Hvad er agentbaseret AI inden for cybersikkerhed?

Agentbaserede AI-systemer er ofte designet med indbygget menneskeligt tilsyn for at skabe balance mellem autonomi og kontrol.

I Microsofts tilgang til agentbaseret AI til cybersikkerhed er dette designet som en samarbejdsmodel, hvor menneskelige operatører kan overvåge og styre systemets adfærd.

Almindelige eksempler omfatter:

• Gennemsigtig ræsonnering. Microsofts systemer giver understøttende kontekst og begrundelse sammen med anbefalinger, så analytikere kan forstå systemets output og beslutningsveje.

• Godkendelse og justering. Teams kan gennemgå, godkende, afvise eller finjustere systemhandlinger og indarbejde feedback for løbende at forbedre resultaterne.

• Reviderbare kontroller. Aktiviteter styres af sikkerhedskontroller i virksomheden, f.eks. rollebaseret adgang, overvågningslogge og sikkerhedsforanstaltninger for arbejdsprocesser for at understøtte ansvarlighed og krav til overholdelse af angivne standarder.

Agentbaseret AI kan reagere dynamisk på skiftende forhold og justere sin adfærd ud fra konteksten på grund af en proces kaldet den agentbaserede løkke – en række trin, som agenten gentager, indtil den når sit mål.

Opfatte → Ræsonnere → Planlægge → Handle → Lære

• Opfat. Systemet indsamler oplysninger fra sit miljø, herunder logge, advarsler, brugeraktivitet, trusselsintelligens og data fra tilsluttede værktøjer og systemer.
• Ræsonnement. Det analyserer oplysningerne, identificerer mønstre, vurderer risici og fastlægger, hvad dataene betyder i kontekst.
• Planlæg. Baseret på sine mål udvikler systemet en rækkefølge af handlinger for at opnå et ønsket resultat.
• Handl. Agenten udfører opgaver, såsom at isolere en enhed, oprette en sag, eskalere en advarsel eller indsamle yderligere beviser, ved at interagere med værktøjer, systemer eller arbejdsprocesser.
• Lær. Systemet evaluerer resultaterne af sine handlinger og bruger feedback, nye data og tidligere resultater til at forbedre fremtidige beslutninger og reaktioner.

For at få agentbaseret kunstig intelligens til at fungere effektivt skal teams også beslutte, om de vil bruge et enkelt agentsystem eller et system med flere agenter. Et enkelt agentsystem er afhængig af én agent til at administrere opgaver og beslutninger, hvilket fungerer godt, når arbejdsprocesser er relativt indeholdte, og beslutninger er centraliserede. Hvis arbejdsprocesserne er komplekse eller kræver forskellige typer ekspertise, opsætter organisationer ofte et system med flere agenter, der bruger flere specialiserede AI-agenter til cybersikkerhed, som arbejder sammen mod et fælles mål.

Selv med autonome funktioner er det stadig vigtigt med tilsyn fra mennesker. Mange organisationer bruger kontrolpunkter for mennesker i løkken og godkendelsespunkter til følsomme handlinger eller handlinger med høj risiko for at hjælpe med at bevare styring, ansvarlighed og driftsmæssig kontrol.

Forskellene mellem traditionel automatisering, generativ AI og agentbaseret AI bliver tydeligere, når de sammenlignes på tværs af centrale dimensioner.

Desværre er det ikke kun virksomheder og regeringer, der tager AI til sig i et hurtigt tempo. Trusselsaktører bruger agentbaserede systemer til at øge hastigheden og omfanget af deres cyberangreb, hvilket skaber eller forværrer en række udfordringer inden for cybersikkerhed, herunder:

• Skaleringens udfordring. Sikkerhedsteams står ofte over for overvældende mængder advarsler, voksende datakompleksitet og vedvarende mangel på analytikere.
• Hastighedens udfordring. Cyberangribere automatiserer i stigende grad deres aktiviteter, mens mange forsvarere stadig er afhængige af manuelle processer til triagering og hændelsesrespons.
• Udfordringen med pålidelighed og nøjagtighed . Vedvarende eksponering for nattevagter og store mængder gentagne opgaver kan føre til analysetræthed og udbrænding, hvilket øger risikoen for inkonsistens og menneskelige fejl.
• Robusthedens udfordring. Moderne organisationer arbejder på tværs af hybridmiljøer, der omfatter cloudplatforme, slutpunkter, identiteter, programmer og tredjepartstjenester. Denne voksende angrebsoverflade øger driftsrisikoen og skaber flere muligheder for cyberangribere.

