Co je to agentní AI v kybernetické bezpečnosti?

Systémy agentní AI jsou často navržené s integrovaným lidským dohledem, aby vyvažovaly autonomii a kontrolu.

V rámci přístupu společnosti Microsoft k agentní AI v oblasti kyberbezpečnosti je tento systém koncipován jako model založený na spolupráci, v němž mohou lidští operátoři sledovat a řídit chování systému.

Mezi běžné příklady patří:

• Transparentní uvažování. Systémy Microsoftu poskytují podpůrný kontext a zdůvodnění spolu s doporučeními, aby analytici lépe porozuměli výstupům systému a rozhodovacím cestám.

• Schvalování a úpravy. Týmy můžou akce systému kontrolovat, schvalovat, zamítat nebo jemně upravovat a zapojovat zpětnou vazbu, aby se výsledky průběžně zlepšovaly.

• Auditovatelné kontrolní mechanismy. Aktivity se řídí kontrolními mechanismy podnikového zabezpečení, jako je přístup na základě role, protokoly auditu a ochrana pracovních postupů, které podporují zodpovědnost a požadavky na dodržování předpisů.

Agentní AI může dynamicky reagovat na měnící se podmínky a upravovat své chování podle kontextu díky procesu nazývanému agentní smyčka – sekvenci kroků, kterou agent opakuje, dokud nedosáhne svého cíle.

Vnímání → Uvažování → Plánování → Jednání → Učení se

• Vnímání. Systém shromažďuje informace ze svého prostředí, včetně protokolů, upozornění, aktivit uživatelů, analýzy hrozeb a dat z připojených nástrojů a systémů.
• Uvažování. Analyzuje informace, identifikuje vzory, vyhodnocuje rizika a určuje, co data v daném kontextu znamenají.
• Plánování. Na základě svých cílů systém vytváří posloupnost akcí, aby dosáhl požadovaného výsledku.
• Jednání. Agent provádí úlohy, jako je izolace zařízení, otevření incidentu, eskalace upozornění nebo shromáždění dalších důkazů, a to prostřednictvím interakce s nástroji, systémy nebo pracovními postupy.
• Učení se. Systém vyhodnocuje výsledky svých akcí a využívá zpětnou vazbu, nová data a předchozí výsledky ke zlepšení budoucích rozhodnutí a reakcí.

Aby agentní AI fungovala efektivně, týmy se také potřebují rozhodnout, zda chtějí používat systém s jedním agentem, nebo systém s více agenty. Systém s jedním agentem spoléhá na jednoho agenta, který spravuje úlohy a rozhodnutí, což funguje dobře, když jsou pracovní postupy poměrně uzavřené a rozhodování je centralizované. Pokud jsou pracovní postupy složité nebo vyžadují různé druhy odborných znalostí, organizace často nastaví systém s více agenty, který využívá více specializovaných agentů AI pro kybernetickou bezpečnost, kteří spolupracují na společném cíli.

I s autonomními možnostmi zůstává dohled lidí důležitý. Mnoho organizací používá kontrolní body zapojení člověka do procesu a schvalovací brány pro citlivé nebo vysoce rizikové akce, aby pomohly udržet zásady správného řízení, odpovědnost a provozní kontrolu.

Rozdíly mezi tradiční automatizací, generativní AI a agentní AI jsou zřetelnější při porovnání podle klíčových dimenzí.

Bohužel nejen firmy a vlády zavádějí AI rychlým tempem. Aktéři hrozeb používají agentní systémy ke zvýšení rychlosti a rozsahu svých kybernetických útoků, což vede ke vzniku či prohloubení řady výzev v oblasti kyberbenetické bezpečnosti, mezi něž patří:

• Výzva škálování. Bezpečnostní týmy často čelí zahlcujícímu objemu upozornění, rostoucí datové složitosti a přetrvávajícímu nedostatku analytiků.
• Rychlostní výzva. Kybernetičtí útočníci stále více automatizují své procesy, zatímco mnoho obránců se stále spoléhá na ruční třídění a procesy reakce na incidenty.
• Výzva spolehlivosti a přesnosti. Dlouhodobé vykonávání nočních směn a velké množství opakujících se úkolů může vést k únavě a vyhoření analytiků, což zvyšuje riziko nekonzistencí a lidských chyb.
• Výzva odolnosti. Moderní organizace působí v hybridních prostředích, která zahrnují cloudové platformy, koncová zařízení, identity, aplikace a služby třetích stran. Tato rozšiřující se potenciální oblast útoku zvyšuje provozní riziko a nabízí kyberútočníkům více příležitostí.

