מהי בינה מלאכותית סוכנתית באבטחת סייבר?

מערכות של בינה מלאכותית סוכנתית מתוכננות לעיתים קרובות עם מנגנוני פיקוח אנושיים מובנים, כדי לאזן בין אוטונומיה לבין שליטה.

בגישה של Microsoft לבינה מלאכותית סוכנתית עבור אבטחת סייבר, היא מתוכננים כמודל שיתופי שבו מפעילים אנושיים יכולים לנטר ולהנחות את התנהגות המערכת.

הנה כמה דוגמאות נפוצות:

• הסקה שקופה. מערכות Microsoft מספקות הקשר תומך ונימוק יחד עם המלצות כדי לעזור לאנליסטים להבין את פלטי המערכת ואת נתיבי קבלת ההחלטות.

• אישור והתאמה. צוותים יכולים לסקור, לאשר, לדחות או לכוונן פעולות של המערכת, ולשלב משוב כדי לשפר את התוצאות באופן מתמשך.

• בקרות שניתנות לביקורת. הפעילויות מנוהלות על-ידי בקרות אבטחה ארגוניות כגון גישה מבוססת-תפקידים, יומני ביקורת ואמצעי הגנה בתהליכי עבודה, כדי לתמוך בדרישות אחריות ותאימות.

בינה מלאכותית סוכנתית יכולה להגיב באופן דינמי לתנאים משתנים ולהתאים את התנהגותה בהתאם להקשר, בזכות תהליך הנקרא "לולאה סוכנתית" – רצף של שלבים שהסוכן חוזר עליהם עד שהוא משיג את מטרתו.

תפיסה ← הסקת מסקנות ← תכנון ← פעולה ← למידה

• תפיסה. המערכת אוספת מידע מהסביבה שלה, כולל יומנים, התראות, פעילות משתמשים, בינת איומים ונתונים מכלים וממערכות מחוברים.
• הסקת מסקנות. היא מנתחת את המידע, מזהה דפוסים, מעריכה סיכונים וקובעת את משמעות הנתונים בהתאם להקשר.
• תכנון. בהתאם ליעדיה, המערכת מגבשת רצף פעולות להשגת התוצאה הרצויה.
• פעולה. הסוכן מבצע משימות, כגון בידוד מכשיר, פתיחת קריאת שירות, הסלמת התראה או איסוף ראיות נוספות, באמצעות אינטראקציה עם כלים, מערכות או זרימות עבודה.
• למידה. המערכת מעריכה את תוצאות פעולותיה ומשתמשת במשוב, בנתונים חדשים ובתוצאות קודמות כדי לשפר החלטות ותגובות בעתיד.

כדי שבינה מלאכותית סוכנתית תפעל ביעילות, על הצוותים גם להחליט אם הם מעוניינים להשתמש במערכת בעלת סוכן יחיד או במערכת מרובת סוכנים. מערכת בעלת סוכן יחיד מסתמכת על סוכן אחד לניהול משימות וקבלת החלטות, ומתאימה כאשר זרימות העבודה פשוטות יחסית וקבלת ההחלטות מרוכזת. אם זרימות העבודה מורכבות או דורשות סוגים שונים של מומחיות, ארגונים מקימים לעיתים קרובות מערכת מרובת סוכנים המשתמשת בכמה סוכני AI ייעודיים עבור אבטחת סייבר, הפועלים יחד להשגת מטרה משותפת.

גם כאשר קיימות יכולות אוטונומיות, פיקוח אנושי עדיין נותר חשוב. ארגונים רבים משתמשים בנקודות בקרה מסוג 'גורם אנושי בלולאה' ובשערי אישור עבור פעולות רגישות או בעלות סיכון גבוה, כדי לסייע בשמירה על פיקוח, אחריות ובקרה תפעולית.

ההבדלים בין אוטומציה מסורתית, בינה מלאכותית גנרטיבית ובינה מלאכותית סוכנתית נעשים ברורים יותר כשמשווים ביניהם לאורך ממדים מרכזיים.

