Che cos'è l'IA agentica nella cybersecurity?

I sistemi di IA agentica sono spesso progettati con una supervisione umana integrata per bilanciare autonomia e controllo.

Nell'approccio Microsoft all'IA agentica per la cybersecurity, questo è progettato come un modello collaborativo in cui gli operatori umani possono monitorare e guidare il comportamento del sistema.

Gli esempi più comuni includono:

• Ragionamento trasparente. I sistemi Microsoft forniscono contesto e motivazioni a supporto delle raccomandazioni per aiutare gli analisti a comprendere i risultati del sistema e i percorsi decisionali.

• Approvazione e regolazione. I team possono esaminare, approvare, rifiutare o perfezionare le azioni del sistema, integrando il feedback per migliorare continuamente i risultati.

• Controlli verificabili. Le attività sono regolate da controlli di sicurezza aziendali, come l'accesso in base al ruolo, i log di controllo e le misure di sicurezza dei flussi di lavoro, per supportare i requisiti di responsabilità e conformità.

L'IA agentica può rispondere in modo dinamico alle condizioni che cambiano e adattare il proprio comportamento in base al contesto grazie a un processo chiamato ciclo agentico: una sequenza di passaggi che l'agente ripete fino a raggiungere il proprio obiettivo.

Percepisci → Ragiona → Pianifica → Agisci → Impara

• Percepisci. Il sistema raccoglie informazioni dal proprio ambiente, inclusi log, avvisi, attività utente, intelligence sulle minacce e dati provenienti da strumenti e sistemi connessi.
• Ragiona. Analizza le informazioni, identifica i modelli, valuta i rischi e determina che cosa significano i dati nel contesto.
• Pianifica. In base ai propri obiettivi, il sistema sviluppa una sequenza di azioni per raggiungere il risultato desiderato.
• Agisci. L'agente esegue attività come isolare un dispositivo, aprire un ticket, eseguire l'escalation di un avviso o raccogliere ulteriori prove, interagendo con strumenti, sistemi o flussi di lavoro.
• Impara. Il sistema valuta i risultati delle proprie azioni e usa feedback, nuovi dati e risultati precedenti per migliorare decisioni e risposte future.

Per usare l'IA agentica in modo efficace, i team devono anche decidere se vogliono usare un sistema a singolo agente o uno multi-agente. Un sistema a singolo agente si basa su un solo agente per gestire attività e decisioni, il che funziona bene quando i flussi di lavoro sono relativamente contenuti e le decisioni sono centralizzate. Se i flussi di lavoro sono complessi o richiedono diversi tipi di competenza, le organizzazioni spesso configurano un sistema multi-agente che usa più agenti IA specializzati per la cybersecurity che lavorano insieme verso un obiettivo condiviso.

Anche con funzionalità autonome, la supervisione da parte delle persone resta importante. Molte organizzazioni utilizzano punti di controllo con intervento umano e fasi di approvazione per azioni sensibili o ad alto rischio, al fine di garantire la governance, la responsabilità e il controllo operativo.

Le differenze tra automazione tradizionale, IA generativa e IA agentica diventano più chiare se confrontate rispetto alle dimensioni fondamentali.

Purtroppo, non sono solo le aziende e i governi ad adottare l'IA a un ritmo rapido. Gli attori di minacce usano sistemi agentici per aumentare la velocità e la scala dei loro cyberattacchi, creando o aggravando diverse sfide di cybersecurity, tra cui:

• La sfida della scalabilità. I team di sicurezza devono spesso fare i conti con volumi di avvisi travolgenti, una complessità dei dati in aumento e una continua carenza di analisti.
• La sfida della velocità. Gli autori di cyberattacchi automatizzano sempre di più le proprie operazioni, mentre molti difensori si affidano ancora a processi manuali di valutazione e risposta agli incidenti.
• La sfida dell'affidabilità e dell'accuratezza. Un'esposizione prolungata ai turni notturni e a grandi volumi di attività ripetitive può portare ad affaticamento e burnout degli analisti, aumentando il rischio di incoerenze ed errori umani.
• La sfida della resilienza. Le organizzazioni moderne operano in ambienti ibridi che includono piattaforme cloud, endpoint, identità, applicazioni e servizi di terze parti. L'espansione della superficie di attacco aumenta il rischio operativo e crea più opportunità per gli autori di cyberattacchi.