Agentní AI v oblasti kybernetické bezpečnosti pomáhá bezpečnostním týmům pracovat efektivněji v prostředích, která jsou příliš složitá, rychle se měnící a vzájemně propojená na to, aby v nich bylo možné provádět operace zabezpečení (SecOps) výhradně ručně. To se liší od širší oblasti zabezpečení agentní AI, která se zaměřuje na ochranu samotných systémů AI.

Agentní AI nenahrazuje bezpečnostní týmy, ale působí jako multiplikátor síly napříč operacemi v oblasti kybernetické bezpečnosti a přináší výhody, jako jsou:

• Rychlejší střední doba detekce a odezvy (MTTD/MTTR). Agentní AI může rychle prověřovat upozornění, korelovat signály a koordinovat reakční akce, což týmům pomáhá zkrátit dobu detekce a odezvy.
• Nižší únava analytiků a více času na práci s vysokou hodnotou. Tím, že agentní AI zvládá opakující se a časově náročné úkoly, pomáhá snižovat únavu z upozornění a umožňuje analytikům soustředit se na strategičtější vyšetřování a rozhodování.
• Konzistentní a opakovatelné třídění a reakce. Agentní AI uplatňuje pracovní postupy a procesy konzistentně napříč incidenty, čímž zvyšuje provozní spolehlivost a snižuje variabilitu způsobenou ručními operacemi.
• Nepřetržité pokrytí a elastické škálování. Na rozdíl od lidských týmů může agentní AI fungovat nepřetržitě a škálovat se tak, aby zvládla velké objemy upozornění, událostí a dat bez potřeby dalšího personálu.
• Lepší poměr signálu k šumu a prioritizace. Agentní AI může analyzovat velké množství kontextových dat a pomoci identifikovat nejdůležitější hrozby, čímž snižuje počet zbytečných upozornění a zlepšuje prioritizaci.
• Vyšší odolnost a proaktivní správa rizik. Agentní AI může průběžně monitorovat prostředí, identifikovat potenciální slabiny a podporovat proaktivní bezpečnostní opatření, která organizacím v průběhu času pomáhají snižovat riziko a zvyšovat provozní odolnost.

Několik případů použití ukazuje, jak můžou lidé a agenti spolupracovat na posílení zabezpečení.

Bezpečnostní týmy často čelí většímu počtu upozornění, než dokážou ručně prověřit, takže prioritizace je pro efektivní reakci zásadní.

Role agenta:

• Doplňuje upozornění o informace o hrozbách, kontext prostředků a data o chování uživatelů.
• Prioritizuje incidenty na základě rizika a skóre důvěryhodnosti.
• Doporučuje další kroky pro prověřování nebo nápravu.

Role analytika:

• Kontroluje incidenty s vysokou prioritou.
• Ověřuje zjištění a rozhodnutí o eskalaci.
• Zpracovává složitá nebo citlivá prověřování.

Bezpečnostní týmy spoléhají na velké objemy dat o hrozbách, takže je obtížné rychle získat relevantní a využitelné poznatky.

Role agenta:

• Shromažďuje a shrnuje informace o hrozbách z více zdrojů.
• Poskytuje situační přehled v reálném čase a rychlé reportování.
• Koreluje aktivitu hrozeb napříč prostředími.

Role analytika:

• Vyhodnocuje strategické riziko a trendy hrozeb.
• Ověřuje relevanci a dopad analytických informací.
• Určuje priority reakce a plánování.

Identifikace skrytých nebo nově vznikajících hrozeb vyžaduje průběžnou analýzu velkých a složitých datových sad.

Role agenta:

• Generuje hypotézy proaktivního vyhledávání hrozeb a provádí dotazy ve zdrojích dat.
• Prochází velké datové sady a identifikuje podezřelou aktivitu.
• Provádí průběžné proaktivní vyhledávání na pozadí pro vznikající hrozby.