Agentbaseret AI inden for cybersikkerhed hjælper sikkerhedsteams med at arbejde mere effektivt i miljøer, der er ved at blive for komplekse, hurtigt skiftende og forbundne til helt manuelle sikkerhedsoperationer (SecOps). Dette er anderledes end bredere agentbaseret AI-sikkerhed, som fokuserer på at beskytte selve AI-systemerne.

I stedet for at erstatte sikkerhedsteams fungerer agentbaseret kunstig intelligens som en kraftmultiplikator på tværs af cybersikkerhedshandlinger, hvilket medfører fordele som f.eks.:

• Hurtigere middeltid til at registrere og reagere (MTTD/MTTR). Agentbaseret AI kan undersøge underretninger, korrelere signaler og koordinere svarhandlinger hurtigt, hvilket hjælper teams med at reducere registrerings- og svartider.
• Mindre træthed hos analytikere og mere tid til arbejde med høj værdi. Ved at håndtere gentagne og tidskrævende opgaver hjælper agentbaseret AI med at reducere trætheden ved underretninger og giver analytikere mulighed for at fokusere på mere strategiske undersøgelser og beslutningstagning.
• Ensartet prioritering og svar, der kan gentages,. Agentbaseret AI anvender arbejdsgange og processer konsekvent på tværs af hændelser, hvilket forbedrer driftssikkerheden ved at reducere variationer forårsaget af manuelle processer.
• Dækning døgnet rundt dækning og elastisk skalering. I modsætning til menneskelige teams kan agentbaseret AI køre kontinuerligt og skalere til at håndtere store mængder alarmer, hændelser og data uden behov for ekstra bemanding.
• Forbedret signal-til-støj-forhold og prioritering. Agentbaseret AI kan analysere store mængder kontekstuelle data for at hjælpe med at identificere de vigtigste trusler, reducere unødvendige alarmer og forbedre prioriteringen.
• Stærkere robusthed og proaktiv risikostyring. Agentbaseret AI kan overvåge miljøer løbende, identificere potentielle svagheder og understøtte proaktive sikkerhedsforanstaltninger, der hjælper organisationer med at reducere risiko og forbedre den driftsmæssige modstandsdygtighed over tid.

Flere use cases viser, hvordan mennesker og agenter kan arbejde sammen om at styrke sikkerheden.

Sikkerhedsteams står ofte over for flere alarmer, end de kan undersøge manuelt, så prioritering er afgørende for en effektiv respons.

Agentens rolle:

• Forbedrer underretninger med trusselsintelligens, kontekst om aktivet og data om brugeradfærd.
• Prioriterer hændelser baseret på risiko og tillidsscore.
• Anbefaler de næste trin til undersøgelse eller afhjælpning.

Rollen som analytiker:

• Gennemser hændelser med høj prioritet.
• Validerer resultater og eskaleringsbeslutninger.
• Håndterer komplekse eller følsomme undersøgelser.

Sikkerhedsteams er afhængige af store mængder trusselsdata, hvilket gør det svært hurtigt at udtrække relevant og handlingsorienteret indsigt.

Agentens rolle:

• Indsamler og opsummerer trusselsintelligens fra flere kilder.
• Giver situationsforståelse i realtid og hurtig rapportering.
• Korrelerer trusselsaktivitet på tværs af miljøer.

Analytikerens rolle:

• Fortolker strategisk risiko og trusselsmønstre.
• Validerer relevans og indvirkning af intelligens.
• Vejleder i svarprioriteter og planlægning.

Identificering af skjulte eller fremspirende trusler kræver løbende analyse på tværs af store og komplekse datasæt.

Agentens rolle:

• Genererer jagthypoteser og forespørger datakilder.
• Gentager på tværs af store datasæt for at identificere mistænkelig aktivitet.
• Udfører kontinuerlige baggrundsjagter efter nye trusler.

