AI 검색

AI 검색을 사용하면 SQL 쿼리를 작성하지 않고 Sophos Data Lake에서 데이터를 검색할 수 있습니다.

AI 검색은 데이터 레이크에서 탐지 및 엔드포인트 데이터를 찾을 수 있습니다. 침해 지표(IOC) 또는 IP 주소나 사용자 이름 같은 기타 데이터를 검색할 수 있습니다.

AI 검색은 입력한 자연어 질문에 기반하여 실행할 수 있는 쿼리를 제안하거나 쿼리를 작성합니다. SQL 쿼리를 작성할 필요가 없습니다.

쿼리 실행

제안하는 쿼리를 사용하거나 고유한 쿼리를 작성할 수 있습니다.

쿼리를 실행하려면 다음과 같이 하십시오.

위협 분석 센터 > AI 검색으로 이동합니다.
페이지 왼쪽 메뉴에서 원하는 검색할 데이터를 선택하십시오:
- 이벤트을 사용하면 위협 탐지 데이터를 조회할 수 있습니다.
- Endpoint Data를 사용하면 기기 및 해당 활동에 대한 데이터를 조회할 수 있습니다.
AI Search를 처음으로 열었을 때 Sophos Central에 로그인 한 후에는 검색 창 아래에서 제안된 쿼리가 표시됩니다.

제안 사항은 사전 구성된 쿼리 목록에서 무작위로 선택됩니다.

AI 검색 페이지를 열 때마다 다양한 제안된 쿼리가 표시됩니다. 더 보려면 페이지를 새로고침하세요.
쿼리를 클릭하십시오.

검색 바에 쿼리가 표시되면 원하는대로 수정할 수 있습니다. 예를 들어, 쿼리 끝에 "지난 30일 동안"과 같은 시간 범위를 입력할 수 있습니다.
검색을 클릭합니다.

쿼리가 실행되고 결과가 표로 표시됩니다:
- 테이블은 최대 1,000개의 결과를 표시할 수 있습니다.
- 데이터는 90일 동안 보존됩니다(또는 중앙 데이터 1년 스토리지 팩 추가 라이선스가 있는 경우 1년 동안).

자체 쿼리를 만들려면 다음을 수행하십시오:

위협 분석 센터 > AI 검색으로 이동합니다.
페이지 왼쪽 메뉴에서 원하는 검색 데이터를 선택하십시오:
- 탐지은 위협 탐지 데이터를 조회할 수 있게 합니다.
- Endpoint Data를 사용하면 기기 및 해당 활동에 대한 데이터를 조회할 수 있습니다.
검색 창에 질문을 직접 입력하십시오.
검색을 클릭합니다.

쿼리가 실행되고 결과가 테이블에 표시됩니다.
- 테이블은 최대 1,000개의 결과를 표시할 수 있습니다.
- 데이터는 90일 동안 유지됩니다 (또는 Central Data 1-Year Storage Pack 애드온 라이선스가 있는 경우 1년간 유지됩니다).

향후에 해당 쿼리를 다시 사용하려면 저장하세요. 나중에 AI Search 페이지나 Live Discover에서 실행할 수 있습니다. 쿼리 저장을 참조하십시오.

질의에 대한 SQL 구문을 보려면 생성된 쿼리 섹션을 확장하십시오.

기본 설정으로 쿼리는 24시간의 시간 범위를 갖습니다.

시간 범위를 변경하려면 검색 막대에 원하는 시간 범위를 포함하세요. 예: "지난 7일 동안"

제안된 쿼리에 시간 범위를 추가하거나 본인의 쿼리에 시간 범위를 포함시킬 수 있습니다.

엔드포인트 모니터링은 대량의 데이터를 생성할 수 있습니다. 따라서, 넓은 시간 범위를 가로지르는 쿼리는 성능에 상당한 영향을 미칠 수 있습니다. 최상의 결과를 얻으려면 다음을 수행하십시오:

좁게 시작: 가장 짧은 시간 범위에서 시작하십시오. 이는 몇 시간이 걸릴 수도 있고 최대 하루가 걸릴 수도 있습니다.
점진적으로 확장 원하는 항목을 찾을 수 없을 때에만 시간 범위를 늘리십시오.
구체적으로 지정하십시오 자연어 쿼리에 가능한 한 정확한 시간 제약 조건을 포함하십시오. 예: 지난 4시간 그렇지 않으면 기본값이 적용됩니다.
느린 쿼리나 시간 초과에 대해 주의하십시오 일 또는 주 단위로 범위가 지정된 쿼리는 데이터 양에 따라 타임아웃이 발생하거나 극단적으로 지연될 수 있습니다.

쿼리를 저장하여 재사용할 수 있습니다. 다음 중 하나의 방법으로 쿼리를 저장하십시오:

쿼리를 클립보드에 복사하세요. 태그쌍2의 '생성된 쿼리' 섹션을 확장하고 페이지 오른쪽에 있는 복사 아이콘 을 클릭하세요.
클릭 쿼리 저장. 이 쿼리를 나중에 실행할 수 있는 Live Discover의 AI Search라는 새 카테고리에 저장합니다. Live Discover를 참조하십시오.
클릭하십시오 Export. 이 작업은 쿼리의 SQL 구문과 쿼리 결과를 CSV 형식으로 내보냅니다. CSV 파일은 자동으로 기본 다운로드 폴더에 다운로드됩니다.

페이지 하단의 테이블에서 쿼리 결과를 확인할 수 있습니다.

쿼리 결과에 표시된 탐지 또는 장치에 대한 자세한 정보를 얻을 수 있습니다.

보기를 클릭하면 감지 규칙 열의 링크를 통해 감지의 자세한 내용을 확인할 수 있습니다. 이 페이지는 위협 분석 센터의 Detections 페이지와 동일한 세부 정보를 보여줍니다. 감지을 참조하십시오.

장치의 자세한 내용을 보려면 호스트 이름 열에서 해당 이름을 클릭하세요.