Role analytika:

• Ověřuje zjištění a určuje dopad na firmu.
• Prověřuje pokročilou nebo cílenou aktivitu kybernetických útoků.
• Upřesňuje strategie a priority proaktivního vyhledávání hrozeb.

Reakce na bezpečnostní incidenty vyžaduje rychlou koordinaci mezi činnostmi v oblasti detekce, prověřování a potlačení.

Role agenta:

• Automatizuje shromažďování důkazů a dokumentaci incidentů.
• Vytváří časové osy a shrnuje aktivitu kybernetických útoků.
• Dokončuje akce k potlačení hrozeb se schválením analytiků.
• Pomáhá chránit koncové body a automatizovat pracovní postupy nápravy ohrožení zabezpečení.

Role analytika:

• Schvaluje vysoce rizikové akce reakce.
• Dohlíží na nápravu a úsilí o obnovení.
• Koordinuje komunikaci a vyhodnocení situace po incidentu.

Organizace musí identifikovat a prioritizovat slabá místa v zabezpečení dříve, než je využijí aktéři hrozeb.

Role agenta:

• Prioritizuje ohrožení zabezpečení na základě úrovně rizika a hodnoty prostředků, které jsou ohroženy.
• Identifikuje ohrožení v cloudu, koncových bodech a prostředích identit.
• Doporučuje způsoby nápravy a akce zmírnění rizik.

Role analytika:

• Určuje priority nápravy na základě obchodního rizika.
• Ověřuje doporučené akce.
• Koordinuje opravy a úsilí o snížení rizik.

Monitorování aktivity identity je důležité pro detekci neoprávněného přístupu a zabránění zneužití oprávnění.

Role agenta:

• Detekuje neobvyklé vzory přihlášení a přístupu.
• Identifikuje riziková oprávnění a rizika elevace oprávnění.
• Nepřetržitě monitoruje hrozby související s identitou.

Role správce identit a přístupu:

• Kontroluje události přístupu s vysokým rizikem.
• Schvaluje změny zásad nebo oprávnění.
• Prověřuje potenciální aktivitu insiderů nebo napadení účtů.

Bezpečnostní týmy musí průběžně vytvářet a zpřesňovat logiku detekce, aby držely krok s vyvíjejícími se hrozbami.

Role agenta:

• Zapisuje a testuje logiku detekce.
• Ověřuje pokrytí detekce a identifikuje mezery.
• Navrhuje vylepšení ladění pro snížení počtu falešně pozitivních výsledků.

Role analytika:

• Kontroluje a schvaluje aktualizace detekce.
• Slaďuje detekce s prioritami organizace.
• Dohlíží na dlouhodobou architekturu a strategii zabezpečení.

Ochrana citlivých dat vyžaduje průběžné monitorování, klasifikaci a vynucování zásad zabezpečení.

Role agenta:

• Prověřuje a prioritizuje ochranu před únikem informací a insiderská rizika.
• Automatizuje zjišťování a analýzu rizik citlivých dat napříč prostředími.
• Identifikuje porušení zásad a mezery v dodržování předpisů.

Role správce zabezpečení dat:

• Kontroluje vysoce rizikové události vystavení dat.
• Určuje požadavky na dodržování předpisů a správu.
• Dohlíží na nápravná opatření a rozhodnutí týkající se vynucování zásad.

Agentní AI v kybernetické bezpečnosti přináší největší hodnotu tehdy, když týmům pomáhá analyzovat data, obohacovat upozornění a reagovat na ohrožení zabezpečení a hrozby napříč celým prostředím. Aby toho organizace dosáhly, používají rozhraní API k propojení agentů zabezpečení s nástroji, které už používají, jako jsou nástroje SOAR, rozšířená detekce a reakce (XDR), správa stavu cloudového zabezpečení (CSPM), správa identit a přístupu (IAM), správa akcí a informací o zabezpečení (SIEM), detekce a reakce u koncových bodů (EDR) a řešení pro správu lístků. To umožňuje systémům agentní AI získávat informace, koordinovat pracovní postupy, spouštět akce a aktualizovat systémy v reálném čase.