Analytikerens rolle:

• Validerer resultater og bestemmer den forretningsmæssige påvirkning.
• Undersøger avanceret eller målrettet cyberangrebsaktivitet.
• Forbedrer jagtstrategier og -prioriteter.

Håndtering af sikkerhedshændelser kræver hurtig koordinering på tværs af registrering, undersøgelse og inddæmning.

Agentens rolle:

• Automatiserer indsamling af beviser og dokumentation af hændelser.
• Udarbejder tidslinjer og opsummerer cyberangrebsaktivitet.
• Udfører inddæmningshandlinger med godkendelse fra analytikere.
• Hjælper med at beskytte slutpunkter og automatisere arbejdsgange til afhjælpning af sårbarheder.

Analytikerens rolle:

• Godkender svarhandlinger med høj risiko.
• Overvåger afhjælpnings- og gendannelsesindsatsen.
• Koordinerer kommunikation og gennemgang efter hændelser.

Organisationer skal identificere og prioritere sikkerhedssvagheder, før de udnyttes af trusselsaktører.

Agentens rolle:

• Prioriterer sårbarheder baseret på risikoniveauet og værdien af de aktiver, der er i fare.
• Identificerer eksponeringer på tværs af cloud-, slutpunkts- og identitetsmiljøer.
• Anbefaler afhjælpningsforløb og afhjælpende handlinger.

Analytikerens rolle:

• Bestemmer prioriteringer for afhjælpning baseret på forretningsrisiko.
• Validerer anbefalede handlinger.
• Koordinerer opdateringer og indsatsen for at reducere risiko.

Overvågning af identitetsaktivitet er afgørende for at opdage uautoriseret adgang og forhindre misbrug af privilegier.

Agentens rolle:

• Registrerer usædvanlige logon- og adgangsmønstre.
• Identificerer risikable tilladelser og risici for forhøjelse af privilegier.
• Overvåger løbende identitetsrelaterede trusler.

Rollen der spilles af identitets- og adgangsadministratoren:

• Gennemser adgangshændelser med høj risiko.
• Godkender ændringer af politikker eller tilladelser.
• Undersøger potentiel insideraktivitet eller kompromittering af en konto.

Sikkerhedsteams skal løbende opbygge og finjustere registreringslogik for at holde trit med de skiftende trusler.

Agentens rolle:

• Skriver og tester registreringslogik.
• Validerer registreringsdækning og identificerer huller.
• Foreslår forbedringer af justeringen for at reducere falske positiver.

Analytikerens rolle:

• Gennemser og godkender registreringsopdateringer.
• Afstemmer registreringer med organisatoriske prioriteter.
• Overvåger den langsigtede sikkerhedsarkitektur og -strategi.

Beskyttelse af følsomme data kræver løbende overvågning, klassificering og håndhævelse af sikkerhedspolitikker.

Agentens rolle:

• Undersøger og prioriterer forebyggelse af tab og insider-risici.
• Automatiserer registrering og analyse af risici for følsomme data på tværs af miljøer.
• Identificerer politikovertrædelser og mangler i overholdelse af regler og standarder.

Administrationen for datasikkerheds rolle:

• Gennemgår hændelser for dataeksponering med høj risiko.
• Bestemmer krav til overholdelse af angivne standarder og styring.
• Overvåger beslutninger om afhjælpning og håndhævelse af politikker.

Agentbaseret AI i cybersikkerhed giver størst værdi, når den hjælper teams med at analysere data, berige alarmer og reagere på sårbarheder og trusler på tværs af hele miljøet. For at gøre dette bruger organisationer API'er til at forbinde sikkerhedsagenter til de værktøjer, de allerede bruger, f.eks. SOAR, udvidet registrering og svar (XDR), CSPM (administration af niveau for skysikkerhed), identitets- og adgangsadministration (IAM), SIEM (Security Information and Event Management), EDR-værktøjer (slutpunktsregistrering og -svar) og løsninger til supportanmodninger. Dette gør det muligt for agentbaserede AI-systemer at hente oplysninger, koordinere arbejdsgange, udløse handlinger og opdatere systemer i realtid.

