Mis on agentne TI küberturbes?

Agentsed TI-süsteemid on sageli loodud sisseehitatud inimese järelevalvega, et tasakaalustada autonoomiat kontrolliga.

Microsofti lähenemisviisis agentsele TI-le küberturbes on see loodud koostöömudelina, kus inimesest operaatorid saavad jälgida ja suunata süsteemi käitumist.

Sagedased näited:

• Läbipaistev argumenteerimine. Microsofti süsteemid pakuvad toetavat konteksti ja põhjendusi koos soovitustega, et aidata analüütikutel mõista süsteemi väljundeid ja otsustusteid.

• Kinnitamine ja kohandamine. Töörühmad saavad süsteemi toiminguid läbi vaadata, kinnitada, neist keelduda või neid peenhäälestada, kaasates tagasisidet tulemuste pidevaks parandamiseks.

• Auditeeritavad juhtelemendid. Tegevusi reguleerivad suurettevõtte turbekontrollid, nagu rollipõhine juurdepääs, auditilogid ja töövoo kaitsemeetmed, et toetada vastutust ja vastavusnõudeid.

Agentne TI saab dünaamiliselt reageerida muutuvatele tingimustele ja kohandada oma käitumist konteksti põhjal tänu protsessile, mida nimetatakse agentseks tsükliks – etappide jada, mida agent kordab, kuni saavutab oma eesmärgi.

Taju → Argumenteeri → Planeeri → Tegutse → Õpi

• Taju. Süsteem kogub teavet oma keskkonnast, sealhulgas logisid, teateid, kasutaja tegevust, ohuteavet ning andmeid ühendatud tööriistadest ja süsteemidest.
• Argumenteeri. See analüüsib teavet, tuvastav mustreid, hindab riske ja määrab kindlaks, mida andmed kontekstis tähendavad.
• Planeeri. Oma eesmärkide põhjal töötab süsteem välja tegevuste jada soovitud tulemuse saavutamiseks.
• Tegutse. Agent täidab ülesandeid, nagu seadme isoleerimine, pileti avamine, teate eskaleerimine või täiendavate tõendite kogumine, suheldes tööriistade, süsteemide või töövoogudega.
• Õpi. Süsteem hindab oma tegevuse tulemeid ning kasutab tulevaste otsuste ja reageeringute parandamiseks tagasisidet, uusi andmeid ja varasemaid tulemusi.

Agentse TI tõhusa töölesaamiseks peavad töörühmad otsustama ka selle üle, kas nad soovivad kasutada ühe agendiga süsteemi või mitme agendiga süsteemi. Ühe agendiga süsteem tugineb ühele agendile ülesannete ja otsuste haldamisel, mis töötab hästi, kui töövood on suhteliselt piiritletud ja otsused tsentraliseeritud. Kui töövood on keerukad või nõuavad eri tüüpi teadmisi, häälestavad organisatsioonid sageli mitme agendiga süsteemi, mis kasutab mitut spetsialiseeritud TI-agenti küberturbe jaoks, kes töötavad koos ühise eesmärgi nimel.

Isegi autonoomsete võimekuste korral on inimeste järelevalve jätkuvalt oluline. Paljud organisatsioonid kasutavad delikaatsete või suure riskiga toimingute korral inimese kaasamise tsükliga kontrollpunkte ja kinnitamise väravaid, et aidata säilitada juhtimist, vastutust ja operatiivset kontrolli.

Erinevused traditsioonilise automaatika, genereeriva tehisintellekti ja agentse TI vahel muutuvad selgemaks, kui neid võrrelda põhimõõtmete lõikes.

