자율 엔드포인트 보안 운영을 위한 AI EDR

AI EDR이란?

2024년 미국의 한 핵심 인프라 조직이 CISA에 방어 체계 테스트를 요청했을 때, CISA 레드팀은 약 3개월간 네트워크에 머물며 Windows 도메인을 침해했습니다. 이 조직은 엔드포인트 탐지 및 대응(EDR) 도구를 사용하고 있었지만, CISA 권고문 AA24-326A에 따르면 이 도구가 탐지한 레드팀 페이로드는 소수에 불과했습니다. 레드팀은 EDR 도구가 탐지하도록 설계된 “알려진 악성” 패턴을 피하고, 탈취한 자격 증명으로 이동하며, 디스크를 거치지 않도록 메모리에서 스크립트를 실행해 탐지를 피했습니다. CISA의 결론은 알려진 침해 지표에만 의존하지 말고, 호스트와 네트워크에서 정상적인 기준선을 벗어나는 행동을 살펴야 한다는 것이었습니다. AI EDR이 해결하려는 문제가 바로 이것입니다.

AI EDR은 머신러닝과 행동 모델을 엔드포인트 탐지 및 대응에 적용합니다. AI EDR은 엔드포인트에서 정상적인 프로세스, 파일, 레지스트리, 네트워크 및 사용자 활동을 학습한 뒤 기준선에서 벗어난 활동을 실시간으로 평가합니다. 목표는 알려진 지표가 전혀 없는 침입을 찾아내는 것입니다.

AI EDR은 다른 문제를 가리키기도 합니다. 직원 기기에서 실행되는 악의적이거나 침해된 AI 에이전트처럼 AI 자체를 겨냥한 위협을 탐지하고 대응하는 것입니다. 이 가이드는 AI 기반 EDR을 다룹니다. AI 에이전트 자체를 보호하려면 SentinelOne의 AI 에이전트 보안 가이드를 참고하세요.

이 글에서는 AI EDR의 구성 요소, 워크플로, 이점, 한계 및 배포 방법을 살펴봅니다. 자율 조사가 경보부터 최종 판단까지의 과정을 어떻게 이어가는지도 설명합니다.

AI EDR과 사이버 보안의 관계

엔드포인트는 여전히 주요 공격 대상입니다. 사용자가 인증하고, 코드가 실행되며, 자격 증명이 저장되는 곳이기 때문입니다. CISA는 EDR을 NIST 사이버 보안 프레임워크의 DE.AE, DE.CM 및 RS.AN 기능에 연결합니다. CISA에 따르면 EDR 도구는 엔드포인트와 네트워크 이벤트 데이터를 결합해 악성 활동 탐지를 지원합니다. 제로 트러스트 설계에서는 엔드포인트 신호가 전체 스택의 접근 결정에 활용됩니다.

시그니처만으로 탐지할 수 없는 위협에는 행동 분석이 필요합니다. 엔드포인트 방어는 사후 대응형 시그니처 기반 백신에서 선제적인 AI 기반 행동 모니터링으로 발전했습니다. Behavioral AI는 특정 악성코드의 발견 여부와 관계없이 공격 패턴을 식별합니다. 이것이 엔드포인트 AI 보안의 핵심인 이유입니다.

AI EDR의 핵심 구성 요소

AI EDR은 서로 연결된 구성 요소로 작동하며, 각 요소의 성능은 앞선 요소의 품질에 달려 있습니다. 텔레메트리는 행동 모델에, 모델은 상관분석에 데이터를 제공하며, 상관분석은 대응과 학습으로 이어집니다. 어느 단계에서든 입력 품질이 낮으면 이후 모든 판단의 정확도가 떨어집니다.

텔레메트리와 행동 모델

엔드포인트 텔레메트리 수집이 첫 단계입니다. 센서는 프로세스 실행, 파일 변경, 레지스트리 수정, 네트워크 연결 및 사용자 행동을 실시간 또는 거의 실시간으로 포착합니다. 설치 이전의 이벤트는 텔레메트리에 포함되지 않으므로 에이전트가 설치된 순간부터 보호 범위가 시작됩니다.