Automatisering sparer teams for meget tid, men det er stadig vigtigt at bevare kontrollen og ansvaret for at undgå utilsigtede handlinger. Sikkerhedsteams kræver typisk, at analytikere gennemgår beslutninger med høj risiko, samtidig med at de giver større autonomi til handlinger med lavere risiko. I begge tilfælde er det vigtigt at etablere datastyring og adgangskontroller for at hjælpe med at sikre, at AI kun interagerer med godkendte systemer og data.

De sikkerhedsteams, der har størst succes med agentbaseret AI, indfører måleværktøjer til at evaluere, hvor godt de opfylder målene. Det giver dem de oplysninger, de har brug for til at justere og finjustere deres implementeringer.

Vigtige målepunkter for succes omfatter:

Data, der hjælper med at fastslå effektiviteten af sikkerhedsdriften, omfatter:

• MTTD og MTTR.
• Antal underretninger, der automatisk prioriteres eller lukkes.
• Reduktion i antallet af falske positiver.
• Den tid, det tager at undersøge og løse hændelser.

Disse målepunkter giver ledelsen indsigt i, hvordan agentbaseret AI ændrer den måde, sikkerhedsteams bruger deres tid på:

• Analysetimer, der frigøres fra manuel undersøgelse og prioritering.
• Eskaleringsfrekvens for underretninger, der kræver analysehandling.
• Tid til onboarding for nye analytikere ved hjælp af AI-assisterede arbejdsprocesser.
• Reduktion af gentagne opgaver eller opgaver med lav værdi.

Ledere kan også se, hvordan sikkerhedsforbedringer påvirker hele organisationen, med målepunkter som:

• Omkostninger pr. sikkerhedshændelse.
• Dækning på tværs af miljøer, identiteter, slutpunkter og cloudressourcer
• Overordnet overholdelsestilstand og revisionsparathed.
• Reduktion i den operationelle risikoeksponering over tid.

Da agentbaserede systemer fungerer med forskellige niveauer af autonomi, er styring, gennemsigtighed og kontrol afgørende for sikker udrulning.

• Skyggeagenter og uadministreret automatisering. Når agentbaserede systemer skalerer, kan organisationer utilsigtet oprette ikke-administrerede eller duplikerede agenter. Uden ordentligt tilsyn kan disse "skyggeagenter" medføre inkonsekvent adfærd eller uautoriserede handlinger.
• Hallucinationer og falske positiver. Ligesom andre AI-systemer kan agentbaseret AI give forkerte konklusioner eller fejltolke data, hvilket potentielt kan føre til unødvendige alarmer eller forkerte handlinger, hvis det ikke valideres.
• Overautomatisering og tab af overblik. Overdreven afhængighed af automatisering kan reducere indsigt i beslutningsprocesser og øge risikoen for, at konteksten overses, eller at der udføres uhensigtsmæssige handlinger.
• Databeskyttelse og adgangskontrol. Agentbaserede AI-systemer kræver adgang til følsomme sikkerhedsdata, så strenge kontroller af tilladelser, datagrænser og adgang med mindst mulige privilegier er afgørende.
• Modelafvigelse og modstandsdygtig manipulation. Med tiden kan modellens ydeevne forringes, efterhånden som miljøerne ændrer sig. Derudover kan cyberangribere forsøge at manipulere input eller målepunkter for at påvirke agentens adfærd.

• NIST AI Risk Management Framework (AI RMF) giver vejledning i håndtering af AI-relaterede risici på tværs af hele livscyklussen, herunder styring, kortlægning, måling og administration.
• ISO/IEC 42001 fastlægger krav til et AI-styringssystem med fokus på ansvarlig udvikling og brug af AI-systemer.
• EU’s AI-forordning indfører risikobaseret klassificering og krav til overholdelse for AI-systemer, der fungerer i eller påvirker Den Europæiske Union.
• Sektorspecifikke regler er særlige krav for bestemte brancher, såsom HIPAA (Health Insurance Portability and Accountability Act) til beskyttelse af sundhedsdata, Payment Card Industry Data Security Standard (PCI DSS) til betalingssikkerhed og SOX (Sarbanes-Oxley-lovgivning fra 2002) til kontroller for finansiel rapportering.