Automatizace týmům ušetří spoustu času, ale stále je důležité zachovat kontrolu a odpovědnost, aby se předešlo nechtěným akcím. Bezpečnostní týmy obvykle vyžadují, aby analytici kontrolovali rozhodnutí s vysokým rizikem, zatímco u akcí s nižším rizikem umožňují větší autonomii. V obou případech je důležité zavést řízení dat a řízení přístupu, aby AI pracovala jen s povolenými systémy a daty.

Bezpečnostní týmy, které mají největší úspěch s využitím agentní AI, zavedly nástroje pro měření, aby vyhodnotily, jak dobře splňují cíle. Tato data jim poskytují informace, které potřebují k úpravě a zpřesnění implementací.

Mezi klíčové metriky úspěchu patří:

Data, která pomáhají určit efektivitu operací zabezpečení, zahrnují:

• MTTD a MTTR.
• Počet upozornění, která se automaticky roztřídí nebo uzavřou.
• Snížení míry falešně pozitivních výsledků.
• Doba potřebná k prověření a vyřešení incidentů.

Tyto metriky poskytují vedení přehled o tom, jak agentní AI mění způsob, jakým bezpečnostní týmy tráví čas:

• Čas analytiků ušetřený díky tomu, že již nemusí provádět ruční prověřování a třídění případů.
• Míra eskalace u upozornění, která vyžadují zásah analytika.
• Doba potřebná k zaškolení nových analytiků, kteří používají pracovní postupy s asistencí AI.
• Snížení opakujících se nebo málo přínosných úkolů.

Vedoucí pracovníci můžou také sledovat, jak se zlepšení v oblasti zabezpečení promítá do celé organizace, a to pomocí následujících metrik:

• Náklady na incident zabezpečení.
• Pokrytí napříč prostředími, identitami, koncovými body a cloudovými prostředky
• Celkový stav dodržování předpisů a připravenost na audit.
• Snižování míry provozního rizika v čase.

Protože agentní systémy pracují s různou mírou autonomie, jsou pro bezpečné nasazení nezbytné správa, transparentnost a kontrola.

• Stínoví agenti a nespravovaná automatizace. S rozšiřováním agentních systémů může docházet k tomu, že organizace neúmyslně vytvoří neřízené nebo duplicitní agenty. Bez správného dohledu mohou tito „stínoví agenti“ zavádět nekonzistentní chování nebo neautorizované akce.
• Halucinace a falešně pozitivní výsledky. Stejně jako jiné systémy AI může i agentní AI vytvářet nesprávné závěry nebo chybně interpretovat data, což může vést k zbytečným výstrahám nebo nesprávným akcím, pokud se výstupy neověří.
• Přílišná automatizace a ztráta přehledu. Přílišné spoléhání se na automatizaci může snížit přehled o rozhodovacích procesech, čímž se zvyšuje riziko, že budou opomenuty souvislosti nebo budou přijata nevhodná opatření.
• Ochrana soukromí u dat a řízení přístupu. Systémy agentní AI vyžadují přístup k citlivým bezpečnostním datům, a proto je nezbytné zavést přísné kontroly v oblasti oprávnění, datových hranic a přístupu na základě principu nejnižších oprávnění.
• Odchylky modelů a nepřátelská manipulace. Postupem času se může výkon modelu zhoršovat, jak se prostředí mění. Kybernetičtí útočníci se navíc mohou pokusit manipulovat vstupy nebo metrikami, aby ovlivnili chování agentů.

• NIST AI Risk Management Framework (AI RMF) poskytuje pokyny pro řízení rizik souvisejících s AI v průběhu celého životního cyklu, včetně správy, mapování, měření a řízení.
• ISO/IEC 42001 stanovuje požadavky na systém řízení AI se zaměřením na odpovědný vývoj a používání systémů AI.
• Zákon EU o umělé inteligenci zavádí klasifikaci založenou na riziku a požadavky na dodržování předpisů pro systémy umělé inteligence, které fungují v Evropské unii nebo na ni mají dopad.
• Specifické předpisy pro jednotlivá odvětví jsou jedinečné požadavky pro určitá odvětví, jako je zákon o odpovědnosti za přenos údajů o zdravotním pojištění (HIPAA) pro ochranu zdravotnických dat, standard PCI DSS (Payment Card Industry Data Security Standard) pro zabezpečení plateb a zákon Sarbanes-Oxley SARX (SOX) pro kontrolní mechanismy finančního výkaznictví.

