Mitä agenttinen tekoäly on kyberturvallisuudessa?

Agenttiset tekoälyjärjestelmät on usein suunniteltu niin, että niissä on sisäänrakennettu ihmisen valvonta, jotta autonomian ja hallinnan välinen tasapaino säilyy.

Microsoftin lähestymistavassa kyberturvallisuuden agenttiseen tekoälyyn tämä on suunniteltu yhteistyömalliksi, jossa ihmiskäyttäjät voivat valvoa ja ohjata järjestelmän toimintaa.

Yleisiä esimerkkejä ovat seuraavat:

• Läpinäkyvä päättely. Microsoftin järjestelmät tarjoavat suositusten tueksi taustakontekstia ja perusteluja, jotta analyytikot ymmärtävät järjestelmän tuottamat tulokset ja päätöspolut.

• Hyväksyntä ja säätö. Tiimit voivat tarkistaa, hyväksyä, hylätä tai hienosäätää järjestelmän toimia ja hyödyntää palautetta tulosten jatkuvaan parantamiseen.

• Auditointikelpoiset hallintakeinot. Toimintaa ohjaavat yritystason tietoturvakontrollit, kuten roolipohjainen käyttöoikeuksien hallinta, lokitiedot ja työnkulun suojaukset, jotta vastuu ja vaatimustenmukaisuus voidaan varmistaa.

Agenttinen tekoäly voi reagoida dynaamisesti muuttuviin olosuhteisiin ja säätää toimintaansa kontekstin perusteella prosessin ansiosta, jota kutsutaan agenttiseksi silmukaksi – se on vaiheiden sarja, jonka agentti toistaa, kunnes se saavuttaa tavoitteensa.

Havainto → Päättely → Suunnittelu → Toiminta → Oppiminen

• Havainto. Järjestelmä kerää tietoa ympäristöstään, mukaan lukien lokit, hälytykset, käyttäjien toiminta, uhkatietoa ja dataa yhdistetyistä työkaluista ja järjestelmistä.
• Päättely. Se analysoi tiedot, tunnistaa kaavat, arvioi riskit ja määrittää, mitä data tarkoittaa kontekstissa.
• Suunnittelu. Tavoitteidensa perusteella järjestelmä kehittää toimintaketjun halutun lopputuloksen saavuttamiseksi.
• Toiminta. Agentti suorittaa tehtäviä, kuten laitteen eristämistä, tiketin avaamista, hälytyksen eskalointia tai lisänäytön keräämistä, olemalla vuorovaikutuksessa työkalujen, järjestelmien tai työnkulkujen kanssa.
• Oppiminen. Järjestelmä arvioi toimintojensa tulokset ja käyttää palautetta, uutta dataa ja aiempia tuloksia parantaakseen tulevia päätöksiä ja vasteita.

Jotta agenttinen tekoäly toimisi tehokkaasti, tiimien on myös päätettävä, haluavatko ne käyttää yhtä agenttia vai usean agentin järjestelmää. Yhden agentin järjestelmä perustuu yhteen agenttiin, joka hallitsee tehtäviä ja päätöksiä. Tämä toimii hyvin silloin, kun työnkulut ovat suhteellisen rajattuja ja päätökset keskitettyjä. Jos työnkulut ovat monimutkaisia tai ne vaativat erilaista osaamista, organisaatiot ottavat usein käyttöön monen agentin järjestelmän, joka käyttää kyberturvallisuuteen useita erikoistuneita tekoälyagentteja, jotka toimivat yhdessä yhteisen tavoitteen saavuttamiseksi.

Vaikka järjestelmässä on autonomisia ominaisuuksia, ihmisten valvonta on edelleen tärkeää. Monet organisaatiot käyttävät ihmisen valvomia tarkistuspisteitä ja hyväksymisportteja arkaluontoisiin tai suuren riskin toimintoihin, jotka auttavat ylläpitämään hallintaa, vastuullisuutta ja toiminnan hallintaa.

Perinteisen automaation, generatiivisen tekoälyn ja agenttisen tekoälyn erot tulevat selvemmiksi, kun niitä verrataan keskeisten ulottuvuuksien kautta.

