Wat is agentische AI in cyberbeveiliging?

Agentische AI-systemen zijn vaak ontworpen met ingebouwd menselijk toezicht om de autonomie in balans te brengen met controle.

In de Microsoft-benadering van agentische AI voor cyberbeveiliging is het ontworpen als een samenwerkingsmodel waarbij menselijke operators het systeemgedrag kunnen bewaken en begeleiden.

Enkele voorbeelden zijn:

• Transparante onderbouwing. Microsoft-systemen bieden ondersteunende context en onderbouwing bij aanbevelingen om analisten te helpen de systeemuitvoer en beslissingspaden te begrijpen.

• Goedkeuring en aanpassing. Teams kunnen systeemacties beoordelen, goedkeuren, afwijzen of verfijnen, waarbij feedback wordt opgenomen om de resultaten continu te verbeteren.

• Controleerbare maatregelen. De activiteiten worden gereguleerd door beveiligingsmaatregelen op bedrijfsniveau, zoals op rollen gebaseerde toegangscontrole, auditlogboeken en werkstroombeveiligingen, ter ondersteuning van de verantwoordingsplicht en nalevingseisen.

Agentische AI kan dynamisch reageren op veranderende omstandigheden en het gedrag aanpassen op basis van context vanwege een proces dat de agentische lus wordt genoemd. Dit is een reeks stappen die de agent herhaalt totdat het doel is bereikt.

Waarnemen → Redeneren → Plannen → Handelen → Leren

• Waarnemen. Het systeem verzamelt informatie uit de omgeving, waaronder logboeken, waarschuwingen, gebruikersactiviteit, bedreigingsinformatie en gegevens van verbonden hulpprogramma's en systemen.
• Redeneren. Het analyseert de informatie, identificeert patronen, evalueert risico's en bepaalt wat de gegevens in context betekenen.
• Plannen. Op basis van de doelstellingen ontwikkelt het systeem een reeks acties om een gewenst resultaat te bereiken.
• Handelen. De agent voert taken uit, zoals het isoleren van een apparaat, het openen van een ticket, het escaleren van een waarschuwing of het verzamelen van extra bewijs, door te communiceren met hulpprogramma's, systemen of werkstromen.
• Leren. Het systeem evalueert de resultaten van de acties en gebruikt feedback, nieuwe gegevens en eerdere resultaten om toekomstige beslissingen en reacties te verbeteren.

Voor een effectieve werking van agentische AI moeten teams ook beslissen of ze een systeem met één agent of een systeem met meerdere agents willen gebruiken. Een systeem met één agent is afhankelijk van één agent voor het beheren van taken en beslissingen, wat goed werkt wanneer werkstromen relatief besloten zijn en beslissingen centraal worden genomen. Als werkstromen complex zijn of verschillende soorten expertise vereisen, stellen organisaties vaak een systeem met meerdere agents in dat gebruikmaakt van meerdere, gespecialiseerde AI-agents voor cyberbeveiliging die samenwerken aan een gezamenlijk doel.

Zelfs met autonome mogelijkheden blijft toezicht van mensen belangrijk. Veel organisaties gebruiken human-in-the-loop-controlepunten en goedkeuringspoorten voor gevoelige of risicovolle acties om governance, verantwoordelijkheid en operationele controle te behouden.

De verschillen tussen traditionele automatisering, generatieve AI en agentische AI worden duidelijker in vergelijking tussen kerndimensies.

Helaas zijn bedrijven en overheden niet de enige die AI in een snel tempo in gebruik nemen. Bedreigingsactoren gebruiken agentische systemen om de snelheid en schaal van hun cyberaanvallen te vergroten, wat verschillende uitdagingen op het gebied van cyberbeveiliging veroorzaakt of verergert, waaronder:

• De schaaluitdaging. Beveiligingsteams hebben vaak te maken met enorme waarschuwingsvolumes, groeiende gegevenscomplexiteit en een voortdurend tekort aan analisten.
• De snelheidsuitdaging. Cyberaanvallen automatiseren hun bewerkingen steeds vaker, terwijl veel beschermers nog steeds afhankelijk zijn van handmatige sorterings- en incidentreactieprocessen.
• De betrouwbaarheids- en nauwkeurigheids-uitdaging. Langdurige blootstelling aan nachtdiensten en grote hoeveelheden repetitieve taken kan leiden tot vermoeidheid en burn-out bij analisten, waardoor het risico op inconsistenties en menselijke fouten toeneemt.
• De tolerantie-uitdaging. Moderne organisaties werken in hybride omgevingen met cloudplatforms, eindpunten, identiteiten, toepassingen en services van derden. Dit groeiende aanvalsoppervlak verhoogt het operationele risico en creëert meer kansen voor cyberaanvallers.

