Mi az ügynöki AI a kiberbiztonságban?

Az ügynöki AI-rendszereket gyakran beépített emberi felügyelettel tervezték az autonómia és az irányítás egyensúlyának biztosítása érdekében.

A Microsoft kiberbiztonsági ügynöki AI-jának megközelítése olyan együttműködési modellként lett kialakítva, amelyben az emberi operátorok figyelhetik és irányíthatják a rendszer viselkedését.

Gyakori példák:

• Átlátható következtetés. A Microsoft rendszerei háttérinformációkat és szempontokat nyújtanak, valamint ajánlásokat tartalmaznak, amelyek segítenek az elemzőknek a rendszer eredményeinek és döntési folyamatainak megértésében.

• Jóváhagyás és finomhangolás. A csapatok áttekinthetik, jóváhagyhatják, elutasíthatják vagy finomhangolhatják a rendszer műveleteit, és a visszajelzéseket felhasználva folyamatosan javíthatják az eredményeket.

• Ellenőrizhető vezérlők. A tevékenységeket olyan vállalati biztonsági vezérlők szabályozzák, mint a szerepköralapú hozzáférés, a naplófájlok és a munkafolyamatra vonatkozó biztonsági intézkedések, hogy támogassák az elszámoltathatósági és megfelelőségi követelményeket.

Az ügynöki AI az úgynevezett ügynöki huroknak köszönhetően képes dinamikusan reagálni a változó körülményekre, és a kontextus alapján módosítani viselkedését – ez egy olyan műveletsor, amelyet az ügynök addig ismétel, amíg el nem éri célját.

Érzékelés → Következtetés → Tervezés → Végrehajtás → Tanulás

• Érzékelés. A rendszer információkat gyűjt a környezetéből, többek között naplókból, riasztásokból, felhasználói tevékenységből, az intelligens veszélyforrás-felderítésből, valamint a csatlakoztatott eszközökből és a rendszerekből származó adatokból.
• Indoklás. Elemzi az információkat, azonosítja a mintákat, értékeli a kockázatokat, és meghatározza, mit jelentenek az adatok az adott kontextusban.
• Tervezés. A célkitűzések alapján a rendszer egy műveletsort hoz létre a kívánt eredmény eléréséhez.
• Cselekvés. Az ügynök olyan feladatokat hajt végre, mint egy eszköz elkülönítése, egy jegy megnyitása, egy riasztás továbbítása vagy további bizonyítékok gyűjtése, az eszközökkel, rendszerekkel vagy munkafolyamatokkal való együttműködés révén.
• Tanulás. A rendszer értékeli a műveletek eredményeit, és a visszajelzésekből, új adatokból és korábbi eredményekből tanulva javítja jövőbeli döntéseit és válaszait.

Ahhoz, hogy az ügynöki AI hatékonyan működjön, a csapatoknak el kell dönteniük, hogy együgynökös vagy többügynökös rendszert kívánnak-e használni. Az együgynökös rendszer egyetlen ügynökre támaszkodik a feladatok és döntések kezelésében, ami jól működik, ha a munkafolyamatok viszonylag zárt keretek között zajlanak, és a döntéshozatal központosított. Ha a munkafolyamatok összetettek, vagy eltérő típusú szakértelmet igényelnek, a szervezetek gyakran többügynökös rendszert hoznak létre, ami több, specializált AI-ügynököt használ a kiberbiztonsághoz, amelyek egy közös cél érdekében működnek együtt.

Még az autonóm képességek mellett is fontos az emberi felügyelet. Sok szervezet emberi közreműködési ellenőrző pontokat és jóváhagyási kapukat használ a bizalmas vagy nagy kockázatú műveletekhez, hogy fenntartsa az irányítást, az elszámoltathatóságot és az operatív kontrollt.

A hagyományos automatizálás, a generatív AI és az ügynöki AI közötti különbségek világosabbá válnak, ha azokat a legfontosabb dimenziók mentén hasonlítjuk össze.

