Kas yra agentinis DI kibernetinės saugos srityje?

Agentinės DI sistemos dažnai kuriamos su įdiegtu žmogaus priežiūros mechanizmu, kad būtų išlaikyta pusiausvyra tarp autonomijos ir kontrolės.

Pagal „Microsoft“ požiūrį į kibernetinės saugos agentinį DI, jis sukurtas kaip bendradarbiavimo modelis, kuriame žmonės gali stebėti ir valdyti sistemos veikimą.

Dažnai pasitaikantys pavyzdžiai:

• Skaidrus samprotavimas. „Microsoft“ sistemos pateikia papildomą kontekstą ir pagrindimą kartu su rekomendacijomis, kad padėtų analitikams suprasti sistemos rezultatus ir sprendimų kelius.

• Patvirtinimas ir koregavimas. Komandos gali peržiūrėti, patvirtinti, atmesti arba pakoreguoti sistemos veiksmus, įtraukdamos grįžtamąjį ryšį, kad nuolat gerintų rezultatus.

• Auditui skirtos kontrolės priemonės. Veiklas reglamentuoja įmonės saugos valdikliai, pvz., vaidmenimis pagrįsta prieiga, audito žurnalai ir darbo eigos apsaugos priemonės, kurios palaiko atskaitomybės ir atitikties reikalavimus.

Agentinis DI gali dinamiškai reaguoti į besikeičiančias sąlygas ir koreguoti jo veikimą pagal kontekstą dėl proceso, vadinamo agentiniu ciklu – veiksmų sekos, kurią agentas kartoja, kol pasiekia savo tikslą.

Suvokti → Samprotauti → Planuoti → Veikti → Mokytis

• Suvokti. Sistema surenka informaciją iš savo aplinkos, įskaitant žurnalus, įspėjimus, vartotojų veiklą, grėsmių analizę ir duomenis iš prijungtų įrankių bei sistemų.
• Samprotauti. Analizuoja informaciją, identifikuoja modelius, įvertina rizikas ir nustato, ką duomenys reiškia konkrečiame kontekste.
• Planuoti. Sistema, atsižvelgdama į jos tikslus, sukuria veiksmų seką, kad pasiektų pageidaujamą rezultatą.
• Veikti. Agentas atlieka užduotis, pavyzdžiui, izoliuoja įrenginį, sukuria užklausą, eskaluoja įspėjimą arba renka papildomų įrodymų, sąveikaudamas su įrankiais, sistemomis ar darbo eigomis.
• Mokytis. Sistema įvertina savo veiksmų rezultatus ir naudoja grįžtamąjį ryšį, naujus duomenis bei ankstesnius rezultatus, kad pagerintų būsimus sprendimus ir reakcijas.

Kad agentinis DI veiktų efektyviai, komandoms taip pat reikia nuspręsti, ar jos nori naudoti vieno agento sistemą, ar kelių agentų sistemą. Vieno agento sistema remiasi vienu agentu, kuris valdo užduotis ir sprendimus. Tai gerai veikia tada, kai darbo eigos gana aiškiai apibrėžtos, o sprendimai centralizuoti. Jei darbo sekos yra sudėtingos arba reikia įvairių sričių patirties, organizacijos dažnai sukuria kelių agentų sistemą, kurioje naudojami keli specializuoti DI agentai kibernetinės saugos srityje ir kurie kartu siekia bendro tikslo.

Net ir turint autonominių galimybių, žmogaus priežiūra išlieka svarbi. Daugelis organizacijų naudoja žmogaus įsitraukimo patikros taškus ir patvirtinimo taškus slaptiems arba didelės rizikos veiksmams, kad padėtų palaikyti valdymą, atskaitomybę ir veiklos kontrolę.

Skirtumai tarp tradicinės automatizacijos, generuojamojo dirbtinio intelekto ir agentinio DI tampa aiškesni juos palyginus pagal pagrindines dimensijas.

