공격 조사 에이전트

적용 대상: Project Perception

Important

이 게시물의 일부 정보는 상용으로 출시되기 전에 실질적으로 수정될 수 있는 사전 릴리스된 제품과 관련이 있습니다. Microsoft는 여기에서 제공되는 정보와 관련하여 명시적이거나 묵시적인 어떠한 보증도 하지 않습니다. Project Perception은 현재 제한된 공개 미리보기 상태입니다. 제한된 공개 미리 보기 프로그램은 광범위한 공개 가용성 전에 정의된 미리 보기 창에 대한 초대 전용 소규모 고객이 Perception을 사용할 수 있다는 것을 의미합니다.

공격 조사 에이전트는 보안 운영 팀을 위한 자치 계층 2 조사자입니다. 에이전트는 단일 경고 또는 인시던트부터 Microsoft Defender 신호를 상호 연결하여 공격 스토리, 범위 및 영향을 재구성합니다.

분석가 또는 심사 에이전트의 사전 심사 여부에 관계없이 조사를 시작할 수 있습니다. 이 문서에서는 에이전트의 기능 및 필수 구성 요소를 설명합니다. 또한 에이전트를 설정하고, 세션을 실행 및 모니터링하고, 결과를 검토하는 방법을 설명합니다.

주요 기능

공격 조사 에이전트는 다음과 같은 다단계 AI 오케스트레이션 조사를 실행합니다.

전체 공격 스토리를 재구성합니다. 누가 공격했는지, 어떻게 액세스 권한을 얻었는지, 어떤 리소스가 영향을 미쳤는지, 공격의 범위와 영향을 설명합니다. 에이전트는 개별 경고를 넘어갑니다.
명확하고 실행 가능한 답변을 제공합니다. 공격 범위, 초기 액세스, 진행, 기술 영향, 조사 상태 및 분류에 대해 설명합니다.
광범위한 공격 조사: 미리 정의된 시나리오에 의존하지 않고 사용자, 디바이스, 클라우드 앱, 컨테이너 및 기타 엔터티와 관련된 공격을 조사합니다.
대화형 조사 지원: 분석가가 조사 전체에서 에이전트와 채팅하여 질문을 하거나 심층 분석을 요청할 수 있습니다.
환경에 맞게 조정: 여러 데이터 원본을 사용하고 조직의 정책 및 사례를 따릅니다.

사전 요구 사항

필요한 라이선스

공격 조사 에이전트를 사용하려면 조직에 다음이 필요합니다.

Microsoft 365 E5
Microsoft Defender XDR

또한 조직은 Microsoft Defender 데이터 레이크 및 통합 보안 환경에 온보딩되어야 합니다.

광범위한 조사 범위를 위해 권장되는 제품은 공격 유형에 따라 달라집니다.

클라우드 및 컨테이너 공격:
- 클라우드용 Microsoft Defender
- 컨테이너용 Microsoft Defender
ID 공격:
- Microsoft Entra ID P2(마이크로소프트 엔트라 아이디 P2)
- Microsoft Defender for Identity
- Microsoft Defender for Cloud Apps (클라우드 앱용 디펜더)

권장되는 역할 기반 액세스 제어

MICROSOFT DEFENDER RBAC(통합 역할 기반 액세스 제어)를 사용합니다. 이 구성은 조사 품질 및 적용 범위에 권장됩니다.

범위가 지정된 리소스에 대한 액세스

조직에서 엔드포인트 디바이스 그룹에 Defender 사용하는 경우 세션을 실행하기 전에 필요한 모든 디바이스 그룹에 에이전트 ID를 추가합니다. 에이전트 설정은 이 작업을 수행하지 않으며 할당되지 않은 그룹의 디바이스와 관련된 인시던트가 실패하거나 불완전한 결과를 반환합니다.

다른 범위는 에이전트 설정을 참조하세요.

피싱 조사에 권장되는 구성

사용자가 보고한 피싱 조사에서 최상의 검사 및 조사 품질을 위해 다음 설정을 구성합니다.