למרבה הצער, עסקים וממשלות אינם היחידים שמאמצים AI בקצב מהיר. גורמי איום משתמשים במערכות סוכנים כדי להגביר את המהירות ואת ההיקף של מתקפות הסייבר שלהם, ובכך יוצרים או מחמירים כמה אתגרים בתחום אבטחת הסייבר, ובהם:

• אתגר ההיקף. צוותי אבטחה מתמודדים לעיתים קרובות עם נפחי התראות עצומים, מורכבות הולכת וגוברת של הנתונים ומחסור מתמשך באנליסטים.
• אתגר המהירות. תוקפי סייבר הופכים את פעילותם לאוטומטית יותר ויותר, בעוד שמגינים רבים עדיין מסתמכים על תהליכים ידניים של מיון ראשוני ותגובה לתקריות.
• אתגר המהימנות והדיוק. חשיפה ממושכת למשמרות לילה ולנפחים גבוהים של משימות חוזרות עלולה להוביל לעייפות ולשחיקה של אנליסטים, ולהגדיל את הסיכון לחוסר עקביות ולשגיאות אנוש.
• אתגר החוסן. ארגונים מודרניים פועלים בסביבות היברידיות הכוללות פלטפורמות ענן, נקודות קצה, זהויות, יישומים ושירותי צד שלישי. משטח תקיפה מתרחב זה מגביר את הסיכון התפעולי ויוצר הזדמנויות רבות יותר עבור תוקפי סייבר.

בינה מלאכותית סוכנתית באבטחת סייבר מסייעת לצוותי אבטחה לפעול ביעילות רבה יותר בסביבות שהופכות למורכבות, דינמיות ומקושרות מדי עבור פעולות אבטחה (SecOps) ידניות לחלוטין. גישה זו שונה מהמושג הרחב יותר של אבטחת בינה מלאכותית סוכנתית, המתמקד בהגנה על מערכות AI עצמן.

במקום להחליף את צוותי האבטחה, בינה מלאכותית סוכנתית משמשת ככופל כוח בפעילות אבטחת הסייבר, ומובילה ליתרונות כגון:

• זמן ממוצע מהיר יותר לזיהוי ולתגובה (MTTD/MTTR). בינה מלאכותית סוכנתית יכולה לחקור התראות, לקשר בין אותות ולתאם פעולות תגובה במהירות, ובכך לסייע לצוותים לקצר את זמני הזיהוי והתגובה.
• פחות שחיקה של אנליסטים ויותר זמן לעבודה בעלת ערך גבוה. על-ידי טיפול במשימות חוזרות וגוזלות זמן, בינה מלאכותית סוכנתית מסייעת להפחית את עייפות ההתראות ומאפשרת לאנליסטים להתמקד בחקירות ובקבלת החלטות אסטרטגיות יותר.
• מיון ראשוני ותגובה עקביים וניתנים לשחזור. בינה מלאכותית סוכנתית מיישמת זרימות עבודה ותהליכים באופן עקבי בכל האירועים, ובכך משפרת את מהימנות התפעול באמצעות צמצום השונות הנגרמת מפעולות ידניות.
• כיסוי מסביב-לשעון וגמישות בהיקף. בניגוד לצוותים אנושיים, בינה מלאכותית סוכנתית יכולה לפעול באופן רציף ולהתרחב כדי לטפל בנפחים גדולים של התראות, אירועים ונתונים, ללא צורך בכוח אדם נוסף.
• יחס אות-לרעש משופר ותעדוף טוב יותר. בינה מלאכותית סוכנתית יכולה לנתח כמויות גדולות של נתונים הקשריים כדי לסייע בזיהוי האיומים החשובים ביותר, להפחית התראות מיותרות ולשפר את התעדוף.
• חוסן משופר וניהול סיכונים יזום. בינה מלאכותית סוכנתית יכולה לנטר סביבות באופן רציף, לזהות חולשות פוטנציאליות ולתמוך באמצעי אבטחה יזומים המסייעים לארגונים להפחית סיכונים ולשפר את החוסן התפעולי לאורך זמן.

כמה תרחישי שימוש מדגימים איך אנשים וסוכנים יכולים לעבוד יחד כדי לחזק את האבטחה.

צוותי אבטחה מתמודדים לעיתים קרובות עם יותר התראות ממה שהם יכולים לחקור ידנית, ולכן תעדוף הוא חיוני לתגובה יעילה.