Deja, DI sparčiu tempu diegia ne tik įmonės ir vyriausybės. Grėsmių veikėjai naudoja agentines sistemas, kad padidintų savo kibernetinių atakų greitį ir mastą, o tai kuria arba dar labiau didina kelis kibernetinės saugos iššūkius, įskaitant:

• Masto problema. Saugos komandos dažnai susiduria su milžinišku įspėjimų kiekiu, didėjančiu duomenų sudėtingumu ir nuolatiniu analitikų trūkumu.
• Greičio problema. Kibernetinių atakų vykdytojai vis dažniau automatizuoja savo veiklą, o daugelis gynėjų vis dar remiasi rankiniais peržiūros ir reagavimo į incidentus procesais.
• Patikimumo ir tikslumo problema. Ilgalaikis darbas naktinėmis pamainomis ir didelis pasikartojančių užduočių kiekis gali sukelti analitikų nuovargį ir perdegimą, didindamas nenuoseklumo ir žmogiškųjų klaidų riziką.
• Atsparumo problema. Šiuolaikinės organizacijos veikia hibridinėse aplinkose, kuriose yra debesijos platformos, galiniai įrenginiai, tapatybės, programos ir trečiųjų šalių paslaugos. Dėl šios vis didėjančios atakos pažeidžiamos srities didėja veiklos rizika ir atsiranda daugiau galimybių kibernetinių atakų vykdytojams.

Agentinis DI kibernetinės saugos srityje padeda saugos komandoms veikti veiksmingiau aplinkose, kurios tampa per daug sudėtingos, greitai besikeičiančios ir tarpusavyje susietos, kad jas būtų galima visiškai valdyti rankiniu saugos operacijų („SecOps“) būdu. Tai skiriasi nuo platesnės agentinio DI saugos, kuri orientuota į pačių DI sistemų apsaugą.

Užuot pakeitęs saugos komandas, agentinis DI veikia kaip jėgos daugiklis visose kibernetinės saugos operacijose, o tai suteikia tokius pranašumus:

• Greitesnis vidutinis aptikimo ir reagavimo laikas (MTTD / MTTR). Agentinis DI gali greitai tirti įspėjimus, sieti signalus ir koordinuoti reagavimo veiksmus, padėdamas komandoms sutrumpinti aptikimo ir reagavimo laiką.
• Mažesnis analitikų nuovargis ir daugiau laiko didelės vertės darbui. Perimdamas pasikartojančias ir daug laiko reikalaujančias užduotis, agentinis DI padeda sumažinti įspėjimų naštą ir leidžia analitikams sutelkti dėmesį į strategiškesnius tyrimus ir sprendimų priėmimą.
• Nuoseklus, kartojamas atrankos ir reagavimo procesas. Agentinis DI nuosekliai taiko darbo eigas ir procesus visuose incidentuose, didindamas veiklos patikimumą ir mažindamas kintamumą, kurį sukelia rankinis darbas.
• Visą parą pritaikoma aprėptis ir lankstus mastas. Skirtingai nei žmonių komandos, agentinis DI gali veikti nepertraukiamai ir prisitaikyti prie didelių įspėjimų, įvykių ir duomenų kiekių be papildomų darbuotojų.
• Geresnis signalų ir triukšmo santykis bei prioritetų nustatymas. Agentinis DI gali analizuoti didelius kontekstinių duomenų kiekius, kad padėtų nustatyti svarbiausias grėsmes, sumažintų nereikalingų įspėjimų skaičių ir pagerintų prioritetų nustatymą.
• Didesnis atsparumas ir aktyvus rizikos valdymas. Agentinis DI gali nuolat stebėti aplinkas, nustatyti galimas silpnąsias vietas ir palaikyti aktyvias saugos priemones, padedančias organizacijoms ilgainiui mažinti riziką ir didinti veiklos atsparumą.

Keli naudojimo scenarijai rodo, kaip žmonės ir agentai gali dirbti kartu, kad sustiprintų saugą.

Saugos komandos dažnai gauna daugiau įspėjimų, nei gali peržiūrėti rankiniu būdu, todėl prioritetų nustatymas yra būtinas dėl veiksmingo reagavimo.

Agentovaidmuo:

• Pagerina įspėjimus su grėsmių analize, turto kontekstu ir vartotojo veikimo duomenimis.
• Rūšiuoja incidentus pagal riziką ir pasitikėjimo įvertinimą.
• Rekomenduoja tolesnius tyrimo arba taisymo veiksmus.

