보안솔루션 도입 검증표 | EDR 격리·해제·예외·감사 기록의 합격 조건

단말 격리와 관리 경로, 조치 기록을 표현한 개념도

EDR PoC는 격리 명령이 접수됐다는 화면만으로 인수하면 안 됩니다. 같은 시험 단말의 요청 기록, 실제 통신 차단, 해제 기록, 필수 업무 복구를 연결해 판단해야 합니다. 여기에 권한 밖 조치의 거부와 예외 회수 증거가 있어야 운영 인수 여부를 결정할 수 있습니다.

• 인수 가능: 도입할 구성별로 필수 시나리오의 기대 결과와 단말 관찰이 일치하고, 해제·업무 복구·예외 회수·권한 통제까지 증거가 이어집니다.
• 재시험: 시험은 수행했지만 콘솔과 단말 결과가 다르거나 일부 증거가 빠졌습니다. 해당 항목은 미충족으로 유지하고, 수정 내용과 다시 시험할 범위를 정합니다.
• 보류: 권한 없는 계정이 조치할 수 있거나, 격리 후 복구 경로가 없거나, 필수 구성의 실제 적용·업무 복구를 관찰하지 못했습니다. 설명이나 유사 환경의 시연으로 빈칸을 합격 처리하지 않습니다.

아래는 조직이 조정해 사용할 운영 검수안입니다. 공급사의 공식 합격 기준이나 실측 결과가 아닙니다. Microsoft Defender for Endpoint의 화면과 제약은 해당 제품 사례로만 설명하며, 다른 EDR에는 같은 기능명이나 동작을 그대로 적용하지 않습니다.

모든 절차는 승인된 폐쇄 시험 단말과 공급사의 무해한 테스트를 전제로 합니다. 실제 공격, 생산 서버 격리, 회사 VPN의 임의 변경은 포함하지 않습니다. 시험망 밖에 영향이 생기거나 준비한 복구 경로를 사용할 수 없으면 시험을 중단합니다.

1. 자료를 펼치기 전에 시험 조건부터 맞춘다

먼저 공급사가 제출한 시험 자료를 제품·OS·에이전트·라이선스·접속망·실행자 역할별로 나누세요. 같은 제품이라도 이 조합이 다르면 별도 시험입니다. 관리자 계정으로 성공한 자료를 실제 운영 계정의 성공으로 옮겨 적거나, 일반 시험망 결과를 VPN 구성의 결과로 대신하지 않습니다.

• 제품과 단말: 제품명, 단말 식별자, OS와 빌드, 에이전트 버전, 적용 정책 및 격리 방식.
• 계약 구성: 실제 구매할 라이선스와 활성화한 기능. 시연용 상위 구성과 차이가 있다면 별도 표시.
• 접속 조건: 시험망, 온라인·오프라인 상태, VPN 구성. 망 상태를 바꾸는 시나리오는 변경 전후를 같은 시험 번호 아래 구분.
• 역할: 요청자·승인자·실행자 계정의 역할과 대상 단말 접근 범위. 권한 거부 시험에서는 바꾼 계정만 명시.
• 업무 기준선: 시험 계정으로 로그인, 프로그램 실행, 시험 문서 열기·저장, 승인된 시험 서비스 접속을 수행한 결과.

시험 도중 에이전트나 정책을 바꿨다면 기존 결과를 덮어쓰지 말고 새 조건으로 분리합니다. 재시험은 수정한 항목뿐 아니라 영향을 받는 인접 항목까지 포함합니다. 권한 변경 뒤에는 허용과 거부를 함께, 예외 변경 뒤에는 허용 통신과 계속 차단할 통신을 함께 다시 봅니다.

아직 지원 OS·서버 범위나 라이선스를 고르는 단계라면 제품·도입 범위 비교부터 정리하는 편이 낫습니다. 이 글에서는 선정한 구성의 운영 인수에 집중합니다.