Sajnos nem csak a vállalkozások és a kormányok adoptálják a mesterséges intelligenciát gyors tempóban. A kiberbűnözők autonóm rendszereket használnak a kibertámadásaik sebességének és mértékének növelésére, ami számos kiberbiztonsági kihívást teremt vagy súlyosbít, többek között a következőket:

• Mérettel kapcsolatos kihívás. A biztonsági csapatok gyakran szembesülnek a riasztások elsöprő mennyiségével, az adatok egyre növekvő összetettségével és a folyamatos elemzőhiánnyal.
• Sebességgel kapcsolatos kihívás. A kiberbűnözők egyre inkább automatizálják műveleteiket, miközben a védelmi szakemberek közül sokan még mindig a manuális osztályozásra és az incidenselhárítási folyamatokra támaszkodnak.
• A megbízhatóság és pontosság kihívása. Az éjszakai műszakokkal és az ismétlődő feladatok nagy mennyiségével járó tartós terhelés elemzői fáradtsághoz és kiégéshez vezethet, növelve az inkonzisztencia és az emberi hiba kockázatát.
• A rugalmasság kihívása. A modern szervezetek hibrid környezetekben működnek, amelyek felhőplatformokat, végpontokat, identitásokat, alkalmazásokat és harmadik féltől származó szolgáltatásokat is magukban foglalnak. Ez a bővülő támadási felület növeli az operatív kockázatot, és több lehetőséget teremt a kibertámadók számára.

A kiberbiztonság területén alkalmazott ügynöki AI segít a biztonsági csapatoknak abban, hogy hatékonyabban működjenek olyan környezetekben, amelyek egyre bonyolultabbá, gyorsabbá és szorosabban összekapcsolttá válnak ahhoz, hogy a biztonsági műveleteket (SecOps) teljes mértékben manuálisan lehessen végrehajtani. Ez eltér a szélesebb körű ügynöki AI-biztonságtól, amely az AI-rendszerek védelmére összpontosít.

Az ügynöki AI nem a biztonsági csapatok helyébe lép, hanem a kiberbiztonsági műveletek hatékonyságát növeli, ami olyan előnyökkel jár, mint például:

• Gyorsabb átlagos észlelési és válaszadási idő (MTTD/MTTR). Az ügynöki AI gyorsan kivizsgálhatja a riasztásokat, összefüggéseket találhat a jelek között, és összehangolhatja a válaszlépéseket, így segítve a csapatokat az észlelési és reagálási idők csökkentésében.
• Csökkenő elemzői fáradtság és több idő a nagy értékű munkára. Az ismétlődő és időigényes feladatok átvételével az ügynöki AI segít csökkenteni a riasztási fáradtságot, és lehetővé teszi, hogy az elemzők stratégiai szempontból fontosabb vizsgálatokra és a döntéshozatalra összpontosítsanak.
• Konzisztens, megismételhető osztályozás és válasz. Az ügynöki AI konzisztensen alkalmazza a munkafolyamatokat és a folyamatokat az incidensek során, és a manuális műveletek által okozott ingadozás csökkentésével javítja az üzemeltetés megbízhatóságát.
• Éjjel-nappal biztosított lefedettség és rugalmas skálázás. Az emberi csapatokkal ellentétben az ügynöki AI folyamatosan működhet, és a riasztások, események és adatok nagy mennyiségének kezeléséhez plusz létszám nélkül is skálázható.
• Jobb jel-zaj arány és rangsorolás. Az ügynöki AI nagy mennyiségű környezeti adatot elemezhet, hogy segítsen azonosítani a legfontosabb fenyegetéseket, csökkentse a felesleges riasztásokat, és javítsa a rangsorolást.
• Nagyobb rugalmasság és proaktív kockázatkezelés. Az ügynöki AI folyamatosan figyelheti a környezeteket, azonosíthatja a lehetséges gyenge pontokat, és támogathatja azokat a proaktív biztonsági intézkedéseket, amelyek segítenek a szervezeteknek csökkenteni a kockázatot és idővel javítani a működési rugalmasságot.

Számos használati eset szemlélteti, hogy az emberek és az ügynökök hogyan működhetnek együtt a biztonság növelése érdekében.

A biztonsági csapatok gyakran több riasztással szembesülnek, mint amennyit manuálisan kivizsgálhatnak, így a fontossági sorrend meghatározása elengedhetetlen a hatékony reagáláshoz.

Az ügynök szerepköre:

• A riasztásokat intelligens veszélyforrás-felderítéssel, eszközkörnyezettel és felhasználói viselkedési adatokkal bővíti.
• Rangsorolja az incidenseket a kockázatok és a megbízhatósági pontszám alapján.
• Javasolja a vizsgálat vagy a szervizelés következő lépéseit.

Az elemző szerepköre:

• Áttekinti a kiemelt fontosságú incidenseket.
• Ellenőrzi az eredményeket és az eszkalációs döntéseket.
• Összetett vagy bizalmas vizsgálatokat kezel.