Analitikovaidmuo:

• Peržiūri didžiausio prioriteto incidentus.
• Patvirtina nustatytas išvadas ir eskalavimo sprendimus.
• Tvarko sudėtingus arba slaptus tyrimus.

Saugos komandos remiasi dideliais grėsmių duomenų kiekiais, todėl sunku greitai išskirti svarbias ir veiksmingas įžvalgas.

Agento vaidmuo:

• Renka ir apibendrina grėsmių informaciją iš kelių šaltinių.
• Teikia realiojo laiko situacijos matomumą ir greitas ataskaitas.
• Susieja grėsmės veiklą skirtingose aplinkose.

Analitikovaidmuo:

• Vertina strateginę riziką ir grėsmių tendencijas.
• Patvirtina analizės svarbą ir poveikį.
• Nustato reagavimo prioritetus ir planavimą.

Norint nustatyti paslėptas ar kylančias grėsmes, reikia nuolat analizuoti didelius ir sudėtingus duomenų rinkinius.

Agentovaidmuo:

• Generuoja grėsmių paieškos ir užklausų duomenų šaltinius.
• Kartojasi dideliuose duomenų rinkiniuose, kad identifikuotų įtartiną veiklą.
• Nuolat vykdo fonines grėsmių paieškas, kad aptiktų kylančias grėsmes.

Analitikovaidmuo:

• Patvirtina išvadas ir nustato verslo poveikį.
• Tiria pažangią arba tikslingą kibernetinių atakų veiklą.
• Tikslina grėsmių strategijas ir prioritetus.

Reaguojant į saugos incidentus, reikia greitai koordinuoti aptikimo, tyrimo ir sulaikymo veiksmus.

Agento vaidmuo:

• Automatizuoja įrodymų rinkimą ir incidentų dokumentavimą.
• Parengia laiko planavimo juostas ir apibendrina kibernetinių atakų veiklą.
• Atlieka sulaikymo veiksmus, gavęs analitikų patvirtinimą.
• Padeda apsaugoti galinius įrenginius ir automatizuoti pažeidžiamumų šalinimo darbo eigas.

The role of the analyst:

• Patvirtina didelės rizikos reagavimo veiksmus.
• Prižiūri taisymo ir atkūrimo darbus.
• Koordinuoja komunikaciją ir peržiūrą po incidentų.

Organizacijos turi nustatyti ir suskirstyti saugos spragas pagal svarbą, kol jų nepanaudojo grėsmių vykdytojai.

Agento vaidmuo:

• Prioritetizuoja pažeidžiamumus pagal rizikos lygį ir rizikingo turto vertę.
• Nustato poveikį debesijos, galinių įrenginių ir tapatybės aplinkose.
• Rekomenduoja taisymo kryptis ir rizikos mažinimo veiksmus.

Analitikovaidmuo:

• Nustato taisymo prioritetus pagal verslo riziką.
• Patvirtina rekomenduojamus veiksmus.
• Koordinuoja naujinimų diegimo ir rizikos mažinimo darbus.

Tapatybės veiklos stebėjimas yra labai svarbus norint aptikti neteisėtą prieigą ir užkirsti kelią teisių piktnaudžiavimui.

Agento vaidmuo:

• Aptinka neįprastus prisijungimo ir prieigos modelius.
• Nustato rizikingas teises ir teisių eskalavimo rizikas.
• Nuolat stebi su tapatybe susijusias grėsmes.

Tapatybės ir prieigos administratoriaus vaidmuo:

• Peržiūri didelės rizikos prieigos įvykius.
• Patvirtina strategijos arba teisių pakeitimus.
• Tiria galimą vidinio piktnaudžiavimo arba įsilaužimo į paskyras veiklą.

Saugos komandos turi nuolat kurti ir tobulinti aptikimo logiką, kad neatsiliktų nuo besikeičiančių grėsmių.

Agento vaidmuo:

• Rašo ir testuoja aptikimo logiką.
• Patvirtina aptikimo aprėptį ir nustato spragas.
• Pasiūlo derinimo patobulinimų, kad būtų sumažinta klaidingų teigiamų rezultatų.

