Kas ir aģentiskais MI kiberdrošībā?

Aģentiskās AI sistēmas bieži ir izstrādātas ar iebūvētu cilvēka uzraudzību, lai līdzsvarotu autonomiju un kontroli.

Microsoft pieejā aģentiskajam AI kiberdrošībā tas ir veidots kā sadarbības modelis, kurā cilvēku operatori var uzraudzīt un virzīt sistēmas darbību.

Biežākie piemēri:

• Caurspīdīga spriestspēja. Microsoft sistēmas sniedz atbalstošu kontekstu un pamatojumu kopā ar ieteikumiem, lai palīdzētu analītiķiem saprast sistēmas izvades datus un lēmumu ceļus.

• Apstiprināšana un pielāgošana. Komandas var pārskatīt, apstiprināt, noraidīt vai precizēt sistēmas darbības, iekļaujot atsauksmes, lai nepārtraukti uzlabotu rezultātus.

• Auditējamas vadīklas. Darbības tiek pārvaldītas ar uzņēmuma drošības kontroļu palīdzību, piemēram, piekļuves uz lomām, audita žurnālu un darbplūsmas drošības mehānismiem, lai atbalstītu atbildības un atbilstības prasības.

Aģentiskais AI spēj dinamiski reaģēt uz mainīgiem apstākļiem un pielāgot savu uzvedību, pamatojoties uz kontekstu, pateicoties procesam, ko sauc par aģentisko cilpu — soļu secībai, ko aģents atkārto, līdz sasniedz savu mērķi.

Uztvert → Spriest → Plānot → Rīkoties → Mācīties

• Uztvere. Sistēma apkopo informāciju no savas vides, tostarp žurnāliem, brīdinājumiem, lietotāju darbībām, apdraudējumu izlūkdatiem un datiem no savienotajiem rīkiem un sistēmām.
• Spriestspēja. Tā analizē informāciju, identificē modeļus, izvērtē riskus un nosaka, ko dati nozīmē konkrētajā kontekstā.
• Plānošana. Pamatojoties uz saviem mērķiem, sistēma izstrādā darbību secību, lai sasniegtu vēlamo rezultātu.
• Rīcība. Aģents izpilda uzdevumus, piemēram, izolē ierīci, atver pieteikumu, eskalē brīdinājumu vai apkopo papildu pierādījumus, mijiedarbojoties ar rīkiem, sistēmām vai darbplūsmām.
• Mācīšanās. Sistēma izvērtē savu darbību rezultātus un izmanto atsauksmes, jaunus datus un iepriekšējos rezultātus, lai uzlabotu turpmākos lēmumus un reakcijas.

Lai aģentiskā AI sistēma darbotos efektīvi, komandām arī jāizlemj, vai tās vēlas izmantot viena aģenta sistēmu vai vairāku aģentu sistēmu. Viena aģenta sistēma paļaujas uz vienu aģentu, kas pārvalda uzdevumus un lēmumus, un tas labi darbojas tad, ja darbplūsmas ir relatīvi ierobežotas un lēmumi ir centralizēti. Ja darbplūsmas ir sarežģītas vai prasa dažādu veidu ekspertīzi, organizācijas bieži izveido vairāku aģentu sistēmu, kas izmanto vairākus specializētus AI aģentus kiberdrošībai, kuri strādā kopīga mērķa sasniegšanai.

Pat ar autonomām iespējām cilvēku uzraudzība joprojām ir svarīga. Daudzas organizācijas sensitīvām vai augsta riska darbībām izmanto cilvēka iesaistes pārbaudes punktus un apstiprināšanas vārtus, lai palīdzētu saglabāt pārvaldību, atbildību un darbības kontroli.

Atšķirības starp tradicionālo automatizāciju, ģeneratīvo AI un aģentisko AI kļūst skaidrākas, ja tās salīdzina pēc pamatdimensijām.