Kahjuks ei ole ettevõtted ja valitsused ainukesed, kes TI-d kiires tempos kasutusele võtavad. Ründajad kasutavad oma küberrünnakute kiiruse ja skaala suurendamiseks agentseid süsteeme, mis tekitab või süvendab mitmeid küberturbe väljakutseid, sealhulgas:

• Skaala väljakutse. Turbetöörühmad seisavad sageli silmitsi tohutu teadete mahu, andmete kasvava keerukuse ja pideva analüütikute puudusega.
• Kiiruse väljakutse. Küberründajad automatiseerivad üha enam oma tegevust, samal ajal kui paljud kaitsjad tuginevad endiselt käsitsi triaažile ja intsidentidele reageerimise protsessidele.
• Töökindluse ja täpsuse väljakutse. Pidev riskile avatus öövahetustele ja suurele hulgale korduvatele ülesannetele võib viia analüütikute väsimuse ja läbipõlemiseni, suurendades ebajärjepidevuse ja inimliku eksituse ohtu.
• Vastupidavuse väljakutse. Kaasaegsed organisatsioonid tegutsevad hübriidkeskkondades, mis hõlmavad pilveplatvorme, lõpp-punkte, identiteete, rakendusi ja kolmandate osapoolte teenuseid. See laienev ründepind suurendab operatiivset riski ja loob küberründajatele rohkem võimalusi.

Agentne TI küberturbes aitab turbetöörühmadel tõhusamalt tegutseda keskkondades, mis on muutumas liiga keerukaks, kiiresti liikuvaks ja omavahel seotuks täielikult käsitsi toimuvate turbetoimingute (SecOps) jaoks. See erineb laiemast agentsest TI-turbest, mis keskendub TI-süsteemide endi kaitsmisele.

Selle asemel, et asendada turbetöörühmi, toimib agentne TI küberturbetoimingutes jõutegurina, tuues kaasa selliseid hüvesid nagu:

• Keskeltläbi kiirem ohtude tuvastamise ja neile reageerimise aeg (MTTD/MTTR). Agentne TI suudab uurida teateid, seostada signaale ja koordineerida kiiresti reageerimistoiminguid, aidates töörühmadel vähendada tuvastamis- ja reageerimisaegu.
• Vähem analüütikute väsimust ja rohkem aega suure väärtusega tööks. Korduvate ja aeganõudvate ülesannete lahendamisega aitab agentne TI vähendada teadete väsimust ja võimaldab analüütikutel süveneda strateegilisematesse uurimistesse ja otsuste tegemisse.
• Järjepidev, korratav triaaž ja reageerimine. Agentne TI rakendab töövooge ja protsesse järjepidevalt kõigi intsidentide korral, parandades operatiivset töökindlust, vähendades käsitsi tehtavatest toimingutest tingitud varieeruvust.
• Ööpäevaringne katvus ja elastne skaala. Erinevalt inimeste töörühmadest suudab agentne TI töötada pidevalt ja skaleerida, et tulla toime suure teadete, sündmuste ja andmete mahuga, ilma et oleks vaja täiendavat personali.
• Parem signaali ja müra suhe ning prioriseerimine. Agentne TI suudab analüüsida suures koguses kontekstisõltuvaid andmeid, et aidata tuvastada kõige olulisemaid ohte, vähendades mittevajalikke teateid ja parandades prioriseerimist.
• Tugevam vastupidavus ja ennetav riskihaldus. Agentne TI suudab pidevalt jälgida keskkondi, tuvastada võimalikke nõrkusi ja toetada ennetavaid turbemeetmeid, mis aitavad organisatsioonidel vähendada riske ja parandada aja jooksul operatiivset vastupidavust.

Mitu kasutusjuhtu näitavad, kuidas inimesed ja agendid saavad turbe tugevdamiseks koos töötada.

Turbetöörühmad seisavad sageli silmitsi rohkemate teadetega, kui nad suudavad käsitsi uurida, muutes prioriseerimise tõhusa reageerimise jaoks hädavajalikuks.

Agendi roll:

• Rikastab teateid ohuteabe, vara konteksti ja kasutajakäitumise andmetega.
• Prioriseerib intsidente riski ja usaldusskoori põhjal.
• Soovitab edasisi etappe uurimiseks või kahjutustamiseks.

Analüütiku roll:

• Vaatab läbi kõrge prioriteediga intsidendid.
• Kinnitab leiud ja eskaleerimisotsused.
• Tegeleb keerukate või delikaatsete uurimistega.