Analitikovaidmuo:

• Peržiūri ir patvirtina aptikimo naujinimus.
• Suderina aptikimus su organizacijos prioritetais.
• Prižiūri ilgalaikės saugos architektūrą ir strategiją.

Norint apsaugoti slaptus duomenis, reikia nuolat stebėti, klasifikuoti ir vykdyti saugos strategijas.

Agento vaidmuo:

• Tiria ir nustato prioritetus duomenų praradimo prevencijai ir vidinio piktnaudžiavimo rizikoms.
• Automatizuoja slaptų duomenų rizikų nustatymą ir analizę visose aplinkose.
• Identifikuoja strategijos pažeidimus ir atitikties spragas.

Duomenų saugos administratoriaus vaidmuo:

• Peržiūri didelės rizikos duomenų atskleidimo įvykius.
• Nustato atitikties ir valdymo reikalavimus.
• Prižiūri taisymo ir strategijos vykdymo sprendimus.

Agentinis DI kibernetinės saugos srityje teikia daugiausia vertės tada, kai padeda komandoms analizuoti duomenis, papildyti įspėjimus ir reaguoti į pažeidžiamumus bei grėsmes visoje aplinkoje. Tam organizacijos naudoja API, kad sujungtų saugos agentus su įrankiais, kuriuos jau naudoja, pvz., SOAR, išplėstinio aptikimo ir reagavimo (XDR), debesijos saugos būsenos valdymo (CSPM), tapatybės ir prieigos valdymo (IAM), saugos informacijos ir įvykių valdymo (SIEM), galinių įrenginių aptikimo ir reagavimo (EDR) įrankiais ir užklausų valdymo sprendimais. Tai leidžia agentinėms AI sistemoms gauti informaciją, koordinuoti darbo eigas, inicijuoti veiksmus ir realiuoju laiku atnaujinti sistemas.

Automatizacija sutaupo komandoms daug laiko, tačiau vis tiek svarbu išlaikyti kontrolę ir atsakomybę, kad būtų išvengta nenumatytų veiksmų. Saugos komandos paprastai reikalauja, kad analitikai peržiūrėtų didelės rizikos sprendimus, o mažesnės rizikos veiksmams suteikia daugiau autonomijos. Bet kuriuo atveju svarbu nustatyti duomenų valdymą ir prieigos valdiklius, kad DI sąveikautų tik su patvirtintomis sistemomis ir duomenimis.

Saugos komandos, kurioms su agentiniu DI sekasi geriausiai, įdiegia vertinimo įrankius, kad galėtų įvertinti, kaip tinkamai pasiekia tikslus. Tokiu būdu jos gauna informaciją, kurios reikia diegimams koreguoti ir tobulinti.

Pagrindiniai sėkmės metrikų rodikliai:

Duomenys, padedantys nustatyti saugos operacijų efektyvumą, apima:

• MTTD ir MTTR.
• Įspėjimų, kurie automatiškai įvertinti arba uždaryti, skaičius.
• Klaidingai teigiamų rezultatų rodiklio sumažėjimas.
• Laikas, per kurį incidentai ištiriami ir išsprendžiami.

Šios metrikos padeda vadovybei suprasti, kaip agentinis DI keičia tai, kaip saugos komandos leidžia savo laiką:

• Analitikų valandos, gautos atlikus rankinį tyrimą ir rūšiavimą.
• Įspėjimų, kuriems reikia analitikų įsikišimo, eskalavimo dažnis.
• Naujų analitikų įvedimo į darbą laikas naudojant DI pagalbines darbo eigas.
• Pasikartojančių arba mažos vertės užduočių sumažinimas.

Vadovai taip pat gali matyti, kaip saugos patobulinimai veikia visą organizaciją, naudodami metrikas, pvz.:

• Saugos incidento kaina.
• Aprėptis visose aplinkose, tapatybėse, galiniuose įrenginiuose ir debesijos ištekliuose
• Bendra atitikties būklė ir pasirengimas auditui.
• Operacinės rizikos poveikio mažinimas per tam tikrą laiką.

Kadangi agentinės sistemos veikia skirtingais autonomijos lygiais, saugiam diegimui būtinas valdymas, skaidrumas ir kontrolė.

