Czym jest sztuczna inteligencja oparta na agentach w cyberbezpieczeństwie?

Systemy sztucznej inteligencji opartej na agentach są często projektowane z wbudowanym nadzorem człowieka, aby zachować równowagę między autonomią a kontrolą.

W podejściu firmy Microsoft do sztucznej inteligencji opartej na agentach w cyberbezpieczeństwie jest to zaprojektowane jako model współpracy, w którym operatorzy mogą monitorować działanie systemu i nim kierować.

Typowe przykłady obejmują:

• Przejrzyste rozumowanie. Systemy firmy Microsoft zapewniają pomocniczy kontekst i uzasadnienie wraz z rekomendacjami, które pomagają analitykom zrozumieć wyniki systemu i ścieżki decyzyjne.

• Zatwierdzanie i dostosowywanie. Zespoły mogą przeglądać, zatwierdzać, odrzucać lub dopracowywać działania systemu, uwzględniając opinie, aby stale poprawiać wyniki.

• Mechanizmy kontroli podlegające inspekcji.. Działania są kontrolowane przez zabezpieczenia klasy korporacyjnej, takie jak dostęp oparty na rolach, dzienniki inspekcji i zabezpieczenia przepływu pracy, aby wspierać odpowiedzialność i wymagania w zakresie zgodności.

Sztuczna inteligencja oparta na agentach może dynamicznie reagować na zmieniające się warunki i dostosowywać swoje zachowanie do kontekstu dzięki procesowi nazywanemu pętlą opartą na agentach — sekwencji kroków, które agent powtarza, dopóki nie osiągnie celu.

Postrzeganie → Rozumowanie → Planowanie → Działanie → Uczenie się

• Postrzeganie. System zbiera informacje ze swojego środowiska, w tym dzienniki, alerty, aktywność użytkowników, analizy zagrożeń oraz dane z połączonych narzędzi i systemów.
• Rozumowanie. Analizuje te informacje, identyfikuje wzorce, ocenia ryzyko i ustala znaczenie danych w kontekście.
• Planowanie. Na podstawie swoich celów system opracowuje sekwencję działań, aby osiągnąć zamierzony rezultat.
• Działanie. Agent wykonuje zadania, takie jak odizolowanie urządzenia, otwarcie zgłoszenia, eskalacja alertu lub zebranie dodatkowych dowodów, współpracując z narzędziami, systemami lub przepływami pracy.
• Uczenie się. System ocenia wyniki swoich działań i wykorzystuje informacje zwrotne, nowe dane oraz wcześniejsze rezultaty, aby ulepszać przyszłe decyzje i odpowiedzi.

Aby sztuczna inteligencja oparta na agentach działała skutecznie, zespoły muszą też zdecydować, czy chcą użyć systemu z jednym agentem, czy systemu z wieloma agentami. System z jednym agentem opiera się na jednym agencie do zarządzania zadaniami i decyzjami, co sprawdza się dobrze, gdy przepływy pracy są stosunkowo zamknięte, a decyzje scentralizowane. Jeśli przepływy pracy są złożone lub wymagają różnych rodzajów wiedzy, organizacje często tworzą system z wieloma agentami, który korzysta z wielu wyspecjalizowanych agentów AI w zakresie cyberbezpieczeństwa, współpracujących ze sobą nad wspólnym celem.

Nawet przy możliwościach autonomicznych nadzór ludzi nadal jest ważny. Wiele organizacji używa punktów kontrolnych z udziałem człowieka i bramek zatwierdzania dla działań poufnych lub wysokiego ryzyka, aby wspierać ład, odpowiedzialność i kontrolę operacyjną.

Różnice między tradycyjną automatyzacją, generatywną AI i sztuczną inteligencją opartą na agentach stają się wyraźniejsze, gdy porówna się je według podstawowych wymiarów.

