Important
이 게시물의 일부 정보는 상용으로 출시되기 전에 실질적으로 수정될 수 있는 사전 릴리스된 제품과 관련이 있습니다. Microsoft는 여기에서 제공되는 정보와 관련하여 명시적이거나 묵시적인 어떠한 보증도 하지 않습니다. Project Perception은 현재 제한된 공개 프리뷰 상태입니다. 제한된 공개 미리 보기 프로그램은 광범위한 공개 가용성 전에 정의된 미리 보기 창에 대한 초대 전용 소규모 고객이 Perception을 사용할 수 있다는 것을 의미합니다.
SOC(보안 운영 센터)는 여러 워크로드에서 대량의 경고를 처리하며 각 워크로드에는 다양한 컨텍스트, 신호 및 조사 깊이가 필요합니다. 분석가가 이러한 경고를 평가하는 방법의 차이는 일관되지 않은 심사 결정으로 이어질 수 있으며 실제 위협을 거짓 경보와 구별하는 능력을 늦출 수 있습니다. 따라서 고위험 활동은 놓치거나 지연될 수 있으며, 분석가들은 가장 중요한 것에 대해 행동하는 대신 노이즈를 필터링하는 데 불균형적인 시간을 소비합니다.
트리아지 에이전트는 Microsoft Defender에 내장된 자율 에이전트로, 보안 팀이 대규모로 경고를 분류하고 우선순위를 지정하는 데 도움이 됩니다. AI 기반의 동적 추론을 증거에 적용하여 지원되는 보안 워크로드에 대한 명확한 판결을 제공합니다. 에이전트는 실제 공격을 나타내는 경고와 가양성 경고를 식별하여 분석가가 모든 결정을 지원하는 투명하고 단계별 추론을 통해 실제 위협을 조사하는 데 집중할 수 있도록 합니다.
주요 기능
심사 에이전트는 지원되는 워크로드 및 경고 유형에 대해 Microsoft Defender 경고를 분류하고 심사합니다. 에이전트의 주요 기능은 다음과 같습니다.
- 자율 심사: 고급 AI 도구를 사용하여 경고를 평가하고 단계별 사용자 입력 없이도 악의적인 활동 또는 거짓 경보를 나타내는지 여부를 결정합니다.
- 투명한 근거: 분류 판결을 기록하고 각 결론에 도달하는 데 사용되는 증거를 포함하여 자연어 및 시각적 그래프에서 지원 추론을 제공합니다.
- 피드백 기반 학습: 지원되는 경고 유형의 경우 에이전트는 평결 분석을 조정하기 위해 명시적으로 제공 및 승인될 때 분석가 피드백을 통합할 수 있습니다. 이 기능은 현재 이메일 및 공동 작업 경고에만 사용할 수 있습니다.
지원되는 경고
분류 에이전트는 현재 Microsoft Defender에서 다음 일부 경고 유형을 지원합니다. 지원되는 경고 집합은 시간이 지남에 따라 증가할 것으로 예상됩니다.
| 경고 유형 | 경고 이름 |
|---|---|
| 피싱을 포함한 Email 및 공동 작업 경고 | 사용자가 맬웨어 또는 피싱 메일로 보고한 전자 메일 |
| 컨테이너를 포함한 클라우드 경고 |
모든 클라우드 경고 보기
|
| ID 경고 |
모든 ID 경고 보기
|
| 엔드포인트용 Microsoft Defender | 의심스러운 PowerShell 명령줄 |
| Microsoft Defender for Cloud Apps |
모든 Microsoft Defender for Cloud Apps 경고 보기
|
시작하기 전 주의 사항:
심사 에이전트를 사용하기 전에 필요한 제품 가용성, 라이선스, 사용 권한 및 구성을 확인합니다.
사전 요구 사항
환경에서 Triage Agent를 실행하려면 다음이 필요합니다:
| 전제 조건 | 세부 정보 |
|---|---|
| 경고 튜닝 규칙 | 에이전트가 분류해야 하는 경고를 해결하는 튜닝 규칙을 비활성화합니다. 에이전트는 해결된 알림을 분류하지 않습니다. 자세한 내용은 알림 조정을 참조하세요. |
| Microsoft 통합 RBAC | 통합 역할 기반 액세스 제어를 사용하도록 설정하고 심사하려는 경고 유형에 대한 관련 워크로드를 활성화합니다. 자세한 내용은 워크로드별 필수 구성 요소를 참조하세요. |
| 제품 및 라이선스 | 에이전트가 심사하려는 경고 유형에 따라 특정 제품 및 라이선스가 필요합니다. 자세한 내용은 워크로드별 필수 구성 요소를 참조하세요. |
| 플러그 인 Security Copilot | 심사 에이전트는 Microsoft Defender XDR, Microsoft 위협 인텔리전스, 심사 에이전트 및 피싱 심사 에이전트와 같은 플러그 인을 자동으로 활성화합니다. 자세한 내용은 플러그 인 개요 - Microsoft Security Copilot 참조하세요. |
| 디바이스 그룹 범위 지정 | 조직에서 엔드포인트용 Microsoft Defender 디바이스 그룹을 사용하는 경우 에이전트에 필요한 모든 디바이스 그룹에 할당된 Microsoft Entra 보안 그룹에 에이전트 ID를 추가합니다. 에이전트 설정은 이를 자동으로 처리해 주지 않으며, 미할당 그룹에 속한 디바이스와 관련된 경고는 실패하거나 불완전한 데이터를 바탕으로 분류됩니다. 다른 범위는 에이전트 설정을 참조하세요. |
워크로드별 필수 구성 요소
다음 사전 요구 사항은 에이전트가 분류할 경고 유형에 따라 달라집니다.