• Šešėliniai agentai ir nevaldoma automatizacija. Plečiantis agentinėms sistemoms, organizacijos gali netyčia sukurti nevaldomus arba dubliuojamus agentus. Be tinkamos priežiūros šie „šešėliniai agentai“ gali sukelti nenuoseklų veikimą arba neleistinus veiksmus.
• Haliucinacijos ir klaidingi teigiami rezultatai. Kaip ir kitos DI sistemos, agentinis DI gali pateikti neteisingas išvadas arba klaidingai interpretuoti duomenis, todėl, jei tai nepatvirtinama, gali būti siunčiami nereikalingi įspėjimai arba atliekami neteisingi veiksmai.
• Perteklinė automatizacija ir kontrolės praradimas. Per didelis pasikliovimas automatizacija gali sumažinti sprendimų priėmimo procesų matomumą, o tai didina riziką prarasti kontekstą arba atlikti netinkamus veiksmus.
• Duomenų privatumas ir prieigos valdymas. Agentinėms DI sistemoms reikia prieigos prie slaptų saugos duomenų, todėl griežta teisių, duomenų ribų ir mažiausių teisių prieigos kontrolė yra labai svarbi.
• Modelio dreifas ir priešiška manipuliacija. Ilgainiui, pasikeitus aplinkoms, modelio našumas gali sumažėti. Be to, kibernetinių grėsmių vykdytojai gali bandyti manipuliuoti įvedamaisiais duomenimis arba metrikomis, kad paveiktų agento veikimą.

• NIST DI rizikos valdymo sistema (DI RMF) pateikia gaires, kaip valdyti su DI susijusias rizikas per visą gyvavimo ciklą, įskaitant valdymą, žemėlapių sudarymą, vertinimą ir tvarkymą.
• ISO/IEC 42001 nustato DI valdymo sistemos reikalavimus, daugiausia dėmesio skiriant atsakingam DI sistemų kūrimui ir naudojimui.
• ES DI aktas įveda rizika pagrįstą klasifikavimą ir atitikties reikalavimus DI sistemoms, veikiančioms Europos Sąjungoje arba darančioms jai poveikį.
• Sektoriui būdingi reglamentai yra unikalūs tam tikrų pramonės šakų reikalavimai, pavyzdžiui, Sveikatos draudimo mobilumo ir atskaitomybės aktas (HIPAA), skirtas sveikatos duomenų apsaugai, Mokėjimo kortelių pramonės duomenų saugos standartas (PCI DSS), skirtas mokėjimų saugai, ir Sarbaneso-Okslio aktas (SOX), skirtas finansinių ataskaitų teikimo kontrolei.

Kai saugos komandos diegia ir plečia agentinį DI kibernetinės saugos srityje visoje organizacijoje, apgalvota strategija padeda gerinti saugos rezultatus, kartu išlaikant skaidrumą, atsakomybę ir pasitikėjimą tarp komandų.

Organizacijos paprastai diegia agentinį DI kontroliuojamais etapais, pradėdamos nuo mažos rizikos, pagalbinių naudojimo scenarijų, o vėliau išplėsdamos jį į didesnio poveikio veiksmus. Taip pat svarbu užtikrinti skaidrumą, kaip saugos agentai priima sprendimus.

Aiškiai apibrėžtos apsaugos priemonės padeda apriboti agento veikimą iki saugių ir numatomų ribų. Kad sumažintų netikėto veikimo riziką, komandos apibrėžia, kokius veiksmus kibernetinės saugos DI agentai gali atlikti savarankiškai, nustato patvirtinimo eigas didelio poveikio arba slaptoms operacijoms ir nurodo ribas, kada saugos agentai turi eskaluoti klausimą analitikams.

Pagal vaidmenį pagrįsta prieigos kontrolė (RBAC) padeda sumažinti nenumatytos veiklos riziką, apribodama agento prieigą prie sistemų, duomenų ir veiksmų, kurių reikia jo konkrečiai funkcijai. Dėl šios priežasties tapatybės komandos agentams taiko tuos pačius mažiausių teisių principus, kaip ir žmonėms.