Turbetöörühmad tuginevad suurele ohuandmete mahule, mistõttu on raske kiiresti asjakohaseid ja rakendatavaid ülevaateid lahti pakkida.

Agendi roll:

• Kogub ja võtab kokku ohuteavet mitmest allikast.
• Pakub reaalaja-olukorrateadlikkust ja kiiret aruandlust.
• Seostab ohutegevust eri keskkondades.

Analüütiku roll:

• Tõlgendab strateegilisi riske ja ohusuundumusi.
• Kinnitab iseõppimisvõime asjakohasust ja mõju.
• Suunab reageerimise prioriteete ja planeerimist.

Peidetud või tekkivate ohtude tuvastamine nõuab pidevat analüüsi suurte ja keerukate andmekogumite lõikes.

Agendi roll:

• Genereerib ohujahi hüpoteese ja teeb päringuid andmeallikatesse.
• Itereerib läbi suurte andmekogumite kahtlase tegevuse tuvastamiseks.
• Teostab taustal pidevat ohujahti tekkivate ohtude tuvastamiseks.

Analüütiku roll:

• Kinnitab leiud ja määrab kindlaks äri mõju.
• Uurib arenenud või sihtmärgistatud küberründe tegevust.
• Täpsustab ohujahi strateegiaid ja prioriteete.

Turbintsidentidele reageerimine nõuab kiiret koordineerimist tuvastamis-, uurimis- ja tõkestamistegevuste vahel.

Agendi roll:

• Automatiseerib tõendite kogumiku koostamise ja intsidendi dokumenteerimise.
• Koostab ajajooni ja teeb kokkuvõtteid küberründe tegevusest.
• Viib tõkestamistoimingud lõpule analüütikute kinnitamisega.
• Aitab kaitsta lõpp-punkte ja automatiseerida haavatavuste parandamise töövooge.

Analüütiku roll:

• Kinnitab suure riskiga reageerimistoimingud.
• Juhib parandamis- ja taastamistegevusi.
• Koordineerib kommunikatsiooni ja intsidendijärgset läbivaatamist.

Organisatsioonid peavad tuvastama ja pingereastama turbenõrkused enne, kui ründajad neid ära kasutavad.

Agendi roll:

• Pingereastab haavatavusi riski taseme ja ohus olevate varade väärtuse põhjal.
• Tuvastab riskile avatuse pilve-, lõpp-punkti- ja identiteedikeskkondades.
• Soovitab parandusteid ja leevendavaid toiminguid.

Analüütiku roll:

• Määrab kindlaks parandamise prioriteedid äririski põhjal.
• Kinnitab soovitatud toimingud.
• Koordineerib paikamist ja riskide vähendamise jõupingutusi.

Identiteedi tegevuse jälgimine on kriitilise tähtsusega volitamata juurdepääsu tuvastamiseks ja õiguste kuritarvitamise vältimiseks.

Agendi roll:

• Tuvastab ebatavalisi sisselogimis- ja juurdepääsumustreid.
• Tuvastab riskantsed load ja õiguste eskaleerimise riskid.
• Jälgib pidevalt identiteediga seotud ohte.

Identiteedi- ja juurdepääsu administraatori roll:

• Vaatab läbi suure riskiga juurdepääsusündmused.
• Kiidab heaks poliitika või lubade muudatused.
• Uurib võimalikku siseohtu või konto kompromiteerimise tegevust.

Turbetöörühmad peavad pidevalt looma ja täpsustama tuvastamisloogikat, et käia kaasas arenevate ohtudega.

Agendi roll:

• Kirjutab ja testib tuvastamisloogikat.
• Kinnitab tuvastamise katvuse ja tuvastab lüngad.
• Soovitab häälestamise parandusi valepositiivsete tulemuste vähendamiseks.

Analüütiku roll:

• Vaatab läbi ja kinnitab tuvastamise värskendused.
• Joondab tuvastused organisatsiooni prioriteetidega.
• Juhib pikaajalist turbearhitektuuri ja -strateegiat.