Agentische AI in cyberbeveiliging helpt beveiligingsteams effectiever te werken in omgevingen die te complex, snel bewegend en onderling verbonden zijn voor volledig handmatige beveiligingsbewerkingen (SecOps). Dit verschilt van bredere agentische AI-beveiliging, die zich richt op het beveiligen van de AI-systemen zelf.

In plaats van beveiligingsteams te vervangen, werkt agentische AI als een krachtversterker voor cyberbeveiligingsbewerkingen, met voordelen zoals:

• Snellere gemiddelde tijd om te detecteren en te reageren (Mean Time To Detect of MTTD/Mean Time To Respond of MTTR). Agentische AI kan waarschuwingen onderzoeken, signalen correleren en reactieacties snel coördineren, zodat teams detectie- en reactietijden kunnen verminderen.
• Minder vermoeide analisten en meer tijd voor hoogwaardige werkzaamheden. Door terugkerende en tijdrovende taken af te handelen, helpt agentische AI waarschuwingsmoeheid te verminderen en kunnen analisten zich richten op strategischere onderzoeken en besluitvorming.
• Consistente, herhaalbare sortering en respons. Met agentische AI worden werkstromen en processen consistent toegepast op alle incidenten, waardoor de operationele betrouwbaarheid wordt verbeterd doordat de variabiliteit als gevolg van handmatige handelingen wordt verminderd.
• 24 uur per dag dekking en elastische schaal. In tegenstelling tot menselijke teams kan agentische AI continu worden uitgevoerd en worden geschaald om grote hoeveelheden waarschuwingen, gebeurtenissen en gegevens te verwerken zonder dat er extra personeel nodig is.
• Betere signaal-ruisverhouding en prioritering. Agentische AI kan grote hoeveelheden contextuele gegevens analyseren om de belangrijkste bedreigingen te identificeren, onnodige waarschuwingen te verminderen en prioriteit te verbeteren.
• Sterkere tolerantie en proactief risicobeheer. Agentische AI kan continu omgevingen bewaken, mogelijke zwakke punten identificeren en proactieve beveiligingsmaatregelen ondersteunen die organisaties helpen risico's te verminderen en de operationele tolerantie in de loop van de tijd te verbeteren.

Verschillende use cases laten zien hoe personen en agents kunnen samenwerken om de beveiliging te verbeteren.

Beveiligingsteams krijgen vaak te maken met meer waarschuwingen dan ze handmatig kunnen onderzoeken, waardoor prioriteitstelling essentieel is voor een effectieve respons.

De rol van de agent:

• Verrijkt waarschuwingen met bedreigingsinformatie, assetcontext en gebruikersgedragsgegevens.
• Geeft prioriteit aan incidenten op basis van risico- en betrouwbaarheidsscores.
• Aanbevolen volgende stappen voor onderzoek of herstel.

De rol van de analist:

• Beoordeelt incidenten met hoge prioriteit.
• Valideert bevindingen en escalatiebeslissingen.
• Behandelt complexe of gevoelige onderzoeken.

Beveiligingsteams zijn afhankelijk van grote hoeveelheden bedreigingsgegevens, waardoor het moeilijk is om snel relevante en bruikbare inzichten te verkrijgen.

De rol van de agent:

• Verzamelen en samenvatten van bedreigingsinformatie uit meerdere bronnen.
• Bieden van realtime situationeel bewustzijn en snelle rapportage.
• Correleren van bedreigingsactiviteit in verschillende omgevingen.

De rol van de analist:

• Interpreteren van strategische risico- en bedreigingstrends.
• Valideren van de relevantie en impact van informatie.
• Begeleiden van responsprioriteiten en planning.

Het identificeren van verborgen of opkomende bedreigingen vereist continue analyse van grote en complexe gegevenssets.

De rol van de agent:

• Genereren van opsporingshypotheses en querygegevensbronnen.
• Doornemen van grote gegevenssets om verdachte activiteiten te identificeren.
• Uitvoeren van continu achtergrondopsporing naar opkomende bedreigingen.