EDR 제품·도입 범위 비교지원 OS·서버 범위와 라이선스 비교를 먼저 정리할 때비교 기준 보기 →

Microsoft 문서에서 Plan 2는 문서에 열거된 모든 대응 조치를 사용하기 위한 전제입니다. Plan 1의 일부 수동 대응 조치에도 Isolate device가 포함되므로, 격리 자체에 Plan 2가 필수라는 뜻은 아닙니다. [2] 따라서 평가표에는 ‘EDR 라이선스 있음’이 아니라 시험에 사용한 구독과 조치 범위를 적습니다.

2. 온라인 격리와 해제: 화면 두 곳과 단말을 대조한다

Microsoft Defender for Endpoint에서는 단말 페이지의 Isolate device를 선택하고 사유를 입력한 뒤 Confirm으로 요청합니다. 격리 후 같은 페이지의 버튼은 Release from isolation으로 바뀌며 해제를 요청할 수 있습니다. Action center에서는 제출 시각·제출 사용자와 조치 성공 또는 실패 등의 상세 정보를 볼 수 있습니다. [2]

Action center의 Pending에서는 승인이 필요한 조치를 검토하고 승인·거부할 수 있으며, History는 수행된 대응 조치의 감사 기록입니다. [4] 다만 수동 격리 요청이 모두 Pending의 승인 절차를 거친다고 가정하지 마세요. 해당 구성에서 승인 대상인 조치와 수동 실행 조치를 구분해야 합니다.

1. 격리 전: 단말 식별자와 고정한 시험 조건을 맞추고, 기준선 업무가 되는 상태를 남깁니다. 시험망 안에서 차단을 관찰할 대상과 관리 연결을 관찰할 방법을 미리 정합니다.
2. 격리 요청: 승인된 실행자가 단말 페이지에서 Isolate device를 실행합니다. 사유에 시험 번호를 넣고, Action center의 대상·실행자·시각·결과를 단말 페이지와 맞춥니다.
3. 실제 적용: 시험 단말에서 차단 대상으로 정한 통신을 다시 시도합니다. 단말의 격리 표시, 실제 통신 차단, 관리 연결 상태를 각각 적습니다. 요청 기록만 있고 통신을 보지 못했다면 적용은 미관측입니다.
4. 해제와 복구: Release from isolation을 실행한 뒤 해제 조치 기록과 단말 상태를 대조합니다. 이어 업무 담당자가 기준선의 로그인·실행·문서 저장·서비스 접속을 다시 수행합니다.

합격은 네 단계로 나눕니다. 요청 접수, 격리 적용, 해제 적용, 업무 복구를 각각 판정하세요. 해제 조치는 완료됐어도 문서 저장이나 서비스 접속이 실패하면 업무 복구는 미충족입니다. 이때는 단말 운영 담당자가 남은 장애와 추가 복구 작업을 정리한 뒤 같은 기준선으로 재시험합니다. 격리 표시와 실제 통신이 다르면 적용 판정을 보류하고, 대상 단말·정책·망 조건부터 대조합니다.

기록을 검토할 때는 하나의 시험 번호 아래 경보·단말·조치·티켓 식별자를 연결합니다. Action center의 기록과 승인 티켓을 나란히 놓고 대상, 실행자, 시각, 판단 사유가 맞는지 대조하세요. 모든 연결이 자동 제공된다고 가정하지 말고, 수동 연결 구간에는 담당자를 정합니다. 경보 수집과 승인·티켓 자동화를 어디까지 연결할지가 다음 과제라면 SIEM·SOAR의 역할과 자동화 범위를 따로 설계할 단계입니다.

SIEM·SOAR 역할과 자동화 범위경보 수집과 승인·티켓 자동화를 어디서 나눌지 정할 때연동·승인 기준 보기 →

3. 오프라인과 full VPN은 별도 결과로 남긴다

오프라인: 요청 접수는 적용 완료가 아니다

Defender for Endpoint는 오프라인 또는 비활성 단말에 격리 요청을 제출하면 최대 3일 동안 적용을 재시도합니다. 그 안에 다시 연결되지 않으면 재시도하지 않으며, 단말이 활성화된 뒤 관리자가 격리 조치를 다시 요청해야 한다고 안내합니다. [2] 이는 이 제품의 동작 설명이지 모든 EDR의 기준이나 ‘3일이면 인수 통과’라는 뜻이 아닙니다.