Diemžēl ne tikai uzņēmumi un valdības iestādes strauji ievieš AI. Apdraudējumu izdarītāji izmanto aģentiskās sistēmas, lai palielinātu savu kiberuzbrukumu ātrumu un apjomu, un tas rada vai pastiprina vairākus kiberdrošības izaicinājumus, tostarp:

• Mēroga izaicinājums. Drošības komandas bieži saskaras ar milzīgu brīdinājumu apjomu, pieaugošu datu sarežģītību un pastāvīgu analītiķu trūkumu.
• Ātruma izaicinājums. Kiberuzbrucēji arvien biežāk automatizē savas darbības, kamēr daudzi aizstāvji joprojām paļaujas uz manuālu šķirošanu un incidentu reaģēšanas procesiem.
• Uzticamības un precizitātes izaicinājums. Ilgstoša nakts maiņu iedarbība un atkārtotu uzdevumu liels apjoms var izraisīt analītiķu nogurumu un izdegšanu, palielinot nekonsekvences un cilvēcisko kļūdu risku.
• Noturības izaicinājums. Mūsdienu organizācijas darbojas hibrīdvidēs, kas ietver mākoņplatformas, galapunktus, identitātes, lietojumprogrammas un trešo pušu pakalpojumus. Šīs pieaugošās uzbrukuma virsmas dēļ palielinās darbības risks un rodas vairāk iespēju kiberuzbrucējiem.

Aģentiskais AI kiberdrošībā palīdz drošības komandām darboties efektīvāk vidēs, kas kļūst pārāk sarežģītas, strauji mainīgas un savstarpēji saistītas pilnīgi manuālām drošības operācijām (SecOps). Tas atšķiras no plašākas aģentiskās AI drošības, kas koncentrējas uz pašu AI sistēmu aizsardzību.

Nevis aizstājot drošības komandas, aģentiskais AI darbojas kā spēka reizinātājs visās kiberdrošības pasākumos, sniedzot tādus ieguvumus kā:

• Ātrāks vidējais atklāšanas un reaģēšanas laiks (MTTD/MTTR). Aģentiskais AI var ātri izmeklēt brīdinājumus, korelēt signālus un koordinēt reaģēšanas darbības, palīdzot komandām samazināt atklāšanas un reaģēšanas laiku.
• Mazāks analītiķu nogurums un vairāk laika augstas vērtības darbam. Apstrādājot atkārtotus un laikietilpīgus uzdevumus, aģentiskais AI palīdz mazināt brīdinājumu nogurumu un ļauj analītiķiem pievērsties stratēģiskākām izmeklēšanām un lēmumu pieņemšanai.
• Konsekventa, atkārtojama šķirošana un reaģēšana. Aģentiskais AI konsekventi piemēro darba plūsmas un procesus visos incidentos, uzlabojot darbības uzticamību, samazinot manuālu darbību radītās atšķirības.
• Nepārtraukta pārklājuma nodrošināšana un elastīga mērogošana. Atšķirībā no cilvēku komandām aģentiskais AI var darboties nepārtraukti un mērogoties, lai apstrādātu lielu brīdinājumu, notikumu un datu apjomu, neprasot papildu personālu.
• Labāka signāla un trokšņa attiecība un prioritizēšana. Aģentiskais AI var analizēt lielu apjomu konteksta datu, lai palīdzētu noteikt svarīgākos draudus, samazinot nevajadzīgus brīdinājumus un uzlabojot prioritizēšanu.
• Lielāka noturība un proaktīva risku pārvaldība. Aģentiskais AI var nepārtraukti uzraudzīt vidi, noteikt iespējamas vājās vietas un atbalstīt proaktīvus drošības pasākumus, kas palīdz organizācijām laika gaitā samazināt risku un uzlabot darbības noturību.

Vairāki izmantošanas scenāriji parāda, kā cilvēki un aģenti var sadarboties, lai stiprinātu drošību.

Drošības komandas bieži saņem vairāk brīdinājumu, nekā var manuāli izmeklēt, tāpēc prioritizēšana ir būtiska efektīvai reaģēšanai.

Aģenta loma:

• Papildina brīdinājumus ar informāciju par apdraudējumu, resursu kontekstu un lietotāju uzvedības datiem.
• Prioritizē incidentus, pamatojoties uz riska un ticamības vērtējumu.
• Iesaka nākamos soļus izmeklēšanai vai novēršanai.