L'IA agentica nella cybersecurity aiuta i team di sicurezza a operare in modo più efficace in ambienti che stanno diventando troppo complessi, dinamici e interconnessi per operazioni di sicurezza (SecOps) completamente manuali. Ciò differisce dal più ampio ambito dell'IA agentica applicata alla sicurezza, che si concentra sulla protezione dei sistemi di IA stessi.

Anziché sostituire i team di sicurezza, l'IA agentica agisce come un moltiplicatore di forza in tutte le operazioni di cybersecurity, portando vantaggi come:

• Tempo medio di rilevamento e risposta più rapido (MTTD/MTTR). L'IA agentica è in grado di esaminare gli avvisi, correlare i segnali e coordinare rapidamente le azioni di risposta, aiutando i team a ridurre i tempi di rilevamento e di risposta.
• Riduzione dell'affaticamento degli analisti e più tempo per attività ad alto valore. Gestendo attività ripetitive e dispendiose in termini di tempo, l'IA agentica aiuta a ridurre l'affaticamento da avvisi e consente agli analisti di concentrarsi su indagini e decisioni più strategiche.
• Valutazione e risposta coerenti e ripetibili. L'IA agentica applica flussi di lavoro e processi in modo coerente in tutti gli incidenti, migliorando l'affidabilità operativa e riducendo la variabilità causata dalle operazioni manuali.
• Copertura continua e scalabilità elastica. A differenza dei team umani, l'IA agentica può operare senza interruzioni e scalare per gestire grandi volumi di avvisi, eventi e dati senza richiedere personale aggiuntivo.
• Miglior rapporto segnale-rumore e definizione delle priorità. L'IA agentica può analizzare grandi quantità di dati contestuali per aiutare a identificare le minacce più importanti, riducendo gli avvisi non necessari e migliorando la definizione delle priorità.
• Maggiore resilienza e gestione proattiva del rischio. L'IA agentica può monitorare continuamente gli ambienti, identificare potenziali punti deboli e supportare misure di sicurezza proattive che aiutano le organizzazioni a ridurre il rischio e migliorare nel tempo la resilienza operativa.

Diversi casi d'uso dimostrano come persone e agenti possano lavorare insieme per rafforzare la sicurezza.

I team di sicurezza si trovano spesso a gestire più avvisi di quanti ne possano analizzare manualmente, quindi la definizione delle priorità è essenziale per una risposta efficace.

Il ruolo dell'agente:

• Arricchisce gli avvisi con intelligence sulle minacce, contesto delle risorse e dati sul comportamento degli utenti.
• Dà priorità agli incidenti in base al rischio e al punteggio di attendibilità.
• Suggerisce i passaggi successivi per l'indagine o la correzione.

Il ruolo dell'analista:

• Esamina gli incidenti a priorità elevata.
• Convalida i risultati e le decisioni di escalation.
• Gestisce indagini complesse o sensibili.

I team di sicurezza si affidano a grandi volumi di dati sulle minacce, il che rende difficile estrarre rapidamente informazioni pertinenti e utili.

Il ruolo dell'agente:

• Raccoglie e riepiloga l'intelligence sulle minacce da più origini.
• Fornisce consapevolezza della situazione in tempo reale e creazione di report rapida.
• Correla l'attività delle minacce tra gli ambienti.

Il ruolo dell'analista:

• Interpreta il rischio strategico e le tendenze delle minacce.
• Convalida la pertinenza e l'impatto dell'intelligence.
• Guida le priorità e la pianificazione delle risposte.

Identificare minacce nascoste o emergenti richiede un'analisi continua di set di dati complessi e di grandi dimensioni.

Il ruolo dell'agente:

• Genera ipotesi di rilevazione delle minacce informatiche ed esegue query sulle origini dati.
• Esegue iterazioni su set di dati di grandi dimensioni per identificare attività sospette.
• Esegue ricerche continue in background per le minacce emergenti.

