니다. Defender for Cloud는 리소스를 계속 평가하다가 어떤 정책을 지키지 않는 리소스를 찾으면 그 결과를 권장 사항으로 보여 주고, 권장 사항을 해결할수록 보안 점수가 올라갑니다.
!보안 정책이 권장 사항과 보안 점수로 이어지는 흐름
시험 팁: "여러 정책 정의를 하나의 목적으로 묶은 것"은 이니셔티브입니다. 권장 사항은 사람이 직접 쓰는 것이 아니라 정책 평가 결과로 자동으로 만들어진다는 점도 기억하세요.
---
Microsoft 클라우드 보안 벤치마크 (MCSB)
Defender for Cloud를 처음 켜면 Microsoft 클라우드 보안 벤치마크(MCSB)가 기본 보안 이니셔티브로 자동 할당됩니다. MCSB는 CIS(Center for Internet Security)와 NIST(미국 국립표준기술연구소)의 통제 항목을 바탕으로 Microsoft가 만든 클라우드 중심 보안 지침입니다.
네트워크 보안, ID 관리, 권한 있는 액세스, 데이터 보호, 데이터 복구, 사고 대응, 엔드포인트 보안 같은 통제 도메인으로 구성 각 항목을 CIS, NIST, PCI DSS 같은 업계 프레임워크와 매핑 Azure뿐 아니라 AWS와 GCP에서 구현하는 방법도 함께 안내
규정 준수 대시보드는 MCSB와 추가로 적용한 표준을 얼마나 지키고 있는지 보여 줍니다. ISO 27001, SOC 2, NIST SP 800-53, PCI DSS 같은 표준은 유료 Defender 플랜의 고급 보안 기능을 켜면 추가할 수 있습니다.
시험 팁: Defender for Cloud의 규정 준수 대시보드는 클라우드 리소스의 구성이 표준에 맞는지 자동으로 평가합니다. 조직 전체의 규정 준수 개선 작업을 관리하는 Microsoft Purview Compliance Manager와는 범위가 다릅니다.
---
권장 사항과 보안 점수
권장 사항 하나에는 다음 정보가 담깁니다.
보안 문제에 대한 짧은 설명 해결하기 위한 단계 영향을 받는 리소스 심각도(높음·중간·낮음)와 위험 요소 공격 경로 맥락 (있는 경우)
보안 점수는 모든 평가 결과를 숫자 하나로 모아 현재 보안 상태를 한눈에 보여 줍니다. 점수가 높을수록 확인된 위험이 낮다는 뜻입니다. 권장 사항은 관련된 것끼리 보안 제어(security control)로 묶이고, 한 제어 안에서 어떤 리소스의 권장 사항을 모두 해결해야 그 리소스에 대한 점수가 오릅니다.
시험 팁: Defender for Cloud의 보안 점수는 클라우드 리소스의 점수이고, Defender 포털의 Microsoft Secure Score는 Microsoft 365 전반의 점수입니다. 문제의 대상이 Azure 리소스인지 Microsoft 365인지 먼저 확인하세요.
관련 글: SC-900 헷갈리는 서비스 비교 총정리
---
기본 CSPM vs Defender CSPM
| 구분 | 기본 CSPM (Foundational) | Defender CSPM | |------|------|------| | 비용 | 무료, Defender for Cloud를 켜면 자동 활성화 | 유료 플랜 | | 포함 기능 | 자산 검색, 지속적인 평가와 권장 사항, MCSB 준수, 보안 점수 | 기본 기능 전부 + 아래 고급 기능 | | 공격 경로 분석 | 없음 | 공격자가 취약점을 이어 중요한 리소스에 도달하는 경로를 모델링 | | 클라우드 보안 탐색기 | 없음 | 그래프 쿼리로 보안 상태를 직접 탐색 | | 거버넌스 | 없음 | 권장 사항마다 담당자와 해결 기한 지정 | | 데이터·AI 보안 태세 | 없음 | 민감한 데이터가 있는 데이터 저장소와 생성형 AI 워크로드를 찾아 평가 | | 위험 우선순위 | 심각도 기준 | 인터넷 노출, 민감한 데이터 보유 여부까지 반영 |
시험 팁: "추가 비용 없이 보안 점수와 권장 사항"은 기본 CSPM, "공격 경로 분석"이나 "클라우드 보안 탐색기"가 나오면 Defender CSPM입니다.