1. 승인된 절차로 시험 단말을 오프라인으로 전환하고 격리를 요청합니다. 요청 전후 연결 상태와 Action center의 조치 내역을 묶습니다.
2. 시험 계획에 따라 다시 연결한 뒤, 단말 페이지와 실제 통신 차단을 관찰합니다. 접수 기록과 재연결 뒤 적용 결과를 서로 다른 칸에 적습니다.
3. 실제 적용을 관찰했다면 해제와 업무 복구까지 이어갑니다. 재연결 이후를 보지 못했다면 ‘요청 접수 확인 / 적용 미관측’으로 남기고 해당 범위 인수를 보류합니다.

문서의 재시도 기간을 지나 재연결한 단말이라면 이전 요청이 계속 적용될 것이라고 기대하지 않습니다. 승인된 시험 계획 안에서 재요청하고 새 조치 기록을 연결하세요. 장기간 미접속 단말을 운영 범위에 포함한다면, 복귀 단말의 격리 재요청 책임자도 인수 조건에 넣습니다.

Full VPN: 격리는 됐지만 해제가 전달되지 않을 수 있다

Microsoft는 full VPN tunnel 뒤의 단말이 격리되면 Defender for Endpoint 클라우드 서비스에 도달하지 못할 수 있다고 안내합니다. [2] 일반 시험망에서 해제에 성공했더라도 이 구성의 복구 증거를 대신할 수 없습니다.

• 조작: 네트워크 담당자가 승인한, 운영 예정 full VPN 구성을 재현한 폐쇄 시험 단말에서만 격리·해제를 수행합니다. 대체 연락 수단과 해당 환경에 맞는 승인된 복구 절차를 먼저 준비합니다.
• 관찰: 격리 적용, 관리 서비스 연결, 해제 요청의 실제 반영, 단말 업무 복구를 나눠 봅니다. 콘솔에 남은 과거 상태를 현재 연결의 증거로 쓰지 않습니다.
• 판정과 다음 조치: 관리 연결이 끊겨 해제가 전달되지 않거나 복구 경로를 실행할 수 없다면 해당 구성의 인수를 보류합니다. 시험을 중단하고 준비한 복구 절차로 인계합니다. 연결 설계 변경이 필요하면 네트워크 담당자의 변경 승인을 거친 뒤, 변경된 구성으로 격리부터 재시험합니다.

4. 예외는 업무가 되는지보다 회수까지 보아야 한다

먼저 탐지·차단을 조정하는 위협 차단 예외와 격리 중 통신을 허용하는 격리 통신 예외를 분리합니다. 무해한 테스트로 예외 절차를 시험했다면 ‘실제 업무 프로그램의 오탐을 해결했다’고 쓰지 않습니다. 한쪽 예외의 성공이 다른 쪽의 검증을 대신하지도 않습니다.

Defender의 full isolation은 에이전트의 필수 통신을 제외한 트래픽을 차단하고 격리 예외를 적용하지 않습니다. Selective isolation은 예외를 적용해 필요한 통신을 허용할 수 있습니다. [3] Microsoft는 어떤 격리 예외든 격리 효과를 약화시키고 보안 위험을 늘리므로 반드시 필요한 경우에만 구성하라고 경고합니다. [3]