Kad išlaikytų agentų veikimo matomumą, saugos komandos registruoja ir audituoja visus agentų veiksmus, įskaitant sprendimus, įrankių naudojimą ir rezultatus. Tai padeda joms tirti incidentus, laikytis atitikties reikalavimų ir aptikti diegimo problemas, kurias reikia patikslinti.

Analitikai labiau linkę naudoti agentinį DI, jei būna informuoti ir kontroliuojantys procesą. Organizacijos gali kurti pasitikėjimą užtikrindamos, kad agentų rekomendacijos būtų aiškios ir lengvai suprantamos. Joms taip pat sekasi geriau, kai DI naudojamas analitikų sprendimams papildyti, o ne pakeisti.

Saugos operacijų centrai (SOC), IT ir atitikties komandos prisideda prie saugaus, veiksmingo bei su organizacijos rizikos tolerancija suderinto agentinio DI diegimo. Tarpdisciplininė komanda padeda organizacijoms apibrėžti veiklos naudojimo scenarijus, valdyti integraciją ir infrastruktūrą bei įvykdyti reguliavimo reikalavimus.

Visapusiškų agentinių darbo eigų, veikiančių skirtingose saugos srityse, kūrimas yra kelių etapų procesas. Organizacijoms didinant veiklos brandą, joms reikia stipresnio valdymo ir priežiūros.

Ankstyviausiame etape organizacijos naudoja iš anksto parengtus scenarijus ir darbo eigas, kad atliktų pasikartojančias saugos užduotis.

Kaip atrodo sėkmė:

• Nuoseklus įprastų užduočių atlikimas, pavyzdžiui, įspėjimų papildymas arba užklausų kūrimas.
• Mažesnės rankinio darbo sąnaudos mažo sudėtingumo darbo eigose.
• Priklausomybė nuo statinių taisyklių ir veiksmų sekų.

Pasirengimo rodikliai:

• Stabilios SIEM, SOAR ir užklausų valdymo integracijos.
• Aiškiai apibrėžti ir pasikartojantys saugos procesai.
• Daug pasikartojančių analitikų užduočių.

Šiame etape DI padeda analitikams gerindamas matomumą, apibendrinimą ir sprendimų priėmimą, bet nesiima tiesioginių veiksmų.

Kaip atrodo sėkmė:

• Greitesnis tyrimas naudojant DI sugeneruotas santraukas ir įžvalgas.
• Pagerintas įspėjimų supratimas ir konteksto papildymas.
• Analitikai lieka visiškai atsakingi už sprendimus ir veiksmus.

Pasirengimo rodikliai:

• Brandūs duomenų srautai ir centralizuotos metrikos.
• Įdiegti saugos operacijų procesai.
• Poreikis greičiau rūšiuoti grėsmes ir padėti atliekant tyrimus.

Čia agentinis DI imasi atlikti ribotus veiksmus pagal apibrėžtas apsaugos priemones, o žmonės išlaiko didesnės rizikos operacijų tvirtinimo teisę.

Kaip atrodo sėkmė:

• Automatizuoti rūšiavimo, papildymo ir rekomenduojami taisymo veiksmai.
• Mažesnis analitikų darbo krūvis atliekant pasikartojančias tyrimų užduotis.
• Žmogaus patvirtinimas sulaikymo ir taisymo veiksmams.

Pasirengimo rodikliai:

• Patikimos tapatybės ir prieigos valdymo priemonės automatizacijos sistemoms.
• Aiškiai apibrėžtos eskalavimo ir patvirtinimo darbo eigos.
• Duomenų kokybės ir sistemų integravimo patikimumas.

Brandžiausiame etape agentinis DI veikia keliose srityse, koordinuodamas veiksmus su minimaliu analitiko įsikišimu, laikydamasis nustatytų ribų. Tai leidžia organizacijoje atlikti visapusės saugos organizavimą.

Kaip atrodo sėkmė:

• Nuolatinis, autonomiškas aptikimas, tyrimas ir reagavimas įvairiose aplinkose.
• Saugos, IT, tapatybės ir atitikties sistemų koordinavimas keliose srityse.
• Žmonės susitelkia į valdymą, strategiją ir išimčių tvarkymą.