Valitettavasti yritykset ja valtionhallinto eivät ole ainoita, jotka ottavat tekoälyn käyttöön nopeasti. Uhkatoimijat käyttävät agenttijärjestelmiä kyberhyökkäystensä nopeuden ja mittakaavan kasvattamiseen, mikä aiheuttaa tai pahentaa useita kyberturvallisuuden haasteita, kuten seuraavia:

• Mittakaavan haaste. Tietoturvatiimit kohtaavat usein valtavia hälytysmääriä, kasvavaa datan monimutkaisuutta ja jatkuvaa analyytikkopulaa.
• Nopeuden haaste. Kyberhyökkääjät automatisoivat toimintaansa yhä enemmän, kun taas monet puolustajat luottavat edelleen manuaalisiin luokittelu- ja tapausten käsittely -prosesseihin.
• Luotettavuuden ja tarkkuuden haaste. Pitkäaikainen altistuminen yövuoroille ja toistuvien tehtävien suurelle määrälle voi johtaa analyytikoiden väsymykseen ja loppuun palamiseen, mikä lisää epäjohdonmukaisuuden ja inhimillisten virheiden riskiä.
• Sietokyvyn haaste. Nykyaikaiset organisaatiot toimivat hybridiympäristöissä, joihin kuuluu pilvialustoja, päätepisteitä, identiteettejä, sovelluksia ja kolmannen osapuolen palveluita. Tämä laajeneva hyökkäyspinta lisää operatiivista riskiä ja luo enemmän mahdollisuuksia kyberhyökkääjille.

Kyberturvallisuuden agenttinen tekoäly auttaa tietoturvatiimejä toimimaan tehokkaammin ympäristöissä, joista on tulossa liian monimutkaisia, nopeasti muuttuvia ja toisiinsa kytkeytyneitä täysin manuaalisille tietoturvaoperaatioille (SecOps). Tämä eroaa laajemmasta agenttisesta tekoälysuojauksesta, joka keskittyy itse tekoälyjärjestelmien suojaamiseen.

Sen sijaan että agenttinen tekoäly korvaisi tietoturvatiimit, se toimii voiman moninkertaistajana kyberturvallisuusoperaatioissa ja tuo mukanaan hyötyjä, kuten:

• Nopeampi havaitsemisaika ja vasteaika (MTTD/MTTR). Agenttinen tekoäly voi tutkia hälytyksiä, korreloida signaaleja ja koordinoida vaste-toimia nopeasti. Se auttaa tiimejä lyhentämään havaitsemis- ja vasteaikoja.
• Vähemmän analyytikon kuormitusta ja enemmän aikaa arvokkaaseen työhön. Kun agenttinen tekoäly hoitaa toistuvat ja aikaa vievät tehtävät, se auttaa vähentämään hälytyskuormitusta. Silloin analyytikot voivat keskittyä strategisempiin tutkimuksiin ja päätöksentekoon.
• Johdonmukainen ja toistettava luokittelu ja vaste. Agenttinen tekoäly soveltaa työnkulkuja ja prosesseja johdonmukaisesti kaikkiin poikkeamiin. Se parantaa toiminnan luotettavuutta, koska manuaalinen työ aiheuttaa vähemmän vaihtelua.
• Ympärivuorokautinen kattavuus ja joustava skaalaus. Toisin kuin ihmistiimit, agenttinen tekoäly voi toimia jatkuvasti ja skaalautua käsittelemään suuria määriä hälytyksiä, tapahtumia ja dataa ilman lisähenkilöstöä.
• Parannettu signaalien ja kohinan suhde ja priorisointi. Agenttinen tekoäly voi analysoida suuria määriä kontekstidataa, jotta tärkeimmät uhat voidaan tunnistaa. Se vähentää tarpeettomia hälytyksiä ja parantaa priorisointia.
• Vahvempi resilienssi ja ennakoiva riskienhallinta. Agenttinen tekoäly voi valvoa ympäristöjä jatkuvasti, tunnistaa mahdollisia heikkouksia ja tukea ennakoivia suojaustoimia, jotka auttavat organisaatioita vähentämään riskejä ja parantamaan toiminnan resilienssiä ajan myötä.

Useat käyttötapaukset osoittavat, miten ihmiset ja agentit voivat työskennellä yhdessä turvallisuuden vahvistamiseksi.

Tietoturvatiimit kohtaavat usein enemmän hälytyksiä kuin ne pystyvät tutkimaan manuaalisesti, joten priorisointi on olennaista tehokkaalle vasteelle.

Agentin rooli:

• Täydentää hälytykset uhkatiedoilla, kohdeympäristön tiedoilla ja käyttäytymistiedoilla.
• Priorisoi poikkeamat riskin ja luottamuspisteiden perusteella.
• Suosittelee seuraavia vaiheita tutkintaa tai korjausta varten.

