Purple AI | AI를 활용한 위협 사냥, 조사 분석, 인시던트 대응으로 사이버 보안 분석가 지원

위협 사냥, 조사 분석, 인시던트 대응에 특화된 생성 AI인 ‘Purple AI’는 오픈 소스와 독자 개발의 다양한 모델을 통해 대화 프롬프트와 양방향 대화를 통해 위협 식별, 조사 분석, 위험 경감이 가능한 AI 엔진을 보안 분석가에게 제공함으로써 조직의 효율성 향상을 목표로 하고 있습니다. 이 섹션에서는 Purple AI가 위협 사냥, 조사 분석 및 인시던트 대응에서 SOC 팀의 효율성과 효율성을 향상시키는 방법에 대해 설명합니다.

대화형 AI로 위협 사냥 간소화

위협 사냥에서 효과적인 결과를 얻기 위해 적절한 쿼리를 작성하는 것은 간단한 작업이 아닙니다. 겉보기 간단한 질문을 시스템이 이해할 수 있도록 변환하려면 분석가가 어떤 패턴을 찾아야 하는지 이해하고 손질 쿼리 구문에 익숙한 것이 중요합니다.

이전에는 답변을 얻기 전에 몇 시간의 조사와 여러 쿼리 (말할 필요도 없이 분석가의 오랜 경험)가 필요했지만 Purple AI를 사용하면 모든 질문에 대해 다양한 언어로 신속하고 정확하게 자세한 답변을 얻을 수 있습니다.

시각화 되어 있지 않은 것에 대책은 불가능

Purple AI를 사용하면 위협 사냥꾼이 특정 알려진 위협에 대해 질문하고 침해 징후에 대한 수동 쿼리를 작성하지 않고도 신속하게 답변을 얻을 수 있습니다.

예를 들어, 분석가는 “내 환경이 SmoothOperator에 감염되었습니까?”또는 “엔드 포인트에 SmoothOperator의 징후가 있습니까?”와 같은 프롬프트를 사용할 수 있으며 특정 위협을 추적합니다.

이 화면은 이전의 질문에 대해 Purple AI가 반환된 데이터 내에서 관찰된 동작과 식별된 이상에 따라 컨텍스트를 인식한 통찰력과 결과입니다. 권장되는 후속 질문과 최적의 다음 조치도 제공됩니다. SmoothOperator 예제의 경우 헌터는 다음 요약을 받을 수 있습니다.

계속해서 위협 사냥 담당자는 Purple이 제안한 추가 질문이나 사용자가 수동으로 입력하는 추가 질문을 던질 수 있습니다.

추가 질문에 대해, 시스템은 식별된 행동의 개요와 결과를 자동으로 반환한 다음 최적의 조사 질문과 대응 조치를 권장합니다.

위의 예에서는 마지막 질문에 대해 다음 작업을 하나 이상의 조합으로 트리거하는 제안이 이루어졌을 수 있습니다.

‘사용자 세션 지우기’, ‘사용자 Okta 계정 일시 중지’, ‘암호 강제 재설정’, ‘모든 네트워크에서 격리’, ‘영향을 받는 엔드포인트 식별’, ‘다른 엔드포인트에서 확인됨 비슷한 행동을 사용자에게 알리는 규칙을 만들고, 영향을받는 컴퓨터에서 최신 보안 로그를 수집합니다.

버튼을 한 번 클릭하면 분석가는 Purple AI와의 대화와 분석을 계속하면서 하나 이상의 작업을 트리거할 수 있습니다.

Purple AI는 SentinelOne Security DataLake의 모든 정보로 실행되며 다양한 SentinelOne XDR 통합을 통해 원 클릭 응답을 가능하게 합니다. 분석가가 묻는 한 가지 질문은 적절한 소스 또는 소스 조합에 대해 백그라운드에서 실행됩니다. 사용자가 다양한 데이터 소스나 데이터를 캡처하는 방법에 익숙하지 않아도 됩니다. 예를 들어, 분석가는 다음과 같이 물을 수 있습니다.

그런 다음 분석가는 다음과 같은 EDR 또는 XDR 작업을 트리거할 수 있습니다.

또는

보이지 않는 것을 시각화

그러나 어떤 경우에는 위협 사냥꾼이 무엇을 찾고 있는지 확실하지 않을 수 있습니다. Purple AI의 기능과 속도를 효과적으로 활용하고 내부 및 외부 리소스를 현명하게 활용함으로써 사용자는 자신이 정의하지 못한 의심스러운 행동에 대해 자연어로 질문할 수 있습니다.

예를 들어, Purple AI에게 다음과 같은 질문을 할 수 있습니다.