Jak bezpečnostní týmy nasazují a rozšiřují agentní AI pro kybernetickou bezpečnost napříč svými organizacemi, promyšlená strategie pomáhá zlepšovat výsledky zabezpečení a zároveň zachovávat transparentnost, odpovědnost a důvěru mezi týmy.

Organizace obvykle zavádějí agentní AI v řízených fázích – nejprve začínají s nenáročnými podpůrnými scénáři použití a teprve poté přecházejí k akcím s vyšším dopadem. Je také důležité klást důraz na transparentnost toho, jak agenti zabezpečení přijímají rozhodnutí.

Dobře definovaná ochranná pravidla pomáhají omezit chování agentů na bezpečné a očekávané hranice. Aby se snížilo riziko neočekávaného chování, týmy definují, které akce mohou agenti AI v oblasti kybernetické bezpečnosti provádět samostatně, zavádějí schvalovací postupy pro operace s významným dopadem nebo citlivé operace a stanovují prahové hodnoty, při jejichž překročení musí agenti zabezpečení případ eskalovat na analytiky.

Řízení přístupu na základě role (RBAC) pomáhá snížit riziko neúmyslných činností tím, že omezuje přístup agentů pouze na systémy, data a akce nezbytné pro plnění jejich konkrétních funkcí. Z tohoto důvodu týmy pro správu identit uplatňují na agenty stejné zásady nejnižších oprávnění jako na lidi.

Aby si bezpečnostní týmy zachovaly přehled o chování agentů, zaznamenávají a kontrolují všechny akce agentů, včetně rozhodnutí, využívání nástrojů a výsledků. To jim pomáhá prověřovat incidenty, plnit požadavky na dodržování předpisů a odhalovat problémy s implementací, které je třeba doladit.

Analytici s větší pravděpodobností přijmou agentní AI, pokud mají pocit, že jsou informovaní a mají situaci pod kontrolou. Organizace můžou budovat důvěru tím, že zajistí, aby doporučení agentů byla jasná a srozumitelná. Lepších výsledků dosahují také tehdy, když AI využívají spíše k doplnění rozhodování analytiků než k jejich nahrazení.

Střediska operací zabezpečení (SOC), IT a týmy pro dodržování předpisů – všechny tyto složky hrají důležitou roli při zavádění agentní AI bezpečným a efektivním způsobem, v souladu s tolerancí organizace vůči riziku. Mezioborový tým pomáhá organizacím definovat provozní scénáře, řídit integraci a infrastrukturu a plnit regulační požadavky.

Vytváření plně agentních pracovních postupů, které fungují napříč bezpečnostními oblastmi, je vícestupňový proces. S tím, jak organizace zvyšují provozní vyspělost, potřebují silnější zásady správného řízení a dohled.

V nejranější fázi organizace používají k řešení opakujících se úkolů zabezpečení předem definované skripty a pracovní postupy.

Jak vypadá úspěch:

• Konzistentní dokončování rutinních úkolů, jako je doplňování upozornění nebo vytváření lístků.
• Snížení ruční zátěže v pracovních postupech s nízkou složitostí.
• Závislost na statických pravidlech a playboocích.

Indikátory připravenosti:

• Stabilní integrace SIEM, SOAR a systému pro správu lístků.
• Jasně definované a opakovatelné procesy zabezpečení.
• Velké množství opakujících se úkolů analytiků.

V této fázi AI pomáhá analytikům tím, že zlepšuje přehlednost, usnadňuje shrnování informací a usnadňuje rozhodování, avšak neprovádí žádné přímé akce.

Jak vypadá úspěch:

• Rychlejší prověřování díky shrnutím a přehledům generovaným AI.
• Lepší porozumění upozorněním a doplňování kontextu.
• Analytici nesou plnou odpovědnost za rozhodnutí i akce.

Indikátory připravenosti:

• Vyspělé datové kanály a centralizované metriky.
• Zavedené procesy operací zabezpečení.
• Potřeba rychlejšího třídění a podpora prověřování.

Tady začíná agentní AI provádět omezené akce v rámci stanovených mezí, zatímco lidé si zachovávají pravomoc schvalovat operace s vyšším rizikem.