1. 적용 전: 업무상 필요한 시험 통신 하나와 계속 차단할 통신을 정합니다. 예외의 프로세스·서비스·목적지·방향 등 필요한 범위, 승인자, 회수 담당자, 회수 기한을 평가표에 적습니다.
2. 적용: 지원되는 시험 구성에서 최소 범위의 격리 예외를 정의합니다. Microsoft 사례에서는 단말 페이지의 Isolate device에서 Selective isolation을 선택하고 Use isolation exclusions를 사용해 적용하며, 적용한 예외는 Action center history에서 검토할 수 있습니다. [3]
3. 대조: 허용하려던 시험 통신은 되는지, 예외 밖의 통신은 계속 차단되는지 함께 관찰합니다. 업무가 된다는 이유로 넓은 허용 범위를 합격 처리하지 않습니다.
4. 회수: 승인된 절차로 예외를 제거하고, 예외 없는 상태가 실제 단말에 반영됐는지 다시 시험합니다. 회수 담당자가 정책 변경 내역과 재차단 증거를 연결한 뒤 예외 항목을 종료합니다.

특히 Microsoft 격리 예외 규칙의 변경은 새 격리 요청에만 영향을 줍니다. 이미 격리된 단말에는 적용 당시 예외가 유지되므로, 변경된 규칙을 적용하려면 격리를 해제한 뒤 다시 격리해야 합니다. [3] 따라서 이 시험에서는 규칙을 삭제한 화면만으로 회수 완료라고 쓰지 말고, 승인된 시험 단말을 해제·재격리한 뒤 이전 허용 통신이 다시 차단되는지 봅니다.

예외 밖 통신까지 열리거나 회수 뒤에도 허용이 남으면 해당 항목은 보류합니다. 범위와 적용 시점을 수정한 뒤 허용·차단·회수를 다시 시험하세요. 회수 기한과 책임자는 이 글이 제안하는 운영 통제이며, 제품이 자동으로 제공한다고 가정하지 않습니다.

5. 권한 거부와 승인 기록을 끝까지 연결한다

Defender 단말 격리에는 최소 Active remediation actions 역할과 대상 device group에 대한 접근 권한이 필요합니다. [2] 실제 운영 계정의 역할·대상 범위를 제출 자료와 맞춘 다음, 정상 실행과 권한 거부를 짝으로 시험합니다.

• 정상 계정: 허용된 시험 단말에서 격리·해제하고 실제 적용과 업무 복구를 관찰합니다.
• 권한 없는 계정: 격리·해제 권한이 없는 시험 계정으로 같은 단말의 조치를 시도합니다. 버튼 미노출 또는 거부 결과에 더해, 대응 조치 기록과 단말 상태가 바뀌지 않았는지 대조합니다. 지원하지 않는 우회 경로를 만들어 시험하지 않습니다.
• 승인 권한 없는 계정: 해당 구성에서 Pending에 승인 대상인 무해한 시험 조치가 있을 때 승인 시도를 수행합니다. 거부 결과와 조치가 진행되지 않은 상태를 함께 봅니다. 승인 대상 자체를 시험하지 못했다면 ‘미실시’로 남깁니다.

권한 밖 조치가 실행되면 인수를 보류하고 역할·대상 범위를 수정합니다. 이후 거부 시험만 반복하지 말고 정상 계정의 성공도 다시 시험해, 필요한 대응까지 막히지 않았는지 판단합니다. Pending 목록이 비어 있는 화면은 승인 권한 통제의 합격 증거가 아닙니다.

야간에도 같은 절차를 수행해야 한다면 경보 수신자, 격리 승인자, 실행자, 업무 복구 인계자를 실명 또는 당직 역할로 배정합니다. 아무도 승인할 수 없는 시간대가 남으면 기능 시험과 별개로 운영 인수 공백입니다. 내부 당직으로 채울지 MDR 계약의 대응 책임으로 채울지 정하고, 외부 운영을 택한다면 승인 경계와 복구 인계까지 검수 범위에 넣으세요.

MDR 외주·야간 대응 SLA야간 경보를 누가 받고 누가 격리를 승인할지 정할 때대응 책임 확인하기 →

6. 작성 예시: 요청·적용·해제·복구를 따로 판정한다

아래는 작성 방법을 보여주는 가상 예시이며 실제 관측 결과가 아닙니다. 성능 수치나 응답시간을 가정하지 않았습니다. 실제 인수표에서는 증거 이름을 보관 위치와 연결하고, 각 시험 행에 실제 제품·버전·라이선스·망·역할 조합을 채워 넣습니다.