Niestety, przedsiębiorstwa i rządy nie są jedynymi, które w szybkim tempie wdrażają sztuczną inteligencję. Aktorzy zagrożeń wykorzystują systemy oparte na agentach w celu zwiększenia szybkości i skali swoich cyberataków, co stwarza lub pogłębia szereg wyzwań w zakresie cyberbezpieczeństwa, w tym:

• Wyzwanie skali. Zespoły ds. zabezpieczeń często muszą mierzyć się z przytłaczającą liczbą alertów, rosnącą złożonością danych i ciągłym niedoborem analityków.
• Wyzwanie szybkości. Cyberprzestępcy coraz częściej automatyzują swoje działania, podczas gdy wiele osób zajmujących się obroną prawną nadal polega na ręcznych procesach klasyfikacji i reagowania na zdarzenia.
• Wyzwanie niezawodności i dokładności. Długotrwałe narażenie na nocne zmiany i duże ilości powtarzalnych zadań może prowadzić do zmęczenia i wypalenia analityków, zwiększając ryzyko niespójności i błędów ludzkich.
• Wyzwanie odporności. Nowoczesne organizacje działają w środowiskach hybrydowych obejmujących platformy chmury, punkty końcowe, tożsamości, aplikacje i usługi innych firm. Ten coraz większy obszar podatny na ataki zwiększa ryzyko operacyjne i daje cyberprzestępcom więcej okazji do działania.

Sztuczna inteligencja oparta na agentach w cyberbezpieczeństwie pomaga zespołom ds. zabezpieczeń działać skuteczniej w środowiskach, które stają się zbyt złożone, szybko zmieniające się i połączone, aby można było w pełni ręcznie wykonywać operacje zabezpieczeń (SecOps). Różni się to od szerszych zabezpieczeń sztucznej inteligencji opartej na agentach, które koncentrują się na ochronie samych systemów sztucznej inteligencji.

Zamiast zastępować zespoły ds. zabezpieczeń, sztuczna inteligencja oparta na agentach działa jak mnożnik siły w operacjach cyberbezpieczeństwa, przynosząc takie korzyści jak:

• Szybszy średni czas wykrywania i reagowania (MTTD/MTTR). Sztuczna inteligencja oparta na agentach może szybko analizować alerty, korelować sygnały i koordynować działania reagowania, pomagając zespołom skrócić czas wykrywania i reagowania.
• Mniejsze zmęczenie analityków i więcej czasu na zadania o dużej wartości. Dzięki obsłudze powtarzalnych i czasochłonnych zadań sztuczna inteligencja oparta na agentach pomaga ograniczyć zmęczenie alertami i pozwala analitykom skupić się na bardziej strategicznych analizach i podejmowaniu decyzji.
• Spójna, powtarzalna klasyfikacja i reagowanie na zagrożenia. Sztuczna inteligencja oparta na agentach stosuje przepływy pracy i procesy w spójny sposób we wszystkich zdarzeniach, zwiększając niezawodność operacyjną dzięki ograniczeniu zmienności powodowanej przez ręczne działania.
• Całodobowy zasięg i elastyczne skalowanie. W przeciwieństwie do zespołów ludzkich sztuczna inteligencja oparta na agentach może działać bez przerwy i skalować się tak, by obsługiwać duże wolumeny alertów, zdarzeń i danych bez potrzeby zwiększania liczby pracowników.
• Lepszy stosunek sygnału do szumu i lepsza priorytetyzacja. Sztuczna inteligencja oparta na agentach może analizować duże ilości danych kontekstowych, aby pomóc wskazać najważniejsze zagrożenia, ograniczyć zbędne alerty i poprawić priorytetyzację.
• Większa odporność i proaktywne zarządzanie ryzykiem. Sztuczna inteligencja oparta na agentach może stale monitorować środowiska, identyfikować potencjalne słabe punkty i wspierać proaktywne działania zabezpieczające, które pomagają organizacjom ograniczać ryzyko i z czasem zwiększać odporność operacyjną.

Kilka scenariuszy użycia pokazuje, jak ludzie i agenty mogą współpracować, aby zwiększyć zabezpieczenia.

Zespoły ds. zabezpieczeń często mają więcej alertów, niż są w stanie przeanalizować ręcznie, więc priorytetyzacja ma kluczowe znaczenie dla skutecznego reagowania.

Rola agenta:

• Wzbogaca alerty o informacje z zakresu analizy zagrożeń, kontekst zasobów i dane o zachowaniu użytkowników.
• Priorytetyzuje zdarzenia na podstawie oceny ryzyka i pewności.
• Rekomenduje kolejne kroki w dochodzeniu lub ograniczaniu ryzyka.

Rola analityka:

• Przegląda zdarzenia o wysokim priorytecie.
• Weryfikuje wyniki i decyduje o eskalacji.
• Obsługuje złożone lub poufne dochodzenia.

