Microsoft Defender 포털의 Microsoft Security Copilot은 보안 팀이 신속하게 사고 보고서를 작성할 수 있도록 돕습니다. Security Copilot을 사용하면 단 몇 번의 클릭만으로 사고 보고서를 작성할 수 있습니다.
이 가이드는 사고 보고서의 데이터를 다루고 Microsoft Defender 포털의 사고 보고서 생성 기능을 사용하는 방법을 보여줍니다. 또한 Copilot이 생성한 사고 보고서에 대한 피드백 방법도 설명합니다.
시작하기 전 주의 사항:
사고 보고서 생성은 Security Copilot에 대한 프로비저닝된 접근 권한을 필요로 합니다.
Security Copilot 새로운 경우 다음 문서를 읽어 익숙해져야 합니다.
- Security Copilot 무엇인가요?
- Security Copilot 경험
- Security Copilot 시작하기
- Security Copilot 인증 이해
- Security Copilot에서 프롬프트 작성
명확한 사고 보고서는 보안팀과 그 관리자들에게 중요한 참고 자료입니다. 하지만 상세한 보고서를 작성하는 데는 시간이 걸립니다. 팀은 다양한 출처에서 데이터를 수집, 조직, 요약해야 합니다. Defender의 Copilot을 사용하면 포털에서 즉시 전체 사고 보고서를 생성할 수 있습니다.
사건 요약은 사건과 그 발생 과정을 개요로 제공하는 반면, 사건 보고서는 Microsoft Sentinel과 Defender에서 이용 가능한 다양한 데이터 소스에서 사건 정보를 통합한 것입니다. Copilot에서 생성된 문제 보고서에는 모든 분석가 기반 단계별 실행 및 자동화된 작업, 인시던트 응답에 관련된 분석가, 분석가 의견도 포함됩니다. 보안 팀이 Microsoft Sentinel, Defender 또는 두 가지 모두를 사용하든, 모든 관련 사고 데이터가 생성된 사고 보고서에 추가됩니다.
Copilot은 자동 및 수동 동작과 분석가의 코멘트, 노트를 바탕으로 보고서를 만듭니다. 최상의 결과를 얻으려면 사고 보고서 작성 권고사항을 따르세요.
Microsoft Defender의 Security Copilot 통합
Security Copilot에 접근할 수 있다면 Microsoft Defender에서 사고 보고서를 생성할 수 있습니다.
Security Copilot 독립형 포털에서 사고 보고서를 생성할 수도 있습니다. Microsoft Defender XDR 플러그인을 사용하세요. 이 플러그인은 미리 설치되어 있고 Copilot을 Defender 인시전 데이터와 연결해 줍니다. Security Copilot 사전 설치된 플러그 인에 대해 자세히 알아봅니다.
주요 인시던트 보고서 기능
Defender의 Copilot은 다음 정보를 포함하는 문제 보고서를 만듭니다.
- 다음을 비롯한 주요 인시던트 관리 작업의 타임스탬프:
- 인시던트 만들기 및 닫기
- 분석가 기반 로그 또는 자동화된 로그와 관계없이 인시던트에서 캡처된 첫 번째 및 마지막 로그
- 인시던트 응답에 관련된 분석가
- Copilot이 요약한 분류에 대한 분석가의 추론을 포함한 인시던트 분류
- 조사 및 수정 작업
- 권장 사항, 미해결 문제 또는 인시던트 로그에서 분석가가 기록한 다음 단계와 같은 추가 작업
보고서에는 기기 격리, 사용자 비활성화, 이메일 소프트 삭제 등의 조치가 포함되어 있습니다. 전체 목록은 Microsoft Defender Action 센터를 참조하세요. Copilot이 생성한 사고 보고서에는 실행된 Microsoft Sentinel 플레이북도 포함되어 있습니다. 공개 API 소스에서 실시간 응답 명령과 행동, 또는 사용자 지정 감지는 아직 지원되지 않습니다.
보고서를 생성하기 전에 인시던트를 해결하여 모든 행동을 캡처하세요. 사건이 해결되지 않으면 보고서에는 일부 조치만 나올 수 있습니다.
문제 보고서 만들기
Defender에서 Copilot을 사용하여 문제 보고서를 만들려면 다음 단계를 따르세요.
인시던트 페이지를 엽니다. 인시던트 페이지에서 추가 작업 줄임표(...)로 이동한 다음 문제 보고서 생성을 선택합니다. 또는 Copilot 측면 패널에 있는 보고서 아이콘을 선택해도 됩니다.