De rol van de analist:

• Valideren van bevindingen en bepaalt de bedrijfsimpact.
• Onderzoeken van geavanceerde of gerichte cyberaanvallen.
• Verfijnen van de opsporingsstrategieën en -prioriteiten.

Reageren op beveiligingsincidenten vereist snelle coördinatie tussen detectie-, onderzoeks- en inperkingsactiviteiten.

De rol van de agent:

• Automatiseren van het verzamelen van bewijs en incidentdocumentatie.
• Opstellen van tijdlijnen en samenvatten van cyberaanvalsactiviteiten.
• Uitvoeren van inperkingsacties met de goedkeuring van analisten.
• Helpen bij het beveiligen van eindpunten en het automatiseren van werkstromen voor herstel van beveiligingsproblemen.

Derol van de analist:

• Goedkeuren van acties voor respons met hoog risico.
• Toezicht houden op herstelinspanningen.
• Coördineren van communicatie en incidentbeoordeling.

Organisaties moeten zwakke plekken in de beveiliging identificeren en prioriteren voordat ze worden misbruikt door bedreigingsactoren.

De rol van de agent:

• Prioriteit geven aan beveiligingsproblemen op basis van het risiconiveau en de waarde van de activa die risico loopt.
• Identificeren van blootstellingen in cloud-, eindpunt- en identiteitsomgevingen.
• Aanbevelen van paden voor herstel en beperkingsmaatregelen.

De rol van de analist:

• Bepalen van herstelprioriteiten op basis van bedrijfsrisico's.
• Valideren van aanbevolen acties.
• Coördineren van patches en inspanningen om risico's te verminderen.

Het bewaken van identiteitsactiviteit is essentieel voor het detecteren van onbevoegde toegang en het voorkomen van misbruik van bevoegdheden.

De rol van de agent:

• Detecteren van ongebruikelijke aanmeldings- en toegangspatronen.
• Identificeren van riskante machtigingen en risico's op escalatie van bevoegdheden.
• Voortdurend controleren van identiteitsgerelateerde bedreigingen.

De rol van de identiteits- en toegangsbeheerder:

• Beoordelen van toegangsgebeurtenissen met hoog risico.
• Goedkeuren van wijzigingen in beleid of machtigingen.
• Onderzoeken van mogelijke activiteiten van een insider of gecompromitteerd account.

Beveiligingsteams moeten continu detectielogica bouwen en verfijnen om gelijke tred te houden met veranderende bedreigingen.

De rol van de agent:

• Schrijven en testen detectielogica.
• Valideert detectiedekking en identificeert hiaten.
• Suggesties doen voor verbeteringen in afstemming om fout-positieven te verminderen.

De rol van de analist:

• Controleren en goedkeuren detectie-updates.
• Detecties laten aansluiten op de prioriteiten van de organisatie.
• Toezicht houden op langetermijnbeveiligingsarchitectuur en -strategie.

Voor het beveiligen van gevoelige gegevens is continue bewaking, classificatie en afdwinging van beveiligingsbeleid vereist.

De rol van de agent:

• Onderzoeken en prioriteren van preventie van gegevensverlies en insider-risico's.
• Automatiseren van detectie en analyse van risico's voor gevoelige gegevens tussen omgevingen.
• Identificeren van beleidsschendingen en hiaten in de naleving.

De rol van de gegevensbeveiligingsbeheerder:

• Beoordelen van blootstellingsgebeurtenissen met een hoog risico voor gegevens.
• Bepalen van de nalevings- en governancevereisten.
• Toezicht houden op beslissingen over herstel en handhaving van beleid.

Agentische AI in cyberbeveiliging biedt de meeste waarde wanneer teams hiermee gegevens kunnen analyseren, waarschuwingen kunnen verrijken en kunnen reageren op beveiligingsproblemen en bedreigingen in de hele omgeving. Daarvoor gebruiken organisaties API's om beveiligingsagents te koppelen aan de hulpprogramma's die ze al gebruiken, zoals SOAR, Uitgebreide detectie en reactie (Extended Detection and Response of XDR), Beheer van cloudbeveiligingspostuur (Cloud Security Mosture Mmanagement of CSPM), Identiteits- en toegangsbeheer (Identity and Access Management of IAM), Security Information and Event Management (SIEM), eindpuntdetectie en -respons (EDR) en ticketoplossingen. Hierdoor kunnen agentische AI-systemen in realtime informatie ophalen, werkstromen coördineren, acties activeren en systemen bijwerken.