Delikaatsete andmete kaitsmine nõuab turbepoliitikate pidevat jälgimist, klassifitseerimist ja jõustamist.

Agendi roll:

• Uurib ja pingereastab andmelekketõkestuse ning siseriske.
• Automatiseerib delikaatsete andmete riskide tuvastamise ja analüüsi eri keskkondades.
• Tuvastab poliitika rikkumised ja vastavuslüngad.

Andmeturbe administraatori roll:

• Vaatab läbi suure riskiga andmete riskile avatuse sündmused.
• Määrab kindlaks vastavuse ja juhtimise nõuded.
• Juhib parandamise ja poliitika jõustamise otsuseid.

Agentne TI küberturbes pakub kõige rohkem väärtust siis, kui see aitab töörühmadel analüüsida andmeid, rikastada teateid ning reageerida haavatavustele ja ohtudele kogu keskkonnas. Selleks kasutavad organisatsioonid API-sid, et ühendada turbetagendid tööriistadega, mida nad juba kasutavad, nagu SOAR, laiendatud ohutuvastus ja -kõrvaldus (XDR), pilveturbe seisundi haldus (CSPM), kasutaja- ja juurdepääsuhaldus (IAM), turbeteabe ja -sündmuste haldus (SIEM), lõpp-punkti ohutuvastus ja -kõrvaldus (EDR) tööriistad ja piletilahendused. See võimaldab agentsetel TI-süsteemidel reaalajas teavet tuua, koordineerida töövooge, käivitada toiminguid ja värskendada süsteeme.

Automaatika säästab töörühmadel palju aega, kuid soovitamatute toimingute vältimiseks on siiski oluline säilitada kontroll ja vastutus. Turbetöörühmad nõuavad tavaliselt analüütikutelt suure riskiga otsuste läbivaatamist, lubades samal ajal suuremat autonoomiat madalama riskiga toimingute korral. Mõlemal juhul on oluline luua andmekorraldus ja juurdepääsu reguleerimine, et aidata tagada, et TI suhtleb ainult heakskiidetud süsteemide ja andmetega.

Turbetöörühmad, kel on agentse TI-ga kõige suurem edu, võtavad kasutusele mõõtmisvahendid, et hinnata, kui hästi nad eesmärke täidavad. See annab neile vajaliku teabe oma juurutuste kohandamiseks ja täpsustamiseks.

Võtmetähtsusega edumõõdustik hõlmab järgmist:

Andmed, mis aitavad määrata turbetoimingute tõhusust, hõlmavad järgmist:

• MTTD ja MTTR.
• Automaatselt triažeeritud või suletud teadete arv.
• Valepositiivsete määrade vähenemine.
• Intsidentide uurimiseks ja lahendamiseks kuluv aeg.

See mõõdustik annab juhtkonnale ülevaate sellest, kuidas agentne TI muudab viisi, kuidas turbetöörühmad oma aega kulutavad:

• Käsitsi uurimisest ja triaažist säästetud analüütikutunnid.
• Eskaleerimise määr teadete korral, mis nõuavad analüütiku sekkumist.
• Aeg uute analüütikute tööle asumiseks, kasutades TI-toega töövooge.
• Korduvate või väheväärtuslike ülesannete vähendamine.

Juhtkond saab ka näha, kuidas turbeparandused mõjutavad kogu organisatsiooni, kasutades sellist mõõdustikku nagu:

• Kulu ühe turbeintsidendi kohta.
• Katvus eri keskkondades, identiteetides, lõpp-punktides ja pilveressurssides
• Üldine vastavusseisund ja auditi valmidus.
• Operatiivse riskile avatuse vähenemine aja jooksul.

Kuna agentsed süsteemid töötavad erineva autonoomia tasemega, on juhtimine, läbipaistvus ja kontroll ohutu juurutamise jaoks hädavajalikud.

