이 가이드는 Mac 컴퓨터에 적용됩니다
원격 셸 정보
원격 셸을 사용하면 관리자가 Iru Endpoint 웹 앱에서 관리되는 Mac의 보안 명령줄에 액세스할 수 있습니다. 관리자는 별도의 원격 액세스 도구 없이 탐지를 조사하거나, 위협에 대응하거나, 파일을 가져올 수 있습니다. 탐지 또는 기기 레코드에서 세션을 시작합니다. 원격 셸은 Detections 페이지의 대응 작업입니다. 상태, 태그 및 기타 보안 운영 작업에 대해서는 Endpoint Detection의 보안 운영 작업을 참조하십시오.작동 방식
원격 셸 실행을 선택하면 원격 셸 터미널 페이지가 열리고 Mac에 연결을 시작합니다. 연결 시도가 실패하면 연결을 선택하여 다시 시도합니다. 원격 셸은 Mac이 부분 격리 상태일 때 작동합니다. Mac이 완전 격리 상태일 때는 작동하지 않습니다.사전 요구 사항
라이선스
원격 셸은 활성 Endpoint Detection and Response 애드온에 포함되어 있습니다.
권한
세션을 시작하려면 위협 및 기기 작업을 관리할 수 있는 권한이 필요합니다. 팀 구성원 역할 권한을 참조하십시오.
세션 제한
웹 앱에서는 한 번에 하나의 원격 셸 세션만 열 수 있으며, Mac에서는 한 번에 하나의 세션만 활성화할 수 있습니다.
격리
원격 셸은 Mac이 부분 격리 상태일 때 작동합니다. Mac이 완전 격리 상태일 때는 작동하지 않습니다.
탐지에서 세션 시작
1
탐지 열기
왼쪽 탐색 모음에서 탐지(Endpoint 아래)를 선택합니다.
2
사이드 패널 열기
탐지를 선택하여 사이드 패널을 엽니다.
3
기기 메뉴 열기
사이드 패널에서 영향을 받는 Mac을 찾아 줄임표를 선택합니다.
4
원격 셸 실행
원격 셸 실행을 선택합니다.
기기 레코드에서 세션 시작
1
기기 레코드 열기
왼쪽 탐색 모음에서 기기를 선택한 다음 Mac을 선택합니다.
2
기기 작업 메뉴 열기
기기 레코드 오른쪽 상단에서 기기 작업 메뉴(줄임표)를 엽니다.
3
원격 셸 실행
원격 셸 실행을 선택합니다.
원격 셸 터미널
원격 셸을 실행하면 원격 셸 터미널 페이지가 열리고 Mac에 연결을 시작합니다. 왼쪽에는 셸을 연 Mac이 표시되고, 오른쪽에는 터미널이 있습니다.
1
연결 대기
페이지가 Mac에 연결되는 동안 기다립니다.
2
연결에 실패하면 다시 시도
연결에 실패하면 기기 패널 상단의 연결을 선택합니다.
3
터미널을 전체 화면으로 전환
터미널 오른쪽 상단의 버튼을 선택하여 전체 화면으로 전환합니다. 다시 선택하면 전체 화면이 종료되고 Mac과 터미널이 나란히 표시되는 화면으로 돌아갑니다.
4
명령 실행
셸이 연결되면 터미널에 프롬프트와 깜박이는 커서가 표시됩니다. 기본 대화형 셸이 zsh라는 macOS 안내 메시지가 표시된 후 해당 Mac의 root 프롬프트가 나타날 수 있습니다.
셸 세션은 root로 실행되므로 sudo가 필요하지 않습니다.
5
명령 전송
명령을 입력한 다음 Return 키를 눌러 전송합니다.
감사
원격 셸 세션은 활동의 탐지 아래에 기록됩니다. 일부 이벤트는 셸을 연 관리자에게 귀속되고, 다른 이벤트는 Mac에 귀속됩니다. 활동에는 입력된 명령 수가 기록되지만 해당 명령의 텍스트는 기록되지 않습니다.1
활동 열기
오른쪽 상단 탐색 모음에서 활동 아이콘(펄스 아이콘)을 선택합니다.
2
탐지로 필터링
범주를 탐지로 설정합니다.
3
이벤트 확인
원격 셸 행을 선택하여 펼칩니다.