Analītiķa loma:

• Pārskata augstas prioritātes incidentus.
• Validē konstatējumus un eskalācijas lēmumus.
• Apstrādā sarežģītas vai sensitīvas izmeklēšanas.

Drošības komandas paļaujas uz lielu apdraudējumu datu apjomu, tāpēc ir grūti ātri iegūt atbilstošas un praktiski izmantojamas atziņas.

Aģenta loma:

• Apkopo un īsi apkopo apdraudējumu informāciju no vairākiem avotiem.
• Nodrošina situācijas izpratni reāllaikā un ātru atskaišu sniegšanu.
• Saista apdraudējuma aktivitātes dažādās vidēs.

Analītiķa loma:

• Interpretē stratēģiskos riskus un apdraudējumu tendences.
• Validē izlūkdatu atbilstību un ietekmi.
• Virza reaģēšanas prioritātes un plānošanu.

Slēptu vai jaunu apdraudējumu noteikšanai nepieciešama nepārtraukta lielu un sarežģītu datu kopu analīze.

Aģenta loma:

• Ģenerē medību hipotēzes un vaicā datu avotus.
• Iterē cauri lielām datu kopām, lai noteiktu aizdomīgas darbības.
• Veic nepārtrauktas fona meklēšanas jaunattīstības apdraudējumiem.

Analītiķa loma:

• Validē konstatējumus un nosaka biznesa ietekmi.
• Izmeklē progresētas vai mērķētas kiberuzbrukumu aktivitātes.
• Pilnveido medību stratēģijas un prioritātes.

Reaģēšana uz drošības incidentiem prasa ātru koordināciju starp noteikšanas, izmeklēšanas un ierobežošanas darbībām.

Aģenta loma:

• Automatizē pierādījumu vākšanu un incidentu dokumentāciju.
• Izstrādā laika grafikus un apkopo kiberuzbrukumu aktivitātes.
• Pabeidz ierobežošanas darbības ar analītiķu apstiprinājumu.
• Palīdz aizsargāt galapunktus un automatizēt ievainojamību novēršanas darba plūsmas.

Analītiķa loma:

• Apstiprina augsta riska reaģēšanas darbības.
• Pārrauga novēršanas un atjaunošanas darbu.
• Koordinē saziņu un pēc incidenta veicamo pārskatīšanu.

Organizācijām ir jāidentificē un jāprioritizē drošības nepilnības, pirms tās izmanto apdraudētāji.

Aģenta loma:

• Prioritizē ievainojamības, pamatojoties uz riska līmeni un apdraudēto resursu vērtību.
• Identificē ekspozīcijas mākoņvidē, galapunktos un identitātes vidēs.
• Iesaka novēršanas ceļus un mazināšanas darbības.

Analītiķa loma:

• Nosaka novēršanas prioritātes, pamatojoties uz uzņēmējdarbības risku.
• Validē ieteiktās darbības.
• Koordinē ielāpu uzlikšanu un riska mazināšanas darbu.

Identitātes darbību uzraudzība ir kritiski svarīga, lai noteiktu neatļautu piekļuvi un novērstu privilēģiju ļaunprātīgu izmantošanu.

Aģenta loma:

• Atklāj neparastus pierakstīšanās un piekļuves modeļus.
• Identificē riskantas atļaujas un privilēģiju eskalācijas riskus.
• Nepārtraukti uzrauga ar identitāti saistītus apdraudējumus.

Identitātes un piekļuves administratora loma:

• Pārskata augsta riska piekļuves notikumus.
• Apstiprina politikas vai atļauju izmaiņas.
• Izmeklē iespējamu iekšējās informācijas noplūdi vai konta kompromitēšanas aktivitāti.

Drošības komandām ir nepārtraukti jāveido un jāpilnveido noteikšanas loģika, lai turētos līdzi mainīgajiem apdraudējumiem.

Aģenta loma:

• Raksta un testē noteikšanas loģiku.
• Validē noteikšanas pārklājumu un identificē nepilnības.
• Iesaka pielāgošanas uzlabojumus, lai samazinātu kļūdaini pozitīvus rezultātus.