• Varjuagendid ja haldamata automaatika. Agentsete süsteemide skaleerimisel võivad organisatsioonid tahtmatult luua haldamata või dubleeritud agente. Ilma nõuetekohase järelevalveta võivad need „varjuagendid“ põhjustada ebajärjepidevat käitumist või volitamata toiminguid.
• Hallutsinatsioonid ja valepositiivsed tulemused. Nagu muud TI-süsteemid, võib ka agentne TI teha ebaõigeid järeldusi või tõlgendada andmeid valesti, mis võib ilma kinnitamiseta põhjustada asjatuid teateid või ebaõigeid toiminguid.
• Üle-automaatika ja järelevalve kaotus. Liigne toetumine automaatikale võib vähendada nähtavust otsustusprotsessidesse, suurendades konteksti märkamata jäämise või sobimatute toimingute ohtu.
• Andmete privaatsus ja juurdepääsu reguleerimine. Agentsed TI-süsteemid nõuavad juurdepääsu delikaatsetele turbeandmetele, muutes kriitiliseks ranged kontrollid lubade, andmete piiride ja minimaalsete õigustega juurdepääsu ümber.
• Mudeli triiv ja ründeline manipulatsioon. Aja jooksul võib mudeli tulemuslikkus keskkonna muutudes väheneda. Lisaks võivad küberründajad proovida manipuleerida sisendeid või mõõdustikku, et mõjutada agendi käitumist.

• NIST TI riskihalduse raamistik (TI RMF) annab juhendust TI-ga seotud riskide haldamiseks kogu elutsükli jooksul, sealhulgas juhtimise, vastendamise, mõõtmise ja haldamise osas.
• ISO/IEC 42001 kehtestab nõuded TI juhtimissüsteemile, olles töösse süvenenud TI-süsteemide vastutustundlikule arendamisele ja kasutamisele.
• EL-i TI-akt kehtestab riskipõhise klassifikatsiooni ja vastavusnõuded TI-süsteemidele, mis töötavad Euroopa Liidus või mõjutavad seda.
• Sektorispetsiifilised eeskirjad on unikaalsed nõuded teatud valdkondadele, nagu seisundikindlustuse porditavuse ja aruandekohustuse seadus (HIPAA) tervishoiuandmete kaitseks, maksekaardivaldkonna andmeturbe standard (PCI DSS) maksete turbe jaoks ja Sarbanes-Oxley seadus (SOX) finantsaruandluse kontrollimiseks.

Kuna turbetöörühmad juurutavad ja skaleerivad agentset TI-d küberturbe jaoks kogu organisatsioonis, aitab läbimõeldud strateegia parandada turbetulemusi, säilitades samal ajal läbipaistvuse, vastutuse ja usalduse töörühmade vahel.

Organisatsioonid võtavad agentse TI kasutusele tavaliselt kontrollitud etappides, alustades madala riskiga abistavatest kasutusjuhtudest, enne kui laienevad suurema mõjuga toimingutele. Samuti on oluline pingereastada läbipaistvust selles, kuidas turbetagendid otsuseid teevad.

Hästi määratletud piirded aitavad piirata agendi käitumist ohutute ja oodatud piiridega. Ootamatu käitumise riski vähendamiseks koostavad töörühmade esindajad määratluse selle kohta, milliseid toiminguid küberturbe TI-agendid saavad autonoomselt lõpule viia, kehtestavad kinnitamise töövood mõjukate või delikaatsete toimingute korral ning seavad läved selle kohta, millal turbetagendid peavad eskaleeruma analüütikutele.

Rollipõhine juurdepääsu reguleerimine (RBAC) aitab vähendada soovitamatu tegevuse riski, piirates agendi juurdepääsu süsteemidele, andmetele ja toimingutele, mis on vajalikud nende konkreetse funktsiooni jaoks. Sel põhjusel rakendavad identiteedi töörühmad agentidele samu minimaalsete õiguste põhimõtteid nagu inimeste korral.