A biztonsági csapatok hatalmas mennyiségű fenyegetési adatot dolgoznak fel, ami megnehezíti a releváns és gyakorlatban is hasznosítható információk gyors kinyerését.

Az ügynök szerepköre:

• Összegyűjti és összefoglalja a intelligens veszélyforrás-felderítés adatait több forrásból.
• Valós idejű helyzetfelismerési és gyors jelentéskészítési lehetőségeket biztosít.
• Összefüggéseket keres a különböző környezetekben tapasztalható fenyegető tevékenységek között.

Az elemző szerepköre:

• Értelmezi a stratégiai kockázatokat és a fenyegetési trendeket.
• Ellenőrzi az intelligencia relevanciáját és hatását.
• Meghatározza a válaszintézkedések prioritásait és irányítja a tervezést.

A rejtett vagy újonnan felmerülő fenyegetések azonosításához folyamatos elemzésre van szükség nagy és összetett adathalmazok esetében.

Az ügynök szerepköre:

• Veszélyforrás-keresési hipotéziseket hoz létre, és adatforrásokat kérdez le.
• Nagy adathalmazokat vizsgál át a gyanús tevékenységek felismerése érdekében.
• Folyamatos háttérbeli keresést végez az újonnan felbukkanó fenyegetések felderítése érdekében.

Az elemző szerepköre:

• Ellenőrzi az eredményeket, és meghatározza az üzletmenetre gyakorolt hatást.
• Speciális vagy célzott kibertámadási tevékenységek vizsgálata.
• Finomítja a veszélyforrás-keresési stratégiákat és a prioritásokat.

A biztonsági incidensekre való reagáláshoz gyors koordinációra van szükség az észlelési, vizsgálati és elkülönítési tevékenységek szintjén.

Az ügynök szerepköre:

• Automatizálja a bizonyítékgyűjtést és az incidensek dokumentációját.
• Ütemterveket készít, és összefoglalja a kibertámadási tevékenységeket.
• Az elszigetelési műveleteket elemzők jóváhagyásával hajtja végre.
• Segít megvédeni a végpontokat és automatizálni a biztonsági rések szervizelési munkafolyamatait.

Az elemző szerepköre:

• Jóváhagyja a magas kockázatú válaszműveleteket.
• Felügyeli a szervizelési és helyreállítási feladatokat.
• Koordinálja a kommunikációt és az incidens utáni felülvizsgálatot.

A szervezeteknek azonosítaniuk és rangsorolniuk kell a biztonsági réseket, mielőtt kihasználnák őket a fenyegetést jelentő szereplők.

Az ügynök szerepköre:

• Rangsorolja a biztonsági réseket a kockázat szintje és a veszélyeztetett eszközök értéke alapján.
• Azonosítja a felhőbeli, végponti és identitási környezetekben való kitettségeket.
• Szervizelési útvonalakat és kockázatcsökkentési műveleteket javasol.

Az elemző szerepköre:

• Meghatározza a szervizelési prioritásokat az üzleti kockázat alapján.
• Ellenőrzi az ajánlott műveleteket.
• Koordinálja a javításokat és a kockázatcsökkentést.

Az identitásfigyelési tevékenység kritikus fontosságú a jogosulatlan hozzáférés észleléséhez és a jogosultságokkal való visszaélés megelőzéséhez.

Az ügynök szerepköre:

• Észleli a szokatlan bejelentkezési és hozzáférési mintákat.
• Azonosítja a kockázatos engedélyeket és a jogosultságeszkalációs kockázatokat.
• Folyamatosan figyeli az identitással kapcsolatos fenyegetéseket.

Az identitás- és hozzáférés-rendszergazdai szerepköre:

• Áttekinti a magas kockázatú hozzáférési eseményeket.
• Jóváhagyja a házirend- vagy engedélymódosításokat.
• Kivizsgálja a lehetséges belső visszaélési vagy fiókfeltörési tevékenységeket.

A biztonsági csapatoknak folyamatosan fejleszteniük és finomítaniuk kell az észlelési logikát, hogy lépést tudjanak tartani a megújuló fenyegetésekkel.

Az ügynök szerepköre:

• Írja és teszteli az észlelési logikát.
• Ellenőrzi az észlelési lefedettséget, és azonosítja a hiányosságokat.
• Finomhangolási fejlesztéseket javasol a vakriasztások csökkentése érdekében.