---
클라우드 워크로드 보호: Defender 플랜
CWP는 리소스 종류별 Defender 플랜으로 제공되며, 필요한 플랜만 골라 켜고 여러 플랜을 동시에 쓸 수 있습니다.
| Defender 플랜 | 보호 대상 | |------|------| | Defender for Servers | Windows·Linux 머신 (Defender for Endpoint의 EDR, 취약성 검사 포함) | | Defender for App Service | App Service에서 실행되는 앱을 노리는 공격 | | Defender for Storage | Azure Storage 계정의 유해한 활동 | | Defender for Databases | Azure SQL, 오픈 소스 관계형 DB, Azure Cosmos DB | | Defender for Containers | Kubernetes 환경, 컨테이너 레지스트리, 런타임 위협 | | Defender for Key Vault | Key Vault에 대한 비정상적인 접근 | | Defender for Resource Manager | 리소스 관리 작업 모니터링 | | Defender for AI Services | 프롬프트 삽입 공격 등 AI 서비스 위협 | | Defender for APIs | 중요한 API의 보안 태세와 실시간 위협 |
플랜을 켜면 위협 보호 경고, VM·컨테이너 레지스트리·SQL 취약성 검사, 머신 러닝 기반 애플리케이션 허용 목록, 필요한 시간에만 VM 관리 포트를 여는 JIT(Just-In-Time) VM 액세스 같은 고급 보안 기능을 쓸 수 있습니다. GitHub, Azure DevOps, GitLab을 연결해 코드와 코드형 인프라(IaC) 단계의 보안 문제를 찾는 DevOps 보안도 Defender for Cloud에 포함됩니다.
시험 팁: "Azure Storage 계정에 대한 비정상적인 접근을 탐지"는 Defender for Storage처럼, 보호 대상의 이름이 곧 플랜 이름입니다.
관련 글: Azure 보안 서비스
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.
| 구분 | 핵심 암기 사항 | |------|------| | CSPM vs CWP | 약한 곳을 미리 찾음 vs 실제 위협을 탐지 | | 정책 정의 | 보안 조건 하나에 대한 Azure Policy 규칙 | | 이니셔티브 | 같은 목적의 정책 정의 묶음 | | 보안 표준 | 규정·벤치마크에 맞춘 이니셔티브 (기본: MCSB) | | 권장 사항 | 정책을 어긴 리소스와 해결 방법, 심각도 | | MCSB | CIS·NIST 기반, Azure·AWS·GCP 지침, 자동 할당 | | 보안 점수 | 높을수록 위험이 낮음, 제어 단위로 해결해야 상승 | | 기본 CSPM | 무료: 자산 검색, 권장 사항, 보안 점수 | | Defender CSPM | 유료: 공격 경로 분석, 클라우드 보안 탐색기, 거버넌스, 데이터·AI 보안 태세 | | Defender 플랜 | 서버·스토리지·DB·컨테이너·Key Vault 등 리소스별 위협 보호 |
---
다음 단계
Defender for Cloud가 놓인 Azure 네트워크 보안(DDoS Protection, Azure Firewall, NSG, Bastion, Key Vault)은 Azure 보안 서비스에서, Microsoft 365 쪽 위협 보호는 Microsoft Defender XDR 서비스 완전 정리에서 이어서 확인하세요.
정책과 권장 사항의 관계는 문장으로 읽을 때보다 문제로 풀 때 더 잘 구분됩니다. SC-900 모의고사에서 Defender for Cloud 문제를 풀며 보기에 나온 용어가 "규칙", "규칙 묶음", "점검 결과", "점수" 중 무엇인지 짚어 보세요.