Agendi käitumise nähtavuse säilitamiseks logivad ja auditeerivad turbetöörühmad kõiki agendi toiminguid, sealhulgas otsuseid, tööriistade kasutamist ja tulemusi. See aitab neil intsidente uurida, täita vastavusnõudeid ja tuvastada juurutusprobleeme, mida on vaja peenhäälestada.

Analüütikud võtavad agentse TI tõenäolisemalt kasutusele, kui nad tunnevad end teavitatuna ja kontrolli omavana. Organisatsioonid saavad luua usaldust, tagades, et agendi soovitused on selged ja hõlpsasti mõistetavad. Neil on ka suurem edu, kui nad kasutavad TI-d analüütikute otsuste tegemise täiendamiseks, mitte asendamiseks.

Turbetoimingute keskused (SOC-id), IT ja vastavusmeeskonnad mängivad kõik rolli agentse TI ohutul, tõhusal ja organisatsiooni riskitaluvusega kooskõlas oleval juurutamisel. Valdkondadeülene töörühm aitab organisatsioonidel luua määratlust operatiivsete kasutusjuhtude kohta, hallata lõimimist ja infrastruktuuri ning täita regulatiivseid nõudeid.

Täielikult agentsete töövoogude loomine, mis toimivad turbevaldkondadeüleselt, on mitmeetapiline protsess. Kuna organisatsioonide operatiivne küpsus kasvab, vajavad nad tugevamat juhtimist ja järelevalvet.

Kõige varasemas etapis kasutavad organisatsioonid korduvate turbetoimingute lahendamiseks eelmääratletud skripte ja töövooge.

Milline näeb välja edu:

• Rutiinsete toimingute järjepidev lõpuleviimine, näiteks teadete rikastamine või piletite loomine.
• Väiksem käsitsi tehtav pingutus madala keerukusega töövoogudes.
• Sõltuvus staatilistest reeglitest ja käsiraamatutest.

Valmisoleku näitajad:

• Stabiilsed SIEM-i, SOAR-i ja piletisüsteemi lõimingud.
• Selgelt määratletud ja korratavad turbeprotsessid.
• Suur hulk korduvaid analüütiku ülesandeid.

Selles etapis toetab TI analüütikuid, parandades nähtavust, kokkuvõtete tegemist ja otsuste langetamist, kuid ei tee otseseid toiminguid.

Milline näeb välja edu:

• Kiirem uurimine TI genereeritud kokkuvõtete ja ülevaadete abil.
• Teadetest parem arusaamine ja konteksti rikastamine.
• Analüütikud jäävad täielikult vastutavaks otsuste ja toimingute eest.

Valmisoleku näitajad:

• Küpsed andmekanalid ja tsentraliseeritud mõõdustik.
• Kehtestatud turbetoimingute protsessid.
• Vajadus kiirema triaaži ja uurimise toetuse järele.

Siin hakkab agentne TI tegema piiratud toiminguid määratletud piirete vahel, samal ajal kui inimesed säilitavad kinnitamise õiguse suurema riskiga toimingute korral.

Milline näeb välja edu:

• Automatiseeritud triaaž, rikastamine ja soovitatud parandamise etapid.
• Väiksem analüütikute töökoormus korduvate uurimisülesannete korral.
• Inimese kaasamise tsükliga kinnitamine tõkestamis- ja parandamistoimingute korral.

Valmisoleku näitajad:

• Tugevad identiteedi ja juurdepääsu kontrollid automaatikasüsteemidele.
• Selgelt määratletud eskaleerimise ja kinnitamise töövood.
• Usaldus andmekvaliteedi ja süsteemilõimingute vastu.

Kõige küpsemas etapis töötab agentne TI mitmes valdkonnas, koordineerides toiminguid minimaalse analüütiku sekkumisega kehtestatud piirides. See võimaldab otsast lõpuni turbe juhtimist kogu organisatsioonis.

Milline näeb välja edu:

• Pidev autonoomne tuvastamine, uurimine ja reageerimine eri keskkondades.
• Valdkondadevaheline koordineerimine turbe-, IT-, identiteedi- ja vastavussüsteemide vahel.
• Inimesed süvenevad juhtimisse, strateegiasse ja erandite käsitlemisse.