התפקיד של הסוכן:

• מעשיר התראות בבינת איומים, הקשר של נכסים ונתוני התנהגות משתמשים.
• מתעדף אירועים על-סמך סיכון ודירוג ביטחון.
• ממליץ על השלבים הבאים לחקירה או לתיקון.

התפקיד של האנליסט:

• סוקר אירועים בעדיפות גבוהה.
• מאמת ממצאים והחלטות הסלמה.
• מטפל בחקירות מורכבות או רגישות.

צוותי אבטחה מסתמכים על כמויות גדולות של נתוני איומים, ולכן קשה לחלץ במהירות תובנות רלוונטיות וישימות.

התפקיד של הסוכן:

• אוסף ומסכם בינת איומים ממקורות מרובים.
• מספק מודעות מצב בזמן אמת ודיווח מהיר.
• מתאם פעילות איומים בין סביבות.

התפקיד של האנליסט:

• מפרש סיכון אסטרטגי ומגמות איומים.
• מאמת רלוונטיות והשפעה של מידע בינה.
• מנחה סדרי עדיפויות ותכנון של התגובה.

זיהוי איומים סמויים או מתפתחים דורש ניתוח רציף על פני מערכי נתונים גדולים ומורכבים.

התפקיד של הסוכן:

• יוצר השערות ציד ושולח שאילתות למקורות נתונים.
• מבצע איטרציות על פני מערכי נתונים גדולים כדי לזהות פעילות חשודה.
• מבצע ציד ברקע באופן רציף כדי לזהות איומים מתפתחים.

התפקיד של האנליסט:

• מאמת ממצאים וקובע השפעה עסקית.
• חוקר פעילות של מתקפות סייבר מתקדמות או ממוקדות.
• מחדד אסטרטגיות ציד וסדרי עדיפויות.

תגובה לאירועי אבטחה דורשת תיאום מהיר בין פעולות זיהוי, חקירה ובלימה.

התפקיד של הסוכן:

• הופך איסוף ראיות ותיעוד של האירוע לאוטומטיים.
• מנסח צירי זמן ומסכם פעילות של מתקפת הסייבר.
• מבצע פעולות בלימה באישור אנליסטים.
• מסייע להגן על נקודות קצה ומבצע אוטומציה של תהליכי תיקון פגיעויות.

תפקיד האנליסט:

• מאשר פעולות תגובה בעלות סיכון גבוה.
• מפקח על פעולות התיקון והשחזור.
• מתאם את התקשורת ואת הסקירה שלאחר התקרית.

על ארגונים לזהות ולתעדף חולשות אבטחה לפני שגורמי איום ינצלו אותן.

התפקיד של הסוכן:

• מתעדף פגיעויות בהתאם לרמת הסיכון ולערכם של הנכסים הנמצאים בסיכון.
• מזהה חשיפות בסביבות ענן, נקודות קצה וזהויות.
• ממליץ על מסלולי תיקון ועל פעולות לצמצום סיכונים.

התפקיד של האנליסט:

• קובע סדרי עדיפויות לתיקון בהתאם לסיכון העסקי.
• מאמת את הפעולות המומלצות.
• מתאם את פעולות התקנת העדכונים והפחתת הסיכונים.

ניטור פעילות זהויות חיוני לזיהוי גישה בלתי מורשית ולמניעת שימוש לרעה בהרשאות.

תפקיד הסוכן:

• מזהה דפוסי כניסה וגישה חריגים.
• מזהה הרשאות מסוכנות וסיכונים של הסלמת הרשאות.
• מנטר באופן רציף איומים הקשורים לזהויות.

תפקיד מנהל הזהויות והגישה:

• סוקר אירועי גישה בעלי סיכון גבוה.
• מאשר שינויים במדיניות או בהרשאות.
• חוקר פעילות שעשויה להעיד על גורם פנימי זדוני או על פשרה של חשבון.

צוותי אבטחה חייבים לפתח ולשפר באופן מתמיד את לוגיקת הזיהוי כדי לעמוד בקצב האיומים המתפתחים.

תפקיד הסוכן:

• כותב ובודק לוגיקת זיהוי.
• מאמת כיסוי זיהוי ומזהה פערים.
• מציע שיפורים בכוונון כדי להפחית תוצאות חיוביות שגויות.

