Defender for Cloud, Key Vault, Microsoft Sentinel (보안 운영)
Defender for Cloud 의 무료 CSPM 과 유료 Defender 플랜, 보안 점수와 권고 처리법, Key Vault 의 권한 모델(2026-02-01 API 부터 새 금고 기본이 Azure RBAC), 소프트 삭제와 제거 보호, 비밀 회전, 그리고 2027-03-31 Azure 포털 지원이 끝나는 Microsoft Sentinel 의 Defender 포털 전환을 정리합니다.
Microsoft Defender for Cloud
Defender for Cloud 는 두 가지 일을 합니다.
| 영역 | 무엇 | 비용 |
|---|---|---|
| CSPM (보안 태세 관리) | 설정 점검, 보안 점수, 권고. Microsoft cloud security benchmark 기준 | 기본 CSPM 무료, Defender CSPM 유료 (공격 경로 분석, 에이전트 없는 스캔 등) |
| CWP (워크로드 보호) | 실행 중 위협 탐지와 대응 | 플랜별 유료 |
주요 Defender 플랜입니다. 필요한 것만 구독 단위로 켭니다.
| 플랜 | 보호 대상 |
|---|---|
| Defender for Servers (Plan 1, Plan 2) | VM, Arc 서버. Defender for Endpoint 통합, 취약성 평가, JIT VM 액세스(Plan 2) |
| Defender for Containers | AKS, 컨테이너 레지스트리 이미지 스캔, 런타임 위협 |
| Defender for Storage | 악성 업로드 스캔, 비정상 접근 |
| Defender for Databases | Azure SQL, PostgreSQL, Cosmos DB 등의 이상 징후 |
| Defender for Key Vault, Resource Manager | 비정상 비밀 접근, 의심스러운 관리 작업 |
| Defender for AI 서비스 | Foundry 모델 배포의 프롬프트 공격, 데이터 유출 징후 |
보안 점수와 권고 다루기
권고는 많고, 다 고칠 수는 없습니다. 순서를 정합니다.
- 인터넷에 노출된 것: 공용 IP 의 관리 포트(22, 3389), 공용 액세스가 켜진 스토리지와 DB.
- ID: 구독 Owner 수, MFA 없는 특권 계정, 오래된 서비스 주체 비밀.
- 데이터 보호: 진단 로그, 백업, 소프트 삭제.
- 나머지는 Azure Policy 로 새로 생기는 것부터 막고, 기존 것은 수정 작업으로 정리합니다 (RBAC 와 Policy).
허용할 수 없는 권고는 면제(exemption) 로 사유와 만료일을 남겨 점수에서 빼고, 무작정 무시하지 않습니다.
Azure Key Vault
비밀(연결 문자열, API 키), 키(암호화 키), 인증서를 보관합니다.
권한 모델: Azure RBAC 가 기본
| 모델 | 특징 |
|---|---|
| Azure RBAC (권장) | 데이터 평면 권한을 역할로. 금고, 비밀 단위 범위. PIM, 조건 사용 가능 |
| 액세스 정책 (예전 방식) | 금고 안의 목록. 금고 Contributor 가 스스로 정책을 추가할 수 있어 권한 상승 위험 |
Key Vault 제어 평면 API 2026-02-01 이후 버전부터는 새 금고의 기본값이 Azure RBAC 입니다(enableRbacAuthorization = true). 기존 금고는 바뀌지 않습니다. 템플릿에서 이 속성을 빼고 새 API 로 금고를 만들면 RBAC 금고가 되어, 액세스 정책을 쓰던 앱이 ForbiddenByRbac 로 실패할 수 있으니 명시적으로 값을 적습니다. 그리고 2026-02-01 이전의 모든 제어 평면 API 버전은 2027-02-27 에 퇴역하므로, Bicep, Terraform, SDK 가 쓰는 API 버전을 미리 올려 둡니다(Azure CLI 2.90.0, Azure PowerShell 16.3.0 이상이 새 API 를 지원).
# 금고별 권한 모델 확인
az keyvault list --query "[].{name:name, rbac:properties.enableRbacAuthorization}" -o table
# 앱에 비밀 읽기 권한 (금고 범위)
az role assignment create --assignee-object-id <principal-id> --assignee-principal-type ServicePrincipal \
--role "Key Vault Secrets User" --scope $(az keyvault show -n kv-shop-prod --query id -o tsv)보호 기능
- 소프트 삭제는 항상 켜져 있고(보존 7~90일), 지운 금고와 비밀을 복구할 수 있습니다. 같은 이름으로 다시 만들려면 먼저 복구하거나 제거(purge)해야 합니다.
- 제거 보호(purge protection) 를 켜면 보존 기간 동안 아무도 영구 삭제할 수 없습니다. 디스크, 스토리지 고객 관리 키에 쓰는 금고는 필수입니다. 한 번 켜면 끌 수 없습니다.
- 네트워크는 공용 액세스를 끄고 Private Endpoint(
privatelink.vaultcore.azure.net)를 씁니다. - 비밀은 만료일을 두고, 키는 자동 회전 정책을 씁니다. Event Grid 의 "만료 임박" 이벤트로 회전 자동화를 만듭니다.
- 금고는 앱, 환경, 리전별로 나눕니다. 한 금고를 모든 앱이 쓰면 권한 범위가 넓어지고 요청 제한(throttling)에도 걸리기 쉽습니다.
Microsoft Sentinel
Sentinel 은 Log Analytics 작업 영역 위에서 도는 클라우드 SIEM, SOAR 입니다. 데이터 커넥터로 Entra, Azure 활동, Defender, 방화벽, 온프레미스 로그를 모으고, 분석 규칙(KQL)으로 사건(incident)을 만들고, 플레이북(Logic Apps)으로 대응을 자동화합니다.
Defender 포털로 이동
| 시점 | 내용 |
|---|---|
| 2025-07 부터 | 새 고객은 조건이 맞으면 Defender 포털에 자동 온보딩 |
| 2026-10 현재 | Sentinel 은 Defender 포털에서 GA. Defender XDR 이나 E5 라이선스가 없어도 사용 가능 |
| 2027-03-31 이후 | Azure 포털의 Sentinel 지원 종료. Defender 포털에서만 사용 |
Azure 포털 지원 종료일은 2026-02 공지로 연장되어 2027-03-31 이 되었습니다. 이 날짜 전에 작업 영역을 Defender 포털에 연결하고, 자동화 규칙, 플레이북, 권한(통합 RBAC)을 새 환경에서 검증합니다.
비용
Sentinel 은 분석 대상 로그의 수집량에 따라 과금되고, Log Analytics 요금과 겹칩니다. 모든 로그를 Analytics 플랜에 넣지 말고, 탐지에 쓰는 것만 Analytics, 나머지 감사, 보관용은 저렴한 계층(데이터 레이크, Auxiliary)으로 나눕니다. Microsoft 365, Defender 경고 같은 일부 데이터 원본은 무료 수집 혜택이 있으니 가격표를 확인합니다. 로그 계층 구조는 Azure Monitor 문서에 있습니다.
운영 체크리스트
- Defender for Cloud 의 기본 CSPM 은 모든 구독에서 켜져 있는지, 운영 구독에는 필요한 Defender 플랜이 켜져 있는지.
- 보안 경고가 메일과 SIEM 으로 가는지 (Defender for Cloud 의 연속 내보내기, Sentinel 커넥터).
- Key Vault 는 RBAC, 제거 보호, Private Endpoint, 진단 로그.
- Sentinel 은 Defender 포털 이전 계획과 테스트 일정이 있는지.