Zespoły ds. zabezpieczeń opierają się na dużych ilościach danych o zagrożeniach, więc trudno szybko wyodrębnić istotne i możliwe do wykorzystania szczegółowe informacje.

Rola agenta:

• Zbiera i podsumowuje informacje z zakresu analizy zagrożeń z wielu źródeł.
• Zapewnia bieżącą świadomość sytuacyjną i szybkie raportowanie.
• Koreluje aktywności zagrożeń w różnych środowiskach.

Rola analityka:

• Interpretuje strategiczne ryzyko i trendy zagrożeń.
• Weryfikuje znaczenie i wpływ informacji o zagrożeniach.
• Określa priorytety i plan działań podczas reagowania.

Wykrywanie ukrytych lub pojawiających się zagrożeń wymaga ciągłej analizy dużych i złożonych zestawów danych.

Rola agenta:

• Generuje hipotezy dotyczące wyszukiwania zagrożeń i wykonuje zapytania do źródeł danych.
• Iteruje po dużych zestawach danych, aby identyfikować podejrzaną aktywność.
• Prowadzi ciągłe wyszukiwania w tle w celu wykrycia pojawiających się zagrożeń.

Rola analityka:

• Weryfikuje ustalenia i określa wpływ na firmę.
• Bada zaawansowaną lub ukierunkowaną aktywność cyberataku.
• Doprecyzowuje strategie i priorytety wyszukiwania zagrożeń.

Reagowanie na zdarzenia w zakresie zabezpieczeń wymaga szybkiej koordynacji działań związanych z wykrywaniem, badaniem i ograniczaniem skutków.

Rola agenta:

• Automatyzuje zbieranie dowodów i dokumentację zdarzeń.
• Tworzy osie czasu i podsumowuje aktywność cyberataku.
• Wykonuje działania ograniczające po zatwierdzeniu przez analityków.
• Pomaga w ochronie punktów końcowych i automatyzuje przepływy pracy związane z usuwaniem luk w zabezpieczeniach.

Ro la analityka:

• Zatwierdza działania naprawcze o wysokim ryzyku.
• Nadzoruje działania naprawcze i odzyskiwanie.
• Koordynuje komunikację i przegląd po zdarzeniu.

Organizacje muszą identyfikować i priorytetyzować słabe punkty zabezpieczeń, zanim zostaną wykorzystane przez osoby atakujące.

Rola agenta:

• Priorytetyzuje luki w zabezpieczeniach na podstawie poziomu ryzyka i wartości zasobów zagrożonych ryzykiem.
• Identyfikuje zagrożenia w środowiskach chmury, punktów końcowych i tożsamości.
• Rekomenduje ścieżki usuwania zagrożeń i działania ograniczające ryzyko.

Rola analityka:

• Określa priorytety usuwania zagrożeń na podstawie ryzyka biznesowego.
• Weryfikuje zalecane działania.
• Koordynuje działania związane z wdrażaniem poprawek i ograniczaniem ryzyka.

Monitorowanie aktywności tożsamości ma kluczowe znaczenie dla wykrywania nieautoryzowanego dostępu i zapobiegania niewłaściwemu użyciu uprawnień.

Rola agenta:

• Wykrywa nietypowe wzorce logowania i dostępu.
• Identyfikuje ryzykowne uprawnienia i ryzyko eskalacji uprawnień.
• Nieprzerwanie monitoruje zagrożenia związane z tożsamością.

Ro la administratora ds. tożsamości i dostępu:

• Przegląda zdarzenia dostępu o wysokim ryzyku.
• Zatwierdza zmiany zasad lub uprawnień.
• Bada potencjalną aktywność wewnętrznego zagrożenia lub naruszenia zabezpieczeń konta.

Zespoły ds. zabezpieczeń muszą stale budować i dopracowywać logikę wykrywania, aby nadążać za zmieniającymi się zagrożeniami.

Rola agenta:

• Pisze i testuje logikę wykrywania.
• Weryfikuje zakres wykrywania i identyfikuje luki.
• Sugeruje ulepszenia dostrajania, aby ograniczyć liczbę fałszywych alarmów.

Rola analityka:

• Przegląda i zatwierdza aktualizacje wykrywania.
• Dopasowuje wykrycia do priorytetów organizacji.
• Nadzoruje długoterminową architekturę i strategię w zakresie zabezpieczeń.