행동 모델은 머신러닝으로 파일, 사용자 및 프로세스 전반의 패턴을 파악합니다. 정상 활동과 비정상 활동을 정의해 이상 징후 탐지의 기준선을 만듭니다. 장단기 기억(LSTM) 네트워크, 게이트 순환 유닛(GRUs), 트랜스포머 같은 시퀀스 모델은 경보 시퀀스에서 시간에 따른 공격 진행 패턴을 직접 학습합니다.

상관분석과 공격 맥락 재구성은 개별 이벤트에 맥락을 부여합니다. 출처 그래프는 개별 이벤트를 연결해 공격의 흐름을 보여줍니다. 의심스러운 이벤트는 MITRE ATT&CK 전술, 기법 및 절차(TTPs)를 맥락 정보로 활용한 행동 상관분석을 거칩니다.

이 초기 구성 요소들이 AI EDR에 악성 행동과 정상적인 관리 작업을 구분할 충분한 맥락이 있는지를 결정합니다.

대응, 위협 인텔리전스 및 학습

CISA는 대응 조치로 네트워크 격리, 프로세스 종료, 파일 격리, TTPs 기록 및 복구를 명시합니다.

위협 인텔리전스는 의사결정 계층을 더합니다. NIST SP 800-172 이를 의사결정에 필요한 맥락을 제공하도록 집계·분석·보강된 정보로 정의합니다.

학습으로 순환 과정이 완성됩니다. 배포 후 모니터링은 사용자, 사고 대응, 복구 및 변경 관리에서 얻은 입력을 수집하고 평가합니다. AI EDR에서는 분석가가 검증한 결과를 신뢰도 점수와 임계값 조정에 반영해 시간이 지날수록 반복되는 오탐을 줄입니다.

신고

엔드포인트 보안을 선도하는 기업

SentinelOne이 엔드포인트 보호 플랫폼 부문 가트너® 매직 쿼드런트™에서 4년 연속 리더로 선정된 이유를 알아보세요.

보고서 읽기

AI EDR의 작동 방식

AI EDR은 데이터 수집부터 모델 개선까지 이어지는 연속적인 파이프라인으로 운영됩니다. 각 단계는 다음 단계에 필요한 정보를 제공합니다. 원시 이벤트로 기준선을 수립하고, 기준선으로 이상 징후를 발견합니다. 이상 징후는 점수가 매겨지고 상관관계가 분석된 사고가 되어 보안 팀의 대응으로 이어집니다.

데이터 수집부터 분류까지

파이프라인의 전반부에서는 엔드포인트의 원시 활동을 조사 가능한 알림으로 전환하고 우선순위를 정합니다. 광범위한 이벤트 수집, 기준선 수립, 점수 산정, 사고 상관관계 분석의 네 단계를 거칩니다. 각 단계에서 불필요한 정보를 걸러내 분석가에게 도달하는 알림의 잡음을 줄입니다.

1. 지속적인 데이터 수집. 에이전트를 배포하면 모니터링을 통해 시스템 이벤트, 파일 작업 및 네트워크 활동을 실시간으로 수집합니다. 2025년에 발표된 한 Windows 엔드포인트 보안 에이전트 연구 프로토타입에서는 탐지 엔진에 이벤트를 전달하기 전에 전처리 과정에서 중복되거나 관련 없는 이벤트를 걸러냅니다.
2. 행동 기준선 수립. 머신러닝 모델은 과거 활동을 학습해 사용자나 그룹별 정상 활동의 기준을 수립한 뒤 새로운 데이터를 지속적으로 모니터링합니다. 이 방식은 이전에 식별된 시그니처가 없는 위협에도 적용됩니다.
3. 이상 징후 식별 및 모델 점수 산정. 모델은 기준선에서 벗어난 활동을 표시하고 신뢰도 점수를 부여합니다. 비지도 학습 기법, 맥락 기반 이상 징후 점수 산정 및 특징 추출을 통해 접근 패턴의 미세한 변화를 포착합니다.
4. 알림 상관관계 분석 및 분류. 엔진은 위협 인텔리전스, 침해 지표(IOC)의 평판, 사용자 속성 및 자산 중요도를 취합합니다. 그런 다음 악용 가능성을 포함한 규칙 기반 및 ML 기반 점수를 통해 심각도와 비즈니스 영향에 따라 알림의 우선순위를 정합니다. 관련 활동은 상관관계를 분석해 하나의 사고 흐름으로 통합합니다.