Efterhånden som sikkerhedsteams udruller og skalerer agentbaseret kunstig intelligens til cybersikkerhed på tværs af deres organisationer, hjælper en gennemtænkt strategi med at forbedre sikkerhedsresultaterne, samtidig med at gennemsigtighed, ansvarlighed og tillid bevares på tværs af teams.

Organisationer introducerer typisk agentbaseret AI i kontrollerede faser, der begynder med risici med lav risiko og assisterende brugsscenarier, før de udvides til handlinger med større effekt. Det er også vigtigt at prioritere gennemsigtighed i, hvordan sikkerhedsagenter træffer beslutninger.

Veldefinerede sikkerhedsforanstaltninger hjælper med at begrænse agentens adfærd til sikre og forventede grænser. For at reducere risikoen for uventet adfærd definerer teams, hvilke handlinger AI-agenter til cybersikkerhed kan udføre selvstændigt, etablerer godkendelsesarbejdsgange for handlinger med stor betydning eller følsomme handlinger og fastsætter tærskler for, hvornår sikkerhedsagenter skal eskalere til analytikere.

Rollebaseret adgangskontrol (RBAC) hjælper med at reducere risikoen for utilsigtet aktivitet ved at begrænse agentadgang til de systemer, data og handlinger, der kræves for deres specifikke funktion. Derfor anvender identitetsteams de samme principper om mindst mulige privilegier på agenter, som de gør på personer.

For at bevare indsigt i agentadfærd logger og reviderer sikkerhedsteams alle agenthandlinger, herunder beslutninger, værktøjsbrug og resultater. Dette hjælper dem med at undersøge hændelser, opfylde krav til overholdelse af angivne standarder og registrere implementeringsproblemer, der skal finjusteres.

Analytikere er mere tilbøjelige til at tage agentbaseret AI i brug, hvis de føler sig informeret og har kontrol. Organisationer kan opbygge tillid ved at sikre, at agentanbefalinger er tydelige og lette at forstå. De opnår også bedre resultater, når de bruger AI til at supplere snarere end erstatte analytikeres beslutningstagning.

Centrer for sikkerhedsoperationer, it- og overholdelses-teams spiller alle en rolle i at udrulle agentbaseret AI sikkert, effektivt og i overensstemmelse med organisationens risikotolerance. Et tværfagligt team hjælper organisationer med at definere operationelle brugsscenarier, håndtere integration og infrastruktur og opfylde lovgivningsmæssige krav.

Oprettelse af fuldt agentbaserede arbejdsprocesser, der fungerer på tværs af sikkerhedsdomæner, er en proces med flere faser. I takt med at organisationer øger deres driftsmodenhed, har de brug for stærkere styring og overblik.

I den tidligste fase bruger organisationer foruddefinerede scripts og arbejdsprocesser til at håndtere gentagne sikkerhedsopgaver.

Sådan ser succes ud:

• Konsekvent fuldførelse af rutineopgaver, f.eks. beskedforbedring eller oprettelse af supportanmodninger.
• Reduceret manuel indsats i arbejdsprocesser med lav kompleksitet.
• Afhængighed af statiske regler og strategiplaner.

Indikatorer for parathed:

• Stabile integrationer med SIEM, SOAR og supportanmodninger.
• Tydeligt definerede og gentagne sikkerhedsprocesser.
• En stor mængde gentagne analytikeropgaver.

I denne fase understøtter kunstig intelligens analytikere ved at forbedre synlighed, opsummering og beslutningstagning, men der handles ikke direkte.

Sådan ser succes ud:

• Hurtigere undersøgelse gennem AI-genererede opsummeringer og indsigt.
• Forbedret forståelse af alarmer og kontekstberigelse.
• Analytikere har fortsat det fulde ansvar for beslutninger og handlinger.

Indikatorer for parathed:

• Modne datapipelines og centraliserede målepunkter.
• Oprettede processer for sikkerhedshandlinger.
• Behov for hurtigere triagering og understøttelse af undersøgelser.

Her begynder agentbaseret AI at udføre begrænsede handlinger inden for definerede sikkerhedsrammer, mens mennesker bevarer godkendelsesmyndigheden for handlinger med højere risiko.