Analyytikon rooli:

• Tarkistaa korkean prioriteetin tapaukset.
• Vahvistaa havainnot ja eskalointipäätökset.
• Käsittelee monimutkaiset tai arkaluontoiset tutkinnat.

Tietoturvatiimit luottavat suuriin määriin uhkatietoja, joten olennaisten ja toimintakelpoisten tietojen nopea poimiminen on vaikeaa.

Agentin rooli:

• Kerää ja tekee yhteenvedon uhkatiedoista useista lähteistä.
• Tarjoaa reaaliaikaisen tilannetietoisuuden ja nopean raportoinnin.
• Yhdistää uhkatoimintaa eri ympäristöissä.

Analyytikon rooli:

• Tulkitsee strategiset riski- ja uhkatrendit.
• Vahvistaa tietojen relevanssin ja vaikutuksen.
• Ohjaa vastaustoimien prioriteetteja ja suunnittelua.

Piilotettujen tai uusien uhkien tunnistaminen edellyttää jatkuvaa analysointia suurissa ja monimutkaisissa tietojoukoissa.

Agentin rooli:

• Luo uhkien metsästyksen hypoteeseja ja kyselee tietolähteitä.
• Toistaa analyysin suurissa tietojoukoissa, jotta epäilyttävä toiminta voidaan tunnistaa.
• Suorittaa jatkuvaa taustalla tapahtuvaa uhkien metsästystä nousevien uhkien varalta.

Analyytikon rooli:

• Vahvistaa havainnot ja määrittää vaikutuksen liiketoimintaan.
• Tutkii kehittynyttä tai kohdennettua kyberhyökkäystoimintaa.
• Tarkentaa etsintästrategioita ja prioriteetteja.

Tietoturvapoikkeamien käsittely edellyttää nopeaa koordinointia havaitsemisen, tutkinnan ja eristämisen välillä.

Agentin rooli:

• Automatisoi todisteiden keräämisen ja poikkeaman dokumentoinnin.
• Laatii aikajanoja ja tiivistää kyberhyökkäystoimintaa.
• Toteuttaa eristystoimet analyytikoiden hyväksynnällä.
• Auttaa suojaamaan päätepisteitä ja automatisoimaan haavoittuvuuksien korjaustyönkulkuja.

Analyytikon rooli:

• Hyväksyy suuren riskin vastaustoimet.
• Valvoo korjaus- ja palautustoimia.
• Koordinoi viestintää ja poikkeaman jälkikäsittelyä.

Organisaatioiden on tunnistettava ja priorisoitava tietoturvaheikkoudet ennen kuin uhkatoimijat ehtivät hyödyntää niitä.

Agentin rooli:

• Priorisoi haavoittuvuudet riskitason ja vaarassa olevien resurssien arvon perusteella.
• Tunnistaa altistukset pilvi-, päätepiste- ja identiteettiympäristöissä.
• Suosittelee korjauspolkuja ja lieventämistoimia.

Analyytikon rooli:

• Määrittää korjauksen prioriteetit liiketoimintariskin perusteella.
• Vahvistaa suositellut toimet.
• Koordinoi korjauspäivityksiä ja riskien vähentämistä.

Identiteettitoiminnan valvonta on kriittistä luvattoman käytön havaitsemiseksi ja oikeuksien väärinkäytön estämiseksi.

Agentin rooli:

• Tunnistaa epätavalliset kirjautumis- ja käyttömallit.
• Tunnistaa riskialttiit käyttöoikeudet ja oikeuksien korottamisen riskit.
• Valvoo jatkuvasti identiteettiin liittyviä uhkia.

Käyttäjätietojen hallinnan järjestelmänvalvojan rooli:

• Tarkistaa suuren riskin käyttöoikeustapahtumat.
• Hyväksyy käytäntö- tai käyttöoikeusmuutokset.
• Tutkii mahdollista sisäisten käyttäjien tai tilin vaarantumisen toimintaa.

Tietoturvatiimien on rakennettava ja hiottava tunnistuslogiikkaa jatkuvasti, jotta ne pysyvät kehittyvien uhkien tahdissa.

Agentin rooli:

• Kirjoittaa ja testaa tunnistuslogiikkaa.
• Vahvistaa tunnistuksen kattavuuden ja tunnistaa puutteet.
• Ehdottaa säätöparannuksia väärien positiivisten tulosten vähentämiseksi.

Analyytikon rooli:

• Tarkistaa ja hyväksyy tunnistuspäivitykset.
• Yhdenmukaistaa tunnistukset organisaation prioriteettien kanssa.
• Valvoo pitkän aikavälin tietoturva-arkkitehtuuria ja strategiaa.