또는

분석가는 Purple AI를 활용하여 “X를 어떻게 식별할 수 있습니까?”라는 질문을 할 수 있습니다. 예:

또는

위는 간단하게 보일 수 있지만 Purple AI가 없으면 “기밀 데이터”, “일반적인 사용”또는 “의심스러운 방법”과 같은 모호한 용어를 패턴화하고 유용한 결과를 반환하는 쿼리 언어 구문 만들기 작업은 매우 어렵습니다.

위협 분석을 간단하게

경고 피로가 현대 보안 운영 센터(SOC)가 직면하는 가장 큰 과제 중 하나인 것으로 잘 알려져 있습니다. 대부분의 보안 팀은 조사하고 대응할 수 있는 양보다 많은 보안 경고를 받습니다. 그 문제가 데이터의 문제라는 것은 분명합니다. 문맥화 된 데이터를 실용적인 결과로 조립하고, 복수의 정보를 유의하게 연결하는 것으로, 처음으로 정보는 지식이 됩니다.

Purple AI는 보안 팀이 위협 사냥에 대한 복잡한 질문을 던지며 자연 언어를 사용하여 전체 기업 환경을 관리하는 운영 명령을 실행할 수 있다는 것 외에도 위협 조사 프로세스를 대폭 간소화할 수 있습니다.

Purple AI는 캡처된 데이터와 사이버 보안 도메인을 이해하므로 일련의 이벤트를 신속하게 결정하고 복잡해질 수 있는 상황을 분석가를 위한 요지를 작성합니다. SentinelOne의 특허 받은 기술인 Storylines와 Purple AI의 강력한 조합으로 분석가는 특정 행동과 관련된 모든 이벤트를 신속하게 찾을 뿐만 아니라 이러한 이벤트의 개요와 의심 수준을 즉시 얻을 수 있습니다.

Purple AI는 몇 초 내에 특정 행동에 대한 통찰력과 권장 사항을 제공하므로 다양한 이벤트를 수동으로 분석하여 상황에 맞는 스토리에 연결할 필요가 줄어듭니다. 이를 통해 분석가의 효율성이 크게 향상되고 훨씬 짧은 시간 내에 많은 경보를 조사하고 처리할 수 있습니다.

작동 중 Purple AI

다음은 SentinelOne Singularity 플랫폼에서 식별한 위협에 대해 작성된 요약의 예입니다.

Purple AI가 먼저 악의적인 행동이 감지되었고 어디에서 감지되었는지를 보여줍니다. 이것은 분석가가 공격이 얼마나 광범위하게 퍼져 있는지 이해하는 데 중요합니다. 이 예에서는 모든 악의적인 행동이 한 사이트에서 확인되었습니다. 사용자는 필요에 따라 추가로 드릴 다운하여 식별된 동작의 상세한 분석을 선택할 수 있습니다.

그런 다음 Purple AI는 SentinelOne이 동작을 악의적 인 것으로 분류 한 이벤트에 대한 자세한 분석을 표시합니다.

이 경우 PowerShell 프로세스는 그룹 정책 업데이트를 강제하고 정찰 및 회피와 같은 다양한 표시기를 트리거 했습니다. 그런 다음 Purple은 의심스러운 프로세스에 의해 만들어진 동작에 대한 집계를 표시합니다.

그런 다음 Purple AI는 사용자 및 파일과 같은 악성 프로세스와 관련된 엔터티에 대한 추가 정보를 제공합니다. 이러한 엔티티와 관련된 의심스러운 동작과 속성도 강조됩니다.

마지막으로 Purple은 행동을 요약하고 관련 악성 엔티티를 강조하며 결론과 권장되는 다음 단계를 제공합니다.

높은 수준의 세부사항을 갖춘 정확한 분석을 얻은 분석가는 Purple AI에서 생성한 통찰력을 복사하여 위협 분석 보고서에 신속하게 붙여 넣고 추가 완화, 완화 및 인시던트 대응 절차를 시작할 수 있습니다. 합니다.

결론

Purple AI는 위협 사냥꾼과 SOC 팀 분석가가 SentinelOne 콘솔 내에서 LLM(대규모 언어 모델)의 힘을 활용하여 공격을 보다 빠르고 쉽게 식별하고 대응할 수 있도록 하는 통합 생성 AI입니다. 자연 언어로 대화 프롬프트와 응답을 사용하여 경험이 적거나 리소스가 적은 보안 팀에서도 지금까지는 고급 교육을 받은 분석가가 몇 시간의 노력을 하지 않으면 발견할 수 없었던 수상한 혹은 악의적인 행동을 빠르게 제거할 수 있습니다.

SentinelOne이 엔드포인트, 클라우드 및 ID 표면 전체에서 조직을 보호하는 방법에 대한 자세한 내용은 문의 또는 데모를 요청하십시오.