Sådan ser succes ud:

• Automatiseret prioritering, forbedring og trin til anbefalet afhjælpning.
• Mindre arbejdsbyrde for analytikere ved gentagne undersøgelsesopgaver.
• Godkendelse med menneske i loopet af handlinger til inddæmning og udbedring.

Indikatorer for parathed:

• Stærke identitets- og adgangskontroller til automatiseringssystemer.
• Veldefinerede arbejdsprocesser for eskalering og godkendelse.
• Tillid til datakvalitet og systemintegrationer.

I den mest modne fase fungerer agentbaseret kunstig intelligens på tværs af flere domæner og koordinerer handlinger med minimal analyseinteraktion inden for etablerede grænser. Dette giver mulighed for end-to-end-sikkerhedsorkestrering på tværs af organisationen.

Sådan ser succes ud:

• Kontinuerlig, selvstændig registrering, undersøgelse og svar på tværs af miljøer.
• Tværgående koordinering mellem sikkerheds-, it-, identitets- og overholdelsessystemer.
• Folk fokuserer på styring, strategi og undtagelseshåndtering.

Indikatorer for parathed:

• Modne styringsstrukturer til AI og automatisering.
• Målepunkter med høj sikkerhed og dataintegritet på tværs af systemer.
• Stærk tværfunktionel justering mellem sikkerheds-, it- og overholdelsesteams.
• Etableret tillid til automatiseret beslutningstagning med mulighed for revision og overblik.

Agentbaseret AI er stadig tidligt i sin udbredelseskurve, men flere tydelige tendenser former, hvordan den vil udvikle sig på tværs af sikkerhed.

• Autonom red teaming. AI-agenter vil i stigende grad simulere modstanderadfærd for løbende at teste forsvar, identificere svagheder og validere sikkerhedskontroller i realtid.
• Agentløkker. Agentbaseret AI til sikkerhedsoperationer vil blive mere kontinuerlig og selvforbedrende, hvor agenter opfatter, handler og lærer af resultaterne for at forfine detektering og respons.
• Cyberkonflikt mellem kunstig intelligens. Da cyberangribere også tager AI i brug, kan fremtidige cyberengagementer omfatte defensive og offensive agentbaserede systemer, der konkurrerer direkte med hinanden.
• Forudsigende forsvar. I stedet for at reagere på hændelser vil agentbaserede systemer forudse trusler ved at analysere mønstre, eksponeringsdata og angriberadfærd for at forhindre cyberangreb, før de opstår.
• Samarbejdende AI-agenter. Flere specialiserede agenter vil koordinere på tværs af opgaver som detektering, undersøgelse, afhjælpning og rapportering for at skabe mere skalerbare og robuste sikkerhedsarbejdsgange.
• Analytikerens udviklende rolle. Analytikere vil flytte fokus væk fra gentagne undersøgelses- og svaropgaver i forhold til ansvar med højere værdi, f.eks. agentsyn, politikdesign og strategisk risikostyring.

Organisationer kan registrere, undersøge og reagere på trusler på tværs af deres digitale ejendom med en samlet, AI-drevet sikkerhedsplatform fra Microsoft. Kernen er Microsoft Security Copilot, en AI-assisteret sikkerhedsløsning med naturligt sprog, som giver analytikere mulighed for at ræsonnere over hændelser, opsummere trusler og koordinere svarhandlinger på tværs af miljøer. Indlejrede agenter udvider disse funktioner på tværs af Microsoft Security-løsninger.

Sikkerhedsteams bliver ofte overvældet af mængden af underretninger, manuel prioritering og fragmenterede undersøgelser. I Microsoft Defender XDR hjælper agentbaseret AI med at prioritere problemer med høj risiko, undersøge hændelser hurtigere og forbedre effektiviteten af responsen.