Il ruolo dell'analista:

• Convalida i risultati e determina l'impatto aziendale.
• Indaga su attività di cyberattacco avanzate o mirate.
• Perfeziona le strategie e le priorità di rilevazione delle minacce informatiche.

La risposta agli incidenti di sicurezza richiede un rapido coordinamento tra attività di rilevamento, indagine e contenimento.

Il ruolo dell'agente:

• Automatizza la raccolta delle prove e la documentazione degli incidenti.
• Redige le sequenze temporali e riepiloga l'attività di cyberattacco.
• Completa le azioni di contenimento con l'approvazione degli analisti.
• Contribuisce a proteggere gli endpoint e automatizza i flussi di lavoro di correzione delle vulnerabilità.

Il ruolo dell'analista:

• Approva le azioni di risposta ad alto rischio.
• Supervisiona le attività di correzione e ripristino.
• Coordina la comunicazione e la revisione post-incidente.

Le organizzazioni devono identificare e dare priorità ai punti deboli della sicurezza prima che vengano sfruttati dagli autori di minacce.

Il ruolo dell'agente:

• Dà priorità alle vulnerabilità in base al livello di rischio e al valore delle risorse a rischio.
• Identifica le esposizioni negli ambienti cloud, di endpoint e di identità.
• Consiglia i percorsi di correzione e le azioni di mitigazione.

Il ruolo dell'analista:

• Determina le priorità di correzione in base al rischio aziendale.
• Convalida le azioni consigliate.
• Coordina le attività di applicazione delle patch e di riduzione del rischio.

Il monitoraggio dell'attività delle identità è fondamentale per rilevare accessi non autorizzati e prevenire l'uso improprio dei privilegi.

Il ruolo dell'agente:

• Rileva schemi insoliti di accesso.
• Identifica autorizzazioni rischiose e rischi di escalation dei privilegi.
• Monitora continuamente le minacce legate all'identità.

Il ruolo dell'amministratore delle identità e degli accessi:

• Esamina gli eventi di accesso ad alto rischio.
• Approva le modifiche ai criteri o alle autorizzazioni.
• Indaga su potenziali attività degli insider o di compromissione degli account.

I team di sicurezza devono sviluppare e perfezionare continuamente la logica di rilevamento per tenere il passo con l’evoluzione delle minacce.

Il ruolo dell'agente:

• Scrive e testa la logica di rilevamento.
• Convalida la copertura del rilevamento e identifica le lacune.
• Suggerisce miglioramenti di ottimizzazione per ridurre i falsi positivi.

Il ruolo dell'analista:

• Esamina e approva gli aggiornamenti del rilevamento.
• Allinea i rilevamenti alle priorità dell’organizzazione.
• Sovrintende all’architettura e alla strategia di sicurezza a lungo termine.

Proteggere i dati sensibili richiede monitoraggio continuo, classificazione e applicazione dei criteri di sicurezza.

Il ruolo dell'agente:

• Indaga e dà priorità alla prevenzione della perdita dei dati e ai rischi degli insider.
• Automatizza il rilevamento e l’analisi dei rischi legati ai dati sensibili in tutti gli ambienti.
• Identifica le violazioni dei criteri e le lacune di conformità.

Il ruolo dell’amministratore della sicurezza dei dati:

• Esamina gli eventi di esposizione dei dati ad alto rischio.
• Determina i requisiti di conformità e governance.
• Sovrintende alle decisioni di correzione e applicazione dei criteri.

L’IA agentica nella cybersecurity offre il massimo valore quando aiuta i team ad analizzare i dati, arricchire gli avvisi e rispondere a vulnerabilità e minacce in tutto l’ambiente. Per farlo, le organizzazioni usano le API per collegare gli agenti di sicurezza agli strumenti che già utilizzano, come orchestrazione, automazione e risposta alla sicurezza (SOAR), funzionalità di rilevamento e reazione estese (XDR), Cloud Security Posture Management (CSPM), gestione delle identità e degli accessi (IAM), informazioni di sicurezza e gestione degli eventi (SIEM), rilevamento e reazione dagli endpoint (EDR) e le soluzioni di creazione di ticket. Questo consente ai sistemi di AI agentica di recuperare informazioni, coordinare i flussi di lavoro, attivare azioni e aggiornare i sistemi in tempo reale.

