11 · 핸즈온 랩 (6단계 실습)

이 랩은 공식 문서에 기반한 초보자용 단계별 실습입니다. 앞선 Step에서 다룬 개념(첫 프롬프트 → 프롬프트북 → 플러그인 → 임베디드 경험 → 커스텀 프롬프트북 → 에이전트)을 실제 포털에서 순서대로 경험합니다. 각 단계에는 화면에서 관찰할 점과 공식 how-to URL을 함께 표기했습니다.

#Step 1 — Standalone 포털에서 첫 프롬프트 실행

무엇을 하나요:

• https://securitycopilot.microsoft.com 에 로그인합니다.
• 채팅 세션을 시작하여 첫 프롬프트를 입력합니다.

예시 시작 프롬프트:

"Can you give me information about Pearl Sleet activity, including a list of known indicators of compromise and tools, tactics, and procedures (TTPs)?"
(Pearl Sleet 활동에 대한 정보를, 알려진 침해 지표(IoC)와 도구·전술·기법·절차(TTP) 목록을 포함해 알려주세요.)

화면에서 관찰할 점:

• 프로세스 로그(process log) — 응답이 어떤 단계를 거쳐 생성되었는지
• 응답 서식(response format)
• 각 응답 하단의 피드백 아이콘(feedback icons)

참고: 프롬프트 작성 · 프롬프트 팁

#Step 2 — 기본 제공 프롬프트북 실행

무엇을 하나요:

• 새 세션을 열어 ✨ Prompts 아이콘 선택 → Promptbooks 중 "Vulnerability impact assessment"(또는 다른 기본 제공 프롬프트북) 선택 → CVE 번호를 입력합니다(예: 최근 공개된 CVE).

화면에서 관찰할 점:

• 프롬프트가 순차적으로 실행(sequential execution)되는 과정
• 각 응답이 이전 응답 위에 어떻게 쌓이는지
• 마지막 프롬프트가 생성하는 최종 요약 보고서(executive summary)
• 실행 후 대시보드의 SCU 사용량

참고: 프롬프트북 사용

#Step 3 — 플러그인 활성화 및 사용

무엇을 하나요:

• 프롬프트 바에서 Sources 아이콘 선택 → Manage plugins로 이동합니다.
• 이미 활성화된 Microsoft 플러그인을 검토하고, Microsoft Threat Intelligence가 활성화되어 있는지 확인한 뒤 프롬프트를 실행합니다.

예시 프롬프트:

"Provide a threat actor profile for Midnight Blizzard."
(Midnight Blizzard에 대한 위협 행위자 프로파일을 제공해 주세요.)

화면에서 관찰할 점:

• 프로세스 로그에서 Microsoft Threat Intelligence 플러그인이 사용되었는지 확인

참고: 플러그인 관리 · 플러그인 개요

#Step 4 — Defender XDR 임베디드 경험: 인시던트 요약

무엇을 하나요:

• Microsoft Defender 포털(https://security.microsoft.com)에서 아무 인시던트(incident)나 엽니다.
• Copilot 사이드카(sidecar) 패널이 자동으로 나타나며 인시던트 요약(Incident Summary)이 생성됩니다.

화면에서 관찰할 점:

• 공격 시점 및 대상 엔터티(time/entity of attack)
• 공격 타임라인(attack timeline)
• 관련 자산(assets involved)
• IoC(침해 지표)
• 위협 행위자 이름(threat actor names)
• See prompts — 제안된 후속 프롬프트 확인

#참고: 인시던트 요약

#Step 5 — 커스텀 프롬프트북 생성

무엇을 하나요:

• 여러 단계로 진행한 조사 세션이 끝난 뒤, 재사용하고 싶은 프롬프트 옆의 체크박스를 선택합니다.
• 상단의 Create promptbook를 클릭하고 내용을 입력하여 프롬프트북을 생성합니다.

예시 프롬프트:

• 일주일 동안 Data Security Demo Users 그룹 관련 DLP 경보를 요약하고 유출 채널·데이터 유형을 정리해주세요.
  
• 같은 그룹의 로그인/디바이스 이상 징후를 Defender·Entra에서 교차 확인해주세요.
  
• 우발적 유출 vs 의도적 유출 가능성 평가와 다음 조사 단계를 제시해주세요.

• 이름(Name): 예) "데이터 유출 조사 프롬프트북"
• 태그(Tags): 예) "Data", "DLP", "Sign-in", "Device"
• 설명(Description): 프롬프트북의 목적
• 매개변수: 특정 조사 그룹을 <group_name> 구문으로 치환하는 등 매번 달라지는 입 값을 매개변수로 지정
• 가시성(Visibility): Just me(테스트용) 또는 Anyone in my organization(공유 및 배포용)

그런 다음 프롬프트북 라이브러리로 이동 → 새로 만든 프롬프트북을 실행(Run) → 매개변수 값을 입력하여 재사용할 수 있습니다.

참고: 프롬프트북 빌드

#Step 6 (선택/고급) — 에이전트 검색 및 설정

무엇을 하나요:

• 홈 메뉴 → Agents → 에이전트 라이브러리를 탐색합니다.
• Conditional Access Optimization Agent를 선택 → Start agent로 첫 실행 → 몇 분간 테넌트 스캔 → Overview 탭의 Recent suggestions에 권장 정책이 표시되면 확인합니다.

화면에서 관찰할 점:

• 에이전트가 조직의 조건부 액세스(CA) 정책을 Microsoft 모범 사례·제로 트러스트 원칙과 비교해 보호되지 않은 사용자·앱, 정책 격차를 식별하고 제안한 항목들
• 각 권장 사항에 대해 원클릭으로 새 정책을 생성하거나 기존 정책을 업데이트하는 흐름(적용 전 관리자 검토 필요)

참고: Conditional Access Optimization Agent · 에이전트 설정·관리

#랩 마무리 체크리스트

• Step 1 — Standalone 포털에서 첫 프롬프트를 실행하고 프로세스 로그·플러그인·피드백 아이콘을 관찰함
• Step 2 — 기본 제공 프롬프트북("Vulnerability impact assessment")을 CVE로 실행하고 순차 실행·최종 요약·SCU 사용량을 확인함
• Step 3 — Microsoft Threat Intelligence 플러그인을 확인하고 위협 행위자 프로파일 프롬프트를 실행함
• Step 4 — Defender XDR에서 인시던트 요약(사이드카)을 확인하고 See prompts를 사용함
• Step 5 — 세션 프롬프트를 매개변수화한 커스텀 프롬프트북을 생성하고 라이브러리에서 실행함
• Step 6 (선택) — Conditional Access Optimization Agent를 설정하고 CA 정책 최적화 권장 사항을 확인함

#참고 링크

• 프롬프트 작성(Prompting in Security Copilot)
• 프롬프트 팁(Prompting best practices)
• 기본 제공 프롬프트북 사용(Using promptbooks)
• 플러그인 관리(Manage plugins)
• 플러그인 개요(Plugin overview)
• Defender XDR 인시던트 요약
• 커스텀 프롬프트북 빌드(Build promptbooks)
• 에이전트 검색(Discover agents)
• 에이전트 설정·관리(Agents manage)
• Conditional Access Optimization Agent