התפקיד של האנליסט:

• סוקר ומאשר עדכוני זיהוי.
• מתאים את מנגנוני הזיהוי לסדרי העדיפויות של הארגון.
• מפקח על ארכיטקטורת האבטחה והאסטרטגיה לטווח הארוך.

הגנה על נתונים רגישים מחייבת ניטור, סיווג ואכיפה רציפים של מדיניות אבטחה.

התפקיד של הסוכן:

• חוקר ומתעדף סיכונים של מניעת אובדן נתונים ושל גורמים פנימיים.
• הופך את הגילוי והניתוח של סיכוני נתונים רגישים לאוטומטיים בכל הסביבות.
• מזהה הפרות מדיניות ופערי תאימות.

תפקיד מנהל אבטחת הנתונים:

• סוקר אירועי חשיפה של נתונים בעלי סיכון גבוה.
• קובע את דרישות התאימות והפיקוח.
• מפקח על החלטות הנוגעות לתיקון ולאכיפת מדיניות.

בינה מלאכותית סוכנתית באבטחת סייבר מספקת את הערך הרב ביותר כאשר היא מסייעת לצוותים לנתח נתונים, להעשיר התראות ולהגיב לפגיעויות ולאיומים בכל רחבי הסביבה. לשם כך, ארגונים משתמשים בממשקי API כדי לחבר סוכני אבטחה לכלים שבהם הם כבר משתמשים, כגון SOAR, ‏זיהוי ותגובה מורחבים (XDR), ‏ניהול מצב האבטחה הכולל בענן (CSPM), ‏ניהול זהויות וגישה (IAM), ‏ניהול מידע ואירועים של אבטחה (SIEM), כלי זיהוי ותגובה בנקודות קצה (EDR) ופתרונות לניהול קריאות. הדבר מאפשר למערכות בינה מלאכותית סוכנתית לאחזר מידע, לתאם תהליכי עבודה, להפעיל פעולות ולעדכן מערכות בזמן אמת.

אוטומציה חוסכת לצוותים זמן רב, אך עדיין חשוב לשמור על שליטה ועל אחריותיות כדי להימנע מפעולות בלתי מכוונות. צוותי אבטחה דורשים בדרך כלל מאנליסטים לסקור החלטות בעלות סיכון גבוה, תוך מתן אוטונומיה רבה יותר לפעולות בעלות סיכון נמוך יותר. בכל אחד מהמקרים, חשוב להגדיר פיקוח על נתונים ובקרות גישה כדי לסייע בהבטחת אינטראקציה של AI רק עם מערכות ונתונים מאושרים.

צוותי האבטחה שמצליחים הכי הרבה עם בינה מלאכותית סוכנתית מיישמים כלי מדידה כדי להעריך עד כמה הם עומדים ביעדים. הדבר מספק להם את המידע הדרוש כדי להתאים ולשפר את אופן היישום.

מדדי הצלחה מרכזיים כוללים:

נתונים המסייעים לקבוע את מידת היעילות של תפעול האבטחה כוללים:

• MTTD ו- MTTR.
• מספר ההתראות שסווגו או נסגרו באופן אוטומטי.
• הפחתה בשיעור החיוביים השגויים.
• הזמן שנדרש לחקירה ולפתרון אירועים.

מדדים אלה נותנים להנהלה תובנה לגבי האופן שבו בינה מלאכותית סוכנתית משנה את הדרך שבה צוותי האבטחה מקצים את הזמן שלהם:

• שעות העבודה של אנליסטים שנחסכו מחקירה וממיון ראשוני ידניים.
• שיעור ההסלמה של התראות הדורשות התערבות של אנליסט.
• הזמן הנדרש להכשרת אנליסטים חדשים באמצעות זרימות עבודה הנתמכות על-ידי AI.
• צמצום משימות חוזרות או בעלות ערך נמוך.

מנהלים יכולים גם לראות כיצד שיפורי האבטחה משפיעים על הארגון כולו באמצעות מדדים כגון:

• העלות לכל תקרית אבטחה.
• הכיסוי בכל הסביבות, הזהויות, נקודות הקצה ומשאבי הענן
• מצב התאימות הכולל והמוכנות לביקורת.
• צמצום החשיפה לסיכון תפעולי לאורך זמן.

מכיוון שמערכות סוכנתיות פועלות ברמות שונות של אוטונומיה, פיקוח, שקיפות ושליטה הם מרכיבים חיוניים לפריסה בטוחה.