제품 및 라이선스 요구 사항: 이메일 및 공동 작업 경고에는 다음 제품 및 라이선스가 필요합니다.
통합 RBAC 요구 사항: Defender XDR 통합 RBAC 설정에서 Office 365용 Microsoft Defender 활성화합니다.
자세한 내용은 Microsoft Defender XDR 설정에서 워크로드 활성화를 참조하세요.
사용자 보고 설정 구성: Outlook 보고된 메시지 모니터링을 사용하도록 설정하여 사용자가 Outlook 잠재적으로 악의적인 메시지를 보고하고 보고된 메시지 대상 옵션을 선택하는 방법을 정의합니다.
자세한 내용은 Microsoft Defender 포털을 사용하여 사용자 보고 설정 구성을 참조하세요.
타사 전자 메일 보고 도구를 사용하는 경우 타사 보고 도구에 대한 옵션을 검토하고 공급업체의 구성 옵션을 확인하여 보고된 메시지를 Office 365용 Defender 통합합니다.
경고 정책 추가: 심사 에이전트는 사용자가 맬웨어 또는 피싱으로 보고한 메일 형식의 경고를 포함하는 이메일 및 공동 작업 인시던트 주소를 지정합니다.
해당 경고 정책을 사용하도록 설정했는지 확인합니다. 자세한 내용은 Microsoft Defender 포털의 경고 정책을 참조하세요.
Important
분류 에이전트는 경고 튜닝을 통해 해결된 경고는 분류하지 않습니다. 자동 해결 - 사용자가 맬웨어 또는 피싱으로 보고한 이메일 기본 제공 경고 튜닝 규칙과 이 경고를 해결하는 모든 사용자 지정 튜닝 규칙을 반드시 사용하지 않도록 설정해야 합니다.
필요한 권한
이 표에서는 Defender 포털에서 심사 에이전트와 관련된 다양한 작업을 수행하는 데 필요한 사용 권한을 간략하게 설명합니다.
| 사용자 작업 | 필요한 권한 |
|---|---|
| 세션을 시작하고 수동으로 호출된 세션 보기 | 모든 에이전트와 마찬가지로 Security Reader 역할이 적용됩니다. |
| 자동으로 트리거된 세션 보기 | 사용자에게는 최소한 분류 에이전트에 필요한 권한에 설명된 대로 Defender XDR 통합 RBAC에서 에이전트와 동일한 권한이 필요합니다. |
| 에이전트 구성(에이전트 설정, 일시 중지, 에이전트 제거 및 에이전트 ID 관리) | 보안 관리자 - Microsoft Entra ID. |
| 피드백을 통해 에이전트 교육 | Triage Agent에 설명된 대로 에이전트(또는 그 이상)와 동일한 사용 권한이 필요합니다. |
| 피드백 보기 페이지 |
Security Copilot(읽기), 보안 데이터 기본 사항(읽기) 및 전자 메일 및 공동 작업 메타데이터(읽기) — Defender 포털의 보안 운영 권한 그룹 아래. 또는 보안 관리자 — Entra ID에서. |
| 피드백 거부 | Entra ID의 보안 관리자. |
Defender 포털의 통합 RBAC에 대한 자세한 내용은 Microsoft Defender XDR RBAC(통합 역할 기반 액세스 제어)를 참조하세요.
트리아지 에이전트 설정하기
에이전트를 설정하기 전에 필요한 권한이 있고 모든 필수 구성 요소를 충족하는지 확인합니다.
설치 시작
- Defender 포털에서 Perception>Agents를 선택합니다.
- 설치할 준비가 된 에이전트 섹션에서 심사 에이전트를 찾습니다.
- 설치를 선택합니다.
- 설치 마법사의 단계에 따라 에이전트가 지원되는 경고 유형 목록에서 심사할 경고 유형을 선택합니다. 사용 권한 및 데이터 범위는 해당 선택에 따라 달라집니다.
에이전트의 ID 및 권한 할당
설치 마법사는 에이전트에 ID 및 해당 작업을 수행하는 데 필요한 권한을 할당하는 방법을 안내합니다.