L’automazione fa risparmiare ai team molto tempo, ma è comunque importante mantenere il controllo e la responsabilità per evitare azioni indesiderate. In genere, i team di sicurezza richiedono agli analisti di esaminare le decisioni ad alto rischio, consentendo invece maggiore autonomia per le azioni a rischio inferiore. In entrambi i casi, è importante stabilire la governance dei dati e i controlli di accesso per contribuire a garantire che l’IA interagisca solo con sistemi e dati approvati.

I team di sicurezza che ottengono i migliori risultati con l'IA agentica implementano strumenti di misurazione per valutare l'efficacia nel raggiungimento degli obiettivi. Questo fornisce loro le informazioni necessarie per modificare e perfezionare le implementazioni.

Le metriche chiave di successo includono:

I dati che aiutano a determinare l’efficacia delle operazioni di sicurezza includono:

• MTTD e MTTR.
• Numero di avvisi sottoposti automaticamente a valutazione o chiusi.
• Riduzione del tasso di falsi positivi.
• Tempo necessario per analizzare e risolvere gli incidenti.

Queste metriche offrono ai responsabili una visione di come l’IA agentica stia cambiando il modo in cui i team di sicurezza impiegano il tempo:

• Ore recuperate dagli analisti grazie all'automazione di indagini e valutazioni manuali.
• Tasso di escalation degli avvisi che richiedono l’intervento dell’analista.
• Tempo di onboarding dei nuovi analisti che usano flussi di lavoro assistiti dall’IA.
• Riduzione delle attività ripetitive o a basso valore.

I responsabili possono anche vedere come i miglioramenti della sicurezza incidono sull’intera organizzazione con metriche come:

• Costo per incidente di sicurezza.
• Copertura tra ambienti, identità, endpoint e risorse cloud
• Postura complessiva di conformità e prontezza agli audit.
• Riduzione nel tempo dell’esposizione al rischio operativo.

Poiché i sistemi agentici operano con diversi livelli di autonomia, governance, trasparenza e controllo sono essenziali per un’implementazione sicura.

• Agenti shadow e automazione non gestita. Con la scalabilità dei sistemi agentici, le organizzazioni possono creare involontariamente agenti non gestiti o duplicati. Senza un’adeguata supervisione, questi "agenti shadow" possono introdurre comportamenti incoerenti o azioni non autorizzate.
• Allucinazioni e falsi positivi. Come altri sistemi di IA, l’IA agentica può produrre conclusioni errate o interpretare male i dati, con il rischio di generare avvisi non necessari o azioni errate se non viene convalidata.
• Automazione eccessiva e perdita di supervisione. L’eccessiva dipendenza dall’automazione può ridurre la visibilità nei processi decisionali, aumentando il rischio di perdere il contesto o di eseguire azioni inappropriate.
• Privacy dei dati e controllo degli accessi. I sistemi di IA agentica richiedono l’accesso a dati di sicurezza sensibili, quindi controlli rigorosi su autorizzazioni, limiti dei dati e accesso con privilegi minimi sono fondamentali.
• Deriva del modello e manipolazione avversaria. Nel tempo, le prestazioni del modello possono peggiorare quando gli ambienti cambiano. Inoltre, gli autori di cyberattacchi potrebbero tentare di manipolare input o metriche per influenzare il comportamento degli agenti.

• NIST AI Risk Management Framework (AI RMF) fornisce indicazioni per gestire i rischi legati all’IA durante tutto il ciclo di vita, inclusi governance, mapping, misurazione e gestione.
• ISO/IEC 42001 stabilisce i requisiti per un sistema di gestione dell’IA, con attenzione allo sviluppo e all’uso responsabili dei sistemi di IA.
• EU AI Act introduce una classificazione basata sul rischio e requisiti di conformità per i sistemi di IA che operano nell’Unione europea o ne hanno un impatto.
• Le normative specifiche per settore sono requisiti univoci per determinati settori, come l'Health Insurance Portability and Accountability Act (HIPAA) per la protezione dei dati sanitari, il Payment Card Industry Data Security Standard (PCI DSS) per la sicurezza dei pagamenti e il Sarbanes-Oxley Act (SOX) per i controlli sulla rendicontazione finanziaria.