Az elemző szerepköre:

• Ellenőrzi és jóváhagyja az észlelési frissítéseket.
• Az észleléseket a szervezeti prioritásokhoz igazítja.
• Felügyeli a hosszú távú biztonsági architektúrát és stratégiát.

A bizalmas adatok védelme a biztonsági szabályzatok folyamatos figyelését, besorolását és betartatását igényli.

Az ügynök szerepköre:

• Megvizsgálja és rangsorolja az adatveszteség-megelőzést és a belső kockázatokat.
• Automatizálja a bizalmas adatokkal kapcsolatos kockázatok felderítését és elemzését a különböző környezetekben.
• Azonosítja a szabályzatsértéseket és a megfelelőségi hiányosságokat.

Az adatbiztonsági rendszergazda szerepköre:

• Áttekinti a nagy kockázatú adatexpozíciós eseményeket.
• Meghatározza a megfelelőségi és irányítási követelményeket.
• Felügyeli a szervizelési és a szabályzatalkalmazási döntéseket.

A kiberbiztonsági ügynöki AI akkor nyújtja a legnagyobb értéket, ha segít a csapatoknak az adatok elemzésében, a riasztások bővítésében, valamint a biztonsági résekre és fenyegetésekre való reagálásban a teljes környezetben. Ehhez a szervezetek API-kat használnak, hogy a biztonsági ügynököket összekapcsolják a már használt eszközeikkel, mint például a SOAR, a kiterjesztett észlelés és válasz (XDR), a felhőbiztonsági állapot kezelése (CSPM), az Identitás- és hozzáféréskezelés (IAM), a biztonsági információk és események kezelése (SIEM), a Végponti észlelés és reagálás (EDR) eszközök, valamint a jegykezelési megoldások. Ez lehetővé teszi az ügynöki AI-rendszerek számára, hogy valós időben információkat gyűjtsenek, munkafolyamatokat koordináljanak, műveleteket indítsanak el és rendszereket frissítsenek.

Az automatizálás sok időt takarít meg a csapatoknak, de a nem kívánt műveletek elkerülése érdekében továbbra is fontos fenntartani az irányítást és az elszámoltathatóságot. A biztonsági csapatok általában megkövetelik az elemzőktől a magas kockázatú döntések áttekintését, ugyanakkor nagyobb önállóságot tesznek lehetővé az alacsonyabb kockázatú műveletekhez. Mindkét esetben fontos, hogy adatgazdálkodást és hozzáférés-vezérlést hozzon létre annak érdekében, hogy az AI csak jóváhagyott rendszerekkel és adatokkal kommunikáljon.

Azok a biztonsági csapatok, amelyek az ügynöki AI-val a legnagyobb sikereket érik el, mérési eszközöket alkalmaznak arra, hogy értékeljék, mennyire teljesítik a kitűzött célokat. Ez biztosítja számukra az implementációk módosításához és finomításához szükséges információkat.

A fő sikerességi metrikák a következők:

A biztonsági műveletek hatékonyságának meghatározásához szükséges adatok közé tartoznak a következők:

• MTTD és MTTR.
• Az automatikusan osztályozott vagy lezárt riasztások száma.
• Vakriasztások számának csökkentése.
• Az incidensek kivizsgálásához és megoldásához szükséges idő.

Ezek a metrikák betekintést nyújtanak a vezetőség számára abba, hogy az ügynöki AI hogyan változtatja meg a biztonsági csapatok időbeosztását:

• A manuális vizsgálatok és az esetek osztályozása során megtakarított elemzői munkaidő.
• Az elemzői beavatkozást igénylő riasztások eszkalációs aránya.
• Belépési idő az AI által támogatott munkafolyamatokat használó új elemzők esetében.
• Az ismétlődő vagy alacsony értékű feladatok számának csökkenése.

A vezetők emellett olyan metrikák segítségével is nyomon követhetik, hogy a biztonsági fejlesztések milyen hatással vannak a szervezet egészére, mint például:

• Egy biztonsági incidens költsége.
• Lefedettség a környezetek, identitások, végpontok és felhőbeli erőforrások tekintetében
• Teljes megfelelőségi állapot és auditálási készültség.
• Az operációs kockázati kitettség idővel történő csökkenése.

Mivel az ügynöki rendszerek eltérő szintű autonómia mellett működnek, a szabályozás, az átláthatóság és az ellenőrzés elengedhetetlen a biztonságos üzembe helyezéshez.