예시의 공통 조건은 ‘Defender for Endpoint / 승인된 Windows 시험 단말 / 제출된 OS 빌드·에이전트 버전 / Plan 2 / 폐쇄 시험망 / 승인된 실행 역할’로 설정했습니다. 실무에서는 ‘제출된 버전’ 같은 표현 대신 정확한 값을 적어야 합니다. 오프라인·VPN·권한 거부 행은 공통 조건에서 바꾼 항목을 별도로 표시합니다.

운영 인수표 — 가상 작성 예시

시험·변경 조건	기대 결과와 가상 관찰	대조할 증거	항목 판정	다음 조치·담당·기한
온라인 격리 요청	기대: 승인된 단말·계정의 요청이 접수된다. 예시 관찰: 요청 기록의 대상 단말과 실행자가 승인 티켓과 일치한다.	단말 페이지, Action center 조치 내역, 승인 티켓	요청 접수 합격. 적용 판정과 분리.	보안 실행자: 같은 시험에서 단말 통신 관찰로 진행.
온라인 격리 적용	기대: 정한 통신은 차단되고 필요한 관리 연결은 유지된다. 예시 관찰: 차단 대상으로 정한 통신은 막혔고 필요한 관리 연결은 유지된다.	격리 표시, 통신 관찰 자료, 관리 연결 자료	격리 적용 합격.	보안 실행자: 해제 시험으로 진행.
온라인 해제	기대: 해제 조치와 단말의 실제 상태가 일치한다. 예시 관찰: 해제 조치 기록과 단말 상태 변경이 일치한다.	Release from isolation 조치 기록, 단말 상태	해제 적용 합격. 업무 복구는 별도.	업무 담당자: 기준선 작업 재수행.
해제 후 업무 복구	기대: 기준선의 필수 업무를 모두 다시 완료한다. 예시 관찰: 프로그램 실행은 확인했지만 시험 문서 저장 결과는 없다.	기준선과 복구 후 작업 결과 대조표	미관측 항목 있음. 재시험 필요.	업무 담당자: 인수 승인 전 문서 저장을 포함해 재시험.
오프라인으로 변경	기대: 재연결 뒤 격리 적용·해제·업무 복구를 관찰한다. 예시 관찰: 요청은 접수됐지만 재연결 뒤 실제 적용은 관찰하지 못했다.	오프라인 상태와 요청 내역만 있음	접수만 확인. 적용 미실시·해당 범위 보류.	보안 실행자: 오프라인 단말 운영 인수 전 재연결·적용·복구 시험.
승인된 full VPN 시험 구성	기대: 승인된 관리·복구 경로로 해제와 업무 복구를 마친다. 예시 관찰: 격리 후 관리 연결이 끊겼고 해제 요청의 반영을 확인하지 못했다.	VPN 구성, 연결 관찰, 미완료 해제 내역	해당 구성 보류.	네트워크·단말 담당자: 시험 중단 및 준비된 복구로 인계. 구성 변경 승인 후 재시험.
Selective isolation 예외 적용·회수	기대: 최소 범위 허용·나머지 차단·회수 후 재차단을 확인한다. 예시 관찰: 최소 허용과 나머지 차단은 확인했지만 예외 회수 후 재격리를 시험하지 않았다.	예외 규칙, 적용 이력, 허용·차단 자료. 회수 후 증거 없음.	적용 합격 / 회수 미실시·보류.	정책 담당자: 시험 종료 전 회수하고 승인된 해제·재격리로 재차단 관찰.
권한 없는 시험 계정으로 변경	기대: 격리·승인 권한 밖의 조치는 거부된다. 예시 관찰: 격리 시도는 거부됐고 단말 상태는 그대로다. 권한 없는 계정의 Pending 승인은 시험하지 않았다.	역할·대상 범위, 거부 화면, 조치 기록과 단말 상태	격리 거부 합격 / 승인 거부 미실시.	권한 담당자: 승인 절차 인수 전 승인 대상 시험을 별도 수행.

