Important
이 게시물의 일부 정보는 상용으로 출시되기 전에 실질적으로 수정될 수 있는 사전 릴리스된 제품과 관련이 있습니다. Microsoft는 여기에서 제공되는 정보와 관련하여 명시적이거나 묵시적인 어떠한 보증도 하지 않습니다. Project Perception은 현재 제한된 공개 프리뷰 상태입니다. 제한된 공개 미리 보기 프로그램은 광범위한 공개 가용성 전에 정의된 미리 보기 창에 대한 초대 전용 소규모 고객이 Perception을 사용할 수 있다는 것을 의미합니다.
검색 격차는 보안 운영 팀의 지속적인 과제입니다. 효과적인 사용자 지정 검색을 구축하려면 분석가가 공격자 동작, 사용 가능한 데이터 스키마 및 쿼리 논리를 이해해야만 해당 환경에서 유용한 규칙을 만들 수 있습니다.
검색 작성 에이전트를 사용하면 분석가가 위협 인텔리전스에서 사용자 지정 검색 권장 사항을 생성하고 사용자 지정 검색 규칙 생성을 가속화할 수 있습니다. 탐지 작성 에이전트는 사전 예방적 보호 워크플로의 일부로 동작합니다. 자동 관리 보호 워크플로는 TI(위협 인텔리전스) 문서로 시작하고 여러 에이전트를 사용하여 위협 인텔리전스를 실행 가능한 검색으로 전환하는 엔드 투 엔드 프로세스입니다. 위협 인텔리전스 에이전트는 TI 문서를 분석하고 공격자 동작 및 기술에 대한 정보를 추출합니다. 검색 작성 에이전트는 해당 분석을 사용하여 보안 팀이 해당 환경에서 유사한 활동을 식별하는 데 도움이 되는 사용자 지정 검색 권장 사항을 생성합니다.
에이전트는 다음이 포함된 탐지 적용 범위 보고서를 제공합니다.
- KQL 쿼리 논리와 쿼리 접근 방식에 대한 설명, 선택된 테이블과 스키마, 빈도 및 조회 기간 구성과 함께 제목, 설명, 심각도, MITRE 전술 및 기법, 엔터티 매핑 구성, 그리고 경고가 트리거될 경우 분석가가 이에 대응하는 데 도움이 되는 권장 조치를 포함한 전체 탐지 및 경고 보강이 포함된 제안된 탐지입니다.
- 이를 생성하는 데 사용되는 전략, 경고 볼륨 예측, 알려진 무해한 원본, 매개 변수 튜닝 권장 사항 및 검색을 배포하기 전에 고려해야 할 잠재적 제한 사항을 포함하여 제안된 각 검색의 추가 정보입니다.
- 이미 유사한 동작을 다루는 기존 사용자 지정 검색 및 분석 규칙이므로 검색 엔지니어가 이를 검토하고 중복을 만들지 않도록 할 수 있습니다.
분석가는 권장 사항을 검토하고, 보고서에 대한 후속 질문을 하고, 사용자 지정 검색 마법사에서 제안된 검색을 열어 검토, 조정 및 저장할 수 있습니다. 탐지를 저장해야 테넌트에서 활성화됩니다.
Important
탐지 작성 에이전트는 미리 보기로 제공됩니다. 기능 및 동작은 일반 공급 전에 변경 될 수 있습니다.
탐지 작성 에이전트를 사용하는 이유는 무엇인가요?
고정밀 탐지를 구축하려면 탐지 엔지니어는 과도한 노이즈를 발생시키지 않으면서 공격자의 기법을 이해하고, 해당 행위를 탐지 로직에 매핑하며, 실제 데이터를 바탕으로 규칙을 검증할 수 있어야 합니다. 검색 작성 에이전트는 Microsoft Defender 자율 검색 엔지니어 역할을 하며, 위협 인텔리전스 및 관찰된 공격 패턴을 기반으로 검색 권장 사항을 생성하여 탐지 엔지니어가 위협 범위를 더 빠르게 확장할 수 있도록 지원합니다.