Jak vypadá úspěch:

• Automatizované třídění, doplňování a doporučené kroky nápravy.
• Snížení pracovní zátěže analytiků při provádění opakujících se úkolů prověřování.
• Schvalování akcí pro izolaci a nápravu s účastí člověka v procesu.

Indikátory připravenosti:

• Silné řízení identity a přístupu pro automatizační systémy.
• Dobře definované pracovní postupy eskalace a schvalování.
• Důvěra v kvalitu dat a integrace systémů..

V nejvyspělejší fázi pracuje agentní AI napříč více doménami a koordinuje akce s minimálním zásahem analytiků v rámci stanovených hranic. To umožňuje komplexní orchestraci zabezpečení v celé organizaci.

Jak vypadá úspěch:

• Nepřetržitá autonomní detekce, prověřování a reakce napříč prostředími.
• Koordinace mezi doménami mezi systémy zabezpečení, IT, identit a dodržování předpisů.
• Lidé se zaměřují na zásady správného řízení, strategii a zpracování výjimek.

Indikátory připravenosti:

• Vyspělé architektury zásad správného řízení pro AI a automatizaci.
• Metriky s vysokou spolehlivostí a integrita dat napříč systémy.
• Silné sladění napříč funkcemi mezi týmy zabezpečení, IT a dodržování předpisů.
• Zavedená důvěra v automatizované rozhodování s auditovatelností a dohledem.

Agentní AI je stále na začátku své fáze zavádění, avšak několik jasných trendů určuje, jakým směrem se bude v oblasti zabezpečení vyvíjet.

• Autonomní red teaming. Agenti AI budou stále častěji simulovat chování útočníků a průběžně testovat obranu, identifikovat slabiny a ověřovat kontrolní mechanismy zabezpečení v reálném čase.
• Smyčky agentů. Agentní AI pro operace zabezpečení se bude fungovat stále plynuleji a bude se sama zdokonalovat, přičemž agenti budou vnímat situaci, jednat a poučit se z výsledků, aby tak zdokonalili detekci a reakci.
• Kybernetický konflikt mezi AI systémy. Protože AI zavádějí také kyberútočníci, mohou budoucí kybernetické útoky zahrnovat obranné i útočné agentní systémy, které budou přímo soutěžit mezi sebou.
• Prediktivní obrana. Místo toho, aby reagovaly na jednotlivé incidenty, budou agentní systémy předvídat hrozby na základě analýzy vzorců, údajů o vystavení rizikům a chování útočníků, a tak bránit kybernetickým útokům ještě předtím, než k nim dojde.
• Spolupracující AI agenti. Více specializovaných agentů bude koordinovat jednotlivé úkoly, jako je detekce, prověřování, náprava a vykazování, s cílem vytvořit škálovatelnější a odolnější pracovní postupy zabezpečení.
• Vyvíjející se role analytika. Analytici se od rutinních úloh prověřování a reakce přesunou k činnostem s vyšší přidanou hodnotou, například k dohledu nad agenty, návrhu zásad a strategickému řízení rizik.

Organizace můžou pomocí jednotné platformy zabezpečení od Microsoftu využívající umělou inteligenci odhalovat hrozby v rámci celého svého digitálního prostředí, prověřovat je a reagovat na ně. V centru je Microsoft Security Copilot, řešení zabezpečení s podporou AI a přirozeného jazyka, které umožňuje analytikům uvažovat nad incidenty, shrnovat hrozby a koordinovat reakce napříč prostředími. Integrovaní agenti rozšiřují tyto možnosti napříč řešeními Zabezpečení od Microsoftu.

Bezpečnostní týmy jsou často zahlcené velkým objemem upozornění, ručním tříděním a fragmentovanými prověřováním. V řešení Microsoft Defender XDR pomáhá agentní AI prioritizovat vysoce rizikové problémy, rychleji prověřovat incidenty a zvyšovat efektivitu reakcí.