Automatisering bespaart teams veel tijd, maar het is nog steeds belangrijk om controle en verantwoordelijkheid te houden om onbedoelde acties te voorkomen. Beveiligingsteams vereisen doorgaans dat analisten beslissingen met een hoog risico beoordelen, terwijl er meer autonomie mogelijk is voor acties met een lager risico. In beide gevallen is het belangrijk om gegevensbeheer en toegangsbeheer in te stellen, zodat AI alleen met goedgekeurde systemen en gegevens werkt.

Beveiligingsteams die het meeste succes hebben met agentische AI, zetten meethulpprogramma's in om te evalueren hoe goed ze hun doelen behalen. Daardoor krijgen ze de informatie die ze nodig hebben om hun implementaties aan te passen en te verfijnen.

Belangrijke metrische succesgegevens zijn onder andere:

Gegevens die helpen bij het bepalen van de effectiviteit van beveiligingsbewerkingen zijn onder andere:

• MTTD en MTTR.
• Het aantal waarschuwingen dat automatisch is gesorteerd of gesloten.
• Daling van het aantal fout-positieven.
• Tijd die nodig is om incidenten te onderzoeken en op te lossen.

Deze metrische gegevens geven leiders inzicht in hoe agentische AI de manier verandert waarop beveiligingsteams hun tijd besteden:

• Analistenuren die zijn vrijgemaakt van handmatig onderzoek en sortering.
• Escalatiesnelheid voor waarschuwingen waarvoor analisteninterventie is vereist.
• De tijd die nodig is om nieuwe analisten in te werken met behulp van AI-ondersteunde werkstromen.
• Vermindering van repetitieve taken of taken met weinig toegevoegde waarde.

Leiders kunnen ook zien hoe beveiligingsverbeteringen van invloed zijn op de hele organisatie met metrische gegevens zoals:

• Kosten per beveiligingsincident.
• Dekking voor omgevingen, identiteiten, eindpunten en cloudresources
• Algehele nalevingspostuur en controlegereedheid.
• Daling van het operationele blootstelling aan risico in de tijd.

Omdat agentische systemen met verschillende mate van autonomie werken, zijn governance, transparantie en controle essentieel voor een veilige implementatie.

• Schaduwagents en ongecontroleerde automatisering. Naarmate agentische systemen worden geschaald, kunnen organisaties onbedoeld onbeheerde of gedupliceerde agents maken. Zonder goed toezicht kunnen deze schaduwagents inconsistent gedrag of niet-geautoriseerde acties veroorzaken.
• Hallucinaties en fout-positieven. Net als andere AI-systemen kan agentische AI onjuiste conclusies trekken of gegevens verkeerd interpreteren, wat zonder validatie kan leiden tot onnodige meldingen of onjuiste acties.
• Overautomatisering en verlies van overzicht. Te veel vertrouwen op automatisering kan het zicht op besluitvormingsprocessen verkleinen, waardoor het risico op gemiste context of ongepaste acties toeneemt.
• Gegevensprivacy en toegangsbeheer. Agentische AI-systemen hebben toegang nodig tot gevoelige beveiligingsgegevens. Daardoor zijn strikte controles rond machtigingen, gegevensgrenzen en minimale toegangsrechten essentieel.
• Modelafwijking en kwaadaardige manipulatie. Na verloop van tijd kan de modelprestatie achteruitgaan naarmate omgevingen veranderen. Daarnaast kunnen cyberaanvallers proberen uitvoer of metrische gegevens te manipuleren om het gedrag van agents te beïnvloeden.

• NIST AI Risk Management Framework (AI RMF) biedt richtlijnen voor het beheren van AI-gerelateerde risico's gedurende de hele levenscyclus, waaronder governance, toewijzing, meting en beheer.
• ISO/IEC 42001 stelt vereisten vast voor een AI-beheersysteem, gericht op verantwoorde ontwikkeling en gebruik van AI-systemen.
• De EU-wet inzake kunstmatige intelligentie introduceert op risico's gebaseerde classificatie- en nalevingsvereisten voor AI-systemen die worden gebruikt in of van invloed zijn op de Europese Unie.
• Sectorspecifieke voorschriften zijn unieke vereisten voor bepaalde branches, zoals de Health Insurance Portability and Accountability Act (HIPAA) voor gegevensbescherming in de Gezond­heids­zorg, de Payment Card Industry Data Security Standard (PCI DSS) voor betalingsbeveiliging en Sarbanes-Oxley Act (SOX) voor controles op financiële rapportage.