분류가 끝나면 수천 개의 원시 이벤트가 상관관계가 분석된 사고의 우선순위 대기열로 정리됩니다. 각 사고에는 심각도, 맥락 및 비즈니스 영향이 포함됩니다. 이 대기열은 점수 산정이 실제 조치로 이어지는 파이프라인의 후반부로 연결됩니다.

격리부터 모델 개선까지

대응 정책이 발동되면 자동 격리와 복구 조치가 시작됩니다: 호스트를 격리하고, 프로세스를 종료하고, 파일을 격리한 다음 복구합니다. 자동 격리는 수동 워크플로에서 발생하는 지연을 없앱니다. 이어서 분석가가 검증한 결과를 모델에 다시 반영해 임계값을 정교하게 조정하고, 다음 주기에서 오탐을 줄입니다.

자율 조사는 마지막 남은 수동 작업의 공백을 메웁니다. 위협 격리는 머신 스피드로 실행되지만, 알림에 대한 조사는 분석가가 투입될 때까지 지연되는 경우가 많습니다. 야간과 주말에는 대응 범위도 줄어듭니다. 에이전틱 AI는 그 대기 시간을 없앱니다. 중요 알림이 정해진 임계값을 넘으면 AI 에이전트가 증거를 수집하고, 텔레메트리를 연관 분석하고, 공격 타임라인을 구성한 뒤 판정을 내립니다. 판정 결과에 따라 정책 기반 대응이 실행되거나 권장 조치와 함께 분석가에게 전달됩니다. 모든 단계는 감사할 수 있으며, 에이전트의 자율성 수준은 보안 팀이 결정합니다. 바로 이 지점에서 자동화된 대응은 자율적인 보안 운영으로 전환됩니다.

자율 조사, 격리 및 모델 개선을 통해 AI 위협 탐지는 운영상의 통제력으로 이어집니다. MITRE ATT&CK는 파이프라인의 중심을 관통합니다. 파이프라인은 관찰된 행동을 전술과 기법에 매핑합니다. 분석가는 공통 언어와 반복 가능한 방식으로 위협 헌팅 가설을 세울 수 있습니다. MITRE의 TTP 기반 위협 헌팅 보고서는 그 중요성을 설명합니다. IP 주소, 도메인, 파일 해시처럼 쉽게 바뀌는 속성에 기반한 탐지는 “취약하며 금방 구식이 되는” 반면, 공격자의 행동을 중심으로 세운 가설은 공격자가 도구를 바꿔도 유효합니다. 2025년 10월 ATT&CK 업데이트에서는 Windows API를 통한 DLL 주입과 DNS 터널링 등의 기법에 Detection Strategy 및 Analytic 객체가 추가되었습니다.

AI EDR의 주요 이점

AI EDR은 보안 운영 센터(SOC)에서 이미 추적하는 지표를 개선해 보안 체계에서 가치를 입증합니다. 탐지 시간, 대응 시간, 분석가가 분류에 쓰는 시간이 그 지표입니다. 아래의 각 이점은 앞서 설명한 파이프라인에서 직접 비롯됩니다.

• 더 빠른 식별: 행동 기준선 수립과 머신 스피드의 점수 산정으로 침입 과정에서 의심스러운 활동을 더 일찍 발견합니다.
• 분석가의 업무 부담 감소: 높은 오탐률과 중복 알림은 보안 팀에 과부하를 주고 실제 위협에서 주의를 분산시킬 수 있습니다. 행동 기반 점수 산정과 상관관계 분석은 분석가가 수동으로 분류해야 하는 잡음을 줄입니다.
• 머신 스피드의 대응: 자동 격리는 암호화나 데이터 유출이 완료되기 전에 이를 차단합니다. 단 몇 초 만에 대응해 수동 워크플로보다 빠르게 전개되는 공격에 앞서 나갑니다.
• 새로운 유형 및 파일리스 공격 탐지: 기준선 기반 이상 징후 식별은 알려진 시그니처가 없는 위협을 발견합니다. 자격 증명 악용과 LOTL 활동처럼 시그니처 매칭을 회피할 수 있는 위협도 포함됩니다.
• 알림의 양보다 품질: 상관관계 분석과 신뢰도 점수는 관련 경보를 하나의 사고로 묶어 보안 팀이 개별 이벤트 대신 공격의 전체 흐름을 조사하도록 합니다.