Ochrona danych poufnych wymaga ciągłego monitorowania, klasyfikowania i egzekwowania zasad zabezpieczeń.

Rola agenta:

• Bada i ustala priorytety działań zapobiegających utracie danych i ryzyku wewnętrznemu.
• Automatyzuje wykrywanie i analizę ryzyka związanego z danymi poufnymi w różnych środowiskach.
• Identyfikuje naruszenia zasad i luk w zgodności.

Rola administratora zabezpieczeń danych:

• Przegląda zdarzenia wysokiego ryzyka związane z ujawnieniem danych.
• Określa wymagania dotyczące zgodności i nadzoru.
• Nadzoruje decyzje dotyczące usuwania zagrożeń i egzekwowania zasad.

Sztuczna inteligencja oparta na agentach w cyberbezpieczeństwie przynosi największą wartość, gdy pomaga zespołom analizować dane, wzbogacać alerty oraz reagować na luki w zabezpieczeniach i zagrożenia w całym środowisku. Aby to zrobić, organizacje używają interfejsów API do łączenia agentów zabezpieczeń z narzędziami, których już używają, takimi jak model SOAR, rozszerzone możliwości wykrywania zagrożeń i reagowania na nie (XDR), zarządzanie stanem zabezpieczeń w chmurze (CSPM), zarządzanie tożsamościami i dostępem (IAM), zarządzanie informacjami i zdarzeniami zabezpieczeń (SIEM), narzędzia wykrywania i reagowanie w punktach końcowych (EDR) oraz rozwiązania do obsługi zgłoszeń. To umożliwia systemom sztucznej inteligencji opartym na agentach pobieranie informacji, koordynowanie przepływów pracy, wyzwalanie akcji i aktualizowanie systemów w czasie rzeczywistym.

Automatyzacja oszczędza zespołom dużo czasu, ale nadal ważne jest zachowanie kontroli i odpowiedzialności, aby uniknąć niezamierzonych działań. Zespoły ds. zabezpieczeń zwykle wymagają, aby analitycy weryfikowali decyzje wysokiego ryzyka, jednocześnie umożliwiając większą autonomię działaniom o niższym ryzyku. W obu przypadkach ważne jest ustanowienie mechanizmów zarządzanie danymi i kontroli dostępu, aby mieć pewność, że sztuczna inteligencja będzie współpracować wyłącznie z zatwierdzonymi systemami i danymi.

Zespoły ds. zabezpieczeń, które osiągają największe sukcesy ze sztuczną inteligencją opartą na agentach, wdrażają narzędzia pomiarowe, aby oceniać, jak dobrze realizują cele. Dzięki temu mają informacje potrzebne do dostosowywania i dopracowywania swoich wdrożeń.

Najważniejsze metryki sukcesu obejmują:

Dane, które pomagają określić skuteczność operacji związanych z zabezpieczeniami, obejmują:

• MTTD i MTTR.
• Liczba alertów automatycznie sklasyfikowanych lub zamkniętych.
• Zmniejszenie liczby wyników fałszywie dodatnich.
• Czas potrzebny na zbadanie i rozwiązanie zdarzeń.

Te metryki dają kadrze zarządzającej wgląd w to, jak sztuczna inteligencja oparta na agentach zmienia sposób, w jaki zespoły ds. zabezpieczeń wykorzystują swój czas:

• Godziny pracy analityków odzyskane dzięki ręcznemu dochodzeniu i klasyfikacji.
• Wskaźnik eskalacji alertów wymagających interwencji analityków.
• Czas wdrożenia nowych analityków korzystających z przepływów pracy wspomaganych przez sztuczna inteligencję.
• Zmniejszenie liczby powtarzalnych lub mało wartościowych zadań.

Liderzy mogą też zobaczyć, jak ulepszenia w obszarze zabezpieczeń wpływają na całą organizację, dzięki takim metrykom jak:

• Koszt jednego zdarzenia zagrażającemu bezpieczeństwu.
• Zakres obejmujący środowiska, tożsamości, punkty końcowe i zasoby w chmurze
• Ogólny poziom zgodności i gotowość do przeprowadzenia inspekcji.
• Zmniejszanie narażenia na ryzyko operacyjne w miarę upływu czasu.

Ponieważ systemy oparte na agentach działają z różnym poziomem autonomii, ład zarządzania, przejrzystość i kontrola są niezbędne do bezpiecznego wdrożenia.