Arkaluonteisten tietojen suojaaminen edellyttää jatkuvaa valvontaa, luokittelua ja tietoturvakäytäntöjen valvontaa.

Agentin rooli:

• Tutkii ja priorisoi tietojen menetyksen estämisen ja sisäisten käyttäjien riskit.
• Automatisoi arkaluonteisten tietoriskien löytämisen ja analysoinnin eri ympäristöissä.
• Tunnistaa käytäntörikkomukset ja vaatimustenmukaisuuden puutteet.

Tietoturvan järjestelmänvalvojan rooli:

• Tarkistaa suuren riskin tietovuototapahtumat.
• Määrittää vaatimustenmukaisuus- ja hallintavaatimukset.
• Valvoo korjaustoimia ja käytäntöjen valvontapäätöksiä.

Agenttinen tekoäly tuo kyberturvallisuudessa eniten arvoa silloin, kun se auttaa tiimejä analysoimaan dataa, täydentämään hälytyksiä ja vastaamaan haavoittuvuuksiin ja uhkiin koko ympäristössä. Tätä varten organisaatiot käyttävät ohjelmointirajapintoja yhdistääkseen suojausagentit työkaluihin, joita ne jo käyttävät, kuten SOAR, laajennettu havaitseminen ja reagointi (XDR), pilvipalvelujen suojaustason hallinta (CSPM), käyttäjätietojen ja käyttöoikeuksien hallinta (IAM), suojaustiedot ja tapahtumien hallinta (SIEM), päätepisteiden tunnistus ja käsittely (EDR) sekä tikettiratkaisut. Tämän ansiosta agenttisen tekoälyn järjestelmät voivat hakea tietoja, koordinoida työnkulkuja, käynnistää toimintoja ja päivittää järjestelmiä reaaliajassa.

Automaatio säästää tiimeiltä paljon aikaa, mutta hallinta ja vastuu on silti tärkeää säilyttää, jotta vältytään tahattomilta toimilta. Tietoturvatiimit edellyttävät yleensä, että analyytikot tarkistavat suuren riskin päätökset, mutta antavat enemmän autonomiaa pienemmän riskin toimille. Kummassakin tapauksessa on tärkeää luoda tiedonhallinnan ja käyttöoikeuksien hallintatoimia, jotta tekoäly on vuorovaikutuksessa vain hyväksyttyjen järjestelmien ja tietojen kanssa.

Tietoturvatiimit, jotka saavuttavat suurimman menestyksen agenttisen tekoälyn avulla, ottavat käyttöön mittaustyökaluja arvioidakseen, kuinka hyvin ne saavuttavat tavoitteensa. Näin ne saavat tiedot, joita tarvitaan toteutusten säätämiseen ja hiomiseen.

Keskeisiä onnistumismittareita ovat:

Tietoja, jotka auttavat määrittämään suojaustoimintojen tehokkuuden, ovat seuraavat:

• MTTD ja MTTR.
• Automaattisesti luokiteltujen tai suljettujen ilmoitusten määrä.
• Väärien positiivisten tulosten määrän vähennys.
• Aika, joka kuluu tapausten tutkimiseen ja ratkaisemiseen.

Nämä mittarit antavat johdolle käsityksen siitä, miten agenttinen tekoäly muuttaa tietoturvatiimien ajankäyttöä:

• Manuaalisesta tutkinnasta ja luokittelusta takaisin saatujen analyytikkotuntien määrä.
• Analyytikon toimia edellyttävien hälytysten eskalointimäärä.
• Uusien analyytikkojen perehdytys tekoälyavusteisten työnkulkujen avulla.
• Toistuvien tai vähän arvoa tuottavien tehtävien väheneminen.

Johtajat voivat myös nähdä, miten suojausparannukset vaikuttavat koko organisaatioon, esimerkiksi seuraavilla mittareilla:

• Kustannus tietoturvahäiriötä kohden.
• Kattavuus ympäristöissä, käyttäjätiedoissa, päätepisteissä ja pilviresursseissa
• Yleinen vaatimustenmukaisuus ja valvontavalmius.
• Operatiivisen riskialtistuksen väheneminen ajan myötä.

Koska agenttiset järjestelmät toimivat eri autonomia-asteilla, hallinta, läpinäkyvyys ja valvonta ovat välttämättömiä turvalliselle käyttöönotolle.