Office 365용 Microsoft Defender: 다음 사용자가 보고한 설정을 구성합니다.
- Outlook에서 보고된 메시지 모니터링을 선택합니다.
- 보고 사서함, Microsoft 또는 둘 다로 이동하도록 사용자가 보고한 메시지를 구성합니다. Microsoft 이외의 보고 도구를 사용하는 경우 보고된 메시지가 Microsoft 보고 사서함 또는 보고 사서함으로만 이동하도록 도구를 구성합니다.
Microsoft Defender:
- 사용자가 맬웨어 또는 피싱 경고 정책으로 보고한 전자 메일을 사용하도록 설정합니다. 자세한 내용은 Microsoft Defender 경고 정책을 참조하세요.
- 기본 제공 자동 해결 - 사용자가 맬웨어 또는 피싱으로 보고한 이메일 경고 튜닝 규칙과 이 경고를 해결하도록 설정된 모든 사용자 지정 튜닝 규칙을 사용하지 않도록 설정합니다. 자세한 내용은 알림 조정을 참조하세요.

에이전트 설정

이 에이전트를 설정하려면 에이전트 설정의 단계를 수행합니다.

세션 시작

세션을 시작하는 방법은 새 세션 시작을 참조하세요.

공격 조사 에이전트는 다음 플레이북을 사용합니다.

플레이북	필수 입력
공격 조사하기	Microsoft Defender 포털의 단일 경고 또는 인시던트 ID입니다.

메모

Defender 포털의 경고 또는 인시던트 세부 정보 페이지에서 직접 이 에이전트를 시작할 수도 있습니다. 자세한 내용은 인시던트 및 위협 인텔리전스에서 플레이북 실행하기를 참조하세요.

세션 진행률 모니터링

세션이 실행되는 동안 세션 세부 정보 패널에는 다음이 표시됩니다.

요약: 현재 세션 상태 및 완료된 작업.
진행률: 완료된 조사 단계입니다.
에이전트: 세션에 할당된 에이전트입니다.
입력: 제공한 경고 또는 인시던트 ID입니다.
아티팩트: 조사 중에 생성된 출력 파일입니다.

세션 상태 값

상태	설명
진행 중	에이전트가 적극적으로 작업하고 있습니다.
Completed	세션이 성공적으로 완료되었으며 모든 출력을 사용할 수 있습니다.
실패로 완료됨	세션이 하나 이상의 문제로 완료되었습니다. 자세한 내용은 세션 세부 정보를 검토하세요.

출력 검토

공격 조사 에이전트는 다음 섹션을 사용하여 조사 보고서를 생성합니다.

경영진 요약: 이해관계자 공유 및 에스컬레이션을 위한 공격 개요입니다.
인시던트 판정: 판단 근거를 명확히 제시하여 참양성, 거짓 양성 또는 정상으로 분류.
공격 타임라인: 초기 침입부터 침해 후 활동에 이르기까지 공격이 어떻게 진행되었는지 보여 주는 주요 이벤트의 시간순 배열입니다.
영향을 받는 엔터티: 공격의 영향을 받는 식별된 사용자, 디바이스 및 애플리케이션
관찰된 MITRE ATT&CK 기술: 관찰된 공격자 동작을 MITRE ATT&CK 기술에 매핑하고 각 기술에 대한 증거를 제공합니다.
손상 지표: 위협 인텔리전스 컨텍스트가 있는 IP 주소, 도메인, 파일 해시, URL 및 이메일 주소를 비롯한 IOC(추출 및 보강된 손상 지표)입니다.
권장되는 다음 단계: 포함, 수정 및 방지에 대한 우선 순위가 지정된 작업입니다.

보고서는 세션 세부 정보의 아티팩트 섹션에 Markdown 파일로 표시됩니다. 보고서를 다운로드하여 인시던트 설명서 또는 규정 준수 레코드에 추가할 수 있습니다.