이 예시의 종합 판정은 인수 가능이 아닙니다. 업무 복구는 재시험이 필요하고, 오프라인 적용·VPN 복구·예외 회수·승인 권한 시험은 미충족 상태로 남아 있습니다. 도입 범위에서 제외할 구성은 제외 이유와 승인자를 명시하되, 필수 범위의 미관측을 제외 처리로 숨기지 않습니다.

7. 공급사에 복사해 전달할 검수 요청 항목

다음 목록을 검수 요청서에 넣으면 기능 설명서가 아니라 판정 가능한 증거 묶음을 받을 수 있습니다.

• 시험별 제품명, 단말 식별자, OS·빌드, 에이전트 버전, 라이선스, 정책·격리 방식, 접속망·VPN 구성, 실행자 역할과 대상 접근 범위를 제출해 주세요. 실제 도입 구성과 시연 구성의 차이는 별도 표시해 주세요.
• 승인된 폐쇄 시험 단말과 무해한 테스트만 사용하고, 시험 전 업무 기준선·중단 조건·대체 연락 수단·복구 절차와 담당자를 제시해 주세요.
• 온라인 시험은 요청 접수, 격리 적용, 해제 적용, 업무 복구를 분리해 제출해 주세요. Microsoft 사례는 단말 페이지의 Isolate device/Release from isolation, Action center 조치 내역, 단말의 통신·업무 관찰을 같은 시험 번호로 연결해 주세요.
• 오프라인 시험은 요청 당시 상태, 재연결 여부, 재연결 후 실제 적용, 해제와 업무 복구를 구분해 주세요. 관찰하지 않은 단계는 미실시로 표시해 주세요.
• Full VPN 시험은 사전 승인된 구성과 복구 절차를 사용하고, 격리 후 관리 연결과 해제 반영 여부를 별도로 제출해 주세요. 망 구성 변경은 임의로 수행하지 말아 주세요.
• 예외는 종류·필요성·최소 허용 범위·승인자·회수 담당자·회수 기한을 명시하고, 허용 통신과 유지할 차단, 회수 후 재차단 증거를 제출해 주세요. Microsoft 격리 예외는 변경 후 새 격리 요청에 반영되는 동작을 시험에 반영해 주세요.
• 정상 권한의 성공과 권한 없는 계정의 거부를 함께 제출해 주세요. 승인 대상 조치가 있는 구성은 승인 권한 없는 계정의 거부도 시험하고, 미실시 항목은 따로 표시해 주세요.
• 경보·단말·조치·승인·티켓·업무 복구 증거를 연결하고, 미충족 항목별 보완 담당자·재시험 범위·기한을 제안해 주세요. 야간 수신·승인·실행·복구 인계의 담당 공백도 표시해 주세요.

자료를 받은 인수 책임자는 각 행의 기대 결과와 증거를 대조해 판정을 확정합니다. 조건부 인수가 필요하더라도 실패·미실시를 합격으로 바꾸지 말고, 제외할 운영 범위와 보완 기한, 잔여 위험을 수용한 승인자를 별도로 남기세요.

출처와 확인일

공식 자료 확인일: 2026-10-30. 아래 문서는 Microsoft Defender 제품 사례의 근거로 사용했습니다.

• [2] Microsoft Learn — Take response actions on a device: 라이선스, 격리 권한, 단말 페이지 조치, full VPN 제약, 오프라인 격리 재시도.
• [3] Microsoft Learn — Network isolation exclusions: full/selective isolation, 예외 적용·위험·변경 반영 시점.
• [4] Microsoft Learn — Visit the Action center to see remediation actions: Pending의 승인 검토와 History의 감사 기록.