AI 위협 탐지는 모든 엔드포인트 이벤트를 따로 조사하지 않고도 보안 팀의 탐지 범위를 넓힙니다. 하지만 이러한 성과는 모델의 실제 한계에 좌우됩니다. 다음에서 살펴보겠습니다.

AI EDR의 한계

AI EDR에는 배포와 운영 방식에 영향을 미치는 구조적 한계가 있습니다. 일부는 모델 자체에, 다른 일부는 주변 텔레메트리와 운영에 있습니다. 어떤 한계인지 알아야 재학습, 튜닝, 탐지 범위 확대 중 적절한 조치를 선택할 수 있습니다.

모델과 회피 기법의 한계

오탐과 모델 드리프트는 시간이 지날수록 정확도를 떨어뜨립니다. ML 기반 EDR을 제대로 구성하지 않으면 오탐이 쏟아져 보안 팀의 업무가 늘고 실제 위협에 집중하기 어려워집니다. 여기에 개념 드리프트가 더해집니다. 악성코드의 구조가 변하면서 모델 성능이 저하되는 현상을 연구자들은 모델 노화라고 부릅니다. 한 2026년 Android 악성코드 탐지 종단 연구에 따르면 모든 과거 데이터로 재학습하는 확장 윈도 방식은 성능 저하를 완화하지만 “같은 해의 견고성을 완전히 회복하지는 못합니다.”

적대적 회피 기법은 모델을 직접 겨냥합니다. 입력값을 조금만 변형해도 모델의 예측이 달라질 수 있으며, 악성코드 개발자는 모델을 우회할 방법을 적극적으로 찾습니다. 2025년 3월 NIST는 적대적 머신러닝: 공격 및 완화 기법의 분류와 용어 (NIST AI 100-2e2025)를 최종 확정했습니다. 이 문서는 회피, 포이즈닝, 개인정보 공격을 다룹니다.

설명 가능성도 세 번째 제약입니다. 딥러닝과 앙상블 모델의 블랙박스 특성은 SOC에서 해석 가능성 문제를 낳습니다. 분석가는 신뢰도를 적절히 판단해야 합니다. 그러려면 각 자동화된 권고를 뒷받침하는 지표와 상관관계 분석 로직을 추적해야 합니다.

보안 팀이 모델의 판단 근거를 검증할 수 있어야 머신러닝 기반 보안이 효과를 발휘합니다.

텔레메트리와 운영의 한계

파이프라인은 모든 단계에서 텔레메트리의 완전성에 의존합니다. CISA의 신뢰할 수 있는 인터넷 연결(TIC) 3.0 보안 기능 카탈로그는 엔드포인트와 네트워크 이벤트 데이터를 결합하는 것을 EDR의 핵심으로 정의합니다. 이러한 통합이 없으면 EDR은 초기 정찰과 내부 이동의 징후를 놓칠 수 있습니다. 관리되지 않는 엔드포인트는 모델이 아무리 정교해도 사각지대를 만듭니다.

AI EDR을 운영하려면 튜닝과 경보 우선순위 지정이 필요합니다. 보안 정보 및 이벤트 관리(SIEM), 보안 오케스트레이션·자동화 및 대응(SOAR) 플랫폼과의 통합도 필요합니다. MITRE의 세계적 수준의 사이버 보안 운영 센터를 위한 11가지 전략은 호스트별 에이전트 상태 모니터링이 보안 팀에서 흔히 과소평가하는 과제라고 지적합니다. 이러한 한계는 피할 수 있는 운영상의 선택에서 비롯됩니다.

흔히 발생하는 AI EDR 운영 실수

보안 팀은 예측 가능하고 피할 수 있는 선택으로 AI EDR의 효과를 약화시킵니다. 배포 중 발생하는 실수는 사각지대를 만들고, 일상 운영에서 발생하는 실수는 가동 후 정확도를 떨어뜨립니다.

배포 시 실수

배포 단계의 결정은 향후 모델 성능의 한계를 정합니다. 다음 두 가지 실수가 가장 큰 피해를 초래합니다.

• 설치 후 방치: 모델은 노화하고 정책은 변합니다. NIST의 생성형 AI 프로파일은 AI 위험 관리 프레임워크에서 지속적인 모니터링, 사전에 계획된 정기 검토, 배포 후 모니터링 절차를 요구합니다.
• 불완전한 엔드포인트 적용 범위: 모니터링하지 않는 엔드포인트는 모두 사각지대입니다. 텔레메트리 수집은 에이전트 배포부터 시작되므로, 일부에만 배포하면 공격자가 파고들 틈이 생깁니다.