Terwijl beveiligingsteams agentische AI voor cyberbeveiliging implementeren en opschalen binnen hun organisatie, helpt een doordachte strategie om beveiligingsresultaten te verbeteren met behoud van transparantie, verantwoordelijkheid en vertrouwen tussen teams.

Organisaties introduceren doorgaans agentische AI in gecontroleerde fasen, te beginnen met use cases met een laag risico, voordat ze worden uitgebreid naar acties met een hogere impact. Het is ook belangrijk om prioriteit te geven aan transparantie in de wijze waarop beveiligingsagents beslissingen nemen.

Goed gedefinieerde beschermingskaders helpen het gedrag van agents te beperken tot veilige en verwachte grenzen. Voor het verkleinen van het risico op onverwacht gedrag definiëren teams welke acties AI-agents voor cyberbeveiliging autonoom kunnen voltooien, leggen goedkeuringswerkstromen vast voor bewerkingen met grote impact of gevoelige bewerkingen en stellen drempelwaarden in voor wanneer beveiligingsagents moeten escaleren naar analisten.

Op rollen gebaseerd toegangsbeheer (RBAC) helpt het risico van onbedoelde activiteit te verminderen door agenttoegang tot de systemen, gegevens en acties te beperken die vereist zijn voor hun specifieke functie. Daarom passen identiteitsteams dezelfde minimale bevoegdheidsprincipes toe op agents die gelden voor personen.

Beveiligingsteams registreren en controleren alle agentacties, inclusief beslissingen, het gebruik van hulpprogramma's en resultaten om inzicht te houden in agentgedrag. Zo kunnen ze incidenten onderzoeken, voldoen aan nalevingsvereisten en implementatieproblemen ontdekken die moeten worden bijgesteld.

Analisten nemen agentische AI eerder over als ze zich goed geïnformeerd en in controle voelen. Organisaties kunnen vertrouwen opbouwen door ervoor te zorgen dat aanbevelingen voor agents duidelijk en gemakkelijk te begrijpen zijn. Ze hebben ook meer succes wanneer ze AI gebruiken om de besluitvorming van analisten te verbeteren in plaats van te vervangen.

Security Operations Centers (SOC's),IT- en complianceteams spelen allemaal een rol bij het veilig, effectief en in overeenstemming met de risicotolerantie van de organisatie. Een disciplineoverschrijdend team helpt organisaties bij het definiëren van operationele use cases, het beheren van integratie en infrastructuur en het voldoen aan wettelijke vereisten.

Het bouwen van volledig agentische werkstromen die in beveiligingsdomeinen werken, is een proces met meerdere fasen. Naarmate organisaties hun operationele volwassenheid vergroten, hebben ze sterker beheer en toezicht nodig.

In de eerste fase gebruiken organisaties vooraf gedefinieerde scripts en werkstromen om terugkerende beveiligingstaken af te handelen.

Zo ziet succes eruit:

• Consistente voltooiing van routinetaken, zoals waarschuwingsverrijking of het maken van tickets.
• Minder handmatige inspanningen in werkstromen met een lage complexiteit.
• Afhankelijkheid van statische regels en playbooks.

Gereedheidsindicatoren:

• Stabiele SIEM-, SOAR- en ticketintegraties.
• Duidelijk gedefinieerde en herhaalbare beveiligingsprocessen.
• Een groot aantal terugkerende analistentaken.

In deze fase ondersteunt AI analisten door de zichtbaarheid, samenvatting en besluitvorming te verbeteren, maar wordt er geen directe actie ondernomen.

Zo ziet succes eruit:

• Sneller onderzoek met door AI gegenereerde samenvattingen en inzichten.
• Verbeterde waarschuwingsbegrip en contextverrijking.
• Analisten blijven volledig verantwoordelijk voor beslissingen en acties.

Gereedheidsindicatoren:

• Volwassen gegevenspijplijnen en gecentraliseerde metrische gegevens.
• Vastgelegde processen voor beveiligingsbewerkingen.
• Er is behoefte aan snellere ondersteuning voor sortering en onderzoek.

Hier begint agentische AI beperkte acties te ondernemen binnen gedefinieerde beschermingskaders, terwijl mensen goedkeuringsautoriteit behouden voor bewerkingen met een hoger risico.

