SC-900에서 가장 비중이 큰 도메인 3(35~40%)은 Microsoft Defender XDR을 이루는 서비스를 하나씩 이름으로 묻습니다. 문제는 "피싱 메일의 링크를 클릭하는 순간 검사한다", "온프레미스 도메인 컨트롤러에서 측면 이동을 탐지한다"처럼 상황만 설명하고, 보기에는 Defender라는 이름이 붙은 제품 네 개를 나란히 놓습니다. 각 제품이 무엇을 지키는지 정확히 알지 못하면 이름이 비슷한 오답에 끌려가기 쉽습니다.
이 글은 2026년 10월 21일 개정 출제 범위에 나오는 Defender XDR 항목을 그대로 따라갑니다. Defender for Office 365, Defender for Endpoint, Defender for Cloud Apps, Defender for Identity, Defender Vulnerability Management, Microsoft Threat Intelligence, Microsoft Defender 포털을 차례로 살펴보고, 각 서비스가 지키는 대상과 대표 기능, 문제에 등장하는 단서 표현을 정리합니다.
---
Defender XDR: 공격 하나를 사건 하나로 묶는 방식
대형 쇼핑몰의 보안을 생각해 보세요. 정문 경비, 주차장 CCTV, 매장 출입 기록이 따로따로 운영되면 같은 침입자가 세 곳을 거쳐 갔다는 사실을 아무도 모릅니다. 세 곳의 기록을 한 상황실로 모아 한 사람의 동선으로 이어 붙여야 비로소 침입 경로가 보입니다.
실제 공격도 이렇게 움직입니다. 피싱 메일로 시작해 직원 PC를 감염시키고, 그 PC에서 훔친 계정으로 다른 서버에 들어간 뒤, 클라우드 앱에서 데이터를 빼냅니다. Microsoft Defender XDR(Extended Detection and Response)은 이메일, 엔드포인트, ID, 클라우드 앱을 각각 지키는 제품들이 신호를 공유하고 함께 대응하도록 묶은 통합 방어 제품군입니다. 침해 전 예방과 침해 후 탐지·조사·대응을 모두 다룹니다.
| 공통 기능 | 하는 일 | |------|------| | 통합 인시던트 큐 | 여러 제품에서 나온 관련 경고와 영향받은 자산을 하나의 인시던트로 자동으로 묶음 | | 자동 대응 | 한 제품이 위협을 발견하면 다른 제품에 알림 (예: 엔드포인트에서 찾은 악성 파일을 모든 메일함에서 제거) | | 자가 치유 | 침해된 디바이스·사용자 ID·메일함을 자동 조치로 안전한 상태로 되돌림 | | 자동 공격 중단 | 진행 중인 공격을 높은 신뢰도로 판단하면 디바이스 격리, 계정 사용 중지 같은 조치를 즉시 실행 | | 교차 제품 헌팅 | 여러 제품이 수집한 원시 데이터를 쿼리로 직접 검색해 침해 흔적을 찾음 |
!하나의 공격을 여러 Defender 제품이 나눠서 막고, 하나의 인시던트로 묶는다
시험 팁: "여러 제품에서 발생한 경고를 연관 지어 공격 전체를 하나의 인시던트로 보여 준다"는 설명이 나오면 Defender XDR입니다. 반대로 Azure·AWS·GCP 리소스의 보안 설정을 점검하는 것은 이름이 비슷한 Microsoft Defender for Cloud의 역할이니 섞지 마세요.
관련 글: Microsoft Sentinel과 Defender XDR
---
Defender for Office 365: 이메일과 협업 도구
회사 우편실에서 모든 소포를 엑스레이로 검사하는 것과 비슷합니다. 겉봉투만 보는 것이 아니라 내용물을 열어 보고, 수상하면 배달 전에 막고, 이미 배달된 소포라도 나중에 위험하다고 밝혀지면 회수합니다.
Defender for Office 365는 이메일과 Teams, SharePoint, OneDrive 같은 협업 도구로 들어오는 피싱, 악성 링크, 악성 첨부 파일을 막습니다. Microsoft 365에 기본으로 들어 있는 스팸·맬웨어 필터(Exchange Online Protection) 위에 더 강력한 보호를 얹는 서비스입니다.
| 단계 | 대표 기능 | 설명 | |------|------|------| | 예방·탐지 | 안전한 첨부 파일 (Safe Attachments) | 첨부 파일을 가상 환경에서 먼저 열어 보고(폭파, detonation) 악성 동작이 있으면 차단 | | 예방·탐지 | 안전한 링크 (Safe Links) | 사용자가 링크를 클릭하는 시점에 URL을 다시 검사 | | 예방·탐지 | 피싱 방지 | 경영진이나 거래처를 사칭하는 메일 탐지 | | 조사 | Threat Explorer, 캠페인 | 악성 메일이 누구에게 얼마나 퍼졌는지 추적하고, 조직적인 피싱 공격을 묶어서 보여 줌 | | 대응 | ZAP (Zero-hour auto purge) | 이미 배달된 메일이 나중에 악성으로 판정되면 메일함에서 자동으로 제거 | | 대응 | 자동 조사 및 대응 (AIR) | 알려진 위협에 대해 조사와 조치를 자동으로 실행 | | 교육 | 공격 시뮬레이션 교육 | 가짜 피싱 메일을 보내 취약한 사용자를 찾고 교육 |
Plan 1은 안전한 첨부 파일, 안전한 링크, 피싱 방지 같은 보호 기능을 제공하고, Plan 2는 여기에 Threat Explorer, 자동 조사 및 대응, 공격 시뮬레이션 교육 같은 조사·대응 기능을 더합니다.