• Ukryci agenci i niezarządzana automatyzacja. Wraz ze skalowaniem systemów opartych na agentach organizacje mogą nieświadomie tworzyć niezarządzanych lub zduplikowanych agentów. Bez odpowiedniego nadzoru te „ukryte agenty” mogą wprowadzać niespójne zachowania lub nieautoryzowane działania.
• Halucynacje i wyniki fałszywie dodatnie. Podobnie jak inne systemy sztucznej inteligencji, sztuczna inteligencja oparta na agentach może generować nieprawidłowe wnioski lub błędnie interpretować dane, co bez weryfikacji może prowadzić do niepotrzebnych alertów lub błędnych działań.
• Nadmierna automatyzacja i utrata nadzoru. Zbyt duże poleganie na automatyzacji może ograniczać widoczność procesu podejmowania decyzji, zwiększając ryzyko pominięcia kontekstu lub wystąpienie nieodpowiednich działań.
• Prywatność danych i kontrola dostępu. Systemy sztucznej inteligencji oparte na agentach wymagają dostępu do danych poufnych dotyczących zabezpieczeń, dlatego rygorystyczne kontrole uprawnień, granic danych i zasady minimalnych uprawnień są kluczowe.
• Dryf modelu i manipulacja antagonistyczna. Z czasem wydajność modelu może się pogarszać, gdy środowiska się zmieniają. Dodatkowo cyberprzestępcy mogą próbować manipulować danymi wejściowymi lub metrykami, aby wpływać na zachowanie agenta.

• Ramy zarządzania ryzykiem sztucznej inteligencji NIST (AI RMF) zawierają wytyczne dotyczące zarządzania ryzykiem związanym ze sztuczną inteligencją w całym cyklu życia, obejmujące zarządzanie, mapowanie, pomiary i zarządzanie.
• NormaISO/IEC 42001 określa wymagania dla systemu zarządzania sztuczną inteligencją, koncentrując się na odpowiednim tworzeniu i używaniu systemów sztucznej inteligencji.
• UstawaEU AI Act wprowadza klasyfikację opartą na ryzyku oraz wymagania zgodności dla systemów sztucznej inteligencji działających w Unii Europejskiej lub wpływających na nią.
• Przepisy branżowe to unikatowe wymagania dla określonych branż, takich jak ustawa HIPAA (Health Insurance Portability and Accountability Act) w przypadku ochrony danych medycznych, standard bezpieczeństwa danych branży kart płatniczych (PCI DSS) w przypadku zabezpieczeń płatności oraz ustawa SOX (Sarbanes-Oxley Act) w przypadku kontroli sprawozdawczości finansowej.

Gdy zespoły ds. zabezpieczeń wdrażają i skalują sztuczną inteligencję opartą na agentach w cyberbezpieczeństwie w swoich organizacjach, przemyślana strategia pomaga poprawić wyniki zabezpieczeń, jednocześnie zachowując przejrzystość, odpowiedzialność i zaufanie między zespołami.

Organizacje zwykle wdrażają sztuczną inteligencję opartą na agentach etapami, zaczynając od niskiego ryzyka i zadań pomocniczych, a potem rozszerzając ją na działania o większym wpływie. Ważne jest też, aby priorytetowo traktować przejrzystość tego, jak agenci zabezpieczeń podejmują decyzje.

Dobrze zdefiniowane zabezpieczenia pomagają ograniczyć działania agentów do bezpiecznych i oczekiwanych granic. Aby zmniejszyć ryzyko nieoczekiwanego działania, zespoły definiują, które działania sztucznej inteligencji oparte na agentach w cyberbezpieczeństwie mogą wykonywać samodzielnie, ustalają przepływy zatwierdzania dla operacji o dużym wpływie lub poufnych oraz ustawiają progi, po przekroczeniu których agenci zabezpieczeń muszą eskalować sprawę do analityków.

Kontrola dostępu na podstawie ról (RBAC) pomaga zmniejszyć ryzyko niezamierzonej aktywności, ograniczając dostęp agenta do systemów, danych i działań wymaganych dla jego konkretnej funkcji. Z tego powodu zespoły ds. tożsamości stosują wobec agentów te same zasady najmniejszych uprawnień, co wobec ludzi.