Zo ziet succes eruit:

• Geautomatiseerde sortering, verrijking en aanbevolen herstelstappen.
• Minder werkdruk voor analisten bij terugkerende onderzoekstaken.
• Human-in-the-loop-goedkeuring voor inperking- en herstelacties.

Gereedheidsindicatoren:

• Sterke identiteits- en toegangsbeheer voor automatiseringssystemen.
• Goed gedefinieerde escalatie- en goedkeuringswerkstromen.
• Vertrouwen in gegevenskwaliteit en systeemintegraties.

In de meest volwassen fase werkt agentische AI in meerdere domeinen, waarbij acties worden gecoördineerd met minimale analisteninterventie binnen de vastgestelde grenzen. Dit maakt een end-to-end beveiligingsindeling in de hele organisatie mogelijk.

Zo ziet succes eruit:

• Continue, autonome detectie, onderzoek en reactie in verschillende omgevingen.
• Coördinatie tussen verschillende domeinen tussen beveiligings-, IT-, identiteits- en nalevingssystemen.
• Mensen richten zich op governance, strategie en uitzonderingsafhandeling.

Gereedheidsindicatoren:

• Volwassen governanceframeworks voor AI en automatisering.
• Metrische gegevens met hoge betrouwbaarheid en gegevensintegriteit in verschillende systemen.
• Sterke, functionele afstemming tussen beveiligings-, IT- en complianceteams.
• Vertrouwen opgebouwd in geautomatiseerde besluitvorming met controlemogelijkheden en toezicht.

Agentische AI bevindt zich nog in een vroeg stadium van de curve voor ingebruikname, maar verschillende duidelijke trends vormen de manier waarop deze zich zal ontwikkelen op het gebied van beveiliging.

• Autonoom red teaming. AI-agents simuleren steeds vaker indringersgedrag om voortdurend verdedigingsmaatregelen te testen, zwakke punten te identificeren en beveiligingscontroles in realtime te valideren.
• Agentlussen. Agentische AI voor beveiligingsbewerkingen wordt steeds continuer en blijft zichzelf verbeteren, waarbij agents waarnemen, handelen en leren van resultaten om detectie en respons te verfijnen.
• AI-naar-AI-cyberconflict. Aangezien cyberaanvallen ook gebruikmaken van AI, kunnen toekomstige cyberaanvallen plaatsvinden tussen verdedigende en aanvallende agentische systemen die rechtstreeks met elkaar concurreren.
• Voorspellende verdediging. In plaats van op incidenten te reageren, verwachten agentsystemen bedreigingen door patronen, blootstellingsgegevens en gedrag van aanvallers te analyseren om cyberaanvallen te voorkomen voordat ze zich voordoen.
• Samenwerkende AI-agents. Meerdere gespecialiseerde agents coördineren taken, zoals detectie, onderzoek, herstel en rapportage, om schaalbarere en tolerantere beveiligingswerkstromen te maken.
• Veranderende rol van de analist. Analisten verplaatsen zich van terugkerende onderzoeks- en responstaken naar verantwoordelijkheden met een hogere waarde, zoals agenttoezicht, beleidsontwerp en strategisch risicobeheer.

Organisaties kunnen bedreigingen in hun digitale omgeving detecteren, onderzoeken en erop reageren met een geïntegreerd, door AI aangedreven beveiligingsplatform van Microsoft. Centraal staat Microsoft Security Copilot, een beveiligingsoplossing met AI-ondersteuning in natuurlijke taal waarmee analisten incidenten kunnen analyseren, bedreigingen kunnen samenvatten en responshandelingen in alle omgevingen kunnen coördineren. Ingesloten agents breiden deze mogelijkheden uit in Microsoft Beveiliging-oplossingen.

Beveiligingsteams worden vaak overspoeld door waarschuwingsvolume, handmatige sortering en gefragmenteerde onderzoeken. In Microsoft Defender XDR helpt agentische AI bij het prioriteren van problemen met een hoog risico, het sneller onderzoeken van incidenten en het verbeteren van de responsefficiëntie.