시험 팁: "클릭하는 순간 링크를 검사"는 안전한 링크, "첨부 파일을 격리된 환경에서 실행해 확인"은 안전한 첨부 파일, "이미 받은 메일을 소급해서 제거"는 ZAP입니다.
---
Defender for Endpoint: PC, 서버, 모바일 디바이스
건물마다 출입문을 튼튼하게 만들고(예방), 복도에 동작 감지 센서를 달고(탐지), 침입이 확인되면 그 층을 봉쇄하는(대응) 것처럼, Defender for Endpoint는 디바이스 한 대 한 대에서 예방, 탐지, 조사, 대응을 모두 수행합니다.
보호 대상은 Windows, macOS, Linux, Android, iOS 디바이스와 서버입니다. Windows 10 이후 버전에는 운영체제의 신호를 수집하는 동작 센서가 내장되어 있고, 클라우드의 보안 분석과 위협 인텔리전스가 이 신호를 탐지 결과와 대응 권장 사항으로 바꿉니다.
| 기능 | 하는 일 | |------|------| | 공격 표면 축소 (ASR) | 악용되기 쉬운 동작과 설정을 미리 막아 공격받을 수 있는 지점을 줄임 | | 차세대 보호 | Microsoft Defender 바이러스 백신과 클라우드 기반 실시간 탐지로 새 위협 차단 | | 엔드포인트 탐지 및 대응 (EDR) | 이미 들어온 공격을 거의 실시간으로 탐지하고, 디바이스 격리 같은 대응 실행 | | 자동 조사 및 수정 (AIR) | 경고를 자동으로 조사하고 즉시 조치해 분석가가 볼 경고 수를 줄임 | | 코어 취약성 관리 | 디바이스의 취약점과 잘못된 구성을 위험도 순으로 찾아냄 |
Plan 1은 차세대 보호와 공격 표면 축소 중심의 예방 기능이고, Plan 2는 EDR, 자동 조사 및 수정, 코어 취약성 관리 같은 탐지·대응 기능까지 포함합니다.
시험 팁: EDR은 "침해 이후"의 탐지와 대응, 공격 표면 축소는 "침해 이전"의 예방입니다. "감염된 디바이스를 네트워크에서 격리"가 나오면 Defender for Endpoint입니다.
---
Defender for Cloud Apps: SaaS 앱과 섀도 IT
회사 건물 밖에 있는 공유 오피스를 직원들이 몰래 빌려 쓰고 있다고 생각해 보세요. 어떤 공유 오피스를 누가 쓰는지 파악하고, 위험한 곳은 출입을 막고, 그 안으로 기밀 문서를 들고 들어가지 못하게 해야 합니다. 클라우드 앱이 바로 그 공유 오피스입니다.
Defender for Cloud Apps는 CASB(Cloud Access Security Broker, 클라우드 액세스 보안 브로커)입니다. 사용자와 클라우드 앱 사이에서 접근을 중개하며 다음 일을 합니다.
| 영역 | 하는 일 | |------|------| | 섀도 IT 발견 | 네트워크 트래픽과 방대한 앱 카탈로그로 직원들이 실제로 쓰는 클라우드 앱을 찾고, 90개가 넘는 위험 지표로 평가 | | 정보 보호 | 연결된 SaaS 앱의 파일에서 민감한 데이터를 찾아 민감도 레이블 적용, 관리되지 않는 디바이스로의 다운로드 차단 | | SaaS 보안 태세 관리 (SSPM) | 각 SaaS 앱의 잘못된 보안 설정을 찾아 권장 조치를 제시 | | 위협 보호 | 사용자와 엔터티 행동 분석(UEBA)으로 이상 활동 탐지 | | 앱 간 보호 | 중요한 데이터에 권한을 가진 OAuth 앱을 감시 |
시험 팁: "IT 부서가 승인하지 않은 클라우드 앱 사용을 발견"은 Defender for Cloud Apps입니다. 이름이 비슷한 Defender for Cloud는 Azure와 다른 클라우드의 인프라 리소스를 지키는 서비스라 대상이 다릅니다.
---
Defender for Identity: 온프레미스 Active Directory
은행 금고 앞에 경비원을 세우는 대신, 금고 열쇠를 관리하는 사무실에 감시 장비를 두는 방식입니다. 공격자는 결국 관리자 계정(열쇠)을 노리므로, 계정을 발급하고 확인하는 곳을 지켜보면 공격의 진행 단계를 일찍 알아챌 수 있습니다.