• Varjoagentit ja hallitsematon automaatio. Kun agenttiset järjestelmät kasvavat, organisaatiot voivat tahattomasti luoda hallitsemattomia tai päällekkäisiä agentteja. Ilman asianmukaista valvontaa nämä ”varjoagentit” voivat aiheuttaa epäjohdonmukaista toimintaa tai luvattomia toimia.
• Hallusinaatiot ja väärät positiiviset tulokset. Muiden tekoälyjärjestelmien tavoin agenttinen tekoäly voi tehdä virheellisiä johtopäätöksiä tai tulkita tietoja väärin, mikä voi johtaa tarpeettomiin hälytyksiin tai virheellisiin toimiin, jos tuloksia ei varmenneta.
• Yliautomaatio ja valvonnan menetys. Liiallinen tukeutuminen automaatioon voi heikentää näkyvyyttä päätöksentekoprosesseihin ja kasvattaa puuttuvan kontekstin tai epäasianmukaisten toimien riskiä.
• Tietosuoja ja käyttöoikeuksien hallinta. Agenttiset tekoälyjärjestelmät tarvitsevat pääsyn arkaluonteisiin tietoturvatietoihin, joten tiukat hallintakeinot käyttöoikeuksille, tietorajoille ja vähimpien käyttöoikeuksien periaatteelle ovat kriittisiä.
• Mallin ajautuminen ja vihamielinen manipulointi. Ajan myötä mallin suorituskyky voi heikentyä, kun ympäristöt muuttuvat. Lisäksi kyberhyökkääjät voivat yrittää manipuloida syötteitä tai mittareita vaikuttaakseen agentin toimintaan.

• NIST AI Risk Management Framework (AI RMF) tarjoaa ohjeita tekoälyyn liittyvien riskien hallintaan koko elinkaaren ajan, mukaan lukien hallinta, kartoitus, mittaaminen ja johtaminen.
• ISO/IEC 42001 määrittää vaatimukset tekoälyn hallintajärjestelmälle ja keskittyy tekoälyjärjestelmien vastuulliseen kehittämiseen ja käyttöön.
• EU:n tekoälyasetus ottaa käyttöön riskiperusteisen luokittelun ja vaatimustenmukaisuusvaatimukset tekoälyjärjestelmille, jotka toimivat Euroopan unionissa tai vaikuttavat siihen.
• Toimialakohtaiset säädökset ovat tiettyjen toimialojen erityisvaatimuksia. Tällaisia ovat esimerkiksi terveydenhuollon tietosuojaa koskeva Health Insurance Portability and Accountability Act (HIPAA), maksuturvaa koskeva Payment Card Industry Data Security Standard (PCI DSS) sekä talousraportoinnin valvontaa koskeva Sarbanes-Oxley Act (SOX).

Kun tietoturvatiimit ottavat käyttöön ja skaalaavat agenttista tekoälyä kyberturvallisuudessa koko organisaatiossa, harkittu strategia auttaa parantamaan tietoturvatuloksia ja säilyttämään samalla läpinäkyvyyden, vastuun ja luottamuksen tiimien välillä.

Organisaatiot ottavat yleensä agenttisen tekoälyn käyttöön hallituissa vaiheissa. Ne aloittavat vähäriskisistä, avustavista käyttötapauksista ennen siirtymistä vaikuttavampiin toimiin. On myös tärkeää painottaa läpinäkyvyyttä siinä, miten tietoturva-agentit tekevät päätöksiä.

Selkeästi määritellyt suojarajat auttavat rajoittamaan agentin toiminnan turvallisiin ja odotettuihin rajoihin. Odottamattoman toiminnan riskin vähentämiseksi tiimit määrittävät, mitkä kyberturvallisuuden tekoälyagenttien toiminnot ne voivat suorittaa itsenäisesti. Lisäksi ne luovat hyväksyntätyönkulut suurivaikutteisille tai arkaluonteisille toimille ja määrittävät kynnysarvot sille, milloin suojausagenttien täytyy siirtää asia analyytikoille.

Roolipohjaisen käytön hallinta (RBAC) auttaa vähentämään tahattoman toiminnan riskiä rajoittamalla agentin pääsyn järjestelmiin, tietoihin ja toimiin, joita sen tietty tehtävä edellyttää. Tästä syystä identiteettitiimit soveltavat agentteihin samoja vähimpien käyttöoikeuksien periaatteita kuin ihmisiin.