Pasirengimo rodikliai:

• Brandžios DI ir automatizavimo valdymo sistemos.
• Didelio pasitikėjimo metrikos ir duomenų vientisumas visose sistemose.
• Stiprus kelių funkcijų suderinimas tarp saugos, IT ir atitikties komandų.
• Užmegztas pasitikėjimas automatizuotu sprendimų priėmimu, užtikrinant auditą ir priežiūrą.

Agentinis DI vis dar yra ankstyvas savo pritaikymo kelyje, tačiau kelios aiškios tendencijos formuoja, kaip jis bus tobulinamas saugos srityje.

• Autonominis raudonųjų komandų testavimas. DI agentai vis dažniau imituos užpuolėjų veikimo būdą, kad nuolat testuotų gynybą, nustatytų silpnąsias vietas ir realiuoju laiku patvirtintų saugos valdiklius.
• Agentų ciklai. Agentinis DI, skirtas saugos operacijoms, bus nuolat ir savarankiškiau tobulinamas, o agentai suvoks, veiks ir mokysis iš rezultatų, kad patobulintų aptikimą bei reagavimą.
• DI ir DI kibernetinis konfliktas. Kadangi kibernetinių atakų vykdytojai taip pat pritaiko DI, būsimuose kibernetiniuose susidūrimuose gynybinės ir puolamosios agentinės sistemos gali tiesiogiai konkuruoti tarpusavyje.
• Numatomoji gynyba. Užuot reagavusios į incidentus, agentinės sistemos nuspės grėsmes analizuodamos modelius, poveikio duomenis ir užpuolėjų veikimo būdą, kad užkirstų kelią kibernetinėms atakoms dar prieš joms įvykstant.
• Bendradarbiaujantys DI agentai. Keli specializuoti agentai koordinuos užduotis, pvz., aptikimą, tyrimą, taisymą ir ataskaitų teikimą, kad sukurtų labiau išplečiamas ir atsparesnes saugos darbo eigas.
• Besikeičiantis analitiko vaidmuo. Analitikai nuo pasikartojančių tyrimo ir reagavimo užduočių pereis prie didesnės vertės atsakomybės, pvz., agentų priežiūros, strategijų kūrimo ir strateginio rizikos valdymo.

Organizacijos gali aptikti, tirti ir reaguoti į grėsmes visame savo skaitmeniniame turte naudodamos vieningą, DI pagrįstą „Microsoft“ saugos platformą. Pagrindas yra „Microsoft Security Copilot“ – natūralios kalbos, DI pagalbinis saugos sprendimas, leidžiantis analitikams įvertinti incidentus, apibendrinti grėsmes ir koordinuoti reagavimo veiksmus įvairiose aplinkose. Įterptieji agentai išplečia šias galimybes visose „Microsoft“ saugos sprendimuose.

Saugos komandas dažnai užgriūva įspėjimų kiekis, rankinis rūšiavimas ir fragmentiški tyrimai. „Microsoft Defender XDR“ agentinis DI padeda nustatyti didelės rizikos problemų prioritetus, greičiau ištirti incidentus ir pagerinti reagavimo efektyvumą.

• Saugos įspėjimų suaktyvinimo agentas – teikia įspėjimams prioritetą, kad sumažintų triukšmą ir padėtų analitikams greičiau susitelkti į didelės rizikos incidentus.
• Saugos analitiko agentas – tiria incidentus, susieja signalus ir rekomenduoja reagavimo veiksmus, kad optimizuotų SOC darbo eigas.
• Grėsmių paieškos agentas – atlieka paiešką aplinkose, kad atskleistų paslėptas grėsmes, įtartiną veikimo būdą ir besiformuojančius atakų modelius.
• Dinaminio grėsmių aptikimo agentas – nuolat analizuoja veiklą ir prisitaiko prie aptikimo logikos, kad nustatytų besivystančias grėsmes ir anomalijas.
• Grėsmių analizės instruktažo agentas – apibendrina grėsmių analizę kaip veiksmingas įžvalgas, kad komandos galėtų neatsilikti nuo kylančių rizikų.

