Microsoft Defender XDR

​

개요

​

기능

​

사전 요구 사항

​

파트 A — Azure AD 애플리케이션 등록

​

파트 B — CaseBender에서 통합 구성

​

인바운드(자동 폴링, 권장)

• 예약된 풀링 — pollingIntervalMinutes마다 CaseBender는 lastUpdateDateTime gt <cursor> 및 $expand=alerts로 인시던트를 오래된 순서대로 가져옵니다. 첫 실행에서는 pollingInitialLookbackHours 범위 내에서 업데이트된 인시던트를 가져옵니다.
• 커서 및 중복 제거 — 통합별 커서가 확인한 최신 인시던트까지 진행되며, 인시던트는 Defender 인시던트 ID로 중복 제거되므로 동일한 항목이 두 번 수집되지 않습니다.
• 정규화 — 각 인시던트와 하위 알림은 관찰 가능 항목, 자산, MITRE TTP를 포함한 CaseBender 알림이 됩니다. Defender 인시던트 ID가 알림에 기록되어 아웃바운드 종료 동기화가 이를 찾을 수 있습니다.

​

인바운드(웹훅 / 푸시)

​

엔드포인트

POST https://<your-casebender-domain>/api/v1/ingest/defender

​

페이로드 형식

curl -X POST "https://<your-casebender-domain>/api/v1/ingest/defender" \
  -H "x-api-key: cbr_defender_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "value": [
      {
        "id": "da637...",
        "incidentId": "12345",
        "title": "의심스러운 PowerShell 실행",
        "severity": "high",
        "status": "new",
        "classification": "unknown",
        "createdDateTime": "2026-07-03T18:20:00Z",
        "mitreTechniques": ["T1059.001"],
        "evidence": [
          { "@odata.type": "#microsoft.graph.security.fileEvidence",
            "sha256": "9f2b...", "fileName": "payload.ps1" }
        ]
      }
    ]
  }'

curl -X POST "https://<your-casebender-domain>/api/v1/ingest/defender" \
  -H "x-api-key: cbr_defender_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "id": "da637...",
    "title": "엔드포인트에서 맬웨어 탐지됨",
    "severity": "medium",
    "status": "new",
    "createdDateTime": "2026-07-03T18:20:00Z"
  }'

{ "success": true, "processed": 1, "failed": 0 }

​

처리 파이프라인

​

데이터 매핑 참조

​

아웃바운드: 케이스 처리 결과를 Defender로 동기화

​

연결된 Defender 엔터티가 해결되는 방식

1. 케이스의 extraData.defenderAlertId / extraData.defenderIncidentId
2. extraData.source === "defender"일 때 sourceRef
3. 케이스에 연결된 Defender 알림 — 수집 파이프라인이 각 알림의 customFields에 Defender 인시던트/알림 ID를 기록하므로, Defender 알림(폴링 또는 웹훅 유래)에서 승격된 케이스는 생성 방식과 관계없이 자동으로 해결됩니다.

​

해결 → 분류 매핑

Case closed in CaseBender with resolution: <resolution>

​

보안 고려 사항

• 비밀 처리 — 클라이언트 비밀은 통합 설정에 저장됩니다. 조직에서 요구하는 일정에 따라 교체하고 교체 시 통합을 업데이트하십시오.
• 최소 권한 — 인바운드 전용 배포에서는 SecurityAlert.Read.All 및 SecurityIncident.Read.All만 부여하십시오. 아웃바운드 종료 역동기화를 활성화하는 경우에만 해당하는 ReadWrite.All 범위를 추가하십시오. 더 광범위한 Graph 범위를 추가하지 마십시오.
• 토큰 캐싱 — 액세스 토큰은 통합별로 메모리에 캐시되고 만료 1분 전에 갱신됩니다. 토큰은 디스크에 유지되지 않습니다.
• 웹훅 키 — cbr_defender_ API 키를 비밀로 취급하십시오. 노출되면 교체하고 발신자 구성을 업데이트하십시오.
• 네트워크 — 송신을 login.microsoftonline.com 및 graph.microsoft.com으로 제한하십시오.

​

문제 해결

​

관련 문서

• 통합 개요
• Microsoft Graph 보안 API
• Microsoft Defender XDR