배포 원칙을 지키지 않으면 어떤 모델로도 해결할 수 없는 약점을 안고 AI EDR을 시작하게 됩니다. 적용 범위와 검토 주기는 첫 경보가 발생하기 전에 결정됩니다. 따라서 배포 단계에서 바로잡는 것이 비용을 가장 적게 들이는 방법입니다.

운영 시 실수

튜닝을 소홀히 하면 분석가에게 오탐 경보가 쏟아집니다. 피드백 루프가 없으면 정상 이벤트에 같은 경보가 반복됩니다. 대응 플레이북이 없으면 또 다른 지연이 발생합니다. CISA는 EDR을 SOAR 도구와 티켓팅 시스템을 포함한 사고 대응 워크플로에 통합하도록 요구합니다. 정의된 플레이북이 없으면 탐지 결과가 봉쇄 조치로 이어지지 못합니다. 마지막 함정은 평가입니다. ATT&CK의 탐지 전략은 특정 공격자 기법을 탐지하는 상위 수준의 접근 방식을 정의합니다. 따라서 도구가 실제 공격 기법에 어떻게 대응하는지 평가해야 합니다.

이러한 함정을 피하려면 체계적인 배포와 지속적인 검토가 필요합니다. 앞서 살펴본 실수마다 대응책이 있습니다. 다음 모범 사례에서는 각 실수에 대해 보안 팀이 일정에 포함할 수 있는 조치를 제시합니다.

AI EDR 모범 사례

효과적인 AI EDR 운영은 순서가 중요합니다. 먼저 명확한 기준을 세운 뒤 이를 바탕으로 성과를 측정하고 개선합니다. 다음 사례는 CISA, NIST, NCSC 지침에 기반하며, 각각 앞 절에서 다룬 실수에 대응합니다.

기준선 수립

기준선은 모델이 무엇을 정상으로 판단할지 결정합니다. 따라서 이후 모델의 판단에 따라 실행될 대응 정책만큼 엄격하게 수립해야 합니다. 다음 세 가지가 핵심입니다.

1. 대응 조치 적용 전 기준선 수립. 대응 조치를 실행하기 전에 도구가 정상 활동을 학습하도록 하세요. 그러면 일반적인 관리 작업을 악성 활동으로 오인하지 않습니다. CISA와 협력 기관이 발표한 정상 도구 악용 기법의 식별 및 완화에서는 LOTL 활동을 정상적인 행위와 구별하기 어렵다고 지적합니다. 따라서 먼저 정상 활동의 기준선을 수립해야 합니다.
2. 단계적으로 도입하세요. 전면 도입에 앞서 시범 운영으로 효과를 검증한 다음, 확신이 쌓이면 예방 단계로 전환하세요.
3. 기존 워크플로에 통합하세요. NIST의 제로 트러스트 아키텍처 실무 가이드 (SP 1800-35)는 확장 탐지 및 대응 (XDR) 제품이 EDR, 네트워크 모니터링 및 기타 도구를 하나로 통합해 탐지 정확도와 보안 운영 효율성을 높일 수 있다고 설명합니다.

정상 활동의 기준선을 수립하면 대응 정책을 강화하기 전에 모델이 운영 상태를 정확히 파악할 수 있습니다. 체계적인 기준선은 확신을 갖고 정책을 적용하면서 일상적인 관리 작업을 공격으로 오인하지 않도록 합니다. 기준선이 안정되면 측정에 집중할 차례입니다.

측정하고 개선하기

평균 탐지 시간(MTTD)과 평균 대응 시간(MTTR)을 핵심 지표로 측정하세요. CISA는 AA24-326A 레드팀 권고문에서 다음과 같이 권고합니다. 운영 환경에서 MITRE ATT&CK 기법을 대상으로 보안 프로그램을 대규모로 지속적으로 테스트하고, 생성된 데이터를 바탕으로 조정하세요. 