• סוכני צל ואוטומציה לא מנוהלת. ככל שמערכות סוכנים מתרחבות, ארגונים עלולים ליצור, מבלי להתכוון, סוכנים לא מנוהלים או כפולים. ללא פיקוח מתאים, "סוכני צל" אלה עלולים לגרום להתנהגות לא עקבית או לפעולות בלתי מורשות.
• הזיות ותוצאות חיוביות שגויות. כמו מערכות AI אחרות, בינה מלאכותית סוכנתית יכולה להפיק מסקנות שגויות או לפרש נתונים בצורה לא נכונה, ועלולה להוביל להתראות מיותרות או לפעולות שגויות אם לא מאמתים אותה.
• אוטומציית יתר ואובדן פיקוח. הסתמכות מופרזת על אוטומציה עלולה להפחית את הנראות של תהליכי קבלת ההחלטות, ולהגדיל את הסיכון להחמצת הקשר או לביצוע פעולות לא מתאימות.
• פרטיות נתונים ובקרת גישה. מערכות בינה מלאכותית סוכנתית דורשות גישה לנתוני אבטחה רגישים, ולכן בקרה קפדנית על הרשאות, גבולות נתונים וגישה בהרשאות המינימליות הנדרשות היא קריטית.
• סחיפת מודל ומניפולציה עוינת. עם הזמן, ביצועי המודל עלולים להידרדר ככל שהסביבות משתנות. בנוסף, תוקפי סייבר עשויים לנסות לבצע מניפולציה על קלטים או על מדדים כדי להשפיע על התנהגות הסוכן.

• NIST AI Risk Management Framework (AI RMF) מספקת הנחיות לניהול סיכונים הקשורים ל- AI לאורך כל מחזור החיים, לרבות פיקוח, מיפוי, מדידה וניהול.
• ISO/IEC 42001 מגדיר דרישות למערכת ניהול AI, תוך התמקדות בפיתוח ובשימוש אחראיים במערכות AI.
• EU AI Act מציג סיווג מבוסס סיכון ודרישות תאימות עבור מערכות AI הפועלות באיחוד האירופי או משפיעות עליו.
• תקנות ייעודיות למגזרים מסוימים כוללות דרישות ייחודיות לתעשיות מסוימות, כגון חוק היבילות ואחריות הדיווח של ביטוח בריאות (HIPAA) להגנה על נתוני בריאות, תקן האבטחה של נתוני תעשייה לכרטיס תשלום (PCI DSS) לאבטחת תשלומים ו- Sarbanes-Oxley Act (SOX) לבקרות דיווח פיננסי.

כאשר צוותי אבטחה פורסים ומרחיבים סוכני AI עבור אבטחת סייבר ברחבי הארגון, אסטרטגיה מושכלת מסייעת לשפר את תוצאות האבטחה תוך שמירה על שקיפות, אחריות ואמון בין הצוותים.

ארגונים בדרך כלל מכניסים בינה מלאכותית סוכנתית בשלבים מבוקרים, כשהם מתחילים במקרי שימוש מסייעים בסיכון נמוך לפני שהם מתרחבים לפעולות בעלות השפעה גבוהה יותר. חשוב גם לתעדף שקיפות באופן שבו סוכני האבטחה מקבלים החלטות.

כללי מיגון מוגדרים היטב עוזרים להגביל את התנהגות הסוכן לגבולות בטוחים וצפויים. כדי לצמצם את הסיכון להתנהגות לא צפויה, צוותים מגדירים אילו פעולות סוכני AI לאבטחת סייבר יכולים לבצע באופן אוטונומי, קובעים תהליכי אישור לפעולות בעלות השפעה גבוהה או רגישות, ומגדירים ספים למקרים שבהם סוכני אבטחה צריכים להסלים את הטיפול לאנליסטים.

בקרת גישה המבוססת על תפקיד (RBAC) עוזרת להפחית את הסיכון לפעילות לא מכוונת על-ידי הגבלת הגישה של הסוכן למערכות, לנתונים ולפעולות הנדרשים לתפקיד הספציפי שלו. מהסיבה הזו, צוותי זהויות מיישמים על סוכנים את אותם עקרונות של הרשאות מינימליות שהם מיישמים על אנשים.