Analītiķa loma:

• Pārskata un apstiprina noteikšanas atjauninājumus.
• Saskaņo noteikšanas ar organizācijas prioritātēm.
• Pārrauga ilgtermiņa drošības arhitektūru un stratēģiju.

Sensitīvu datu aizsardzībai nepieciešama nepārtraukta uzraudzība, klasifikācija un drošības politiku ieviešana.

Aģenta loma:

• Izmeklē un prioritizē datu zuduma novēršanas un iekšējās informācijas noplūdes riskus.
• Automatizē sensitīvu datu risku atklāšanu un analīzi visās vidēs.
• Identificē politikas pārkāpumus un atbilstības nepilnības.

Datu drošības administratora loma:

• Pārskata augsta riska datu noplūdes notikumus.
• Nosaka atbilstības un pārvaldības prasības.
• Pārrauga novēršanas un politiku ieviešanas lēmumus.

Aģentiskais AI kiberdrošībā sniedz vislielāko vērtību tad, ja tas palīdz komandām analizēt datus, papildināt brīdinājumus un reaģēt uz ievainojamībām un draudiem visā vidē. Lai to paveiktu, organizācijas izmanto API, lai savienotu drošības aģentus ar rīkiem, ko tās jau izmanto, piemēram, SOAR, paplašinātās noteikšanas un reaģēšanas (XDR), mākoņa drošības stāvokļa pārvaldības (CSPM), identitātes un piekļuves pārvaldības (IAM), drošības informācijas un notikumu pārvaldības (SIEM), galapunktu noteikšanas un reaģēšanas (EDR) rīkiem un biļešu pārvaldības risinājumiem. Tas ļauj aģentiskā AI sistēmām izgūt informāciju, koordinēt darbplūsmas, aktivizēt darbības un atjaunināt sistēmas reāllaikā.

Automatizācija ietaupa komandām daudz laika, taču joprojām ir svarīgi saglabāt kontroli un atbildību, lai izvairītos no neparedzētām darbībām. Drošības komandām parasti ir nepieciešams, lai analītiķi pārskata augsta riska lēmumus, vienlaikus ļaujot lielāku autonomiju zemāka riska darbībām. Jebkurā gadījumā ir svarīgi izveidot datu pārvaldību un piekļuves kontroli, lai palīdzētu nodrošināt, ka AI mijiedarbojas tikai ar apstiprinātām sistēmām un datiem.

Drošības komandas, kurām ar aģentisko AI ir vislielākie panākumi, ievieš mērīšanas rīkus, lai novērtētu, cik labi tiek sasniegti mērķi. Tas sniedz tām informāciju, kas nepieciešama ieviešanas pielāgošanai un pilnveidošanai.

Galvenie veiksmes rādītāji ietver:

Dati, kas palīdz noteikt drošības darbību efektivitāti, ietver:

• MTTD un MTTR.
• Brīdinājumu skaits, kas automātiski sašķiroti vai aizvērti.
• Viltus pozitīvo rezultātu īpatsvara samazinājums.
• Incidentu izmeklēšanai un novēršanai nepieciešamais laiks.

Šie rādītāji sniedz vadībai ieskatu par to, kā aģentiskais AI maina drošības komandu laika sadalījumu:

• No manuālās izmeklēšanas un triāžas atgūtās analītiķu darba stundas.
• Brīdinājumu eskalācijas rādītājs brīdinājumiem, kuriem nepieciešama analītiķa iejaukšanās.
• Jauno analītiķu ieviešanas darbā laiks, izmantojot ar AI atbalstītas darbplūsmas.
• Atkārtotu vai mazas pievienotās vērtības uzdevumu apjoma samazinājums.

Vadība var arī redzēt, kā drošības uzlabojumi ietekmē visu organizāciju, izmantojot tādus rādītājus kā:

• Izmaksas uz vienu drošības incidentu.
• Pārklājums visās vidēs, identitātēs, galapunktos un mākoņresursos
• Kopējais atbilstības stāvoklis un gatavība auditam.
• Operacionālā riska pakāpes samazinājums laika gaitā.