ID 할당
에이전트가 작동하려면 Microsoft Entra 에이전트 ID 필요합니다. 설치 마법사는 자동으로 새 에이전트 ID를 만듭니다. Microsoft Entra AI 에이전트용 에이전트 ID를 만듭니다. 에이전트 ID를 사용하는 경우 액세스 범위가 지정되고 안전하며 관리하기 쉽습니다. 자세한 내용은 에이전트 ID란?을 참조하세요.
메모
에이전트 설정 편집에 설명된 대로 설치 후 에이전트 ID를 변경할 수 있습니다.
사용 권한을 할당합니다.
최소 권한 원칙을 따르려면 심사 에이전트가 작업을 수행하는 데 필요한 권한만 에이전트 ID에 할당합니다.
설치 마법사는 선택한 경고 유형 및 연결된 데이터에 액세스하는 데 필요한 통합 RBAC 권한에 따라 역할을 자동으로 만듭니다.
트리아지 에이전트에 필요한 권한
심사 에이전트는 필요한 데이터에 액세스하고 심사 기능을 수행하기 위한 특정 권한이 필요합니다. 필요한 권한은 에이전트가 작업하려는 경고 유형 및 관련 제품에 따라 달라집니다.
이 표에는 각 경고 유형에 필요한 권한 및 데이터 범위가 요약되어 있습니다.
| 경고 유형 | Permissions | 데이터 범위 |
|---|---|---|
| 피싱을 포함한 Email 및 공동 작업 경고 | Security Copilot(읽기), 보안 데이터 기본 사항(읽기), 경고(관리), 전자 메일 및 공동 작업 메타데이터(읽기), 전자 메일 및 공동 작업 콘텐츠: 경고와 연결된 전자 메일(읽기) | Office 365용 Defender |
| 컨테이너를 포함한 클라우드 경고 | Security Copilot(읽기), 보안 데이터 기본 사항(읽기), 경고(관리) | 클라우드용 Microsoft Defender |
| ID 경고 | Security Copilot(읽기), 보안 데이터 기본 사항(읽기), 경고(관리) | Defender for Identity 및 Defender for Cloud Apps |
| 엔드포인트 경고 | Security Copilot(읽기), 보안 데이터 기본 사항(읽기), 경고(관리) | 엔드포인트용 Microsoft Defender (마이크로소프트 디펜더 포 엔드포인트) |
| 클라우드 앱 경고 | Security Copilot(읽기), 보안 데이터 기본 사항(읽기), 경고(관리) | 클라우드 앱용 디펜더 (Defender for Cloud Apps) |
이러한 권한은 통합 RBAC의 보안 작업 권한 그룹에 있습니다.
Important
설치 마법사에서 에이전트 권한을 할당한 후 에이전트를 모니터링하는 사용자 그룹에 자동 세션의 활동 및 출력을 감독할 수 있는 권한이 같거나 높은지 확인합니다. 이렇게 하려면 Defender 포털의 사용 권한 페이지에서 사용자 그룹의 사용 권한을 에이전트와 비교합니다.
세션 시작
세션을 시작하는 방법은 새 세션 시작을 참조하세요.
심사 에이전트는 다음 플레이북을 사용합니다.
| 플레이북 | 필수 입력 |
|---|---|
| 분류 경고 | Defender 포털에서 지원되는 경고의 ID입니다. |
Triage Agent의 자동 실행
이 에이전트는 보안 팀이 지원되는 경고를 자동으로 심사하고 Defender 인시던트에서 분류 및 상태를 업데이트하여 조직이 매일 받는 많은 양의 경고를 관리할 수 있도록 지원합니다.
에이전트 트리거 및 흐름
설치 후에는 관련 경고가 생성되면 심사 에이전트가 자동으로 실행됩니다. 그런 다음 에이전트는 정교한 AI 도구와 organization 컨텍스트를 사용하여 경고를 자율적으로 분석하여 관련 위협이 악의적인지 아니면 거짓 경보인지 확인합니다.
경고가 거짓 경보로 확인되면 에이전트는 이를 가양성으로 분류하고 그에 따라 해결합니다. 경고가 악의적인 것으로 간주되면 True Positive로 분류되고 관련 인시던트의 상태 열려 있으며 분석가가 조사하고 추가 조치를 취할 수 있도록 진행 중입니다.
에이전트는 처리하는 모든 경고에 대해 해당 인시던트에서 판결에 대한 자세한 설명을 제공합니다.
대기열에서 에이전트 확인
투명성을 유지하기 위해 에이전트는 심사 프로세스 중에 인시던트 필드를 정기적으로 업데이트합니다. 심사가 시작되면 에이전트는 자체에 경고를 할당하고 해당 인시던트에 에이전트 태그를 추가합니다. 분석가는 인시던트 큐를 필터링하여 에이전트에 의해 태그가 지정된 인시던트만 확인하여 감독 및 우선 순위를 간소화할 수 있습니다.
팁 (조언)
심사 에이전트에 할당한 ID의 이름을 사용하여 인시던트 큐를 필터링하여 에이전트가 현재 작업 중인 인시던트도 확인할 수 있습니다.