• Agent roztřídění bezpečnostních výstrah – prioritizuje upozornění, aby snížil šum a pomohl analytikům rychleji se soustředit na incidenty s vysokým rizikem.
• Agent bezpečnostního analytika – prověřuje incidenty, propojuje signály a doporučuje opatření reakce, aby zefektivnil pracovní postupy SOC.
• Agent proaktivního vyhledávání hrozeb – prohledává prostředí a odhaluje skryté hrozby, podezřelé chování a nově se objevující vzorce útoků.
• Agent detekce dynamických hrozeb – průběžně analyzuje aktivitu a přizpůsobuje logiku detekce tak, aby identifikoval vyvíjející se hrozby a anomálie.
• Agent přehledu analýzy hrozeb – shrnuje informace o hrozbách do využitelných přehledů, aby si týmy dokázaly udržet náskok před nově se objevujícími riziky.

Tito agenti společně pomáhají omezit ruční prověřování a urychlit reakce na incidenty napříč koncovými body, identitami, e-maily a cloudovými úlohami.

Ve službě Microsoft Sentinel pomáhá Security Copilot analytikům přejít od ručního prověřování k pracovním postupům založeným na přirozeném jazyce a řízeným pomocí knihy výzev. Analytici mohou prostřednictvím Logic Apps a knih výzev generovat dotazy KQL, shrnovat incidenty, obohacovat entity, analyzovat uživatele a zařízení a automatizovat kroky prověřování.

Vlastní agent pro hlášení incidentů ve službě Sentinel dokáže z incidentů extrahovat výsledky prověřování, entity, poznatky a nápravná opatření. Knihy výzev můžou také automatizovat analýzu uživatelů a přidávat zjištění přímo do protokolů aktivit incidentů.

Tyto funkce pomáhají omezit ruční psaní dotazů, zlepšit konzistenci prověřování a ušetřit analytikům čas díky automatizaci opakovatelných úkolů.

V Microsoft Purview pomáhá Security Copilot týmům zabezpečit a řídit data napříč řešeními Správy stavu zabezpečení dat Microsoft Purview, Ochrany před únikem informací, Správa insiderských rizik, eDiscovery, Auditování a Dodržování předpisů při komunikaci.

• Agent roztřídění zabezpečení dat – prioritizuje upozornění týkající se ochrany před únikem informací a insiderských rizik, vysvětluje kontext rizika a může s vlastníky dat iniciovat pracovní postupy nápravy.
• Agent stavu zabezpečení dat – zjišťuje citlivá data, identifikuje skrytá rizika a odhalené přihlašovací údaje, zlepšuje označování citlivosti a generuje shrnutí připravená pro vedení.

Tyto agenti pomáhají bezpečnostním týmům omezit ruční třídění, rychleji prioritizovat kritická rizika a posilovat operace zabezpečení dat a dodržování předpisů.

V Microsoft Entra pomáhá Security Copilot týmům prověřovat rizikové uživatele, neobvyklá přihlášení, privilegovaný přístup a hrozby založené na identitách. Copilot může shrnout kontext identity, vysvětlit signály rizika a doporučit akce, například zrušení relace, kontroly přístupu nebo úpravu zásad podmíněného přístupu.

Mezi tyto funkce patří agenti pro správu identit a přístupů a Microsoft Entra ID agenta, které organizacím pomáhají registrovat, spravovat a řídit identity agentů AI pomocí nástrojů pro správu životního cyklu, řízení přístupu a ochrany identit.

Tyto možnosti pomáhají organizacím snížit riziko identity a uplatňovat principy nulové důvěry (Zero Trust) u lidských i AI identit.

V Microsoft Intune pomáhá Security Copilot týmům zodpovědným za koncová zařízení a IT týmům porozumět stavu souladu zařízení s předpisy, odchylkám v konfiguraci, vystavení ohrožením zabezpečení a potřebám nápravných opatření. Copilot dokáže shrnout rizika zařízení, vysvětlit problémy s nedodržováním předpisů, doporučit další kroky a pomoct týmům rychleji reagovat.

Agenti pro správu koncových bodů pomáhají automatizovat kontroly dodržování předpisů, prověřovat problémy se zařízeními a řídit nápravu napříč spravovanými koncovými body.

Tyto funkce pomáhají omezit ruční prověřování koncových bodů, vylepšovat operace dodržování předpisů a rychleji řešit nedostatky v konfiguraci.

Společně Microsoft Security Copilot a integrovaní agenti pomáhají organizacím přejít od reaktivních ručních operací zabezpečení k adaptivní ochraně s asistencí AI, která zlepšuje ochranu, rychlost a škálování v celém životním cyklu zabezpečení.