Tā kā aģentiskās sistēmas darbojas ar dažādiem autonomijas līmeņiem, drošai ieviešanai ir būtiska pārvaldība, pārredzamība un kontrole.

• Slepenie aģenti un nekontrolēta automatizācija. Palielinot aģentisko sistēmu mērogu, organizācijas var netīšām izveidot nepārvaldītus vai dublētus aģentus. Ja nav pienācīgas uzraudzības, šie “ēnu aģenti” var radīt nekonsekventu darbību vai neatļautas darbības.
• Halucinācijas un viltus pozitīvi rezultāti. Tāpat kā citas AI sistēmas, aģentiskais AI var sniegt nepareizus secinājumus vai nepareizi interpretēt datus, kas, ja netiek validēti, var novest pie nevajadzīgiem brīdinājumiem vai nepareizām darbībām.
• Pārmērīga automatizācija un pārraudzības zudums. Pārmērīga paļaušanās uz automatizāciju var samazināt redzamību lēmumu pieņemšanas procesos, palielinot risku palaist garām kontekstu vai veikt neatbilstošas darbības.
• Datu konfidencialitāte un piekļuves kontrole. Aģentiskajām AI sistēmām ir nepieciešama piekļuve sensitīviem drošības datiem, tāpēc stingras kontroles attiecībā uz atļaujām, datu robežām un vismazāko privilēģiju piekļuvi ir kritiski svarīgas.
• Modeļa novirze un ļaunprātīga manipulācija. Laika gaitā modeļa veiktspēja var pasliktināties, mainoties videi. Turklāt kiberuzbrucēji var mēģināt manipulēt ar ievaddatiem vai rādītājiem, lai ietekmētu aģenta darbību.

• NIST AI Risk Management Framework (AI RMF) sniedz norādījumus AI saistīto risku pārvaldībai visā dzīves ciklā, tostarp pārvaldībā, kartēšanā, mērīšanā un pārvaldībā.
• ISO/IEC 42001 nosaka prasības AI pārvaldības sistēmai, koncentrējoties uz AI sistēmu atbildīgu izstrādi un lietošanu.
• ES AI likums ievieš uz risku balstītu klasifikāciju un atbilstības prasības AI sistēmām, kas darbojas Eiropas Savienībā vai ietekmē to.
• Nozarei specifiski noteikumi ir unikālas prasības noteiktām nozarēm, piemēram, Veselības apdrošināšanas pārnesamības un atbildības akta (HIPAA) datu aizsardzībai veselības aprūpē, Maksājumu karšu nozares datu drošības standarta (PCI DSS) maksājumu drošībai un Sarbanes–Oxley akta (SOX) finanšu pārskatu kontrolei.

Kad drošības komandas izvieto un mērogā aģentisko AI kiberdrošībai savās organizācijās, pārdomāta stratēģija palīdz uzlabot drošības rezultātus, vienlaikus saglabājot pārredzamību, atbildību un uzticēšanos starp komandām.

Organizācijas parasti ievieš aģentisko AI kontrolētos posmos, sākot ar zema riska, palīgdarbību lietošanas gadījumiem un pēc tam paplašinot to uz darbībām ar lielāku ietekmi. Svarīgi ir arī prioritāri nodrošināt pārredzamību tajā, kā drošības aģenti pieņem lēmumus.

Labi definēti drošības ierobežojumi palīdz ierobežot aģenta darbību drošās un paredzamās robežās. Lai samazinātu negaidītas darbības risku, komandas nosaka, kuras darbības mākslīgā intelekta aģenti kiberdrošības jomā drīkst veikt autonomi, izveido apstiprināšanas darbplūsmas augstas ietekmes vai sensitīvām darbībām un nosaka sliekšņus, pie kuriem drošības aģentiem jāeskalē situācija analītiķiem.

Uz lomu balstīta piekļuves kontrole (RBAC) palīdz samazināt neparedzētas darbības risku, ierobežojot aģenta piekļuvi sistēmām, datiem un darbībām, kas nepieciešamas tā konkrētajai funkcijai. Šī iemesla dēļ identitātes komandas piemēro aģentiem tādus pašus vismazāko privilēģiju principus kā cilvēkiem.