Suojaustiimit kirjaavat ja valvovat agentin kaikkia toimintoja, mukaan lukien päätöksiä, työkalujen käyttöä ja tuloksia, jotta näkyvyys agenttien toimintaan säilyy. Tämä auttaa heitä tutkimaan tapauksia, täyttämään vaatimustenmukaisuusvaatimukset ja havaitsemaan käyttöönotto-ongelmia, jotka on hienosäädettävä.

Analyytikot omaksuvat todennäköisemmin agenttisen tekoälyn, jos he kokevat saavansa tietoa ja säilyttävänsä kontrollin. Organisaatiot voivat rakentaa luottamusta varmistamalla, että agentin suositukset ovat selkeitä ja helposti ymmärrettäviä. Ne myös menestyvät paremmin, kun ne käyttävät tekoälyä täydentämään analyytikon päätöksentekoa sen sijaan, että korvaisivat sen.

Tietoturvakeskuksilla (SOC), IT:llä ja vaatimustenmukaisuustiimeillä on kaikilla rooli agenttisen tekoälyn turvallisessa ja tehokkaassa käyttöönotossa organisaation riskinsietokyvyn mukaisesti. Alojen välinen tiimi auttaa organisaatioita määrittämään toiminnallisia käyttötapauksia, hallitsemaan integrointia ja infrastruktuuria sekä täyttämään lakisääteiset vaatimukset.

Täysin agenttisten työnkulkujen rakentaminen niin, että ne toimivat eri tietoturva-alueilla, on monivaiheinen prosessi. Kun organisaatioiden operatiivinen kypsyys kasvaa, ne tarvitsevat vahvempaa hallintaa ja valvontaa.

Varhaisimmassa vaiheessa organisaatiot käyttävät ennalta määritettyjä komentosarjoja ja työnkulkuja toistuvien tietoturvatehtävien hoitamiseen.

Miltä menestys näyttää:

• Rutiinitehtävien, kuten hälytyksen rikastamisen tai tiketin luomisen, johdonmukainen suorittaminen.
• Manuaalisen työn vähentyminen yksinkertaisemmissa työnkuluissa.
• Riippuvuus staattisista säännöistä ja toimintamalleista.

Valmiusindikaattorit:

• Vakaat SIEM-, SOAR- ja tikettijärjestelmien integraatiot.
• Selkeästi määritellyt ja toistettavat tietoturvaprosessit.
• Suuri määrä toistuvia analyytikkotehtäviä.

Tässä vaiheessa tekoäly tukee analyytikoita parantamalla näkyvyyttä, tiivistämistä ja päätöksentekoa, mutta ei tee suoria toimia.

Miltä menestys näyttää:

• Nopeampi tutkinta tekoälyn luomien yhteenvetojen ja näkemysten avulla.
• Parempi hälytysten ymmärrys ja kontekstin rikastaminen.
• Analyytikot ovat edelleen täysin vastuussa päätöksistä ja toimista.

Valmiusindikaattorit:

• Kypsät tietoputket ja keskitetyt mittarit.
• Vakiintuneet tietoturvaoperaatioiden prosessit.
• Tarve nopeammalle luokittelulle ja tutkinnan tuelle.

Tässä agenttinen tekoäly alkaa tehdä rajattuja toimia määriteltyjen suojarajojen sisällä, mutta ihmiset säilyttävät hyväksymisoikeuden korkeamman riskin toimissa.

Miltä menestys näyttää:

• Automatisoitu luokittelu, rikastaminen ja suositellut korjaustoimet.
• Analyytikoiden työmäärän väheneminen toistuvissa tutkintatehtävissä.
• Ihmisen tekemä hyväksyntä eristys- ja korjaustoimille.

Valmiusindikaattorit:

• Automaatiojärjestelmien vahvat käyttäjätietojen ja käyttöoikeuksien hallintatoiminnot.
• Hyvin määritellyt eskalointi- ja hyväksyntätyönkulut.
• Luottamus tietojen laatuun ja järjestelmäintegraatioihin.

Kypsimmässä vaiheessa agenttinen tekoäly toimii useilla osa-alueilla ja koordinoi toimia mahdollisimman vähäisellä analyytikon ohjauksella sovittujen rajojen puitteissa. Tämä mahdollistaa koko organisaation kattavan päästä päähän -suojausorkestroinnin.

Miltä menestys näyttää:

• Jatkuva, autonominen havaitseminen, tutkinta ja reagointi eri ympäristöissä.
• Monialainen koordinointi tietoturvan, IT:n, identiteetin ja vaatimustenmukaisuuden järjestelmien välillä.
• Ihmiset keskittyvät hallintaan, strategiaan ja poikkeusten käsittelyyn.