כדי לשמור על נראות של התנהגות הסוכן, צוותי אבטחה מתעדים ביומן ומבקרים את כל פעולות הסוכן, כולל החלטות, שימוש בכלים ותוצאות. הדבר מסייע להם לחקור תקריות, לעמוד בדרישות תאימות ולזהות בעיות ביישום הדורשות כוונון.

אנליסטים נוטים יותר לאמץ בינה מלאכותית סוכנתית אם הם מרגישים שהם מעודכנים ושיש להם שליטה. ארגונים יכולים לבנות אמון באמצעות הבטחת בהירות וקלות ההבנה של המלצות הסוכן. הם גם משיגים תוצאות טובות יותר כאשר הם משתמשים ב- AI כדי לתמוך בקבלת ההחלטות של האנליסטים, ולא כדי להחליפה.

מרכזי תפעול אבטחה (SOCs), IT וצוותי תאימות ממלאים כולם תפקיד בפריסה בטוחה, אפקטיבית ותואמת לרמת הסיכון הארגונית של בינה מלאכותית סוכנתית. צוות רב-תחומי מסייע לארגונים להגדיר תרחישי שימוש תפעוליים, לנהל אינטגרציה ותשתיות ולעמוד בדרישות רגולטוריות.

בניית זרימות עבודה סוכנתיות מלאות הפועלות בכל תחומי אבטחת הסייבר היא תהליך רב-שלבי. ככל שהארגונים מגבירים את הבשלות התפעולית שלהם, כך הם זקוקים לממשל ולפיקוח חזקים יותר.

בשלב המוקדם ביותר, ארגונים משתמשים בתסריטים ובזרימות עבודה מוגדרים מראש כדי לטפל במשימות אבטחה חוזרות.

איך נראית הצלחה:

• ביצוע עקבי של משימות שגרתיות, כמו העשרת התראה או יצירת קריאה.
• הפחתת המאמץ הידני בתהליכי עבודה בעלי מורכבות נמוכה.
• תלות בכללים ובמדריכים סטטיים.

מדדי מוכנות:

• שילובים יציבים עם SIEM, SOAR ומערכות ניהול קריאות.
• תהליכי אבטחה מוגדרים היטב וניתנים לחזרה.
• נפח גבוה של משימות אנליסטים חוזרות.

בשלב זה, AI תומך באנליסטים באמצעות שיפור הנראות, הסיכום וקבלת ההחלטות, אך אינו מבצע פעולות באופן ישיר.

איך נראית הצלחה:

• חקירה מהירה יותר באמצעות סיכומים ותובנות שנוצרים על-ידי AI.
• שיפור בהבנת ההתראה ובהעשרת ההקשר.
• אנליסטים נשארים אחראים באופן מלא על החלטות ועל פעולות.

מדדי מוכנות:

• קווי צינור של נתונים בשלים ומדדים מרכזיים.
• תהליכי פעולות אבטחה מבוססים.
• צורך במיון ראשוני מהיר יותר ובתמיכה בחקירות.

כאן, בינה מלאכותית סוכנתית מתחילה לבצע פעולות מוגבלות בתוך כללי מיגון מוגדרים, בעוד שאנשים שומרים על סמכות האישור עבור פעולות בסיכון גבוה יותר.

איך נראית הצלחה:

• מיון ראשוני אוטומטי, העשרה והמלצה על שלבי תיקון.
• צמצום עומס העבודה של אנליסטים במשימות חקירה חוזרות.
• אישור גורם אנושי בלולאה לפעולות הכלה ותיקון.

מדדי מוכנות:

• בקרות זהות וגישה חזקות עבור מערכות אוטומציה.
• תהליכי הסלמה ואישור מוגדרים היטב.
• ביטחון באיכות הנתונים ובשילובי המערכת.

בשלב הבשל ביותר, בינה מלאכותית סוכנתית פועלת בכמה תחומים, ומתאמת פעולות עם התערבות מינימלית של אנליסטים בתוך גבולות מוגדרים. כך ניתן לבצע תיאום אבטחה מקצה-לקצה בכל הארגון.

איך נראית הצלחה:

• זיהוי, חקירה ותגובה רציפים ואוטונומיים בכל הסביבות.
• תיאום בין-תחומי בין מערכות אבטחה, IT, זהות ותאימות.
• אנשים מתמקדים בפיקוח, באסטרטגיה ובטיפול בחריגים.