Lai saglabātu redzamību par aģenta darbību, drošības komandas reģistrē un auditē visas aģenta darbības, tostarp lēmumus, rīku lietojumu un rezultātus. Tas palīdz tām izmeklēt incidentus, izpildīt atbilstības prasības un atklāt ieviešanas problēmas, kuras ir jāprecizē.

Analītiķi, visticamāk, pieņems aģentisko AI, ja jutīsies informēti un kontrolēs situāciju. Organizācijas var veidot uzticēšanos, nodrošinot, ka aģenta ieteikumi ir skaidri un viegli saprotami. Tām ir arī lielāki panākumi, ja AI tiek izmantots, lai papildinātu, nevis aizstātu analītiķu lēmumu pieņemšanu.

Drošības operāciju centri (SOC), IT un atbilstības komandas visām ir loma drošā un efektīvā aģentiskā AI izvietošanā, kas atbilst organizācijas riska tolerancei. Starpdisciplināra komanda palīdz organizācijām definēt operatīvās lietošanas iespējas, pārvaldīt integrāciju un infrastruktūru, kā arī izpildīt regulatīvās prasības.

Pilnībā aģentisku darbplūsmu izveide, kas darbojas starp drošības domēniem, ir daudzposmu process. Organizācijām palielinot darbības briedumu, tām ir nepieciešama stingrāka pārvaldība un uzraudzība.

Agrākajā posmā organizācijas izmanto iepriekš definētus skriptus un darbplūsmas, lai apstrādātu atkārtotus drošības uzdevumus.

Kā izskatās veiksme:

• Konsekventa rutīnas uzdevumu izpilde, piemēram, brīdinājumu bagātināšana vai biļešu izveide.
• Mazāks manuālais darbs mazāk sarežģītās darbplūsmās.
• Atkarība no statiskām kārtulām un izpildes rokasgrāmatām.

Gatavības rādītāji:

• Stabilas SIEM, SOAR un pieteikumu sistēmas integrācijas.
• Skaidri definēti un atkārtojami drošības procesi.
• Liels atkārtotu analītiķu uzdevumu apjoms.

Šajā posmā AI atbalsta analītiķus, uzlabojot redzamību, kopsavilkumu veidošanu un lēmumu pieņemšanu, taču neveic tiešas darbības.

Kā izskatās veiksme:

• Ātrāka izmeklēšana, izmantojot AI ģenerētus kopsavilkumus un ieskatus.
• Uzlabota brīdinājumu izpratne un konteksta bagātināšana.
• Analītiķi joprojām ir pilnībā atbildīgi par lēmumiem un darbībām.

Gatavības rādītāji:

• Nobrieduši datu cauruļvadi un centralizēti metriskie rādītāji.
• Iedibināti drošības operāciju procesi.
• Nepieciešamība pēc ātrākas šķirošanas un izmeklēšanas atbalsta.

Šeit aģentiskais AI sāk veikt ierobežotas darbības noteiktos drošības ierobežojumos, kamēr cilvēki saglabā apstiprināšanas pilnvaras augstāka riska operācijām.

Kā izskatās veiksme:

• Automatizēta triāža, bagātināšana un ieteiktās novēršanas darbības.
• Samazināta analītiķu darba slodze atkārtotos izmeklēšanas uzdevumos.
• Cilvēka iesaistīta apstiprināšana ierobežošanas un novēršanas darbībām.

Gatavības rādītāji:

• Spēcīgas identitātes un piekļuves vadīklas automatizācijas sistēmām.
• Labi definētas eskalācijas un apstiprināšanas darbplūsmas.
• Pārliecība par datu kvalitāti un sistēmu integrācijām.

Visattīstītākajā posmā aģentiskais AI darbojas vairākās jomās, koordinējot darbības ar minimālu analītiķu iesaisti noteiktās robežās. Tas nodrošina pilna cikla drošības orķestrēšanu visā organizācijā.

Kā izskatās veiksme:

• Nepārtraukta, autonoma noteikšana, izmeklēšana un reaģēšana visās vidēs.
• Starpdomēnu koordinācija starp drošības, IT, identitātes un atbilstības sistēmām.
• Cilvēki koncentrējas uz pārvaldību, stratēģiju un izņēmumu apstrādi.