경고가 진정한 위협으로 식별되면 심사 에이전트는 이를 True Positive로 표시하므로 분석가는 확인된 분류에 따라 인시던트를 필터링하고 우선 순위를 지정할 수 있습니다.
경고 분류의 투명성 및 설명 가능성
심사 에이전트는 처리되는 각 경고에 대해 평결에 대한 자세한 설명과 의사 결정 워크플로의 그래픽 표현을 제공합니다.
에이전트의 결과를 검토하려면 다음 단계를 수행합니다.
인시던트 대기열에서 인시던트를 선택합니다.
인시던트 페이지의 Guided Response 분류 섹션 아래에 있는 Copilot 또는 Tasks 사이드 패널에서 분류 에이전트 카드를 찾으세요. 작업이 완료된 것으로 표시되고 에이전트에 할당됩니다. 이 카드는 분류 결과를 바탕으로 에이전트의 판정을 제시하고, 그 판정의 근거가 된 핵심적인 혐의 뒷받침 증거를 강조합니다.
추가 작업 줄임표를 선택하여 더 많은 경고 세부 정보를 보거나, 에이전트의 분류 세부 정보를 클립보드에 복사하거나, 피드백을 관리합니다.
분류에 도달하기 전에 에이전트가 수행한 단계를 보려면 심사 에이전트 카드에서 에이전트 활동 보기를 선택합니다. 에이전트의 최종 분류 뒤에 있는 논리를 보여줍니다.
피드백을 통해 에이전트가 조직의 맥락을 학습하도록 하세요
Important
피드백 옵션은 현재 이메일 및 공동 작업 경고에만 사용할 수 있습니다.
지원되는 경고 유형의 경우 분석가는 필요에 따라 복잡한 구성 없이 일반 자연어로 에이전트 분류에 대한 피드백을 제공할 수 있습니다. 권한 있는 사용자는 피드백을 검토하고 평가하고 명시적으로 적용하여 에이전트가 향후 유사한 경고를 분류하는 방법에 영향을 줄 수 있습니다. 이 기능은 현재 이메일 및 공동 작업 경고에만 사용할 수 있습니다.
피드백을 제공하고 에이전트를 가르치려면 다음 단계를 수행합니다.
인시던트 페이지에서 가이드 응답 분류 섹션 아래의 Copilot 또는 작업 측면 패널에서 분류 에이전트 카드를 찾으세요.
카드 제목 및 콘텐츠에 표시되는 에이전트의 분류 및 추론을 검토합니다. 결정이 organization 분류 조건에 맞지 않는 경우 분류 변경을 선택합니다. 또는 경고 탭에서 특정 경고를 선택한 다음 경고관리를 선택하여 분류를 업데이트할 수 있습니다.
경고 관리 창의 분류 드롭다운 메뉴에서 새 분류를 선택합니다. 그런 다음 , 이 분류 를 변경한 이유를 입력하여 변경 이유를 제공합니다. 이 단계에서는 감사 목적으로만 피드백 관리 페이지에 입력을 기록합니다. 에이전트는 에이전트를 가르치기 위해 이 피드백 사용을 명시적으로 선택할 때까지 이 피드백을 사용하여 의사 결정을 개선하지 않습니다. 에이전트를 학습시키는 데 이 피드백을 사용하지 않으려면 저장을 선택할 수 있으며, 그러면 이 피드백은 에이전트 메모리에 추가되지 않고 감사만 됩니다.
피드백을 적용하려면 이 피드백을 사용하여 에이전트 학습을 선택하세요. 가이드를 사용하여 효과적인 입력을 만드는 데 도움이 되는 피드백을 작성한 다음 피드백 평가를 선택하여 에이전트가 피드백을 수업으로 변환하는 방법을 미리 보고 결과가 의도와 일치하는지 평가할 수 있습니다. 피드백 평가는 또한 적용된 피드백이 에이전트가 사용할 관련성이 있고 이전 피드백과 충돌하지 않도록 기본 안전 검사를 수행합니다.
메모
경고당 한 번만 에이전트에 피드백을 제공할 수 있으며, 특히 True Positive(피싱) 또는 가양성(악성이 아님)을 선택하여 에이전트에게 이메일 및 공동 작업 경고를 분류하는 방법을 알려주는 데만 사용할 수 있습니다. 단원을 저장하기 전에 항상 피드백을 검토하고 AI에서 생성된 응답을 확인합니다.
결과가 기대에 부합하는 경우 에이전트의 메모리에 단원을 삽입하여 향후 결정에 영향을 줄 수 있습니다. 저장을 선택하여 단원을 저장하고 해당하는 경우 에이전트의 메모리에 단원으로 저장합니다. 모든 피드백은 감사 목적으로 기록되며 에이전트의 메모리에 추가된 단원은 피드백 관리 페이지의 뒷부분에서 검토할 수 있습니다.
