위협 인텔리전스 에이전트

적용 대상: Project Perception

Important

이 게시물의 일부 정보는 상용으로 출시되기 전에 실질적으로 수정될 수 있는 사전 릴리스된 제품과 관련이 있습니다. Microsoft는 여기에서 제공되는 정보와 관련하여 명시적이거나 묵시적인 어떠한 보증도 하지 않습니다. Project Perception은 현재 제한된 공개 미리 보기 상태입니다. 제한된 공개 미리 보기 프로그램은 광범위한 공개 가용성 전에 정의된 미리 보기 창에 대한 초대 전용 소규모 고객이 Perception을 사용할 수 있다는 것을 의미합니다.

위협 인텔리전스 보고서는 지속적으로 게시되지만 일반 TI 콘텐츠를 실행 가능한 조직별 지침으로 변환하려면 상당한 분석가의 노력이 필요합니다. 팀은 방대한 인텔리전스를 제때 파악하고 이것이 각자의 환경과 어떤 관련이 있는지 이해하는 데 어려움을 겪습니다. 지표를 추출하고, MITRE ATT&CK에 매핑하고, 헌팅 쿼리를 수동으로 생성하는 것은 방어 작업을 지연시키는 데 시간이 많이 소요되는 작업입니다.

이 에이전트는 위협 인텔리전스 문서를 분석하고 보안 팀 및 기타 에이전트가 사용할 수 있는 구조적 인텔리전스로 변환합니다. 에이전트는 문서를 요약하는 대신 위협 인텔리전스 및 환경 컨텍스트를 통해 실행 가능한 정보를 추출하고, 고객별 컨텍스트로 결과를 보강하며, 특정 위협이 조직에 적용되는 방식에 대한 인사이트를 생성합니다.

위협 인텔리전스 에이전트는 다중 에이전트 위협으로부터 보호 플레이북의 진입점 역할을 하며, 이 에이전트의 출력은 정찰 에이전트, 보안 상태 우선순위 지정 에이전트 및 탐지 작성 에이전트로 직접 전달됩니다.

이 문서를 사용하여 기능, 필수 구성 요소 및 실행 단계를 검토합니다.

주요 기능

위협 인텔리전스 에이전트는 위협 인텔리전스 콘텐츠의 다단계 AI 오케스트레이션 분석을 실행합니다.

구조화된 인텔리전스 개체를 추출합니다. 구조화되지 않은 위협 인텔리전스 보고서에서 IOC, TTP, 맬웨어 패밀리, CVE 및 위협 행위자 정보를 식별합니다.
MITRE ATT&CK에 기술 매핑: 공격자 기술을 식별하고 소스 인텔리전스의 증거를 사용하여 MITRE ATT&CK 프레임워크에 매핑합니다.
특정 환경의 관련성 평가: 위협이 조직의 산업, 기술 스택 및 환경에 매핑되는 방식을 분석합니다.
사용자의 원격 분석 데이터 범위에 맞춘 헌팅 쿼리 생성: 위협 지표를 검색할 수 있도록 Defender XDR 데이터 원본에 맞게 조정된 KQL 헌팅 쿼리를 생성합니다.
우선 순위가 지정된 방어 권장 사항 생성: 환경에 대한 영향 및 타당성에 따라 순위가 지정된 실행 가능한 방어 단계를 제공합니다.
Microsoft Defender 위협 인텔리전스 통합: 사용 가능한 경우 MDTI(Microsoft Defender 위협 인텔리전스)의 추가 컨텍스트를 사용하여 추출된 IOC를 보강합니다.
다운스트림 에이전트에 정보 제공: 다중 에이전트 플레이북에서 탐지 작성 에이전트, 정찰 에이전트 및 보안 상태 우선순위 지정 에이전트가 활용하는 구조화된 인텔리전스를 제공합니다.

시작하기 전 주의 사항:

사전 요구 사항

위협 인텔리전스 에이전트에는 다음 제품이 필요합니다.

Microsoft Defender XDR
전체 TI 데이터 액세스 및 보강을 위한 MDTI(Microsoft Defender 위협 인텔리전스)

에이전트에 부여된 권한

에이전트를 구성하는 동안 에이전트에 다음 권한을 부여합니다.

Microsoft Defender XDR API 권한:
- ThreatIntelligence.Read.All
- ThreatHunting.Read.All
- AdvancedHunting.Read.All
Microsoft Defender 위협 인텔리전스 API 권한:
- ThreatIntelligence.Read.All
Microsoft Graph API 권한:
- SecurityEvents.Read.All