• Árnyékügynökök és nem felügyelt automatizálás. Az ügynöki rendszerek bővülésével a szervezetek akaratlanul is létrehozhatnak felügyelet nélküli vagy duplikált ügynököket. Megfelelő felügyelet nélkül ezek az „árnyékügynökök” inkonzisztens viselkedést vagy jogosulatlan műveleteket eredményezhetnek.
• Hallucinációk és téves riasztások. Más AI-rendszerekhez hasonlóan az ügynöki AI használata helytelen következtetéseket vagy félreértelmezett adatokat eredményezhet, ami szükségtelen riasztásokhoz vagy helytelen műveletekhez vezethet, ha nincs ellenőrizve.
• Túlzott automatizálás és az ellenőrzés elvesztése. Az automatizálásra való túlzott támaszkodás ronthatja a döntéshozatali folyamatok átláthatóságát, növelve ezzel annak kockázatát, hogy a kontextusból kimaradnak bizonyos elemek, vagy nem megfelelő műveletekre kerül sor.
• Adatvédelem és hozzáférés-vezérlés. Az ügynöki AI-rendszereknek hozzáférésre van szükségük bizalmas biztonsági adatokhoz, ezért elengedhetetlen a jogosultságok, az adatkorlátok és a legkisebb jogosultság elve szerinti hozzáférés szigorú ellenőrzése.
• Modelleltérés és kártékony manipuláció. Az idő múlásával a modell teljesítménye romolhat, ahogy a környezeti feltételek változnak. Emellett a kiberbűnözők megpróbálhatják manipulálni a beviteleket vagy metrikákat, hogy befolyásolják az ügynökök viselkedését.

• A NIST AI kockázatkezelési keretrendszer (AI RMF) útmutatást nyújt az AI-hoz kapcsolódó kockázatok teljes életciklusra kiterjedő kezeléséhez, beleértve a szabályozást, a leképezést, a mérést és a felügyeletet.
• Az ISO/IEC 42001 az AI-felügyeleti rendszerek követelményeit határozza meg, és az AI-rendszerek felelős fejlesztésére és használatára összpontosít.
• Az EU AI Act kockázatalapú besorolási és megfelelőségi követelményeket biztosít az Európai Unió területén működő vagy azt érintő AI-rendszerekhez.
• A szektorspecifikus szabályozások egyedi követelmények bizonyos iparágakra vonatkozóan, például az egészségügyi biztosítás hordozhatóságáról és felelősségre vonhatóságáról szóló határozat (HIPAA), a Fizetőkártya-ipari Adatbiztonsági Szabvány (PCI DSS) és a Sarbanes-Oxley törvény (SOX) a pénzügyi jelentéskészítési szabályozásokhoz.

Mivel a biztonsági csapatok szervezetük egészében adoptálják és skálázzák az ügynöki AI-t a kiberbiztonság terén, egy átgondolt stratégia hozzájárul a biztonsági eredmények javításához, miközben biztosítja az átláthatóságot, az elszámoltathatóságot és a csapatok közötti bizalmat.

A szervezetek általában szabályozott lépésekben vezetik be az ügynöki AI-t: először alacsony kockázatú, támogató jellegű használati esetekkel kezdik, majd fokozatosan térnek át a nagyobb hatással járó tevékenységekre. Fontos továbbá, hogy kiemelt figyelmet fordítson a biztonsági ügynökök döntéshozatali folyamatának átláthatóságára.

A pontosan meghatározott korlátok segítenek abban, hogy az ügynökök viselkedése biztonságos és várt keretek között maradjon. A váratlan viselkedés kockázatának csökkentése érdekében a csapatok meghatározzák, hogy a kiberbiztonsági AI-ügynökök milyen műveleteket végezhetnek el önállóan, jóváhagyási munkafolyamatokat állapítanak meg a jelentős hatással járó vagy bizalmas műveletek esetében, valamint küszöbértékeket határoznak meg arra vonatkozóan, hogy mikor kell a biztonsági ügynököknek az ügyet az elemzőknek továbbítaniuk.

A szerepköralapú hozzáférés-vezérlés (RBAC) segít csökkenteni a nem szándékos tevékenységek kockázatát azáltal, hogy korlátozza az ügynök hozzáférését az adott funkcióhoz szükséges rendszerekhez, adatokhoz és műveletekhez. Ezért az identitáskezelő csapatok ugyanazokat a minimális jogosultsági alapelveket alkalmazzák az ügynökökre, mint az emberekre.