Mentre i team di sicurezza distribuiscono e ampliano l’IA agentica per la cybersecurity in tutta l’organizzazione, una strategia ben ponderata aiuta a migliorare i risultati di sicurezza mantenendo trasparenza, responsabilità e fiducia tra i team.

Le organizzazioni introducono in genere l’IA agentica in fasi controllate, iniziando con casi d’uso di supporto a basso rischio prima di passare ad azioni di maggiore impatto. È anche importante dare priorità alla trasparenza nel modo in cui gli agenti di sicurezza prendono le decisioni.

Misure di sicurezza ben definite aiutano a limitare il comportamento degli agenti entro confini sicuri e attesi. Per ridurre il rischio di comportamenti imprevisti, i team definiscono quali azioni gli agenti IA per la cybersecurity possono completare autonomamente, stabiliscono flussi di lavoro di approvazione per le operazioni ad alto impatto o sensibili e impostano soglie per stabilire quando gli agenti di sicurezza devono inoltrare i casi agli analisti.

Il controllo degli accessi in base al ruolo (RBAC) aiuta a ridurre il rischio di attività indesiderate limitando l’accesso degli agenti ai sistemi, ai dati e alle azioni necessari per la loro funzione specifica. Per questo motivo, i team di identità applicano agli agenti gli stessi principi di privilegio minimo applicati alle persone.

Per mantenere la visibilità sul comportamento degli agenti, i team di sicurezza registrano e controllano tutte le azioni degli agenti, incluse decisioni, uso degli strumenti e risultati. Questo li aiuta a indagare sugli incidenti, soddisfare i requisiti di conformità e individuare i problemi di implementazione da perfezionare.

Gli analisti hanno più probabilità di adottare l’IA agentica se si sentono informati e in controllo. Le organizzazioni possono creare fiducia assicurandosi che le raccomandazioni degli agenti siano chiare e facili da capire. Ottengono anche risultati migliori quando usano l’IA per potenziare, e non sostituire, il processo decisionale degli analisti.

I centri operazioni per la sicurezza (SOC), l’IT e i team di conformità svolgono tutti un ruolo nell’implementazione sicura, efficace e allineata alla tolleranza al rischio dell’organizzazione dell’IA agentica. Un team multidisciplinare aiuta le organizzazioni a definire casi d’uso operativi, gestire integrazione e infrastruttura e rispettare i requisiti normativi.

Creare flussi di lavoro completamente agentici che funzionano tra i diversi ambiti della sicurezza è un processo in più fasi. Man mano che le organizzazioni aumentano la loro maturità operativa, hanno bisogno di una governance e di una supervisione più forti.

Nella fase iniziale, le organizzazioni usano script e flussi di lavoro predefiniti per gestire le attività di sicurezza ripetitive.

Indicatori di successo:

• Completamento coerente delle attività di routine, come l’arricchimento degli avvisi o la creazione di ticket.
• Riduzione del lavoro manuale nei flussi di lavoro a bassa complessità.
• Dipendenza da regole e playbook statici.

Indicatori di prontezza:

• Integrazioni SIEM, SOAR e di soluzioni di creazione di ticket stabili.
• Processi di sicurezza ben definiti e ripetibili.
• Un volume elevato di attività ripetitive degli analisti.

In questa fase, l’IA supporta gli analisti migliorando visibilità, sintesi e processo decisionale, ma non interviene direttamente.

Indicatori di successo:

• Indagini più rapide grazie a riepiloghi e informazioni dettagliate generati dall’IA.
• Migliore comprensione degli avvisi e arricchimento del contesto.
• Gli analisti restano pienamente responsabili delle decisioni e delle azioni.

Indicatori di prontezza:

• Pipeline di dati consolidate e metriche centralizzate.
• Processi di sicurezza operativa consolidati.
• Necessità di valutazione più rapida e supporto alle indagini.

In questa fase, l'IA agente inizia a compiere azioni limitate entro misure di sicurezza definite, mentre le persone mantengono l'autorità di approvazione per le operazioni a rischio più elevato.