에이전트는 저장된 피드백을 사용하여 나중에 유사한 경고를 심사하고 분류합니다. 피드백 특성과 일치하는 관련 경고가 수신되면 에이전트는 이 피드백을 적용하여 분류를 결정하고 이를 의사 결정 프로세스의 지원 증거로 통합합니다.
피드백 작성 모범 사례
단원은 에이전트가 경고가 진정한 피싱 위협인지 거짓 경보인지 여부를 결정하는 데 도움이 되는 체계적인 지침을 제공합니다. 에이전트가 피드백을 효과적으로 통합하도록 하려면 심사 에이전트에 입력을 제공할 때 다음 모범 사례를 따르세요.
- 피드백이 관련성이 있고 상황에 맞는지 확인합니다. 피드백은 현재 검토 중인 전자 메일과만 관련되어야 합니다. 또한 할당한 업데이트된 분류와 일치해야 합니다.
- 설명적이고 구체적이어야 합니다. 전자 메일의 특징을 명확하게 설명합니다. 전자 메일 제목, 메시지 본문, 보낸 사람 또는 받는 사람과 같은 관련 세부 정보를 제공하여 에이전트가 컨텍스트를 이해하는 데 도움을 줍니다. 여러 세부 정보가 포함된 특정 피드백은 효율성을 향상시킵니다.
- 명확성과 결정성을 보장합니다. 모호하거나 보편적인 표현은 피하세요. 명확하고 실행 가능한 피드백을 제공합니다. 결정적이고 명확한 식별 용어를 사용합니다.
- 이전 피드백과 일치해야 합니다. 에이전트를 혼동하거나 결정의 정확도를 줄일 수 있는 모순을 피하기 위해 새 피드백이 이전에 제공한 피드백과 일치하는지 확인합니다. 피드백 관리 페이지에서 이전에 제출한 모든 입력을 검토할 수 있습니다.
- 피드백에 대한 에이전트의 해석을 검토합니다. 피드백을 제출할 때 항상 피드백이 수업으로 정확하게 번역되었는지 확인합니다. 단원에서 의도를 반영하고 원래 입력과의 일관성을 유지하는지 확인합니다. AI 생성 응답의 유효성을 확인하여 시나리오에 적용할 수 있는지 확인합니다.
다음은 에이전트에 피드백을 작성하는 방법의 예입니다.
| Area | 잘 작성된 피드백의 예 | 실패로 이어질 수 있는 피드백의 예 | Comparison |
|---|---|---|---|
| 보낸 사람에 대한 피드백 | 혜택 공급자의 전자 메일은 "@benefits.company.com"에서 시작되어야 합니다. | 사고의 두 번째 경고의 발신자는 정상적인 발신자가 아닙니다. | 피드백은 현재 경고 및 해당 컨텍스트의 전자 메일과 관련이 있어야 합니다. 이는 선택한 분류(피드백에서 명시적으로 언급하지 않더라도)에 연결되며 유사한 향후 경고에 사용됩니다. |
| 보낸 사람 및 전자 메일 본문에 대한 피드백 | 파일 공유 또는 문서 액세스를 제공하는 전자 메일은 권한 있는 공급자 Contoso.com 제공되어야 합니다. | 파일 공유 또는 문서 액세스를 제공하는 전자 메일은 권한 있는 공급자만 제공해야 합니다. | 잘 작성된 피드백은 특정 요구 사항(예: 보낸 사람 도메인)을 명확하게 표시하지만 모호한 참조(예: "권한 있는 공급자")는 실행 가능한 정보를 포함하지 않습니다. |
| 전자 메일 제목에 대한 피드백 | 청구 트랜잭션에 대한 요청이 포함된 제목이 있는 전자 메일은 조직에서 허용되지 않으며 피싱으로 간주됩니다. | 주제에 긍정적 인 자연 감정이있는 경우, 그것은 합법적입니다. | 설명 및 특정 피드백은 효과적으로 유효성을 검사할 수 있지만 주관적인 피드백은 의도하지 않은 결과로 이어질 수 있습니다. |
| 전자 메일 본문에 대한 피드백 | 자격 증명 확인을 요청하는 전자 메일에는 특정 계정 또는 서비스에 대한 참조가 포함되어야 합니다. 세부 정보가 없는 일반적인 '계정 확인' 요청은 피싱으로 처리해야 합니다. | 이 전자 메일은 피싱으로 처리해야 합니다. | 세부 정보가 포함된 피드백은 명확하게 이해할 가능성이 높지만 세부 정보가 부족한 피드백은 다양한 방법으로 해석될 수 있으며 예측할 수 없는 결과를 초래할 수 있습니다. |
| 받는 사람 및 전자 메일 본문에 대한 피드백 | 이 전자 메일은 여러 직원에게 전송되었으며, 본문은 받는 사람에게 내용을 설명하지 않고 '중요한 첨부 파일'을 다운로드하도록 지시합니다. 합법적인 전자 메일은 항상 첨부 파일 세부 정보를 지정합니다. | 첨부 파일이 있는 대량 내부 전자 메일은 피싱입니다. | 합법적인 전자 메일에서 일반적으로 발견되는 누락된 특정 세부 정보를 강조하는 피드백이 더 효과적입니다. 광범위한 일반화(대량 전자 메일) 또는 모호한 용어(예: "내부")가 포함된 피드백은 과도한 수의 참 긍정으로 이어질 수 있습니다. |
| 받는 사람 및 도메인에 대한 피드백 | 새 계약자 온보딩 전자 메일은 올바른 수신자에게 전달되도록 'v-'로 시작하는 이메일 주소로만 보내야 합니다. | 계약자 이메일은 평소와 다르게 보이므로 피싱일 수 있습니다. | 잘 작성된 피드백은 예상되는 수신자 형식을 명확하게 정의하는 반면, 애매한 표현("~일 수 있음")을 사용하고 명확한 식별 기준이 없는 피드백(무엇이 다른지 구체적으로 밝히지 않은 채 "평소와 다르게 보인다"라고 하는 경우)은 탐지의 신뢰성을 떨어뜨립니다. |
피드백 오류 해결
에이전트가 피드백을 받으면 이를 단원으로 변환합니다. 에이전트가 피드백을 해석하는 데 성공하지 못하면 관련 메시지에 실패의 원인이 표시됩니다. 에이전트에서 반환한 메시지에 따라 이러한 오류를 해결할 수 있습니다.
