PowerShell 프로세스, 임시 스크립트, 예약된 작업 등록 및 익숙하지 않은 주소로의 연결은 개별적으로 설명될 수 있지만, 이들의 결합된 맥락은 조사를 변화시킵니다. 이러한 행동 간의 관계를 이해하는 것은 개별 이벤트가 놓칠 수 있는 잠재적인 악의적인 활동을 드러냅니다. 합법적인 도구는 악의적인 목적으로 사용될 수 있으므로, 도구 이름만으로는 조사를 종결하기에 충분하지 않습니다. 대신, 프로세스, 파일 및 연결 간의 관계가 중요합니다. 자동화된 분석, 특히 프로세스, 파일 및 네트워크 대상을 연결하는 행동 그래프를 통한 분석은 증거를 보존하고 활동의 맥락을 파악하는 데 도움이 됩니다. 이러한 그래프는 기본 이벤트 기록을 포괄적인 이야기로 변환하여 누가 무엇을 실행했는지, 어떤 프로세스가 스크립트를 작성했는지, 그리고 아웃바운드 연결이 무엇과 관련되었는지를 자세히 설명합니다. 이러한 맥락적 이해는 유사한 도구가 사용될 때에도 루틴 관리와 의심스러운 행동을 구별하는 데 도움이 됩니다. 기존의 상관 규칙은 일부 관계를 다루지만, 더 효과적인 시스템은 미리 작성된 시퀀스를 넘어 주변 행동을 보존할 것입니다. 예를 들어, Logster는 LLM을 사용하여 직렬화된 활동 그래프를 평가하여 보안 팀에게 맥락적 평가와 구조화된 결과를 제공합니다. 이 접근 방식은 분석가가 분산된 로그를 수동으로 재구성하는 대신 조사를 조립된 활동 계정으로 시작할 수 있도록 합니다. 그러나 어떤 판결도 수집된 증거에 의해 제한되며, 활동 창 크기, 누락된 원격 측정 및 모델 입력 제약과 같은 한계는 정확도에 영향을 미칠 수 있습니다. 따라서 실용적인 평가는 유사한 도구를 사용하는 합법적인 워크플로와 의심스러운 시퀀스를 비교하여 시스템이 이를 어떻게 구별하는지에 초점을 맞춰야 합니다. 궁극적으로 유용한 엔드포인트 탐지 시스템은 조직화되고 맥락화된 증거를 제공하여 조사 프로세스를 단순화하고 분석가가 결론을 더 효율적으로 검증할 수 있도록 해야 합니다.