인시던트 하나, 네 단계
Triage Agent는 시니어 분석가처럼 경보를 처리합니다. 다만 모든 경보를 한꺼번에 처리합니다.
기존 도구의 경보에 AIDR의 탐지를 더합니다.
AIDR은 기존 도구가 보내는 원시 이벤트를 읽고, 자체 탐지를 한 번 더 실행합니다. 중요한 위협을 더 많이 잡아내고, 관련된 것은 모두 인시던트 하나로 묶습니다.
AIDR은 경보와 관련된 모든 것을 분석합니다.
자산, 사용자, 프로세스, IP를 하나씩 AIDR 자체 위협 인텔리전스와 대조하고, 결과는 모두 근거 자료로 남깁니다. 분석가가 20분 걸려 모을 맥락을 몇 초 만에 모읍니다.
자산
사용자
프로세스
IP · 도메인
AIDR TI
무엇인지, 얼마나 심각한지
판정은 해당 활동이 무엇을 했고 어떤 엔티티를 건드렸는지 보고 정합니다. 심각도는 피해가 얼마나 클 수 있는지, 이미 격리됐는지 보고 정합니다. 판정과 심각도는 근거가 된 증거와 함께 나오며, 증거가 부족하면 Dynamic Query로 더 찾습니다.
판정에 따라 다음 단계가 정해집니다.
정상은 자동으로 종료합니다. 나머지에는 추가 조사나 대응 태스크를 만들고(사람 승인 필요), 악성 인시던트는 Correlation Engine으로 에스컬레이션합니다.
악성
공격으로 묶임
즉시 에스컬레이션해 Correlation Engine으로 넘기고, 공격 체인을 처음부터 끝까지 그립니다.
의심
분석 계속
아직 증거가 부족합니다. AI가 이벤트와 로그를 필요할 때마다 검색해 빈 곳을 채운 뒤 다시 판정합니다.
정상
자동 종료
분석가의 시간이 들지 않습니다. 판단 근거를 남기고 인시던트를 자동 종료하므로, 언제든 다시 검토할 수 있습니다.
분석 과정 살펴보기
콘솔에서는 판정에 이의를 제기하고 근거 자료를 직접 검증할 수 있으며, 노이즈는 저절로 줄어듭니다.
근거는 다 모았습니다. 결정만 내리세요.
추론과 판정은 에이전트가 하고, 증거와 신뢰도를 함께 보여 줍니다. 남은 건 결정뿐이고, 클릭 한 번이면 내 판정으로 기록됩니다.
위협 인텔리전스는 기본으로 들어 있습니다.
에이전트가 다루는 모든 엔티티를 AIDR 자체 위협 인텔리전스로 조회합니다. 추가 구독도, 설정도 필요 없습니다. 조회 결과는 출처와 함께 근거 자료로 인시던트에 남습니다.
남는 건 중요한 인시던트뿐입니다.
정상은 판단 근거를 남기고 스스로 종료하므로, 분석가에게는 판단이 필요한 인시던트만 남습니다. 종료할 때마다 플라이휠이 돌아 다음 판정이 더 정확해집니다.
AIDR이 다른 점
AI 분석을 내세우는 도구는 많습니다. 하지만 다음 네 가지는 다른 도구에서 기본으로 제공하지 않습니다.
표본이 아닌, 모든 경보
도구 대부분은 위험해 보이는 것만 골라 순위를 매기고 나머지는 조용히 버립니다. AIDR은 매번 들어온 경보를 전부 분석합니다. 실제 공격은 조용한 경보 속에 숨어 있기 때문입니다.
짐작하지 않습니다.
증거가 부족하면 판정을 ‘의심’으로 두고 에이전트가 증거를 더 찾습니다. Dynamic Query가 이벤트와 로그를 필요할 때 검색합니다. 입증할 수 있을 때만 판정을 내립니다.
판정마다 근거를 보여 줍니다.
근거 자료, 인텔리전스 일치 항목, MITRE 매핑까지 증거가 출처와 함께 판정에 붙습니다. 분석가와 감사 담당자가 같은 기록을 봅니다.
운영 환경을 학습합니다.
AI가 종료하든 사람이 종료하든, 종료할 때마다 판정 모델이 이 환경의 ‘정상’을 학습합니다. 이번 주의 노이즈가 다음 주에 다시 나타나지 않습니다.
We use analytics cookies to understand how the site is used. Essential cookies keep it working. Read our Cookie Policy.