자동 관리 보호 워크플로에서 검색 엔지니어는 위협 인텔리전스 문서에서 시작합니다. 위협 인텔리전스 에이전트는 문서를 분석하고 TTP(전술, 기술 및 프로시저)를 생성하며, 검색 작성 에이전트는 이러한 TTP를 사용하여 검색을 권장합니다. 검색 엔지니어는 대화형 채팅 환경을 통해 검색 규칙을 구체화하고, 임계값을 조정하고, 검사 간격을 탐색할 수 있습니다.
사용 사례
| 사용 사례 | 탐지 작성 에이전트 |
|---|---|
| 위협 인텔리전스에서 검색 권장 사항 생성 | 위협 인텔리전스 문서에서 식별된 공격자 동작을 다루는 데 도움이 되는 제안된 KQL 기반 검색을 만듭니다. |
| 탐지 범위를 MITRE ATT&CK에 매핑 | 기존 규칙으로 탐지 가능한 기술이 무엇인지 식별하고, 탐지 범위의 공백을 파악합니다. |
| 감지 튜닝 권장 사항 검토 | 감지 엔지니어가 해당 환경에 맞게 제안된 탐지를 조정할 수 있도록 권장 사항을 제공합니다. |
| 검색 근거 설명 | 각 규칙에서 검색하는 내용과 논리가 어떻게 구성되는지에 대한 일반 언어 설명을 제공합니다. |
| 권장 사항에서 사용자 지정 검색 만들기 | 빈도, 심각도, MITRE 기법, 경고 세부 정보, 엔터티 매핑 등의 필드가 미리 입력된 상태로 사용자 지정 탐지 마법사에서 제안된 탐지를 엽니다. |
| 보고서에 대한 후속 질문 | 감지 엔지니어가 에이전트 채팅을 사용하여 검색 보고서 및 해당 출력에 대해 질문할 수 있습니다. |
시작하기 전 주의 사항:
검색 작성 에이전트를 사용하기 전에 필요한 제품 가용성, 라이선스, 사용 권한 및 구성을 확인합니다.
사전 요구 사항
환경에서 탐지 저작 에이전트를 실행하려면 다음이 필요합니다.
- 플러그 인: 검색 작성 에이전트는 Microsoft Defender XDR, Microsoft 위협 인텔리전스 및 Microsoft Sentinel(해당하는 경우)와 같은 Security Copilot 플러그 인을 자동으로 활성화합니다.
- 통합 RBAC: 통합 역할 기반 액세스 제어를 사용하도록 설정하고 쿼리하려는 데이터 원본에 대한 관련 워크로드를 활성화합니다. 자세한 내용은 워크로드별 필수 구성 요소를 참조하세요.
추가 권한이 필요합니다.
탐지 작성 에이전트를 사용하려면 Microsoft Defender XDR에서 다음 권한도 필요합니다:
- 모든 워크로드에 대한 보안 데이터 기본 사항: 읽기
- 사용자 지정 검색 규칙: 읽기 및 쓰기
- 고급 헌팅: 읽기
Defender 포털의 통합 RBAC에 대한 자세한 내용은 Microsoft Defender XDR RBAC(통합 역할 기반 액세스 제어)를 참조하세요.
탐지 저작 에이전트 설정
이 에이전트를 설정하려면 에이전트 설정의 단계를 수행합니다.
새 탐지 작성 에이전트 세션 시작
세션을 시작하는 방법은 새 세션 시작을 참조하세요.
이 에이전트는 다음 플레이북에 따라 작동합니다.
| 플레이북 | 필수 입력 |
|---|---|
| 위협으로부터 보호 | 위협 인텔리전스 문서입니다. |
페이지의 오른쪽 위 모서리에서 줄임표(...)를 선택하여 에이전트를 관리합니다. 일시 중지를 선택하여 에이전트를 일시적으로 중지하거나 실행을 선택하여 에이전트 작업을 다시 시작합니다.