מדדי מוכנות:

• מסגרות פיקוח בשלות עבור AI ואוטומציה.
• מדדים ברמת ביטחון גבוהה ושלמות נתונים בכל המערכות.
• תיאום בין-תחומי חזק בין צוותי אבטחה, IT ותאימות.
• אמון מבוסס בקבלת החלטות אוטומטית, עם יכולת ביקורת ופיקוח.

בינה מלאכותית סוכנתית עדיין נמצאת בשלב מוקדם בעקומת האימוץ שלה, אבל כמה מגמות ברורות מעצבות את האופן שבו היא תתפתח בכל תחום האבטחה.

• Red teaming אוטונומי. סוכני AI ידמו יותר ויותר את התנהגותם של תוקפים כדי לבדוק באופן רציף את מנגנוני ההגנה, לזהות חולשות ולאמת בקרות אבטחה בזמן אמת.
• לולאות סוכן. בינה מלאכותית סוכנתית עבור תפעול אבטחה תהפוך לרציפה יותר ומשתפרת-עצמאית, כשסוכנים קולטים, פועלים ולומדים מתוצאות כדי לחדד זיהוי ותגובה.
• עימותי סייבר בין AI ל- AI. ככל שגם תוקפי סייבר יאמצו AI, עימותי סייבר עתידיים עשויים לכלול מערכות סוכניות התקפיות והגנתיות המתחרות זו בזו באופן ישיר.
• הגנה חזויה. במקום להגיב לתקריות, מערכות סוכנתיות יחזו איומים באמצעות ניתוח דפוסים, נתוני חשיפה והתנהגות תוקפים, כדי למנוע מתקפות סייבר לפני התרחשותן.
• סוכני AI שיתופיים. מספר סוכנים ייעודיים יתאמו ביניהם משימות כגון זיהוי, חקירה, תיקון ודיווח, כדי ליצור זרימות עבודה של אבטחה הניתנות יותר להרחבה ובעלות חוסן גבוה יותר.
• התפקיד המתפתח של האנליסט. האנליסטים יתרחקו ממשימות חוזרות של חקירה ותגובה ויתמקדו באחריות בעלת ערך גבוה יותר, כגון פיקוח על סוכנים, תכנון מדיניות וניהול סיכונים אסטרטגי.

ארגונים יכולים לזהות איומים, לחקור אותם ולהגיב להם ברחבי כלל הנכסים הדיגיטליים שלהם באמצעות פלטפורמת אבטחה מאוחדת המבוססת על AI מבית Microsoft. במרכז הפלטפורמה נמצא Microsoft Security Copilot, פתרון אבטחה בשפה טבעית ובסיוע AI, המאפשר לאנליסטים להסיק מסקנות לגבי תקריות, לסכם איומים ולתאם פעולות תגובה בכל הסביבות. סוכנים מוטמעים מרחיבים יכולות אלה ברחבי פתרונות האבטחה של Microsoft.

צוותי אבטחה מתמודדים לעיתים קרובות עם עומס עצום של התראות, מיון ראשוני ידני וחקירות מקוטעות. ב-Microsoft Defender XDR, בינה מלאכותית סוכנתית עוזרת לתעדף בעיות בסיכון גבוה, לחקור אירועים מהר יותר ולשפר את יעילות התגובה.

• סוכן מיון התראות אבטחה – נותן עדיפות להתראות כדי לצמצם רעש ולעזור לאנליסטים להתמקד מהר יותר באירועים בסיכון גבוה.
• סוכן ניתוח אבטחה – חוקר אירועים, מתאם בין אותות וממליץ על פעולות תגובה כדי לייעל את תהליכי העבודה ב-SOC.
• סוכן ציד איומים – מחפש בסביבות שונות כדי לחשוף איומים מוסתרים, התנהגות חשודה ודפוסי תקיפה מתפתחים.
• סוכן זיהוי איומים דינמי – מנתח פעילות באופן רציף ומתאים את לוגיקת הזיהוי כדי לזהות איומים ואנומליות מתפתחים.
• סוכן תדרוך בינת איומים – מסכם בינת איומים לתובנות מעשיות, כדי שהצוותים יוכלו להקדים סיכונים מתהווים.