모델과 정책을 정기적으로 검토하세요. 영국 국가사이버보안센터(NCSC), CISA 및 국제 협력 기관이 공동 발표한 안전한 AI 시스템 개발 지침은 보안에 영향을 미치는 갑작스럽거나 점진적인 행위 변화를 관찰하고 자연스러운 데이터 드리프트를 고려할 수 있도록 모델 출력과 성능을 측정하라고 권고합니다. 사후 검토 일정을 정하고 모델의 버전을 관리하세요.

SentinelOne으로 AI EDR 강화

SentinelOne Singularity™ Endpoint는 이 글에서 설명한 Behavioral AI 모델과 자율 대응 기능을 제공합니다. 기기 수준의 행위 분석을 위해 에이전트에, ID 행위 분석을 위해 플랫폼에 이 기능을 내장했습니다. 에이전트는 일련의 악성 행위가 전개되기 전, 침입 지점에서 위협을 찾아냅니다.

Singularity Endpoint의 원클릭 롤백은 시스템을 감염 전 상태로 되돌려 랜섬웨어 피해를 복구합니다. 파괴적인 암호화 사고를 복구 가능한 사고로 바꿉니다. Storyline®의 공격 맥락 분석은 모든 프로세스 생성과 연결을 하나의 흐름으로 재구성합니다. 분석가는 이를 수작업으로 조합하지 않고도 전체 공격 과정을 파악할 수 있습니다. 

IDC에 따르면, Purple AI™ 고객은 위협을 63% 더 빨리 식별하고 55% 더 빠르게 해결했습니다.

Purple AI Agentic Investigation은 앞서 설명한 자율 조사를 실제 운영 환경에 적용합니다. 중대한 위협이 설정된 임계값을 넘으면 Purple AI가 자동으로 조사를 시작하고, 엔드포인트, ID, 클라우드 및 타사 텔레메트리에서 증거를 수집하고 연관 분석해 판정을 내리며, 머신 스피드로 위협을 차단할 수 있습니다. 분석가는 경보가 아닌 판정 결과에서 조사를 시작합니다. 모든 판정 결과에는 감사 가능한 증거 체인이 포함되며, 보안 팀이 Purple AI의 자율성 수준을 설정합니다.

Singularity AI SIEM은 Singularity Data Lake에서 실행됩니다. Singularity Data Lake는 OCSF(Open Cybersecurity Schema Framework)를 통해 자체 및 타사 소스의 원격 측정 데이터를 수집하고 정규화합니다. 이는 모든 AI EDR 파이프라인의 한계인 원격 측정 데이터의 완전성 문제를 해결합니다. SOAR 및 플레이북 통합을 위해 Singularity Hyperautomation은 Purple AI와 통합되어 AI SIEM에 자동화된 대응 워크플로를 추가합니다. 

외부 평가에서도 이를 확인할 수 있습니다. Gartner®는 6년 연속 SentinelOne을 2026 Magic Quadrant™ for Endpoint Protection의 Leader로 선정했고, Latio는 SentinelOne을 2026 SOC Platform Leader로 선정했습니다.

SentinelOne 데모를 요청하세요. 자율 엔드포인트 보호가 실제 공격 기법에 어떻게 대응하는지 확인해 보세요.

엔드포인트 보호

SentinelOne의 AI 기반 엔드포인트 보안이 사이버 위협을 실시간으로 예방, 탐지 및 대응하는 데 어떻게 도움이 되는지 알아보세요.

데모 신청하기

결론

AI EDR은 머신러닝과 Behavioral AI 모델을 엔드포인트 활동에 적용해 시그니처로 탐지하지 못하는 자격 증명 악용과 파일리스 공격을 포착합니다. 수집한 원격 측정 데이터는 정상 활동의 기준선 설정, 이상 징후 점수화, 상관관계 분석을 거쳐 자율 조사, 자동 격리 및 모델 개선으로 이어집니다. 

그 결과 위협을 더 빠르게 식별하고 분석가의 업무 부담을 줄입니다. 하지만 모델 드리프트와 공격자의 탐지 회피는 분명한 한계입니다. 모든 구축 환경의 효과는 입력되는 원격 측정 데이터의 품질에 달려 있습니다. 먼저 정상 활동의 기준선을 수립하고 워크플로를 통합하세요. MTTD와 MTTR을 측정하고 모델을 정기적으로 검토하세요. 이를 제대로 실행하면 분석가는 경보를 뒤쫓는 대신 판정 결과에 따라 대응할 수 있습니다.