Kartu šie agentai padeda sumažinti rankinį tyrimą ir pagreitinti reagavimą į incidentus visuose galiniuose įrenginiuose, tapatybėse, el. laiškuose ir debesies darbo krūviuose.

„Microsoft Sentinel“ „Security Copilot“ padeda analitikams pereiti nuo rankinio tyrimo prie natūralios kalbos, raginimų knyga pagrįstų darbo eigų. Analitikai gali generuoti KQL, apibendrinti incidentus, papildyti objektus, analizuoti vartotojus ir įrenginius bei automatizuoti tyrimo veiksmus naudodami „Logic Apps“ ir raginimų knygas.

Individualus „Sentinel“ incidentų ataskaitų agentas gali iš incidentų išgauti tyrimų išvadas, objektus, įžvalgas ir taisymo veiksmus. Raginimų knygos taip pat gali automatizuoti vartotojų analizę ir įtraukti išvadas tiesiai į incidentų veiklos žurnalus.

Šios galimybės padeda sumažinti rankinį užklausų rašymą, pagerinti tyrimų nuoseklumą ir sutaupyti analitikų laiko automatizuojant pasikartojančias užduotis.

„Microsoft Purview“ „Security Copilot“ padeda komandoms saugoti ir valdyti duomenis naudodama duomenų saugos padėties valdymą, duomenų praradimo prevenciją, prekybos naudojantis viešai neatskleista informacija rizikos valdymą, el. duomenų aptikimą bei audito ir komunikacijos reikalavimų atitiktį.

• Duomenų saugos rūšiavimo agentas – teikia prioritetą DLP ir vidinės rizikos įspėjimams, paaiškina rizikos kontekstą ir gali pradėti taisymo darbo eigas kartu su duomenų savininkais.
• Duomenų saugos padėties agentas – aptinka slaptus duomenis, nustato paslėptas rizikas ir atskleistus kredencialus, pagerina slaptumo žymėjimą ir generuoja vadovybei paruoštas santraukas.

Šie agentai padeda saugos komandoms sumažinti rankinį rūšiavimą, greičiau teikti prioritetą kritinėms rizikoms ir stiprinti duomenų saugos bei atitikties operacijas.

„Microsoft Entra“ „Security Copilot“ padeda komandoms tirti rizikingus vartotojus, neįprastus prisijungimus, privilegijuotą prieigą ir tapatybėmis pagrįstas grėsmes. „Copilot“ gali apibendrinti tapatybės kontekstą, paaiškinti rizikos signalus ir rekomenduoti veiksmus, pvz., seansų galiojimo sustabdymą, prieigos peržiūras arba sąlyginės prieigos strategijos koregavimą.

Galimybės apima tapatybės ir prieigos agentus bei „Microsoft Entra“ agento ID, kuris padeda organizacijoms registruoti, tvarkyti ir valdyti DI agentų tapatybes, naudojant gyvavimo ciklo valdymą, prieigos valdymą bei tapatybės apsaugos valdiklius.

Šios galimybės padeda organizacijoms sumažinti tapatybės riziką ir taikyti nulinio pasitikėjimo principus tiek žmonių, tiek DI tapatybėms.

„Microsoft Intune“ „Security Copilot“ padeda galinių įrenginių ir IT komandoms suprasti įrenginių atitiktį, konfigūracijos nuokrypius, pažeidžiamumo poveikį ir taisymo poreikius. „Copilot“ gali apibendrinti įrenginių riziką, paaiškinti neatitikties problemas, rekomenduoti kitus veiksmus ir padėti komandoms reaguoti greičiau.

Galinių įrenginių valdymo agentai padeda automatizuoti atitikties patikras, tirti įrenginių problemas ir nukreipti taisymą visuose valdomuose galiniuose įrenginiuose.

Šios galimybės padeda sumažinti rankinį galinių įrenginių tyrimą, pagerinti atitikties operacijas ir greičiau ištaisyti konfigūracijos spragas.

„Microsoft Security Copilot“ ir įterptieji agentai kartu padeda organizacijoms pereiti nuo reaktyvių, rankinių saugos operacijų prie prisitaikančios, DI pagalbinės gynybos, kuri pagerina apsaugą, greitį ir mastą visame saugos gyvavimo cikle.