다음은 에이전트에 피드백을 작성할 때 발생할 수 있는 오류의 예와 이를 resolve 수 있는 방법입니다.
| 오류 메시지 | 권장 작업 |
|---|---|
제공된 피드백의 일부는 에이전트가 현재 이러한 유형의 입력을 지원하지 않으므로 단원으로 변환할 수 없으므로 해결할 수 없습니다. |
피드백을 다시 작성하고 모범 사례를 따르는지 확인합니다. 피드백 평가를 선택하여 다시 시도합니다. |
| 제공 된  피드백에는 에이전트가 지원할 수 있지만 현재 있는 전자 메일과 관련이 없으므로 메모리에 저장할 실행 가능한 단원으로 변환할 수 없다는 입력이 포함되어 있습니다. |
피드백을 다시 작성하고, 지원할 수 있는 이메일의 설명을 다루고 있는지 확인하세요. 그런 다음 피드백 평가를 선택하여 다시 시도합니다. |
지정된 피드백이 비슷한 전자 메일에 제공된 이전 피드백과 충돌합니다. |
피드백 관리 페이지에서 피드백 ID를 검색하여 충돌하는 피드백을 확인합니다. 검토를 바탕으로 다음을 수행할 수 있습니다:
|
메모
피드백 실패를 해결하지 않도록 선택할 수 있습니다. 피드백을 그대로 두고 에이전트를 가르치는 확인란을 선택하지 않고 저장 을 선택할 수 있습니다. 피드백은 에이전트의 메모리에 저장되지 않으며 향후 추적 분류 변경에 대한 피드백 관리 페이지에만 문서화됩니다.
적용 가능한 피드백이 승인되고 저장되면 에이전트는 나중에 동일한 권한 및 제어에 따라 유사한 경고를 심사할 때 이를 적용할 수 있습니다.
Triage Agent 모니터링 및 관리
에이전트 메트릭을 보고 에이전트를 관리하려면 인시던트 큐 또는 에이전트 페이지의 심사 에이전트 카드로 이동합니다. 심사 에이전트 페이지를 열려면:
- Perception>Agents를 선택합니다.
- 사용 중인 에이전트에서 분류 에이전트를 찾은 다음 에이전트로 이동을 선택합니다.
페이지에는 다음 탭이 포함됩니다.
| Tab | 설명 |
|---|---|
| Overview | 에이전트의 상태, 플레이북, ID, 권한 및 최근 세션을 표시합니다. |
| 성능 | 일별 활동 및 평균 심사 시간(MTTT)을 포함하여 시간에 따른 에이전트 활동에 대한 주요 메트릭을 표시합니다. |
성능 탭
아래 섹션에 설명된 대로 페이지의 오른쪽 위 모서리에 있는 줄임표(...)를 선택하여 에이전트에 대한 관리 옵션에 액세스합니다. 일시 중지 또는 실행을 선택하여 에이전트의 활동을 일시적으로 중지하거나 다시 시작합니다.
인시던트 큐에서 심사 에이전트 보기
인시던트 큐에서 트리아지 에이전트 카드를 보려면 조사 및 대응>인시던트 및 경고>를 선택합니다.
트리아지 에이전트 카드는 에이전트의 주요 지표 몇 가지를 보여 주며, 여기에는 에이전트가 실제 위협 또는 오탐으로 분류한 경고가 포함된 인시던트 수를 의미하는 처리된 인시던트가 포함됩니다. 이 데이터는 에이전트의 영향을 보여 주며, 광범위한 전략적 대화를 알리거나, 투자 수익을 강조 표시하거나, 조직 전체에서 자동화를 확장하는 방법에 대한 결정을 지원하는 데 사용할 수 있습니다. 메트릭은 처음 기록된 인시던트부터 또는 최근인 지난 30일부터 에이전트의 활동을 기반으로 계산됩니다.