Copilot이 문제 보고서를 만듭니다. 취소를 선택하여 보고서 만들기를 중지하고 다시 생성을 선택하여 만들기를 다시 시작할 수 있습니다. 또한 오류가 발생하는 경우 보고서 만들기를 다시 시작할 수 있습니다.
문제 보고서 카드가 Copilot 창에 나타납니다. 생성된 보고서는 Microsoft Defender XDR과 Microsoft Sentinel에서 사용할 수 있는 인시던트 정보에 따라 달라집니다. 포괄적인 인시던트 보고서를 확인하려면 인시던트 보고서 만들기에 대한 권장 사항을 참조하세요.
문제 보고서 카드의 오른쪽 위에 있는 추가 작업 줄임표(...)를 선택합니다. 보고서를 복사하려면 클립보드에 복사를 선택하고 기본 설정 시스템에 보고서를 붙여넣거나, 활동 로그에 게시를 선택하여 Microsoft Defender 포털의 활동 로그에 보고서를 추가하거나, PDF로 인시던트 내보내기를 선택하여 인시던트 데이터를 PDF에 내보냅니다. 다시 생성을 선택하여 보고서 만들기를 다시 시작합니다. Security Copilot 열기를 사용하여 결과를 보고 Security Copilot 독립 실행형 포털에서 사용할 수 있는 다른 플러그 인에 계속 액세스할 수도 있습니다.
생성된 문제 보고서를 검토합니다. 생성된 결과에 대한 피드백을
제공할 수 있습니다.
인시던트 데이터를 PDF로 내보내기
인시던트 데이터를 PDF에 내보내 관련자와 쉽게 공유할 수 있는 보고서를 만들 수 있습니다. 내보낸 인시던트 데이터에는 공격 스토리, 영향을 받은 자산, 관련 경고와 같은 관련 정보와 인시던트 요약과 문제 보고서와 같은 Copilot에서 AI로 생성된 콘텐츠가 포함됩니다. 사고 데이터를 PDF로 내보내면 보안 팀은 사고 후 팀원이나 기타 이해관계자와 신속하게 사고 정보를 공유할 수 있습니다.
PDF에 인시던트 데이터 내보내기 단계를 따라 PDF를 생성할 수 있습니다.
문제 보고서 만들기에 대한 권장 사항
다음은 Copilot이 포괄적이고 완전한 문제 보고서를 생성하도록 하기 위해 고려해야 할 몇 가지 권장 사항입니다.
- 문제 보고서를 생성하기 전에 인시던트를 분류하고 해결합니다.
- 댓글은 Microsoft Sentinel 활동 로그나 Microsoft Defender 이벤트 로그 등에 작성 및 저장하여 해당 댓글을 사건 보고서에 포함하도록 하세요.
- 포괄적이고 명확한 언어를 사용하여 메모를 작성합니다. 심층적이고 명확한 메모는 응답 작업에 관한 더 나은 맥락을 제공합니다. 메모 필드에 액세스하는 방법은 다음 단계를 참조하세요.
- Microsoft Defender 포털에서 인시던트에 메모 추가
- Microsoft Sentinel에서 인시던트에 메모 추가
- ServiceNow 사용자는 Microsoft Sentinel과 ServiceNow 양방향 동기화를 활성화하여 더 강력한 사고 데이터를 얻을 수 있습니다.
- 생성된 문제 보고서를 복사하고 Microsoft Defender 포털의 활동 로그에 게시하여 문제 보고서가 인시던트 페이지에 저장되도록 합니다.
인시던트 보고서 만들기에 대한 샘플 프롬프트
Security Copilot 독립형 포털에서 이 프롬프트를 사용하여 사고 보고서를 작성하세요:
- Defender 인시던트 {incident ID}에 대한 인시던트 보고서를 생성합니다.
팁
프롬프트에 Defender라는 단어를 포함하세요. 이 기능은 Security Copilot이 올바른 기능을 사용하고 올바른 결과를 반환하는 데 도움을 줍니다.
피드백 제공
여러분의 피드백은 Copilot 개선에 도움이 됩니다. 피드백을 공유하려면 Copilot 사이드 패널 하단에서 피드백 아이콘을 선택하세요. 입니다.
관련 콘텐츠
팁
더 자세히 알아보고 싶으신가요? Microsoft 기술 커뮤니티인 Microsoft Defender XDR 기술 커뮤니티에서 Microsoft Security 커뮤니티에 참여하세요.