Az ügynökök viselkedésének nyomon követése érdekében a biztonsági csapatok naplózzák és ellenőrzik az ügynökök összes tevékenységét, beleértve a döntéseket, az eszközhasználatot és az eredményeket is. Ez segít nekik az incidensek kivizsgálásában, a szabályozási követelmények teljesítésében, valamint a finomhangolást igénylő megvalósítási problémák felismerésében.

Az elemzők nagyobb eséllyel adoptálják az ügynöki AI-t, ha úgy érzik, hogy tájékozottak és kézben tartják a helyzetet. A szervezetek úgy építhetik ki a bizalmat, hogy gondoskodnak arról, hogy az ügynökök javaslatai világosak és könnyen érthetőek legyenek. Sikeresebbek is, ha a mesterséges intelligenciát az elemzők döntéshozatalának kiegészítésére használják, nem pedig annak helyettesítésére.

A biztonsági üzemeltetési központok (SOC-k), az informatikai és a megfelelőségi csapatok mind szerepet játszanak az ügynöki AI biztonságos, hatékony és szervezeti kockázattűréssel összhangban történő üzembe helyezésében. Egy interdiszciplináris csapat segíti a szervezeteket az operatív használati esetek meghatározásában, az integráció és az infrastruktúra kezelésében, valamint a szabályozási követelmények teljesítésében.

A biztonsági területeken átívelő, teljes mértékben autonóm munkafolyamatok kialakítása egy több lépcsős folyamat. Ahogy a szervezetek működési érettsége növekszik, egyre hatékonyabb irányításra és felügyeletre van szükségük.

A legkorábbi szakaszban a szervezetek előre meghatározott szkripteket és munkafolyamatokat használnak az ismétlődő biztonsági feladatok elvégzésére.

A sikeresség a következőképpen néz ki:

• A rutin feladatok – például a riasztások bővítése vagy a jegyek létrehozása – következetes elvégzése.
• Kevesebb manuális munka az alacsony összetettségű munkafolyamatokban.
• A statikus szabályoktól és forgatókönyvektől való függőség.

Felkészültségi mutatók:

• Stabil SIEM-, SOAR- és jegykezelési integrációk.
• Egyértelműen definiált és megismételhető biztonsági folyamatok.
• Nagy mennyiségű ismétlődő elemzői feladat.

Ebben a szakaszban a mesterséges intelligenciával az elemzők javítják a láthatóságot, az összefoglalást és a döntéshozatalt, de nem hajtanak végre közvetlen lépéseket.

A sikeresség a következőképpen néz ki:

• Gyorsabb vizsgálat mesterséges intelligenciával létrehozott összefoglalásokkal és elemzésekkel.
• A riasztások jobb értelmezése és a kontextus kiegészítése.
• Az elemzők továbbra is teljes mértékben felelősek a döntésekért és a műveletekért.

Felkészültségi mutatók:

• Fejlett adatfolyamatok és központosított metrikák.
• Megalapozott biztonsági műveleti folyamatok.
• Gyorsabb osztályozás és vizsgálati támogatás szükséges.

Itt az ügynöki AI korlátozott műveleteket kezd végrehajtani meghatározott védőkorlátokon belül, míg az emberek továbbra is jóváhagyják a magasabb kockázatú műveleteket.

A sikeresség a következőképpen néz ki:

• Automatizált osztályozás, bővítés és javasolt szervizelési lépések.
• Csökken az elemzők terhelése az ismétlődő vizsgálati feladatokkal kapcsolatban.
• Emberi jóváhagyás az elszigetelési és szervizelési műveletekhez.

Felkészültségi mutatók:

• Erős identitás- és hozzáférés-vezérlés automatizálási rendszerekhez.
• Megfelelően definiált eszkalációs és jóváhagyási munkafolyamatok.
• Megbízható adatminőség és rendszerintegrációk.

A legfejlettebb szakaszban az ügynöki AI több tartományban is működik, és minimális elemzői beavatkozással koordinálja a műveleteket a meghatározott határokon belül. Ez teljes körű biztonsági vezénylést tesz lehetővé a teljes szervezetben.

A sikeresség a következőképpen néz ki:

• Folyamatos, autonóm észlelés, vizsgálat és reagálás a különböző környezetekben.
• A biztonsági, informatikai, identitáskezelési és megfelelőségi rendszerek közötti, több területet átfogó koordináció.
• Az emberek az irányításra, a stratégiára és a kivételkezelésre összpontosítanak.

