팔로우 매일 위협 인텔리전스 팀은 새로운 공격자 캠페인을 설명하는 보고서를 읽고, 탐지 엔지니어는 동일한 질문에 직면합니다: 위협이 환경에 도달하기 전에 이를 탐지 콘텐츠로 어떻게 변환할 수 있을까요? 긴 보고서를 읽고 중요한 행동을 식별하여 수작업으로 정확한 규칙을 작성하는 데는 대부분의 SOC 팀이 시간을 가질 수 없습니다.
Prime Architect는 보안 팀에게 이를 처리하는 더 빠른 방법을 제공합니다. Prime Architect는 SOC Prime의 AI 기반 위협 연구 및 탐지 엔지니어링 작업 공간입니다. 그 도구들은 위협 인텔리전스를 분석하여 실행 가능한 방어 콘텐츠를 생산하므로, 보안 팀이 원시 보고서에서 탐지까지 더 빠르게 진행할 수 있습니다.
시작하기 좋은 방법은 행동 규칙을 생성하는 것입니다. 위협 보고서를 붙여넣으면 Prime Architect는 Sigma 형식의 하나 이상의 행동 규칙을 생성하여 검토, 정제 및 배포할 준비를 합니다.
왜 AI를 사용하여 행동 규칙을 생성해야 할까요?
행동 기반 탐지는 매 캠페인에서 변경되는 지표보다는 공격자가 무엇을 하는지를 찾습니다. 이러한 탐지는 더욱 견고하고 가치가 있지만 작성하는 데 더 어렵고 시간이 걸립니다. AI를 사용하여 행동 규칙을 생성하면 가장 시간이 많이 소요되는 부분을 제거할 수 있습니다.
- 탐지까지의 시간을 단축합니다. 새로운 위협 보고서에서 드래프트 규칙으로의 전환을 몇 시간의 수작업 분석 대신 단일 워크플로우로 진행합니다.
- 수작업 노력이 줄어듭니다. AI는 보고서를 읽고 탐지할 가치가 있는 행동을 추출하므로 엔지니어가 조정과 검증에 집중할 수 있습니다.
- 단일 소스로부터의 커버리지. 제공된 컨텍스트에 따라 AI는 동일한 보고서에서 하나 또는 여러 행동 규칙을 생성할 수 있습니다.
- 개방형, 이동 가능한 출력. 규칙은 Sigma 형식의 행동 규칙으로 생성되며, 이를 SIEM, EDR 또는 데이터 레이크의 언어로 번역할 수 있습니다.
- 연속적인 하나의 워크플로우. 생성은 시작에 불과합니다. 플랫폼을 벗어나지 않고 규칙을 검증, 요약, 번역, 배포하고 정제할 수 있습니다.
행동 규칙 생성 방법
AI를 사용하는 행동 규칙은 Prime Architect의 Agentic Threat Research 모드에서 사용할 수 있는 에이전틱 AI 도구 중 하나입니다. 사용하는 방법은 다음과 같습니다:
- 오픈 Prime Architect 로 가서 Agentic Threat Research 모드로 이동하십시오.
- 클릭 코드 에디터 우측 상단 모서리에 있는 위협 보고서의 텍스트를 붙여 넣습니다.
- 선택 생성 버튼.
- 선택 행동 규칙 도구를 에이전틱 AI 도구 옵션에서 선택합니다.
- 진행하려면 Enter 아이콘을 클릭하십시오.
- 출력 패널에서 규칙을 보려면 규칙 타일을 클릭하십시오.
팁: 더 많은 컨텍스트를 제공할수록 결과가 더 좋아집니다. 공격자 기술, 도구 및 명령줄 활동을 설명하는 세부적인 위협 보고서는 AI에게 더 많은 행동을 규칙으로 전환할 수 있게 합니다.
규칙 생성 후 해야할 일
규칙 생성은 첫 번째 단계입니다. 행동 규칙이 준비되면 아래의 다음 단계가 이를 프로덕션에 도입하고 팀이 이해하도록 돕습니다.
