[M365] Defender 경고 발생 시 메일 알림 자동화하기 (Power Automate)

 

 

안녕하세요. 홍사미입니다.

 

 

MS Defender를 사용하다 보면 클라우드 앱 관련 경고(인시던트)가 계속 발생하게 됩니다.

그러나,, ㅠ 포털에 들어가서 확인하지 않는 이상 바로바로 파악하기가 어렵죠.

 

결국에는 중요한 알림을 놓치는 경우가 발생합니다. OTL 맨날 OTL

 

그래서 이번에는 Power Automate를 활용해서 Defender에서 경고가 발생하면

상세 정보를 포함한 메일을 자동으로 수신하는 방법을 정리해보았습니다.

 

https://security.microsoft.com

사용자 계정 로그인

 

 

우선 Defender에서 API 토큰을 발급하고 해당 API 토큰 값을 활용해서 메일을 발송하는 과정을 만들어주어야 합니다.

 

 

 

아래 생성된 API 토큰은 한번만 확인이 가능하므로 분실 시 재발급을 해야합니다.

TIP! 재발급하면 토큰이 변경되요.

 

따라서 안전한 위치에 반드시 저장해주세요.

 

잃어버리면... 두둥 찾을 수가 없어요 ㅠㅠ

 

 

해당 API key값을 활용하려 PowerAutomate로 찾아가보겠습니다.

 

이제 PowerAutomate 트리거가 발생하면 > 메시지 보내기 흐름을 만들어볼건데요.

 

https://make.powerautomate.com

Microsoft Power Automate

 

아래의 경로에서 동일하게 진행하시면 됩니다. :)

 

흐름 이름은 적절한 이름으로 작성하고 "경고가 생성되는 경우" 항목을 클릭합니다!

이제 Defender에서 경고가 생성이되면 트리거가 되어 automate에서 메일을 발송해줄겁니다.

 

 

 

 

아까 Defneder에서 생성한 API 토큰 값을 추가해줍니다.

 

 

 

연결이 성공되고 이제 경고가 없어졌습니다. 이제 +를 눌러볼게요

 

 

메일을 보낼 수 있는 계정을 추가합니다!!

 

아래 내용을 입력해 줍니다. [ ] 항목은 동적할당할 내용이니 아래의 번개모양(= 동적 콘텐츠 활용)을 클릭!

 

 

적절한 내용을 찾아서 입력해봤습니다.

 

 

이렇게 구성해두면 Defender에 접속하지 않아도 주요 보안 이벤트를 실시간으로 확인할 수 있어

관리자의 대응 속도를 크게 줄일 수 있습니다.

 

특히, 클라우드 앱 사용이 많은 환경에서는 필수적으로 구성해두면 좋은 기능입니다.