Gatavības rādītāji:

• Brieduma sasnieguši pārvaldības ietvari AI un automatizācijai.
• Augstas ticamības metrikas un datu integritāte visās sistēmās.
• Spēcīga starpfunkcionāla saskaņotība starp drošības, IT un atbilstības komandām.
• Iedibināta uzticēšanās automatizētai lēmumu pieņemšanai ar auditējamību un pārraudzību.

Aģentiskais AI joprojām ir agrīnā ieviešanas posmā, taču vairākas skaidras tendences nosaka, kā tas attīstīsies drošības jomā.

• Autonomas sarkanās komandas. AI aģenti arvien biežāk simulēs uzbrucēju uzvedību, lai nepārtraukti testētu aizsardzību, identificētu vājās vietas un reāllaikā validētu drošības kontroles.
• Aģentu cikli. Aģentiskais AI drošības pasākumos kļūs nepārtrauktāks un vairāk uzlabosies, aģentiem uztverot, rīkojoties un mācoties no rezultātiem, lai pilnveidotu noteikšanu un reaģēšanu.
• AI pret AI kiberkonflikts. Tā kā arī kiberuzbrucēji izmanto AI, turpmākos kibersadarbības scenārijos aizsardzības un uzbrukuma aģentiskās sistēmas varētu tieši sacensties savā starpā.
• Prognozējoša aizsardzība. Tā vietā, lai reaģētu uz incidentiem, aģentiskās sistēmas paredzēs draudus, analizējot modeļus, ekspozīcijas datus un uzbrucēju uzvedību, lai novērstu kiberuzbrukumus vēl pirms tie notiek.
• Sadarbības AI aģenti. Vairāki specializēti aģenti koordinēs uzdevumus, piemēram, noteikšanu, izmeklēšanu, novēršanu un pārskatu sagatavošanu, lai izveidotu mērogojamākas un noturīgākas drošības darbplūsmas.
• Analītiķa lomas attīstība. Analītiķi novirzīs uzmanību no atkārtotiem izmeklēšanas un reaģēšanas uzdevumiem uz augstākas pievienotās vērtības pienākumiem, piemēram, aģentu pārraudzību, politiku izstrādi un stratēģisku risku pārvaldību.

Organizācijas var noteikt, izmeklēt un reaģēt uz draudiem visā savā digitālajā īpašumā, izmantojot vienotu, ar AI darbinātu Microsoft drošības platformu. Centrā ir Microsoft Security Copilot — dabiskās valodas, ar AI palīdzību darbināts drošības risinājums, kas ļauj analītiķiem analizēt incidentus, apkopot draudus un koordinēt reaģēšanas darbības visās vidēs. Iegultie aģenti paplašina šīs iespējas visos Microsoft drošība risinājumos.

Drošības komandas bieži tiek pārņemtas ar brīdinājumu apjomu, manuālu sākotnējo šķirošanu un fragmentētām izmeklēšanām. Microsoft Defender XDR aģentiskais AI palīdz noteikt prioritātes augsta riska problēmām, ātrāk izmeklēt incidentus un uzlabot reaģēšanas efektivitāti.

• drošības brīdinājumu šķirošanas aģents — nosaka brīdinājumu prioritāti, lai mazinātu trokšņus un palīdzētu analītiķiem ātrāk koncentrēties uz augsta riska incidentiem.
• drošības analītiķa aģents — izmeklē incidentus, korelē signālus un iesaka reaģēšanas darbības, lai racionalizētu SOC darbplūsmas.
• draudu medību aģents — meklē visās vidēs, lai atklātu slēptus draudus, aizdomīgu uzvedību un jaunas uzbrukumu shēmas.
• dinamiskās draudu noteikšanas aģents — nepārtraukti analizē aktivitātes un pielāgo noteikšanas loģiku, lai identificētu mainīgus draudus un anomālijas.
• draudu informācijas instruktāžas aģents — apkopo draudu informāciju izmantojamās atziņās, lai komandas varētu būt soli priekšā jauniem riskiem.