• Agent voor beveiligingswaarschuwingssortering: geeft prioriteit aan waarschuwingen om ruis te verminderen en helpt analisten zich sneller te richten op incidenten met een hoog risico.
• Beveiligingsanalist-agent: onderzoekt incidenten, correleert signalen en beveelt responsacties aan om SOC-werkstromen te stroomlijnen.
• Agent voor opsporing van bedreigingen: zoekt in verschillende omgevingen naar verborgen bedreigingen, verdacht gedrag en opkomende aanvalspatronen.
• Agent voor dynamische bedreigingsdetectie: analyseert continu activiteit en past detectielogica aan om zich ontwikkelende bedreigingen en afwijkingen te identificeren.
• Agent met instructies met informatie over bedreigingen: geeft een overzicht van bedreigingsinformatie in praktische inzichten, zodat teams opkomende risico's voor kunnen blijven.

Samen helpen deze agents handmatig onderzoek te verminderen en de incidentreactie te versnellen voor eindpunten, identiteiten, e-mail en cloudworkloads.

In Microsoft Sentinel helpt Security Copilot analisten om over te stappen van handmatig onderzoek naar workflows in natuurlijke taal die worden aangestuurd door een promptboek. Analisten kunnen KQL genereren, incidenten samenvatten, entiteiten verrijken, gebruikers en apparaten analyseren en onderzoeksstappen automatiseren via Logic Apps en een promptboek.

Een aangepaste Sentinel-agent voor incidentrapportage kan onderzoeksresultaten, entiteiten, inzichten en herstelstappen uit incidenten extraheren. Promptboeken kunnen ook gebruikersanalyse automatiseren en resultaten rechtstreeks toevoegen aan activiteitenlogboeken van incidenten.

Deze mogelijkheden helpen het handmatig schrijven van query's te verminderen, de consistentie van onderzoek te verbeteren en analisten tijd te besparen door herhaalbare taken te automatiseren.

In Microsoft Purview helpt Security Copilot teams bij het beveiligen en beheren van gegevens in Data Security Posture Management, Preventie van gegevensverlies, Beheer van insider-risico's, eDiscovery, Audit en Communicatiecompliance.

• Agent voor gegevensbeveiligingssortering: geeft prioriteit aan DLP- en insider-risico-waarschuwingen, legt risicocontext uit en kan herstelwerkstromen met gegevenseigenaren initiëren.
• Agent voor gegevensbeveiligingspostuur: detecteert gevoelige gegevens, identificeert verborgen risico's en blootgestelde referenties, verbetert vertrouwelijkheidslabels en genereert samenvattingen voor leidinggevenden.

Deze agents helpen beveiligingsteams handmatige sortering te verminderen, kritieke risico's sneller te prioriteren en gegevensbeveiligings- en nalevingsbewerkingen te versterken.

In Microsoft Entra helpt Security Copilot teams risicovolle gebruikers, ongebruikelijke aanmeldingen, bevoorrechte toegang en identiteitsgerelateerde bedreigingen te onderzoeken. Copilot kan de identiteitscontext samenvatten, risicosignalen uitleggen en acties aanbevelen, zoals het intrekken van sessies, toegangsbeoordelingen of het afstemmen van beleid voor voorwaardelijke toegang.

Mogelijkheden zijn onder andere agents voor identiteit en toegang en Microsoft Entra Agent-ID, waarmee organisaties AI-agentidentiteiten kunnen registreren, beheren en besturen met levenscyclusbeheer, toegangsbeheer en controle op identiteitsbeveiliging.

Deze mogelijkheden helpen organisaties bij het verminderen van identiteitsrisico's en het toepassen van Zero Trust-principes voor zowel menselijke als AI-identiteiten.

In Microsoft Intune helpt Security Copilot eindpunt- en IT-teams inzicht te krijgen in apparaatnaleving, configuratiedrift, blootstelling aan beveiligingsproblemen en herstelbehoeften. Copilot kan het apparaatrisico samenvatten, niet-nalevingsproblemen uitleggen, volgende stappen aanbevelen en teams helpen sneller te reageren.

Agents voor eindpuntbeheer helpen bij het automatiseren van nalevingscontroles, het onderzoeken van apparaatproblemen en het begeleiden van herstel op beheerde eindpunten.

Deze mogelijkheden helpen handmatig eindpuntonderzoek te verminderen, nalevingsbewerkingen te verbeteren en hiaten in de configuratie sneller te dichten.

Samen helpen Microsoft Security Copilot en ingesloten agents organisaties om over te stappen van reactieve, handmatige beveiligingsbewerkingen naar adaptieve, door AI ondersteunde verdediging waarmee de beveiliging, snelheid en schaal in de hele beveiligingslevenscyclus worden verbeterd.