Valmisoleku näitajad:

• Küpsed juhtimisraamistikud TI ja automaatika jaoks.
• Suure usaldusega mõõdustik ja andmete terviklus eri süsteemides.
• Tugev funktsioonideülene joondus turbe-, IT- ja vastavusmeeskondade vahel.
• Loodud usaldus automatiseeritud otsuste tegemise vastu koos auditeeritavuse ja järelevalvega.

Agentne TI on alles kasutuselevõtu kõvera alguses, kuid mitmed selged suundumused kujundavad seda, kuidas see turbevaldkonnas areneb.

• Autonoomne punane meeskond (red teaming). TI-agendid simuleerivad üha enam ründajate käitumist, et reaalajas pidevalt testida kaitset, tuvastada nõrkusi ja kinnitada turbekontrolle.
• Agenditsüklid. Agentne TI turbetoimingute jaoks muutub pidevamaks ja isetäiustuvaks, kus agendid tajuvad, tegutsevad ja saavad koolitust tulemustest, et täpsustada tuvastamist ja reageerimist.
• TI-vaheline küberkonflikt. Kuna küberründajad võtavad samuti kasutusele TI, võivad tulevased küberkokkupõrked hõlmata kaitsvaid ja ründavaid agentseid süsteeme, mis konkureerivad otse üksteisega.
• Ennetav kaitse. Intsidentidele reageerimise asemel ennetavad agentsed süsteemid ohte, analüüsides mustreid, riskile avatuse andmeid ja ründajate käitumist, et hoida küberrünnakud ära enne nende toimumist.
• Koostööd tegevad TI-agendid. Mitmed spetsialiseeritud agendid koordineerivad tegevusi selliste ülesannete lõikes nagu tuvastamine, uurimine, parandamine ja aruandlus, et luua skaleeritavamaid ja vastupidavamaid turbetöövooge.
• Analüütiku arenev roll. Analüütikud teevad vahetuse eemale korduvatelt uurimis- ja reageerimisülesannetelt suurema väärtusega kohustustele, nagu agendi järelevalve, poliitika kujundamine ja strateegiline riskihaldus.

Organisatsioonid saavad tuvastada ohte, uurida neid ja neile reageerimi kogu oma digivaras ühtse Microsofti tehisintellektipõhise turbeplatvormi abil. Keskmes on Microsoft Security Copilot, loomulikus keeles töötav TI-toega turbelahendus, mis võimaldab analüütikutel argumenteerida intsidentide üle, teha ohtudest kokkuvõtteid ja koordineerida reageerimistoiminguid eri keskkondades. Sisseehitatud agendid laiendavad neid võimalusi kõigis Microsofti turbeteenuse lahendustes.

Turbetöörühmi koormab sageli teadete maht, käsitsi triaaž ja killustunud uurimised. Lahenduses Microsoft Defender XDR aitab agentne TI pingereastada suure riskiga probleeme, uurida intsidente kiiremini ja parandada reageerimise tõhusust.

• Security Alert Triage Agent – pingereastab teateid, et vähendada müra ja aidata analüütikutel kiiremini süveneda suure riskiga intsidentidesse.
• Security Analyst Agent – uurib intsidente, seostab signaale ja soovitab reageerimistoiminguid, et muuta SOC-i töövood sujuvamaks.
• Threat Hunting Agent – otsib eri keskkondadest peidetud ohte, kahtlast käitumist ja tekkivaid ründemustreid.
• Dynamic Threat Detection Agent – analüüsib pidevalt tegevust ja kohandab tuvastamisloogikat, et tuvastada arenevaid ohte ja anomaaliaid.
• Ohuteabe ülevaateagent – võtab ohuteabe kokku rakendatavateks ülevaadeteks, et töörühmad saaksid tekkivatest riskidest ette jõuda.

Koos aitavad need agendid vähendada käsitsi uurimist ja kiirendada intsidentidele reageerimist lõpp-punktides, identiteetides, e-kirjades ja pilve töökoormustes.