• Agent for sikkerhedsunderretningsprioritering – Prioriterer underretninger for at reducere støj og hjælpe analytikere med at fokusere på højrisiko-hændelser hurtigere.
• Sikkerhedsanalytikeragent – Undersøger hændelser, korrelerer signaler og anbefaler svarhandlinger for at strømline SOC-arbejdsprocesser.
• Trusselsjagtagent – Søger på tværs af miljøer for at finde skjulte trusler, mistænkelig adfærd og nye angrebsmønstre.
• Dynamisk trusselsregistreringsagent – Analyserer løbende aktivitet og tilpasser registreringslogikken for at identificere nye trusler og anomalier.
• Agent for sammendrag af efterretninger om trusler – Opsummerer efterretninger om trusler til handlingsrettede indsigter, så teams kan være på forkant med nye risici.

Sammen hjælper disse agenter med at reducere manuel undersøgelse og fremskynde hændelsesrespons på tværs af slutpunkter, identiteter, e-mail og cloud-arbejdsbelastninger.

I Microsoft Sentinel hjælper Security Copilot analytikere med at gå fra manuel undersøgelse til naturligt sprogbaserede arbejdsprocesser, der er drevet af promptbogen. Analytikere kan generere KQL, opsummere hændelser, berige entiteter, analysere brugere og enheder samt automatisere undersøgelsestrin via Logic Apps og promptbøger.

En brugerdefineret Agent til rapportering af Sentinel-hændelser kan udtrække undersøgelsesresultater, enheder, indsigt og trin i afhjælpning fra hændelser. Promptbøger kan også automatisere brugeranalyse og tilføje resultater direkte til logfiler for hændelsesaktivitet.

Disse funktioner hjælper med at reducere manuel forespørgselsskrivning, forbedre konsistensen i undersøgelser og spare analytikertid ved at automatisere gentagne opgaver.

I Microsoft Purview hjælper Security Copilot teams med at beskytte og styre data på tværs af Administration af niveau for datasikkerhed, Forebyggelse af datatab, Administration af insider-risiko, eDiscovery, Overvågning og Kommunikationsoverholdelse.

• Datasikkerhedsprioriteringsagent — prioriterer DLP- og Insider Risk-underretninger, forklarer risikokontekst og kan starte arbejdsprocesser med afhjælpning med dataejere.
• Datasikkerhedsniveauagent – Finder følsomme data, identificerer skjulte risici og eksponerede legitimationsoplysninger, forbedrer følsomhedsmærkning og genererer ledelsesklare oversigter.

Disse agenter hjælper sikkerhedsteams med at reducere manuel prioritering, prioritere kritiske risici hurtigere og styrke drift af datasikkerhed og overholdelse.

I Microsoft Entra hjælper Security Copilot teams med at undersøge risikable brugere, usædvanlige logons, privilegeret adgang og identitetsbaserede trusler. Copilot kan opsummere identitetskontekst, forklare risikosignaler og anbefale handlinger som tilbagekaldelse af sessioner, gennemgange af adgang eller justering af politik for betinget adgang.

Funktionerne omfatter identitets- og adgangsagenter samt Microsoft Entra-agent-id, som hjælper organisationer med at registrere, administrere og styre identiteter for AI-agenter med livscyklusstyring, adgangsstyring og kontroller til identitetsbeskyttelse.

Disse funktioner hjælper organisationer med at reducere identitetsrisiko og anvende Zero Trust-principper på tværs af både menneskelige og AI-identiteter.

I Microsoft Intune hjælper Security Copilot slutpunkts- og it-teams med at forstå enhedens overholdelse af angivne standarder, konfigurationsafvigelse, eksponering af sikkerhedsrisici og behov for afhjælpning. Copilot kan opsummere enhedsrisikoen, forklare problemer med manglende overholdelse, anbefale næste trin og hjælpe teams med at reagere hurtigere.

Agenter til slutpunktsadministration hjælper med at automatisere kontroller af overholdelse af angivne standarder, undersøge enhedsproblemer og guide afhjælpning på tværs af administrerede enheder.

Disse funktioner hjælper med at reducere manuel undersøgelse af slutpunkter, forbedre overholdelse af regler og standarder og lukke konfigurationshuller hurtigere.

Sammen hjælper Microsoft Security Copilot og indlejrede agenter organisationer med at gå fra reaktiv, manuel sikkerhedsdrift til adaptivt, AI-assisteret forsvar, der forbedrer beskyttelse, hastighed og skala på tværs af sikkerhedslivscyklussen.