세션이 시작된 후 자동 관리 보호 워크플로는 선택한 위협 인텔리전스 문서를 분석하고 검색 보고서를 생성합니다. 이 보고서에는 권장 사항에서 식별된 위협을 해결하는 방법을 분석가가 이해하는 데 도움이 되는 권장 검색, 검색 논리 및 지원 정보가 포함되어 있습니다.
탐지 적용 범위 보고서 검토
세션이 완료되면 에이전트는 요약 보기에 표시되는 출력을 생성합니다.
채팅 인터페이스에서 보고서에 대한 후속 질문을 할 수 있습니다.
에이전트는 기본적으로 TI 문서에 언급된 위협을 탐지할 수 있는 탐지 방안에 대한 제안을 제공합니다. 일반적으로 TI 아티클마다 여러 탐지가 제안됩니다. 각 탐지에는 위협 요약과 방법론 및 전략이 있습니다.
검색 섹션의 보고서 내에서 마법사에서 열기를 선택하여 Microsoft Defender 사용자 지정 검색 마법사에서 제안된 검색을 엽니다. 필요에 따라 검색 설정을 검토하고 수정한 다음 검색 규칙을 저장합니다.
테넌트별 탐지 분석 및 튜닝
일반 검색 권장 사항과 달리 에이전트는 모든 제안을 특정 환경에 맞게 조정합니다. 세 가지 핵심 기능을 통해 이 작업을 수행합니다.
테넌트 인식 검색 생성: 에이전트는 테넌트에서 사용할 수 있는 테이블 및 데이터 원본을 식별하고 해당 데이터에 대한 권장 사항을 기반으로 합니다. 즉, 제안된 모든 검색은 존재하지 않을 수 있는 데이터 가용성을 가정하는 대신 사용자 환경이 실제로 수집하는 항목에 기반을 두고 있습니다.
검색 시뮬레이션 및 노이즈 추정: 제안된 각 검색에 대해 에이전트는 기록 테넌트 데이터에 대한 시뮬레이션을 실행하고 예상 경고 볼륨을 보고합니다. 이를 통해 탐지를 배포하기 전에 탐지의 예상 범위, 잠재적인 노이즈 수준 및 전반적인 품질을 미리 파악할 수 있습니다.
자동화된 테넌트별 튜닝: 시뮬레이션 결과를 바탕으로 에이전트는 노이즈가 많을 가능성이 있는 탐지를 식별하고 자동으로 최적화를 제안합니다. 생성된 경고를 분석하여 반복되는 무해한 패턴을 검색하고 그에 따라 규칙을 구체화할 수 있습니다. 예를 들어 특정 사용자, 디바이스 또는 애플리케이션이 시뮬레이션된 경고에 자주 나타나고 양성으로 평가되는 경우 에이전트는 검색 논리에서 제외하는 것이 좋습니다.
감지 범주
결과와 테넌트별 기준값을 바탕으로 제안된 탐지 항목은 자동으로 두 그룹으로 분류됩니다.
- 배포 준비 완료: 환경의 다른 사용자 지정 탐지에 비해 품질이 높고 노이즈가 상대적으로 적을 것으로 예상되는 탐지입니다. 이러한 기능은 일반적으로 최소한의 추가 검토를 통해 사용하도록 설정할 수 있습니다.
- 튜닝 필요: 시뮬레이션 결과와 테넌트별 특성에 따라 탐지는 비교적 많은 노이즈를 생성할 것으로 예상됩니다. 에이전트는 배포 전에 품질을 개선하기 위한 구체적인 권장 사항을 제공합니다.
탐지 공급자
에이전트가 제안한 탐지에는 Provider 값으로 Copilot 태그가 지정됩니다. 이 속성을 사용하여 사용자 지정 검색 목록에서 에이전트 생성 검색을 필터링하고 식별할 수 있습니다.