- Remote shell session started: 세션이 시작될 때 기록됩니다.
- Remote shell connection: 연결이 수락될 때 웹 앱에 대해 한 번, Mac에 대해 한 번 기록됩니다. 행에는 연결한 호스트가 포함됩니다.
- Live response command request: 사용되는 셸과 세션 시간 제한을 포함하여 셸을 열기 위한 요청을 기록합니다.
- Live response command updated: 명령의 상태가 변경될 때마다 기록합니다. Pending, Connected, Started 또는 Disconnected가 표시될 수 있습니다. 명령이 완료되지 않으면 상태는 Failed이며, 행에 시간 초과와 같은 실패 사유가 포함됩니다.
- Remote shell session ended: 세션 지속 시간, 종료 방식, 입력된 명령 수, 송수신된 데이터 양을 표시합니다. 연결 해제로 닫은 세션은 그렇게 기록됩니다.
세션 종료
작업을 마치면 세션을 닫습니다. 기기 패널에서 연결을 해제하거나, 페이지를 닫거나, 세션이 만료될 때까지 둘 수 있습니다.1
연결 해제
기기 패널 상단의 연결 해제를 선택합니다.
2
페이지 닫기
원격 셸 터미널 페이지 오른쪽 상단의 X를 선택합니다.
3
세션이 열려 있는 동안 확인
세션이 연결 중이거나 연결됨 상태이면 페이지에 페이지를 벗어나시겠습니까? 메시지가 표시됩니다. 지금 종료하면 진행 상황과 이 세션의 로그에 대한 액세스 권한이 손실됩니다. 페이지에 남으려면 여기에 머무르기를 선택하고, 세션을 종료하려면 원격 터미널 연결 해제를 선택합니다.
4
연결되지 않은 세션 닫기
세션이 연결되지 않음 또는 연결 실패 상태이면 X를 선택하여 페이지를 닫습니다.
문제 해결
셸이 연결되지 않음
셸이 연결되지 않음
표시되는 내용:페이지에 연결 실패가 표시됩니다. 터미널에 원격 셸을 시작할 수 없다는 메시지가 표시되고 Mac은 연결되지 않음 상태로 유지됩니다. 카드의 기기 상태에는 Mac이 여전히 온라인으로 표시될 수 있습니다.해결 방법:Mac이 꺼져 있거나 오프라인 상태인 것으로 보입니다. 기기 패널 상단의 연결을 선택하여 다시 시도하거나, Mac을 사용할 수 있을 때 다시 시도하십시오.
Mac이 완전 격리 상태임
Mac이 완전 격리 상태임
표시되는 내용:셸이 연결되지 않습니다. Mac이 완전 격리 상태입니다.해결 방법:원격 셸은 Mac이 부분 격리 상태일 때 작동하지만 완전 격리 상태일 때는 작동하지 않습니다. 세션을 시작하기 전에 Mac을 완전 격리에서 해제하십시오. 기기 격리를 참조하십시오.
세션이 일시 중지된 상태로 유지됨
세션이 일시 중지된 상태로 유지됨
표시되는 내용:상태가 세션 일시 중지됨입니다. 터미널에 Mac이 연결될 때까지 릴레이가 세션을 유지하고 있다는 메시지가 표시됩니다.해결 방법:Mac이 연결될 때까지 기다립니다. 대기를 중지하려면 연결 해제를 선택합니다.
고려 사항
- 보안 운영: Detections 페이지의 상태 및 태그 제어와 함께 원격 셸을 사용하십시오. Endpoint Detection의 보안 운영 작업을 참조하십시오.
- 격리: 세션은 Mac이 부분 격리 상태일 때도 작동합니다. Mac이 완전 격리 상태일 때는 작동하지 않습니다.
- 세션 제한: 웹 앱에서는 한 번에 하나의 원격 셸 세션만 허용되며, 각 Mac에서는 하나의 활성 세션만 허용됩니다.
관련 문서
Endpoint Detection의 보안 운영 작업
상태를 업데이트하고, 태그를 할당하고, 대응 작업을 엽니다
기기 격리
탐지를 조사하는 동안 Mac을 네트워크에서 격리합니다
Detections 페이지 이해
탐지, 필터 및 위협 세부 정보 패널을 검토합니다
활동
원격 셸 세션, 연결 및 실시간 대응 이벤트를 검토합니다