Kopā šie aģenti palīdz samazināt manuālu izmeklēšanu un paātrina incidentu reaģēšanu galapunktos, identitātēs, e-pastā un mākoņa darba slodzēs.

Microsoft Sentinel Security Copilot palīdz analītiķiem pāriet no manuālas izmeklēšanas uz dabiskās valodas, uzvedņu žurnālu vadītām darbplūsmām. Analītiķi var ģenerēt KQL, apkopot incidentus, bagātināt entītijas, analizēt lietotājus un ierīces, kā arī automatizēt izmeklēšanas soļus, izmantojot loģikas programmas un uzvedņu grāmatas.

Pielāgots Sentinel incidentu pārskatu aģents var no incidentiem izgūt izmeklēšanas atziņas, entītijas, ieskatus un novēršanas darbības. Uzvedņu grāmatas var arī automatizēt lietotāju analīzi un pievienot atziņas tieši incidentu aktivitāšu žurnāliem.

Šīs iespējas palīdz samazināt manuālu vaicājumu rakstīšanu, uzlabot izmeklēšanas konsekvenci un ietaupīt analītiķu laiku, automatizējot atkārtojamus uzdevumus.

Microsoft Purview Security Copilot palīdz komandām aizsargāt un pārvaldīt datus visā Datu drošības stāvokļa pārvaldībā, Datu zuduma novēršanā, Iekšējā riska pārvaldībā, E-datu atklāšanā, Auditā un Saziņas atbilstībā.

• datu drošības šķirošanas aģents — nosaka DLP un iekšējā riska brīdinājumu prioritāti, izskaidro riska kontekstu un var uzsākt novēršanas darbplūsmas kopā ar datu īpašniekiem.
• datu drošības stāvokļa aģents — atklāj sensitīvus datus, identificē slēptus riskus un atklātus akreditācijas datus, uzlabo jutīguma etiķetēšanu un ģenerē vadības līmeņa kopsavilkumus.

Šie aģenti palīdz drošības komandām samazināt manuālu sākotnējo šķirošanu, ātrāk noteikt kritiskos riskus un stiprināt datu drošības un atbilstības darbības.

Microsoft Entra Security Copilot palīdz komandām izmeklēt riskantus lietotājus, neparastas pierakstīšanās reizes, privilēģētu piekļuvi un uz identitāti balstītus draudus. Copilot var apkopot identitātes kontekstu, izskaidrot riska signālus un ieteikt tādas darbības kā sesijas atsaukšana, piekļuves pārbaudes vai Nosacītās piekļuves politikas pielāgošana.

Iespējas ietver identitātes un piekļuves aģentus un Microsoft Entra aģenta ID, kas palīdz organizācijām reģistrēt, pārvaldīt un pārraudzīt AI aģentu identitātes ar dzīves cikla pārvaldību, piekļuves pārvaldību un identitātes aizsardzības vadīklām.

Šīs iespējas palīdz organizācijām samazināt identitātes risku un piemērot Nulles uzticamība principus gan cilvēku, gan AI identitātēm.

Microsoft Intune Security Copilot palīdz galapunktu un IT komandām izprast ierīču atbilstību, konfigurācijas novirzes, ievainojamību iedarbību un novēršanas vajadzības. Copilot var apkopot ierīces risku, izskaidrot neatbilstības problēmas, ieteikt nākamos soļus un palīdzēt komandām reaģēt ātrāk.

Galapunktu pārvaldības aģenti palīdz automatizēt atbilstības pārbaudes, izmeklēt ierīču problēmas un vadīt novēršanu pārvaldītajos galapunktos.

Šīs iespējas palīdz samazināt manuālu galapunktu izmeklēšanu, uzlabot atbilstības operācijas un ātrāk novērst konfigurācijas nepilnības.

Kopā Microsoft Security Copilot un iegultie aģenti palīdz organizācijām pāriet no reaģējošām, manuālām drošības operācijām uz adaptīvu, ar AI palīdzību nodrošinātu aizsardzību, kas uzlabo aizsardzību, ātrumu un mērogu visā drošības dzīves ciklā.