Defender for Identity는 도메인 컨트롤러와 AD FS, AD CS 서버에 설치한 센서로 온프레미스 Active Directory의 신호를 수집하고, Microsoft Entra ID의 신호도 함께 분석하는 클라우드 기반 ID 위협 탐지·대응(ITDR) 솔루션입니다. 사용자마다 평소 행동 기준을 만든 뒤 벗어나는 활동을 찾아냅니다.
| 공격 단계 | 탐지하는 것 | |------|------| | 정찰 | 사용자·그룹 정보를 캐내려는 시도 | | 자격 증명 손상 | 무차별 대입 공격, 반복되는 인증 실패, 그룹 멤버십 변경 | | 측면 이동 | 더 높은 권한의 계정을 얻으려고 네트워크 안에서 옮겨 다니는 시도 | | 도메인 장악 | 도메인 컨트롤러에서 원격 코드 실행 등으로 Active Directory를 장악하려는 행동 |
탐지에 그치지 않고 온프레미스 계정을 사용 중지하거나 암호 재설정을 강제하는 대응도 할 수 있습니다. 측면 이동 경로가 위험한 민감 계정을 미리 알려 주는 보안 평가는 Microsoft Secure Score에 반영됩니다.
시험 팁: 온프레미스 AD와 도메인 컨트롤러가 나오면 Defender for Identity, 클라우드 로그인의 위험(익명 IP, 유출된 자격 증명 등)이 나오면 Microsoft Entra ID Protection입니다. 둘은 서로 보완하는 관계입니다.
관련 글: 액세스 관리와 ID 거버넌스
---
Defender Vulnerability Management: 취약점과 잘못된 구성
자동차 정기 점검을 떠올려 보세요. 모든 부품을 한꺼번에 바꿀 수는 없으니, 사고로 이어질 가능성이 큰 브레이크부터 고칩니다. 취약성 관리도 수천 개의 취약점 가운데 실제로 위험한 것부터 처리하도록 순서를 정해 줍니다.
Defender Vulnerability Management는 Windows, macOS, Linux, Android, iOS와 네트워크 장치의 자산을 계속 파악하고, 위험 기반으로 우선순위를 매겨 수정까지 이어지게 합니다.
| 기능 | 내용 | |------|------| | 지속적인 자산 검색 | 소프트웨어, 디지털 인증서, 하드웨어와 펌웨어, 브라우저 확장 프로그램 인벤토리를 실시간으로 유지 | | 위험 기반 우선순위 | Microsoft 위협 인텔리전스, 침해 가능성, 비즈니스 맥락을 반영해 가장 위험한 취약점부터 제시 | | 보안 기준 평가 | CIS, STIG 같은 벤치마크와 비교해 구성 준수 여부를 측정 | | 수정 도구 | IT 팀에 수정 요청을 보내고, 취약한 애플리케이션 실행을 차단 |
Defender for Endpoint Plan 2에는 코어 기능이 포함되어 있고, 보안 기준 평가 같은 추가 기능은 별도 추가 기능(add-on)이나 독립 제품으로 제공됩니다. Defender 포털에서는 노출 관리(Exposure management) 메뉴 아래에 있습니다.
시험 팁: "취약점을 위험도에 따라 우선순위화하고 수정 작업을 추적"은 Defender Vulnerability Management입니다.
---
Microsoft Threat Intelligence: 공격자에 대한 정보
일기 예보가 "내일 이 지역에 태풍이 온다"고 알려 주면 미리 창문을 단단히 닫을 수 있습니다. 위협 인텔리전스는 사이버 공격의 일기 예보로, 어떤 공격 그룹이 어떤 도구와 인프라로 어느 산업을 노리는지 알려 줍니다.
예전에는 Microsoft Defender Threat Intelligence(Defender TI)라는 별도 제품이었고, 지금은 그 기능이 Defender XDR과 Microsoft Sentinel로 통합되어 Defender 포털의 위협 인텔리전스 메뉴에서 사용합니다. 2026년 10월 개정 출제 범위도 항목 이름을 Microsoft Threat Intelligence로 바꿨습니다.
| 기능 | 내용 | |------|------| | 개요 | 우리 조직에 영향이 큰 위협, 최신 위협, 노출이 큰 위협을 요약 | | Intel explorer | 캠페인, 침해 지표(IP·도메인·URL·파일), 공격 패턴, 위협 행위자, 도구, 취약점을 검색하고 필터링 | | 위협 분석 | Microsoft 보안 연구원이 작성한 위협 보고서와 우리 조직의 노출 정도 | | 엔터티 보강 | IP 주소·도메인·URL·파일 페이지에 Microsoft 위협 정보를 덧붙여 조사 속도를 높임 |
시험 팁: 오래된 자료에는 Defender TI나 MDTI라는 이름으로 나옵니다. 이름이 달라도 "공격 그룹과 인프라에 대한 정보로 분류(triage), 사고 대응, 위협 헌팅을 돕는다"는 설명이면 같은 기능입니다.
---