저장 및 번역
규칙이 생성되면 몇 번의 클릭으로 워크플로우에 포함시킬 수 있습니다:
- 클립보드에 복사: 규칙을 시스템에 바로 붙여 넣어 즉시 작업을 시작하십시오.
- 다음으로 저장 > File.txt: 규칙을 파일로 다운로드하여 이를 공유, 보관하거나 플랫폼 외부에서 사용하십시오.
- 다음으로 저장 > 새 규칙: 맞춤형 저장소에 규칙을 저장하여 팀이 생성한 모든 탐지 콘텐츠를 한 곳에 보관하십시오.
- 번역: Sigma 규칙을 보안 스택의 쿼리 언어로 변환하여 동일한 탐지를 다양한 도구에서 작동하도록 하고 하나의 플랫폼에 얽매이지 않도록 합니다.
규칙 이해하기: 요약 및 결정 트리
생성된 규칙을 나가지 않고도 세 가지 AI 도구를 이용해 팀이 더 빠르게 검토, 문서화 및 우선순위를 정하도록 돕습니다:
- 간단한 요약: 규칙이 탐지하는 내용을 간략하고 평범한 언어로 개요로 제공합니다. 이를 티켓 설명, 전환 메모, 간편한 동료 검토에 사용하여 규칙의 목적을 이해하기 위해 전체 논리를 읽어야 할 필요가 없습니다.
- 전체 요약: 규칙이 작동하는 방법에 대한 자세한 설명으로, 찾고 있는 행동과 그 이유를 포함합니다. 이는 새로운 분석가가 빨리 따라잡을 수 있도록 도와주고, 탐지 문서화를 위한 준비 자료를 제공하며, 각 규칙이 어떤 역할을 하는지 설명해야 하는 감사 및 커버리지 리뷰를 지원합니다.
- 결정 트리: 규칙의 논리를 시각화한 그래프로, 탐지 조건이 어떻게 연결되는지와 분석가가 경고를 단계별로 처리할 수 있는 방법을 보여줍니다. 이는 SOC 팀이 더 빠르게 우선순위를 정하고, 낯선 경고에 대한 추측을 줄이며, 규칙이 조정이 필요할 수 있는 영역을 파악하기 쉽게 만듭니다.
이를 사용하려면, 분석을 선택하고 도구를 선택한 후 Enter 아이콘을 클릭하십시오.
배포 전에 검증하십시오
생산에 도달하기 전에 오류를 잡아냅니다. Prime Architect의 번역 모드로 가서, 개선 탭을 열고 규칙을 붙여넣고, 탐지된 언어를 확인하고, 드롭다운에서 검증을 선택한 후 클릭하십시오. 번역 모드로 개선 탭을 검증 에서 선택한 다음 개선을 클릭합니다.
AI로 사용자 정의 수정 만들기
모든 환경은 다릅니다. 채팅 인터페이스를 사용하여 제외 항목을 추가하거나, 범위를 좁히거나, 논리를 변경하는 등의 방법을 간단히 설명하여 규칙을 필요에 맞게 조정하십시오.
규칙을 실행으로 옮기기
탐지는 운영 중일 때만 보호합니다. 규칙을 생성 및 검토한 후, SIEM에 배포하여 환경 내에서 위협을 주시하게 하십시오.
인텔리전스를 탐지로 전환 시작하기
Prime Architect의 AI 기반 행동 규칙으로, 위협 보고서는 더 이상 팀이 읽고 보관하는 것이 아닙니다. 몇 분 안에 작동하는 탐지 콘텐츠가 됩니다. Prime Architect를 열고 다음 위협 보고서를 붙여넣고, 에이전틱 AI 도구가 무거운 업무를 처리하도록 하면서 팀이 프로덕션에 들어가는 모든 규칙을 관리하게 하십시오.