Lahenduses Microsoft Sentinel aitab Security Copilot analüütikutel liikuda käsitsi uurimiselt loomuliku keele ja juhisteraamatupõhiste töövoogude poole. Analüütikud saavad genereerida KQL-i, teha intsidentidest kokkuvõtteid, rikastada olemeid, analüüsida kasutajaid ja seadmeid ning automatiseerida uurimise etappe programmide Logic Apps ja juhisteraamatute kaudu.

Kohandatud Sentinel-i intsidendist teavitamise agent suudab intsidentidest lahti pakkida uurimise leide, olemeid, ülevaateid ja parandamise etappe. Juhisteraamatud saavad automatiseerida ka kasutajate analüüsi ja lisada leide otse intsidendi tegevuslogidesse.

Need võimalused aitavad vähendada käsitsi päringute kirjutamist, parandada uurimise järjepidevust ja säästa analüütikute aega, automatiseerides korduvaid ülesandeid.

Lahenduses Microsoft Purview aitab Security Copilot töörühmadel muuta andmeid turvaliseks ja neid juhtida andmeturbe seisundi halduse, andmelekketõkestuse, siseriskihalduse, eDiscovery, auditi ja kommunikatsioonivastavuse lõikes.

• Andmeturbe triaažiagent – pingereastab DLP ja siseriski teateid, selgitab riski konteksti ja saab algatada parandamise töövooge andmeomanikega.
• Andmete turbeseisundi agent – tuvastab delikaatseid andmeid, määrab kindlaks varjatud riskid ja avalikustatud identimisteabe, parandab delikaatsustaseme märgistust ja genereerib juhtkonnale sobivaid kokkuvõtteid.

Need agendid aitavad turbetöörühmadel vähendada käsitsi triaaži, pingereastada kriitilisi riske kiiremini ning tugevdada andmeturbe ja vastavustoiminguid.

Lahenduses Microsoft Entra aitab Security Copilot töörühmadel uurida riskantseid kasutajaid, ebatavalisi sisselogimisi, eelisõigustega juurdepääsu ja identiteedipõhiseid ohte. Copilot saab teha kokkuvõtteid identiteedi kontekstist, selgitada riskisignaale ja soovitada toiminguid, nagu seansi tühistamine, juurdepääsu läbivaatamine või tingimusjuurdepääsu poliitika häälestamine.

Võimalused hõlmavad identiteedi- ja juurdepääsuagente ning lahendust Microsoft Entra Agent ID, whic aitab organisatsioonidel registreerida, hallata ja juhtida TI-agendi identiteete koos elutsükli halduse, juurdepääsu juhtimise ja identiteedikaitse kontrollidega.

Need võimalused aitavad organisatsioonidel vähendada identiteediriski ja rakendada täisusaldamatuse põhimõtteid nii inimeste kui ka TI identiteetide korral.

Lahenduses Microsoft Intune aitab Security Copilot lõpp-punkti- ja IT-töörühmadel mõista seadme vastavust, konfiguratsiooni triivi, haavatavuse riskile avatust ja parandamise vajadusi. Copilot saab teha kokkuvõtte seadme riskist, selgitada mittevastavuse probleeme, soovitada edasisi etappe ja aidata töörühmadel kiiremini reageerida.

Lõpp-punkti halduse agendid aitavad automatiseerida vastavuskontrolle, uurida seadme probleeme ja suunata parandamist hallatavates lõpp-punktides.

Need võimalused aitavad vähendada käsitsi tehtavat lõpp-punktide uurimist, parandada vastavustoiminguid ja sulgeda konfiguratsioonilüngad kiiremini.

Koos aitavad Microsoft Security Copilot ja sisseehitatud agendid organisatsioonidel liikuda reageerivatelt käsitsi tehtavatelt turbetoimingutelt kohanduvale TI-toega kaitsele, mis parandab kaitset, kiirust ja skaalat kogu turbe elutsükli jooksul.