Valmiusindikaattorit:

• Kehittyneet hallintakehykset tekoälylle ja automaatiolle.
• Suuren luottamuksen mittarit ja tietojen eheys järjestelmien välillä.
• Vahva eri toimintojen välinen yhteensovitus tietoturva-, IT- ja vaatimustenmukaisuustiimien välillä.
• Vakiintunut luottamus automatisoituun päätöksentekoon, jossa on auditoitavuus ja valvonta.

Agenttinen tekoäly on edelleen käyttöönottonsa alkuvaiheessa, mutta useat selkeät trendit muokkaavat sen kehitystä tietoturvassa.

• Autonominen red teaming. Tekoälyagentit alkavat yhä useammin simuloida hyökkääjän toimintaa, jotta ne voivat testata puolustuksia jatkuvasti, tunnistaa heikkouksia ja vahvistaa suojausmäärittelyjä reaaliajassa.
• Agenttien silmukat. Agenttinen tekoäly tietoturvatoiminnoissa muuttuu jatkuvammaksi ja itseään kehittäväksi, kun agentit havainnoivat, toimivat ja oppivat tuloksista tarkentaakseen havaitsemista ja reagointia.
• Tekoälyn ja tekoälyn välinen kyberkonflikti. Kun myös kyberhyökkääjät ottavat tekoälyn käyttöön, tulevissa kyberkohtaamisissa puolustavat ja hyökkäävät agenttiset järjestelmät voivat kilpailla suoraan keskenään.
• Ennakoiva puolustus. Sen sijaan että järjestelmät reagoisivat tapahtumiin, agenttiset järjestelmät ennakoivat uhkia analysoimalla malleja, altistustietoja ja hyökkääjän toimintaa, jotta kyberhyökkäykset voidaan estää ennen niiden tapahtumista.
• Yhteistoiminnalliset tekoälyagentit. Useat erikoistuneet agentit koordinoivat tehtäviä, kuten havaitsemista, tutkintaa, korjaamista ja raportointia, jotta tietoturvan työnkulut skaalautuvat paremmin ja kestävät häiriöitä paremmin.
• Analyytikon kehittyvä rooli. Analyytikot siirtyvät pois toistuvista tutkinta- ja reagointitehtävistä kohti arvokkaampia vastuita, kuten agenttien valvontaa, käytäntöjen suunnittelua ja strategista riskienhallintaa.

Organisaatiot voivat havaita uhkia, tutkia niitä ja vastata niihin koko digitaalisessa ympäristössään Microsoftin yhtenäisen, tekoälypohjaisen tietoturva-alustan avulla. Keskiössä on Microsoft Security Copilot, luonnollista kieltä ymmärtävä tekoälyavusteinen tietoturvaratkaisu, jonka avulla analyytikot voivat perustella tapausten käsittelyä, tiivistää uhkia ja koordinoida reagointitoimia eri ympäristöissä. Sisäänrakennetut agentit laajentavat näitä ominaisuuksia Microsoft Security -ratkaisuissa.

Tietoturvatiimit hukkuvat usein hälytysten määrään, manuaaliseen luokitteluun ja hajanaisiin tutkintoihin. Microsoft Defender XDR:ssä agenttinen tekoäly auttaa priorisoimaan suuririskisiä ongelmia, tutkimaan tapauksia nopeammin ja parantamaan reagoinnin tehokkuutta.

• Suojausilmoitusten luokitteluagentti – priorisoi ilmoitukset, jotta hälytyskuorma vähenee ja analyytikot voivat keskittyä nopeammin suuririskisiin tapauksiin.
• Suojausanalyysiagentti – tutkii tapauksia, korreloi signaaleja ja suosittelee reagointitoimia SOC-työnkulkujen sujuvoittamiseksi.
• Uhkien etsinnän agentti – hakee tietoja eri ympäristöistä paljastaakseen piilossa olevat uhat, epäilyttävän toiminnan ja uudet hyökkäysmallit.
• Dynaaminen uhkien tunnistuksen agentti – analysoi toimintaa jatkuvasti ja mukauttaa havaitsemislogiikkaa, jotta muuttuvat uhat ja poikkeamat löytyvät.
• Uhkatietämysagentti – tiivistää uhkatiedon toiminnallisiksi havainnoiksi, jotta tiimit pysyvät uusien riskien edellä.