인시던트 큐에 심사 에이전트 카드가 표시되는 방법은 다음과 같습니다.
카드에서 에이전트 관리를 선택하면 추가 성능 메트릭과 관리 옵션을 제공하는 분류 에이전트 페이지가 열립니다.
에이전트 설정 편집
에이전트 설정을 편집하려면 다음을 수행합니다.
- Perception>Agents를 선택합니다.
- 사용 중인 에이전트에서 트리아지 에이전트를 찾고 에이전트로 이동을 선택합니다.
- Triage Agent 페이지의 오른쪽 상단에서 줄임표(...)>에이전트 편집을 선택합니다.
에이전트 편집 페이지에서 다음 설정을 편집할 수 있습니다.
ID 및 역할: 새 ID 선택을 선택하여 에이전트의 ID를 변경하고 단계에 따라 에이전트의 ID 및 권한을 할당합니다.
피드백: 사용자가 제출한 피드백을 보고 에이전트에 관리합니다.
지원되는 경고: 에이전트가 심사할 수 있는 지원되는 경고 유형 중 어느 것을 볼 수 있습니다. 에이전트에 대한 특정 경고 유형을 활성화하거나 비활성화하려면 다음을 수행합니다.
- 에이전트 편집 페이지에서 지원되는 경고 편집을 선택하여 에이전트 지원 경고 페이지를 엽니다.
- 에이전트 지원 경고 페이지에서 개별 경고 유형을 설정/해제한 다음 업데이트를 선택합니다.
- 현재 역할 업데이트 페이지에서 역할 업데이트 권한을 선택하여 업데이트를 적용합니다.
에이전트에 대한 피드백 보기 및 관리
심사 에이전트는 사용자가 제출한 피드백을 통해 학습하고 시간이 지남에 따라 성능을 향상시킵니다. 적절한 피드백을 교훈으로 삼아 메모리에 저장합니다. 에이전트 피드백 페이지에서 심사 에이전트에 대한 피드백을 보고 관리할 수 있습니다.
이 페이지에서는 에이전트에 제출된 모든 피드백의 포괄적인 목록을 제공합니다. 다음을 포함하여 각 피드백에 대한 주요 세부 정보를 검토할 수 있습니다.
- 에이전트의 원래 분류 및 사용자가 적용한 변경 내용
- 분류를 변경할 때 사용자가 제공한 원래 피드백
- 에이전트에서 생성된 번역된 단원(해당하는 경우)
- 피드백 상태: 사용 중, 사용 중이 아님 또는 충돌
- 피드백을 제공한 사용자
- 피드백 제출 날짜, 피드백 ID, 경고 ID 및 인시던트 ID
이 표에서는 피드백 상태 값을 설명합니다.
| 상태 | 설명 |
|---|---|
| 사용 중 | 피드백은 에이전트 메모리의 단원으로 성공적으로 변환되었으며 유사한 인시던트를 심사하고 분류하는 데 적극적으로 사용됩니다. |
| 충돌 | 제공된 피드백은 유사한 인시던트에서 이전에 제공한 피드백과 충돌합니다. 피드백 실패를 resolve 수 있는 방법을 알아봅니다. |
| 사용되지 않음 | 피드백은 에이전트의 메모리에 통합되지 않았거나 사용자가 교육용으로 표시하지 않았습니다. 거부된 레슨은 "사용되지 않음"으로 표시되고, 인시던트를 선별하고 분류하기 위한 것이 아니라 감사용으로만 저장됩니다. 자세한 내용은 세부 정보 패널을 선택합니다. |
팁 (조언)
피드백은 개별적으로만 관리할 수 있습니다. 여러 피드백 항목의 대량 관리는 현재 지원되지 않습니다.
사용자가 제출한 피드백을 보고 관리하려면 다음을 수행합니다.
Perception>에이전트를 선택하고 사용 중인 에이전트에서 트리아지 에이전트를 찾은 다음 에이전트로 이동을 선택합니다.
페이지 오른쪽 위에 있는 줄임표(...)>에이전트 편집을 선택하세요. 이 작업을 수행하면 에이전트 편집 페이지가 열립니다.
왼쪽 창에서 피드백을 선택하여 에이전트 피드백 페이지를 엽니다.
피드백 목록에서 항목을 선택하여 피드백 검토 창을 엽니다.
제공된 피드백의 세부 정보, 에이전트의 학습 내용, 분류 변경 사항 및 기타 중요한 정보를 확인하세요.
특정 피드백을 거부하려면 피드백 거부를 선택합니다. 에이전트는 향후 심사 결정에서 피드백 사용을 중지합니다.
메모
제공된 피드백을 거부하려면 Entra ID 보안 관리자 역할이 필요합니다.