Indicatori di successo:

• Valutazione automatizzata, arricchimento dei dati e misure correttive consigliate.
• Riduzione del carico di lavoro degli analisti nelle attività di indagine ripetitive.
• Approvazione umana (human-in-the-loop) per le azioni di contenimento e risoluzione.

Indicatori di prontezza:

• Controlli rigorosi su identità e accessi per i sistemi di automazione.
• Flussi di lavoro di escalation e approvazione ben definiti.
• Fiducia nella qualità dei dati e nelle integrazioni di sistema.

Nella fase più matura, l’IA agentica opera su più domini, coordinando le azioni con un intervento minimo degli analisti entro limiti stabiliti. Questo consente un’orchestrazione della sicurezza end-to-end in tutta l’organizzazione.

Indicatori di successo:

• Rilevamento, indagine e risposta continui e autonomi in tutti gli ambienti.
• Coordinamento tra domini diversi tra sistemi di sicurezza, IT, identità e conformità.
• Le persone si concentrano su governance, strategia e gestione delle eccezioni.

Indicatori di prontezza:

• Framework di governance maturi per l’IA e l’automazione.
• Metriche ad alta affidabilità e integrità dei dati in tutti i sistemi.
• Forte allineamento interfunzionale tra i team di sicurezza, IT e conformità.
• Fiducia consolidata nelle decisioni automatizzate con verificabilità e supervisione.

L’IA agentica è ancora nelle fasi iniziali del suo ciclo di adozione, ma diverse tendenze chiare stanno definendo il modo in cui evolverà nella sicurezza.

• Red teaming autonomo. Gli agenti IA simuleranno sempre più il comportamento degli avversari per testare continuamente le difese, identificare i punti deboli e convalidare i controlli di sicurezza in tempo reale.
• Cicli degli agenti. L’IA agentica per le operazioni di sicurezza diventerà sempre più continua e capace di auto-migliorarsi, con agenti che percepiscono, agiscono e apprendono dai risultati per perfezionare il rilevamento e la risposta.
• Conflitto informatico tra IA. Poiché anche gli autori di cyberattacchi adottano l’IA, i futuri scontri informatici potrebbero coinvolgere sistemi agentici difensivi e offensivi che competono direttamente tra loro.
• Difesa predittiva. Anziché reagire agli incidenti, i sistemi agentici anticiperanno le minacce analizzando modelli, dati di esposizione e comportamento degli utenti malintenzionati per prevenire i cyberattacchi prima che si verifichino.
• Agenti AI collaborativi. Più agenti specializzati si coordineranno su attività come rilevamento, indagine, correzione e reporting, per creare flussi di lavoro di sicurezza più scalabili e resilienti.
• L’evoluzione del ruolo dell’analista. Gli analisti si allontaneranno dalle attività ripetitive di indagine e risposta per dedicarsi a responsabilità di maggior valore, come la supervisione degli agenti, la progettazione dei criteri e la gestione strategica del rischio.

Le organizzazioni possono rilevare, analizzare e rispondere alle minacce in tutto il proprio ambiente digitale con una piattaforma di sicurezza unificata basata sull’IA di Microsoft. Al centro c’è Microsoft Security Copilot, una soluzione di sicurezza assistita dall’IA e basata sul linguaggio naturale che consente agli analisti di ragionare sugli incidenti, riepilogare le minacce e coordinare le azioni di risposta in tutti gli ambienti. Gli agenti integrati estendono queste funzionalità in tutte le soluzioni Microsoft Security.

I team di sicurezza sono spesso sopraffatti dal volume degli avvisi, dalla valutazione manuale e da indagini frammentate. In Microsoft Defender XDR, l’IA agentica aiuta a dare priorità ai problemi ad alto rischio, ad analizzare più rapidamente gli incidenti e a migliorare l’efficienza della risposta.

• Agente di valutazione degli avvisi di sicurezza: dà priorità agli avvisi per ridurre il rumore e aiutare gli analisti a concentrarsi più rapidamente sugli incidenti ad alto rischio.
• Agente di analisi della sicurezza: analizza gli incidenti, correla i segnali e consiglia azioni di risposta per semplificare i flussi di lavoro del SOC.
• Agente di ricerca delle minacce: cerca in tutti gli ambienti per individuare minacce nascoste, comportamenti sospetti e modelli di attacco emergenti.
• Agente di rilevamento dinamico delle minacce: analizza continuamente l’attività e adatta la logica di rilevamento per identificare minacce e anomalie in evoluzione.
• Agente di briefing dell'intelligence sulle minacce: riassume l’intelligence sulle minacce in informazioni dettagliate pratiche, consentendo ai team di anticipare i rischi emergenti.

