지난 포스팅에서는 iOS 환경에서 MDM을 이용하여 MDE를 배포하는 방법에 대해서 작성하였습니다.
이번에는 iOS 환경에서 MAM을 이용하여 MDE를 배포하는 방법에 대해서 작성하겠습니다.
Step1, 2는 Android MAM과 흐름이 같으니 참고하시기 바랍니다.
Step 1. Admin prerequisites
설정 -> 엔드포인트
고급 기능 -> Microsoft Intune이 필요합니다. 설정이 켜기로 되어있는지 확인
Intune 관리센터에서 MDE 커넥터 연결 상태 확인
정책 평가 앱 보호 -> 켜기 확인
Step 2. 앱 보호 정책 만들기
기존 앱 보호 정책을 사용하거나 새로 생성합니다.
앱 -> 앱 보호 정책 -> 정책 만들기 -> iOS/iPadOS
정책 만들기 -> 이름 지정 -> 다음
다음
다음
허용되는 최대 디바이스 위협 수준 -> 낮음 -> 액세스 차단 -> 다음
-> 이 설정을 통하여 MAM에 적용되는 앱 실행시 MDE를 체크합니다.
그룹 지정 후 다음
만들기
Step 3. 앱 구성 정책
iOS에서 사용하는 정책은 크게 Web Protection, Network Protection 2가지 입니다.
웹 보호 및 VPN
기본적으로 iOS의 엔드포인트용 Defender는 웹 보호 기능을 포함하고 사용하도록 설정합니다. 웹 보호는 웹 위협으로부터 디바이스를 보호하고 피싱 공격으로부터 사용자를 보호하는 데 도움이 됩니다. 피싱 방지 및 사용자 지정 표시기(URL 및 도메인)는 웹 보호의 일부로 지원됩니다. IP 기반 사용자 지정 지표는 현재 iOS에서 지원되지 않습니다. 웹 콘텐츠 필터링은 현재 모바일 플랫폼(Android 및 iOS)에서 지원되지 않습니다.
iOS의 엔드포인트용 Defender는 이 기능을 제공하기 위해 VPN을 사용합니다. VPN은 로컬이며 기존 VPN과 달리 네트워크 트래픽은 디바이스 외부로 전송되지 않습니다.
기본적으로 사용하도록 설정되지만 VPN을 사용하지 않도록 설정해야 하는 경우가 있을 수 있습니다. 예를 들어 VPN이 구성되면 작동하지 않는 일부 앱을 실행하려고 합니다. 이러한 경우 다음 단계에 따라 디바이스의 앱에서 VPN을 사용하지 않도록 설정할 수 있습니다.
네트워크 보호 구성
엔드포인트에 대한 Microsoft Defender 네트워크 보호는 기본적으로 사용하지 않도록 설정됩니다. 관리자는 다음 단계를 사용하여 네트워크 보호를 구성할 수 있습니다. 이 구성은 MDM 구성을 통해 등록된 디바이스와 MAM 구성을 통해 등록되지 않은 디바이스 모두에 사용할 수 있습니다.
이러한 사항에 대해서 기술 자료를 참고하여 앱 구성 정책을 통해서 변경할 수 있습니다.
기술 자료
앱 -> 앱 구성 정책 -> 추가 -> 관리되는 앱
다음과 같이 지정
다음
아래와 같은 형태로 설정할 수 있습니다. (아래의 예시는 VPN 사용 안함입니다.)
아래는 제가 임의로 설정한 값입니다.
| Key | Value | Description |
| WebProtection | False | VPN을 사용하지 않기 위해서는 false로 설정하고, 이경우는 Web Protection을 사용할 수 없습니다. |
| DefenderOpenNetworkDetection | 0 | 1 - 감사, 0 - Disable(default), 2 - Enable. 이 설정은 IT 관리 각각 오픈 네트워크 검색을 감사, 사용 안 함 또는 사용하도록 설정하여 관리됩니다. '감사' 모드에서는 최종 사용자 환경이 없는 ATP 포털로만 경고가 전송됩니다. 최종 사용자 환경의 경우 구성을 '사용' 모드로 설정합니다. |
| DefenderEndUserTrustFlowEnable | False | true - enable, false - disable; 이 설정은 IT 관리자가 비보안 및 의심스러운 네트워크를 신뢰하고 신뢰할 수 없도록 최종 사용자 앱 내 환경을 사용하거나 사용하지 않도록 설정하는 데 사용됩니다. |
| DefenderNetworkProtectionAutoRemediation | True | true - enable, false - disable; 이 설정은 IT 관리자가 사용자가 더 안전한 WIFI 액세스 지점으로 전환하거나 Defender에서 검색한 의심스러운 인증서를 삭제하는 등의 수정 작업을 수행할 때 전송되는 수정 경고를 사용하거나 사용하지 않도록 설정하는 데 사용됩니다. |
| DefenderNetworkProtectionPrivacy | True | true - enable, false - disable; 이 설정은 IT 관리자가 네트워크 보호에서 개인 정보를 사용하거나 사용하지 않도록 설정하도록 관리됩니다. |
| DefenderDeviceTag | MAM_iOS | 디바이스 태그 지정 |
그룹 할당 -> 다음
만들기
배포가 완료되면, 아래와 같이 MAM 정책에 의해서 MDE 설치를 요구합니다.