에이전트 제거
에이전트를 제거하면 새 인시던트 심사 및 분류가 중지되고 모든 피드백이 삭제됩니다. 그러나 이전에 분류된 인시던트의 이력은 참고용으로 유지됩니다.
에이전트를 제거하려면 다음을 수행합니다.
- Perception>에이전트를 선택하고 사용 중인 에이전트에서 트리아지 에이전트를 찾은 다음 에이전트로 이동을 선택합니다.
- 페이지의 오른쪽 위 모서리에 있는 줄임표(...)를 선택한 다음 제거를 선택합니다.
자주 묻는 질문
아래는 심사 에이전트에 대한 질문과 대답입니다. 에이전트의 기능 및 요구 사항에 대한 자세한 내용은 주요 기능 및 필수 구성 요소를 참조하세요.
에이전트는 언제 트리거되나요?
이 에이전트 플레이북을 수동으로 트리거할 수 있습니다. 에이전트는 새 경고가 검색되면 자동으로 실행됩니다. 설치 프로세스는 지원되는 경고 유형을 확인하는 기본 제공 튜닝 규칙을 사용하지 않도록 설정합니다.
심사 에이전트를 신뢰할 수 있나요?
Microsoft AI 에이전트는 엄격한 책임 있는 AI 지침을 따르고 모든 AI 표준 및 안전 장치를 준수하기 위해 철저한 검토를 거칩니다. 심사 에이전트는 이러한 컨트롤에 완전히 통합됩니다. 설치하는 동안 에이전트에 ID를 할당하고 작업에 필요한 최소 권한으로 구성하여 불필요한 권한이 없는지 확인합니다. 시스템은 모든 에이전트 활동을 자세히 기록하며 분석가와 관리자는 언제든지 전체 흐름을 검토할 수 있습니다. 시스템은 에이전트에 제공된 피드백을 기록하여 조직의 환경에 적응하는 데 도움을 줍니다. 관리자는 필요에 따라 이 피드백을 검토하고 수정할 수 있습니다.
에이전트는 표준 SOAR 솔루션과 어떻게 다른가요?
SOAR 솔루션과 심사 에이전트는 모두 보안 작업의 측면을 자동화하지만 서로 다른 접근 방식을 사용합니다.
SOAR 솔루션은 일반적으로 수동 구성 및 지속적인 유지 관리가 필요한 미리 정의된 규칙 기반 워크플로를 사용합니다. 반면 심사 에이전트는 추론 기반 분석을 사용하여 Defender 내에서 경고 및 레코드 분류를 심사하고, 지원되는 경우 사용자 감독 및 선택적 피드백을 사용합니다.
에이전트는 Defender 정의된 권한 및 워크플로 내에서 작동하며 기존 조사 또는 응답 도구를 대체하지 않습니다.
에이전트에 대해 어떤 수준의 가시성 및 제어가 있나요?
Microsoft는 조직이 배포부터 지속적인 운영에 이르기까지 Triage Agent에 대한 가시성을 확보하고 제어할 수 있도록 도구를 제공합니다. 에이전트는 공정성, 안정성, 안전, 개인 정보 보호, 보안, 포용성, 투명성 및 책임에 대한 Microsoft의 RAI(책임 있는 AI) 표준을 준수합니다.
관리자는 최소 권한 원칙에 따라 설치하는 동안 에이전트의 ID 및 액세스 수준을 구성합니다. 보안 및 IT 팀은 특정 작업에 권한을 부여하고, 성능을 모니터링하고, Defender 직접 출력을 검토할 수 있습니다. 관리자는 용량 사용량 및 데이터 액세스 제한을 구성할 수도 있습니다.
심사 에이전트는 제로 트러스트 환경 내에서 작동합니다. 시스템은 각 작업의 의도 및 scope 평가하여 모든 에이전트 작업에 조직 정책을 적용합니다. 에이전트는 모든 의사 결정, 추론 및 작업을 Defender 내의 의사 결정 트리로 투명하게 문서화하고 추적 가능성 및 규정 준수를 위해 Microsoft Purview 감사 로그에 기록합니다.
Perception을 사용하는 경우 Phishing Triage Agent는 어떻게 되나요? Perception의 새로운 트리아지 에이전트는 무엇이 다른가요?
Perception는 기존 Phishing Triage Agent 환경을 자동으로 변경하지 않습니다. 보안 경고 분류 에이전트 미리 보기 프로그램에 참여 중인 경우, Perception 분류 에이전트를 설정할 때까지 해당 에이전트도 계속 실행됩니다.
Perception Triage 에이전트는 추가 알림 유형, 플레이북, 수동 호출, 세션, 그리고 출력 결과에 대해 대화할 수 있는 기능을 통해 트리아지 기능을 확장합니다. Perception Triage 에이전트를 설정한 후 피싱 심사 에이전트를 대체하고 실행 기록, 메트릭 및 설정을 유지합니다.
한 번에 하나의 분류 에이전트만 활성 상태일 수 있습니다. Perception Triage Agent를 제거하면 Phishing Triage Agent를 다시 설정할 수 있습니다.