Insieme, questi agenti aiutano a ridurre le indagini manuali e ad accelerare la risposta agli incidenti in endpoint, identità, posta elettronica e carichi di lavoro cloud.

In Microsoft Sentinel, Security Copilot aiuta gli analisti a passare dall’indagine manuale ai flussi di lavoro basati su sequenza di prompt e linguaggio naturale. Gli analisti possono generare KQL, riepilogare incidenti, arricchire le entità, analizzare utenti e dispositivi e automatizzare i passaggi di indagine tramite App per la logica e sequenze di prompt.

Un agente personalizzato per la segnalazione degli incidenti di Sentinel può estrarre dai casi di incidente risultati dell’indagine, entità, informazioni dettagliate e passaggi di correzione. Le sequenze di prompt possono anche automatizzare l’analisi degli utenti e aggiungere i risultati direttamente ai log delle attività dell’incidente.

Queste funzionalità aiutano a ridurre la scrittura manuale delle query, a migliorare la coerenza delle indagini e a far risparmiare tempo agli analisti automatizzando le attività ripetitive.

In Microsoft Purview, Security Copilot aiuta i team a proteggere e governare i dati in Gestione della postura di sicurezza dei dati, Prevenzione della perdita dei dati, Gestione dei rischi Insider, eDiscovery, Audit e Conformità delle comunicazioni.

• Agente di valutazione della sicurezza dei dati: dà priorità agli avvisi DLP e Rischio Insider, spiega il contesto del rischio e può avviare flussi di lavoro di correzione con i proprietari dei dati.
• Agente della postura di sicurezza dei dati : individua i dati sensibili, identifica i rischi nascosti e le credenziali esposte, migliora l’etichettatura della sensibilità e genera riepiloghi pronti per il management.

Questi agenti aiutano i team di sicurezza a ridurre la valutazione manuale, a dare priorità più rapidamente ai rischi critici e a rafforzare le operazioni di sicurezza e conformità dei dati.

In Microsoft Entra, Security Copilot aiuta i team a esaminare utenti a rischio, accessi insoliti, accessi con privilegi e minacce basate sull’identità. Copilot può riepilogare il contesto dell’identità, spiegare i segnali di rischio e consigliare azioni come la revoca della sessione, le revisioni di accesso o l'ottimizzazione dei criteri di accesso condizionale.

Le funzionalità includono agenti per identità e accesso e Microsoft Entra Agent ID, che aiuta le organizzazioni a registrare, gestire e governare le identità degli agenti IA con gestione del ciclo di vita, governance degli accessi e controlli di protezione dell’identità.

Queste funzionalità aiutano le organizzazioni a ridurre il rischio legato all’identità e ad applicare i principi Zero Trust sia alle identità umane sia a quelle IA.

In Microsoft Intune, Security Copilot aiuta i team responsabili degli endpoint e dell'IT a comprendere la conformità dei dispositivi, le deviazioni di configurazione, l'esposizione alle vulnerabilità e le esigenze di correzione. Copilot può riepilogare il rischio del dispositivo, spiegare i problemi di non conformità, consigliare i passaggi successivi e aiutare i team a rispondere più rapidamente.

Gli agenti per la gestione degli endpoint aiutano ad automatizzare i controlli di conformità, a esaminare i problemi dei dispositivi e a guidare la correzione negli endpoint gestiti.

Queste funzionalità aiutano a ridurre le indagini manuali sugli endpoint, a migliorare le operazioni di conformità e a colmare più rapidamente le lacune di configurazione.

Insieme, Microsoft Security Copilot e gli agenti integrati aiutano le organizzazioni a passare da operazioni di sicurezza reattive e manuali a una difesa adattiva, assistita dall’IA, che migliora protezione, velocità e scalabilità durante tutto il ciclo di vita della sicurezza.