Aby zachować widoczność działań agentów, zespoły ds. zabezpieczeń rejestrują i przeprowadzają inspekcje wszystkich działań agentów, w tym względem decyzji, użycia narzędzi i wyników. Pomaga im to badać zdarzenia, spełniać wymagania zgodności i wykrywać problemy z wdrożeniem, które trzeba dopracować.

Analitycy chętniej wdrażają sztuczną inteligencję opartą na agentach, jeśli czują się dobrze poinformowani i mają kontrolę. Organizacje mogą budować zaufanie, dbając o to, aby rekomendacje agentów były jasne i łatwe do zrozumienia. Osiągają też lepsze wyniki, gdy używają sztucznej inteligencji do wspierania, a nie zastępowania procesu podejmowania decyzji przez analityków.

Centra operacji zabezpieczeń (SOC), zespoły IT i zespoły ds. zgodności odgrywają rolę w bezpiecznym i skutecznym wdrażaniu sztucznej inteligencji opartej na agentach, zgodnie z akceptowanym przez organizację poziomem ryzyka. Zespół interdyscyplinarny pomaga organizacjom definiować operacyjne przypadki użycia, zarządzać integracją i infrastrukturą oraz spełniać wymagania regulacyjne.

Tworzenie przepływów pracy w całości opartych na agentach, które działają w różnych obszarach zabezpieczeń, to proces wieloetapowy. Wraz ze wzrostem dojrzałości operacyjnej organizacje potrzebują silniejszego ładu i nadzoru.

Na najwcześniejszym etapie organizacje używają z góry zdefiniowanych skryptów i przepływów pracy do obsługi powtarzalnych zadań związanych z zabezpieczeniami.

Jak wygląda sukces:

• Spójne wykonywanie rutynowych zadań, takich jak wzbogacanie alertów lub tworzenie zgłoszeń.
• Mniejszy nakład pracy ręcznej w prostych przepływach pracy.
• Zależność od statycznych reguł i procedur.

Wskaźniki gotowości:

• Stabilne integracje z modelami SIEM, SOAR i systemem zgłoszeń.
• Jasno zdefiniowane i powtarzalne procesy zabezpieczeń.
• Duża liczba powtarzalnych zadań wykonywanych przez analityków.

Na tym etapie sztuczna inteligencja wspiera analityków, poprawiając widoczność, tworzenie podsumowań i podejmowanie decyzji, ale nie podejmuje bezpośrednich działań.

Jak wygląda sukces:

• Szybsze prowadzenie dochodzeń dzięki podsumowaniom i szczegółowym informacjom generowanym przez sztuczną inteligencję.
• Lepsze zrozumienie alertów i wzbogacenie kontekstu.
• Analitycy pozostają w pełni odpowiedzialni za decyzje i działania.

Wskaźniki gotowości:

• Dojrzałe potoki danych i scentralizowane metryki.
• Ugruntowane procesy operacji zabezpieczeń.
• Potrzeba szybszej klasyfikacji i wsparcia przy badaniu.

Tutaj sztuczna inteligencja oparta na agentach zaczyna podejmować ograniczone działania w ramach określonych zabezpieczeń, a ludzie zachowują prawo do zatwierdzania operacji o wyższym ryzyku.

Jak wygląda sukces:

• Automatyczna klasyfikacja, wzbogacanie i zalecane kroki naprawcze.
• Mniejsze obciążenie analityków przy powtarzalnych zadaniach dochodzeniowych.
• Zatwierdzenie przez człowieka działań powstrzymujących rozprzestrzenianie się wirusa i działań naprawczych.

Wskaźniki gotowości:

• Silne mechanizmy kontroli tożsamości i dostępu dla systemów automatyzacji.
• Dobrze zdefiniowane przepływy eskalacji i zatwierdzania.
• Pewność co do jakości danych i integracji systemów.

Na najbardziej dojrzałym etapie sztuczna inteligencja oparta na agentach działa w wielu obszarach, koordynując działania przy minimalnym udziale analityka w ustalonych granicach. Dzięki temu można prowadzić kompleksową orkiestrację zabezpieczeń w całej organizacji.

Jak wygląda sukces:

• Ciągłe, autonomiczne wykrywanie, badanie i reagowanie w różnych środowiskach.
• Koordynacja między obszarami zabezpieczeń, IT, tożsamości i systemów zgodności.
• Ludzie koncentrują się na zarządzaniu, strategii i obsłudze wyjątków.

