AI 검색

AI 검색을 사용하면 SQL 쿼리를 작성하지 않고 Sophos Data Lake에서 데이터를 검색할 수 있습니다.

AI 검색은 데이터 레이크에서 탐지 및 엔드포인트 데이터를 찾을 수 있습니다. 침해 지표(IOC) 또는 IP 주소나 사용자 이름 같은 기타 데이터를 검색할 수 있습니다.

AI 검색은 실행할 쿼리를 제안하거나 자연어 질문에 기반한 쿼리를 작성합니다. SQL 쿼리를 작성할 필요가 없습니다.

쿼리 실행

당신은 우리가 제안하는 쿼리를 사용하거나 자체 쿼리를 생성할 수 있습니다.

제안된 쿼리를 사용하십시오.

쿼리를 실행하려면 다음과 같이 하십시오.

1. 위협 분석 센터 > AI 검색으로 이동합니다.

2. 페이지 왼쪽 메뉴에서 원하는 검색할 데이터를 선택하세요:

   • 탐지을 사용하면 위협 탐지 데이터를 조회할 수 있습니다.
   • 엔드포인트 데이터을(를) 사용하여 장치 및 활동에 대한 데이터를 조회할 수 있습니다.

   

3. 사포스 센트럴에 로그인한 후 처음으로 AI 검색을 열면, 검색 창 아래에 제안된 쿼리가 표시됩니다.

   제안 사항은 미리 구성된 쿼리 목록에서 무작위로 선택됩니다.

   AI 검색 페이지를 열 때마다 다른 제안된 쿼리가 표시됩니다. 더 보려면 페이지를 새로 고침하세요.

   

4. 질의를 클릭하십시오.

   검색 창에 쿼리가 표시되면 원하는 대로 수정할 수 있습니다. 예를 들어, 쿼리 끝에 "지난 30일 동안"과 같은 시간 범위를 입력할 수 있습니다.

5. 검색을 클릭합니다.

   쿼리가 실행되고 결과가 테이블에 표시됩니다.

   • 테이블은 최대 1,000개의 결과를 표시할 수 있습니다.
   • 데이터는 90일 동안 보관됩니다(또는 Central Data 1-Year Storage Pack 추가 라이선스가 있는 경우 1년간 보관됩니다).

쿼리를 생성하십시오.

새 어플라이언스를 생성하려면 다음과 같이 하십시오.

1. 위협 분석 센터 > AI 검색으로 이동합니다.

2. 페이지 왼쪽 메뉴에서 원하는 검색할 데이터를 선택하세요.

   • 탐지을 사용하면 위협 탐지 데이터를 쿼리할 수 있습니다.
   • Endpoint Data를 사용하면 장치 및 해당 활동에 대한 데이터를 조회할 수 있습니다.

   

3. 검색 창에 질문을 직접 입력하십시오.

   

4. 검색을 클릭합니다.

   질의가 실행되고 결과가 테이블에 표시됩니다.

   • 테이블은 최대 1,000개의 결과를 표시할 수 있습니다.
   • 데이터는 90일 동안 보존됩니다 (또는 중앙 데이터 1년 저장 팩 애드온 라이선스가 있는 경우 1년간 유지됩니다).

앞으로 다시 쿼리를 사용하려면 저장하세요. 나중에 AI Search 페이지나 Live Discover에서 실행할 수 있습니다. 쿼리 저장하기을 참조하십시오.

쿼리의 SQL 구문을 보려면 생성된 쿼리 섹션을 확장하십시오.

시간 범위 설정

기본적으로 쿼리는 24시간의 시간 범위를 갖습니다.

시간 범위를 변경하려면, "지난 7일간"과 같이 원하는 시간 범위를 검색 바에 쿼리에 포함하십시오.

제안된 쿼리에 시간 범위를 추가하거나 자체 쿼리의 내용으로 포함시킬 수 있습니다.

시간 범위 권장 사항

엔드포인트 모니터링은 대량의 데이터를 생성할 수 있습니다. 따라서, 넓은 시간 범위를 포함하는 쿼리는 성능에 상당한 영향을 미칠 수 있습니다. 최상의 결과를 얻으려면 다음과 같이 진행하십시오:

• 넓은 범위로 시작 가장 짧은 시간 범위로 시작하십시오. 이것은 몇 시간이나 최대 하루 정도 소요될 수 있습니다.
• 점진적으로 확장 필요한 것을 찾지 못했다면 시간 범위를 늘리세요.
• 구체적으로 자연어 쿼리에 가능한 경우 정확한 시간 제약 조건을 포함하십시오. 예: 지난 4시간 그렇지 않으면 기본 설정이 적용됩니다.
• 느린 쿼리나 시간 초과에 대해 주의하세요 일 또는 주를 걸치는 쿼리는 데이터 양에 따라 타임아웃되거나 극단적인 지연을 경험할 수 있습니다.

쿼리 저장하기

쿼리를 저장하여 재사용할 수 있습니다. 다음 중 하나의 방식으로 쿼리를 저장하십시오:

• 쿼리를 클립보드로 복사하세요. 태그 쌍2인 '생성된 쿼리' 섹션을 확장하고 페이지 오른쪽에 있는 복사 아이콘 을 클릭하십시오.

• 클릭하십시오 쿼리 저장. 이 쿼리를 "AI 검색"이라는 새 카테고리에 Live Discover에 저장하여 나중에 실행할 수 있습니다. Live Discover를 참조하십시오.

• 클릭하세요 내보내기. 이 작업은 쿼리의 SQL 구문 및 쿼리 결과를 CSV 형식으로 내보냅니다. CSV 파일은 자동으로 기본 다운로드 폴더로 다운로드됩니다.

쿼리 결과

페이지 하단의 테이블에서 쿼리 결과를 확인할 수 있습니다.

세부 정보 더 가져오기

쿼리 결과에 표시된 탐지 또는 장치에 대한 자세한 정보를 얻을 수 있습니다.

자세한 탐지 내용을 보려면 탐지 규칙 열의 링크를 클릭하세요. 이 페이지는 위협 분석 센터의 Detections 페이지와 동일한 세부 정보를 표시합니다. 감지을 참조하십시오.

장치의 자세한 내용을 보려면 호스트 이름 열에서 해당 이름을 클릭하십시오.