Felkészültségi mutatók:

• Fejlett szabályozási keretrendszerek a mesterséges intelligenciához és az automatizáláshoz.
• Nagy megbízhatóságú metrikák és adatintegritás a rendszerekben.
• A biztonsági, az informatikai és a megfelelési csapatok közötti szoros, funkciókon átívelő együttműködés.
• Megbízható automatizált döntéshozatal, auditálhatóság és felügyelet révén.

Az ügynöki AI még mindig az adoptációs folyamat korai szakaszában van, de számos egyértelmű trend alakítja azt, hogyan fog fejlődni a biztonság területén.

• Autonóm vörös csapatozás. Az AI-ügynökök egyre jobban szimulálják a támadó viselkedését a védelem folyamatos tesztelése, a gyenge pontok azonosítása és a biztonsági vezérlők valós idejű ellenőrzése érdekében.
• Ügynöki ciklusok. A biztonsági műveletekhez használt ügynöki AI egyre következetesebb lesz és képes önmagát fejleszteni: az ügynökök érzékelnek, cselekszenek és az eredményekből tanulnak, hogy finomítsák az észlelést és a reagálást.
• Mesterséges intelligencia és mesterséges intelligencia közötti kiberütközés. Mivel a kibertámadók is alkalmazzák a mesterséges intelligenciát, a jövőbeli kibertámadások során előfordulhat, hogy egymással közvetlenül versengő védekező és támadó autonóm rendszerek kerülnek szembe egymással.
• Prediktív védelem. Az incidensekre való reagálás helyett az ügynökrendszerek a mintázatok, a kitettségi adatok és a támadók viselkedésének elemzésével előrejelezik a fenyegetéseket, hogy megelőzhessék a kibertámadásokat azok bekövetkezése előtt.
• Együttműködő AI-ügynökök. Több specializált ügynök koordinálja a feladatokat, például az észlelést, a vizsgálatot, a szervizelést és a jelentéskészítést, hogy skálázhatóbb és rugalmasabb biztonsági munkafolyamatokat hozhasson létre.
• Az elemző szerepének változása. Az elemzők az ismétlődő vizsgálati és reagálási feladatokról a magasabb szintű feladatokra, például az ügynökfelügyeletre, a szabályzattervezésre és a stratégiai kockázatkezelésre váltanak.

A szervezetek a Microsoft egységes, AI-alapú biztonsági platformjával észlelhetik, kivizsgálhatják és kezelhetik a digitális tulajdont érintő fenyegetéseket. Ennek középpontjában a Microsoft Security Copilot nevű természetes nyelvi, mesterséges intelligenciával támogatott biztonsági megoldás áll, amely lehetővé teszi az elemzők számára az incidensek okának elemzését, a fenyegetések összefoglalását és a reagálási műveletek koordinálását a különböző környezetekben. A beágyazott ügynökök kiterjesztik ezeket a képességeket a Microsoft Biztonság megoldásaiban.

A biztonsági csapatokat gyakran túlterheli a riasztások nagy száma, a manuális osztályozás és a széttagolt vizsgálatok. A Microsoft Defender XDR-ben az ügynöki AI segít a magas kockázatú problémák rangsorolásában, az incidensek gyorsabb kivizsgálásában és a válasz hatékonyságának növelésében.

• Biztonsági riasztások osztályozási ügynöke — rangsorolja a riasztásokat a zaj csökkentése érdekében, és segít az elemzőknek, hogy gyorsabban összpontosíthassanak a magas kockázatú incidensekre.
• Biztonsági elemzőügynök — Incidenseket vizsgál, korrelálja a jeleket, és válaszműveleteket javasol az SOC-munkafolyamatok leegyszerűsítése érdekében.
• Veszélyforrás-keresési ügynök — Különböző környezetekben keres a rejtett fenyegetések, a gyanús viselkedés és a felmerülő támadási minták felderítése érdekében.
• Dinamikus fenyegetésészlelési ügynök— Folyamatosan elemzi a tevékenységeket, és alkalmazkodik az észlelési logikához a folyamatosan változó fenyegetések és rendellenességek azonosítása érdekében.
• Veszélyforrás-felderítési tájékoztató ügynök — Az intelligens veszélyforrás-felderítést gyakorlatban hasznosítható elemzésekbe foglalja össze, így a csapatok megelőzhetik a felmerülő kockázatokat.

Ezek az ügynökök együttesen segítenek csökkenteni a manuális vizsgálatot, és felgyorsítják az incidenselhárítást a végpontok, az identitások, az e-mailek és a felhőbeli számítási feladatok összességében.