Yhdessä nämä agentit vähentävät manuaalista tutkintaa ja nopeuttavat reagointia päätepisteissä, identiteeteissä, sähköpostissa ja pilvityönkuluissa.

Microsoft Sentinelissä Security Copilot auttaa analyytikkoja siirtymään manuaalisesta tutkinnasta luonnolliseen kieleen ja kehoteoppaaseen perustuviin työnkulkuihin. Analyytikot voivat luoda KQL:ää, tiivistää tapauksia, rikastaa entiteettejä, analysoida käyttäjiä ja laitteita sekä automatisoida tutkinnan vaiheet Logic Appsin ja kehoteoppaiden avulla.

Mukautettu Sentinelin tapausraportointiavustaja voi poimia tapauksista tutkinnan havainnot, entiteetit, oivallukset ja korjaustoimet. Kehoteoppaat voivat myös automatisoida käyttäjäanalyysin ja lisätä havainnot suoraan tapauksen toimintalokeihin.

Nämä ominaisuudet auttavat vähentämään manuaalista kyselyiden kirjoittamista, parantavat tutkinnan yhdenmukaisuutta ja säästävät analyytikoiden aikaa automatisoimalla toistuvia tehtäviä.

Microsoft Purview’ssa Security Copilot auttaa tiimejä suojaamaan ja hallitsemaan tietoja tietojen suojaustason hallinnan, tietojen menetyksen estämisen, sisäisten käyttäjien riskin hallinnan, eDiscoveryn, valvonnan ja viestinnän vaatimustenmukaisuuden avulla.

• Tietoturvan luokitteluagentti – priorisoi DLP- ja sisäisten käyttäjien riski -hälytykset, selittää riskin kontekstin ja voi käynnistää korjaustyönkulkuja tietojen omistajien kanssa.
• Tietojen suojaustason agentti – löytää arkaluonteisia tietoja, tunnistaa piileviä riskejä ja paljastuneita tunnistetietoja, parantaa arkaluonteisuusluokitusta ja luo johdolle valmiita yhteenvetoja.

Nämä ominaisuudet auttavat tietoturvatiimejä vähentämään manuaalista luokittelua, priorisoimaan kriittiset riskit nopeammin ja vahvistamaan tietoturva- ja vaatimustenmukaisuustoimintoja.

Microsoft Entra -ympäristössä Security Copilot auttaa tiimejä tutkimaan riskialttiita käyttäjiä, epätavallisia kirjautumisia, etuoikeutettua käyttöä ja identiteettipohjaisia uhkia. Copilot voi tiivistää identiteettikontekstin, selittää riskisignaalit ja suositella toimia, kuten istunnon mitätöintiä, käyttöoikeuksien tarkistuksia tai ehdollisen pääsyn käytäntöjen hienosäätöä.

Ominaisuuksiin kuuluvat identiteetti- ja käyttöoikeusagentit sekä Microsoft Entra -agenttitunnus, jonka avulla organisaatiot voivat rekisteröidä, hallita ja valvoa tekoälyagenttien identiteettejä elinkaaren hallinnan, käyttöoikeuksien hallinnan ja identiteettisuojausten avulla.

Nämä ominaisuudet auttavat organisaatioita vähentämään identiteettiriskejä ja soveltamaan Zero Trust -suojausmallin periaatteita sekä ihmisten että tekoälyidentiteettien kohdalla.

Microsoft Intunessa Security Copilot auttaa päätepiste- ja IT-tiimejä ymmärtämään laitteen yhteensopivuutta, määritysten poikkeamista, haavoittuvuuden altistumista ja korjaustarpeita. Copilot voi tiivistää laiteriskin, selittää vaatimustenmukaisuusongelmat, suositella seuraavia vaiheita ja auttaa tiimejä reagoimaan nopeammin.

Päätepisteiden hallinnan agentit auttavat automatisoimaan vaatimustenmukaisuuden tarkistuksia, tutkimaan laiteongelmia ja ohjaamaan korjaamista hallituissa päätepisteissä.

Nämä ominaisuudet auttavat vähentämään manuaalista päätepisteiden tutkintaa, parantavat vaatimustenmukaisuuden toimintaa ja paikkaavat määrityspuutteet nopeammin.

Yhdessä Microsoft Security Copilot ja sisäänrakennetut agentit auttavat organisaatioita siirtymään reaktiivisista, manuaalisista tietoturvatoiminnoista mukautuvaan, tekoälyavusteiseen puolustukseen, joka parantaa suojausta, nopeutta ja skaalautuvuutta koko tietoturvan elinkaaren ajan.