יחד, הסוכנים האלה עוזרים לצמצם חקירות ידניות ולהאיץ את תגובת האירועים בנקודות קצה, זהויות, דוא"ל ועומסי עבודה בענן.

ב- Microsoft Sentinel, ‏Security Copilot מסייע לאנליסטים לעבור מחקירה ידנית לזרימות עבודה המונעות באמצעות שפה טבעית וספר הנחיות. אנליסטים יכולים ליצור שאילתות KQL, לסכם תקריות, להעשיר ישויות, לנתח משתמשים והתקנים ולהפוך שלבי חקירה לאוטומטיים באמצעות Logic Apps וספרי הנחיות.

סוכן דיווח אירועים מותאם אישית של Sentinel יכול לחלץ מתוצאות החקירה ממצאים, ישויות, תובנות ושלבי תיקון. ספרי הנחיות יכולים גם להפוך ניתוח משתמשים לאוטומטי ולהוסיף ממצאים ישירות ליומני הפעילות של התקריות.

יכולות אלה עוזרות לצמצם כתיבת שאילתות ידנית, לשפר את העקביות בחקירות ולחסוך זמן לאנליסטים באמצעות אוטומציה של משימות חוזרות.

ב- Microsoft Purview, ‏Security Copilot מסייע לצוותים לאבטח ולנהל נתונים באמצעות ניהול מצב אבטחת נתונים, ‏מניעת אובדן נתונים, ‏ניהול סיכונים פנימיים, ‏גילוי אלקטרוני, ‏ביקורת ותאימות תקשורת.

• סוכן מיון אבטחת נתונים – נותן עדיפות להתראות DLP וסיכון פנימי, מסביר את הקשר הסיכון ויכול להתחיל תהליכי תיקון עם בעלי הנתונים.
• סוכן מצב אבטחת נתונים – מגלה נתונים רגישים, מזהה סיכונים מוסתרים ואישורי גישה שנחשפו, משפר תיוג רגישות ומייצר סיכומי הנהלה.

הסוכנים האלה עוזרים לצוותי אבטחה לצמצם מיון ידני, לתעדף סיכונים קריטיים מהר יותר ולחזק את פעולות אבטחת הנתונים והתאימות.

ב- Microsoft Entra, ‏Security Copilot מסייע לצוותים לחקור משתמשים מסוכנים, כניסות חריגות, גישה מורשית ואיומים מבוססי זהויות. Copilot יכול לסכם את הקשר הזהות, להסביר אותות סיכון ולהמליץ על פעולות כגון ביטול הפעלה של הפעלה, סקירות גישה או כוונון של מדיניות גישה מותנית.

היכולות כוללות סוכני זהויות וגישה וכן את מזהה סוכן Microsoft Entra, המסייע לארגונים לרשום, לנהל ולפקח על זהויות של סוכני AI באמצעות ניהול מחזור חיים, פיקוח גישה ובקרות להגנה על זהויות.

יכולות אלה עוזרות לארגונים לצמצם סיכון לזהות וליישם עקרונות של אפס אמון על פני זהויות אנושיות וגם זהויות AI.

ב- Microsoft Intune, ‏Security Copilot מסייע לצוותי IT ולצוותי נקודות הקצה להבין את מצב התאימות של התקנים, סחיפת התצורה, החשיפה לפגיעויות וצורכי התיקון. Copilot יכול לסכם את סיכון המכשיר, להסביר בעיות אי-תאימות, להמליץ על השלבים הבאים ולסייע לצוותים להגיב מהר יותר.

סוכני ניהול נקודות קצה מסייעים להפוך בדיקות תאימות לאוטומטיות, לחקור בעיות בהתקנים ולהנחות פעולות תיקון בכל נקודות הקצה המנוהלות.

יכולות אלה מסייעות להפחית חקירה ידנית של נקודות קצה, לשפר את תפעול התאימות ולסגור פערי תצורה במהירות רבה יותר.

יחד, Microsoft Security Copilot והסוכנים המוטמעים מסייעים לארגונים לעבור מתפעול אבטחה ידני ותגובתי להגנה אדפטיבית בסיוע AI, המשפרת את ההגנה, המהירות והיכולת להתרחב לאורך כל מחזור החיים של האבטחה.