A Microsoft Sentinelben a Security Copilot segít az elemzőknek a manuális vizsgálatról a természetes nyelvi, parancskönyv-alapú munkafolyamatokra való áttérésben. Az elemzők KQL-t hozhatnak létre, összefoglalhatják az incidenseket, bővíthetik az entitásokat, elemezhetik a felhasználókat és az eszközöket, és automatizálhatják a vizsgálati lépéseket a Logic Apps és a parancskönyvek segítségével.

Az egyéni Sentinel incidensjelentési ügynök képes kinyerni a vizsgálati eredményeket, entitásokat, elemzéseket és szervizelési lépéseket az incidensekből. A parancskönyvek emellett automatizálhatják a felhasználóelemzést, és közvetlenül az incidenstevékenység naplóihoz adhatnak hozzá megállapításokat.

Ezek a képességek segítenek csökkenteni a manuális lekérdezésírást, javítják a vizsgálati konzisztenciát, és időt takarítanak meg az elemzők számára a megismételhető feladatok automatizálásával.

A Microsoft Purview-ban a Security Copilot segít a csapatoknak az adatok védelmében és szabályozásában az adatbiztonságiállapot-kezelés, az adatveszteség-megelőzés, a belső kockázatkezelés, az elektronikus feltárás, a naplózás és a kommunikációmegfelelőség terén.

• Adatbiztonsági osztályozási ügynök — Rangsorolja a DLP- és belső kockázatokra vonatkozó riasztásokat, ismerteti a kockázati környezetet, és szervizelési munkafolyamatokat kezdeményezhet az adattulajdonosokkal.
• Adatbiztonsági állapotfelmérő ügynök — Felderíti a bizalmas adatokat, azonosítja a rejtett kockázatokat és a közzétett hitelesítő adatokat, javítja a bizalmassági címkézést, és vezetői szintű összefoglalókat hoz létre.

Ezek az ügynökök segítenek a biztonsági csapatoknak csökkenteni a manuális osztályozást, gyorsabban rangsorolni a kritikus kockázatokat, és megerősíteni az adatbiztonsági és megfelelőségi műveleteket.

A Microsoft Entra Security Copilot segít a csapatoknak a kockázatos felhasználók, a szokatlan bejelentkezések, a kiemelt hozzáférés és az identitásalapú fenyegetések kivizsgálásában. A Copilot összefoglalja az identitáskörnyezetet, elmagyarázza a kockázati jeleket, és olyan műveleteket javasolhat, mint a munkamenet-visszavonás, a hozzáférési felülvizsgálatok vagy a feltételes hozzáférési szabályzatok finomhangolása.

A képességek közé tartoznak az identitás- és hozzáférési ügynökök, valamint a Microsoft Entra ügynökazonosító, amely segít a szervezeteknek az AI-ügynökidentitások regisztrálásában, kezelésében és szabályozásában életciklus-menedzsmenttel, hozzáférés-vezérléssel és identitásvédelmi vezérlőkkel.

Ezekkel a képességekkel a szervezetek csökkenthetik az identitással kapcsolatos kockázatot, és Teljes felügyelet alapelveket alkalmazhatnak mind az emberi, mind az AI-identitásokra.

A Microsoft Intune-ban a Security Copilot segít a végpontkezelő és az informatikai csapatoknak megérteni az eszközök megfelelőségét, a konfigurációs eltérést, a biztonsági rések kitettségét és a szervizelési igényeket. A Copilot összefoglalja az eszközkockázatot, ismerteti a meg nem feleléssel kapcsolatos problémákat, javaslatot tesz a következő lépésekre, és segít a csapatoknak a gyorsabb reagálásban.

A végpontkezelő ügynökök segítenek automatizálni a megfelelőségi ellenőrzéseket, kivizsgálni az eszközproblémákat, és útmutatást nyújtanak a felügyelt végpontok szervizeléséhez.

Ezek a képességek segítenek csökkenteni a manuális végpontvizsgálatot, javítani a megfelelőségi műveleteket, és gyorsabban megszüntetni a konfigurációs hiányosságokat.

A Microsoft Security Copilot és a beágyazott ügynökök együttesen segítik a szervezeteket abban, hogy a reaktív, manuális biztonsági műveletekről áttérjenek egy adaptív, mesterséges intelligenciával támogatott védelmi rendszerre, amely a biztonsági életciklus egészében javítja a védelmet, a sebességet és a méretezhetőséget.