07a · Microsoft Entra 에이전트

ID는 오늘날 공격의 최전선입니다. Entra의 Security Copilot 에이전트는 조건부 액세스 정책 유지·위험 사용자 조사 같은 고빈도 IAM 업무를 자율·적응형으로 자동화해, 관리자가 전략적 업무에 집중하게 합니다.

#1. Conditional Access Optimization Agent — 조건부 액세스 자동 최적화 (GA)

조직이 성장하면 새 사용자·앱이 계속 추가되고, 조건부 액세스(CA) 정책은 금방 뒤처집니다. 이 에이전트는 테넌트를 상시 스캔해 정책 공백을 찾아내고, 원클릭 개선안을 제시합니다.

Conditional Access Optimization Agent 데모 — 정책 공백 탐지부터 원클릭 개선까지

• 지속적으로 공백 발견: 24시간 주기로 새 사용자·앱을 모니터링해, 취약점이 되기 전에 CA 정책과의 불일치를 탐지합니다.
• 원클릭 개선: 수동 조사 없이 명확·실행 가능한 권장을 제시하고, 클릭 한 번으로 정책 공백을 닫습니다.
• 환경 변화에 적응: 사용자·앱·조건이 바뀌어도 CA 정책을 계속 정렬 상태로 유지 — 주기적 감사 의존을 줄이고 매일 보안을 강화합니다.

GA로 강화된 점:

• 자연어 설명 + 활동 맵: 각 제안에 대해 평문 요약과 시각적 활동 맵을 제공해, 에이전트가 어떤 데이터를 보고 어떤 논리로 결론에 이르렀는지 보여줍니다 — 신뢰·투명성 확보.
• 위험 기반 정책 권장: 사용자 위험·로그인 위험을 반영해, 기존에 누락됐거나 새로 추가된 사용자까지 위험 기반 CA 정책으로 보호합니다.
• 감사 로깅: 설치·시작/중지·활성/비활성 등 에이전트 활동을 감사 로그에 기록 — 가시성과 컴플라이언스 보고가 쉬워집니다.

#2. Identity Risk Management Agent — 위험 사용자 조사 자동화 (Preview)

Entra ID Protection의 위험 사용자(risky users) 조사를 자동화하는 에이전트입니다. 관리자·보안 분석가가 쏟아지는 경보 속에서 위험을 식별하고, 영향을 이해하고, 조직의 핵심 자산을 보호하도록 결정적 조치를 돕습니다.

동작 방식 — 먼저 테넌트에서 위험 상태가 "At risk"인 신규 위험 사용자를 스캔하고, 정의된 범위(scope) 설정 안의 사용자를 식별합니다. (이 초기 스캔 단계는 SCU를 소비하지 않습니다.) 이어서 새로 발견된 사용자에 대해 다음을 수행합니다 (이 단계부터 SCU 소비):

• 위험 사용자 조사: 위험한 로그인·위험 탐지를 확인해 무엇이 위험한지 분석합니다.
• 결과·위험 요약 생성: 조사 결과를 바탕으로, 제안을 설명하고 핵심 위험 요인을 정의하는 위험 요약을 생성합니다.
• 개선 조치 권장: 조사에서 수집한 정보로 권장 개선 조치를 제시합니다.
• 채팅으로 질의응답: 관리자가 해당 위험 사용자·위험 요약에 대해 에이전트에게 자연어로 질문할 수 있습니다.
• 사용자 지정 지침을 메모리에 저장: 채팅으로 준 지침을 에이전트가 메모리에 저장해 이후 실행에 반영합니다. (현재 메모리는 선호하는 개선 권장만 저장하며, 개선을 자동 실행하지는 않습니다.)

시작 방법: Entra 관리 센터 › ID Protection › Risky users에서 상단 배너의 Start agent로 첫 실행을 시작합니다. (최초 활성화·조치 실행에는 Security Administrator 역할이 필요하며, Security Reader·Global Reader는 조회만 가능합니다.)

#참고 링크

• Entra 에이전트
• Conditional Access Optimization Agent
• Identity Risk Management Agent 시작
• Entra의 Security Copilot 개요
• 에이전트 개요