Wskaźniki gotowości:

• Dojrzałe struktury zarządzania sztuczną inteligencją i automatyzacją.
• Wysokiej pewności metryki i integralność danych w różnych systemach.
• Silne dostosowanie między zespołami ds. zabezpieczeń, IT i zgodności.
• Ugruntowane zaufanie do zautomatyzowanego podejmowania decyzji dzięki możliwości inspekcji i nadzoru.

Sztuczna inteligencja oparta na agentach jest nadal na wczesnym etapie wdrażania, ale kilka wyraźnych trendów kształtuje jej rozwój w obszarze zabezpieczeń.

• Autonomiczny zespół red teaming. Sztuczna inteligencja oparta na agentach będzie coraz częściej symulować zachowania atakujących, aby stale testować zabezpieczenia, wykrywać słabe punkty i weryfikować mechanizmy ochrony w czasie rzeczywistym.
• Pętle agentów. Sztuczna inteligencja oparta na agentach dla operacji związanych z zabezpieczeniami stanie się bardziej ciągła i będzie się samodoskonalić, a agenci będą analizować, działać i uczyć się na podstawie wyników, aby udoskonalać wykrywanie i reagowanie.
• Cyberkonflikt sztuczna inteligencja a sztuczna inteligencja. Ponieważ cyberprzestępcy też korzystają ze sztucznej inteligencji, przyszłe działania w cyberprzestrzeni mogą obejmować defensywne i ofensywne systemy oparte na agentach bezpośrednio ze sobą konkurujące.
• Predykcyjne zabezpieczanie. Zamiast reagować na zdarzenia, systemy oparte na agentach będą przewidywać zagrożenia, analizując wzorce, dane stopnia zagrożenia i zachowania atakujących, aby zapobiegać cyberatakom, zanim do nich dojdzie.
• Współpracująca sztuczna inteligencja oparta na agentach. Wiele wyspecjalizowanych agentów będzie koordynować zadania, takie jak wykrywanie, badanie, usuwanie i raportowanie, aby tworzyć bardziej skalowalne i odporne procesy zabezpieczeń.
• Ewolucja roli analityka. Analitycy odejdą od powtarzalnych zadań związanych z badaniem i reagowaniem na rzecz obowiązków o większej wartości, takich jak nadzór nad agentami, projektowanie zasad i strategiczne zarządzanie ryzykiem.

Organizacje mogą wykrywać, badać i reagować na zagrożenia w całym swoim środowisku cyfrowym dzięki ujednoliconej, obsługiwanej przez sztuczną inteligencję platformie zabezpieczeń firmy Microsoft. W centrum uwagi znajduje się Microsoft Security Copilot — rozwiązanie zabezpieczające oparte na języku naturalnym i wspomagane sztuczną inteligencją, które pozwala analitykom analizować zdarzenia, podsumowywać zagrożenia i koordynować działania reagowania w różnych środowiskach. Osadzone agenty rozszerzają te możliwości w ramach rozwiązań zabezpieczających firmy Microsoft.

Zespoły ds. zabezpieczeń często zmagają się z dużą liczbą alertów, ręczną selekcją i fragmentarycznymi dochodzeniami. W programie Microsoft Defender XDR sztuczna inteligencja oparta na agentach pomaga w ustalaniu priorytetów problemów wysokiego ryzyka, szybszym badaniu zdarzeń i zwiększaniu efektywności reagowania.

• Agent klasyfikacji alertów bezpieczeństwa — ustala priorytety alertów, ogranicza szum i pomaga analitykom szybciej skupić się na zdarzeniach wysokiego ryzyka.
• Agent analityk ds. bezpieczeństwa — bada zdarzenia, koreluje sygnały i rekomenduje działania naprawcze, aby usprawnić procesy SOC.
• Agent wyszukiwania zagrożeń — przeszukuje środowiska, aby wykrywać ukryte zagrożenia, podejrzane zachowania i nowe wzorce ataków.
• Agent dynamicznego wykrywania zagrożeń — stale analizuje aktywność i dostosowuje logikę wykrywania, aby identyfikować ewoluujące zagrożenia i anomalie.
• Agent przeglądu analizy zagrożeń — podsumowuje analizy zagrożeń w praktyczne szczegółowe informacje, aby zespoły mogły wyprzedzać pojawiające się ryzyka.

Razem te agenty pomagają ograniczyć ręczne badanie i przyspieszyć reagowanie na zdarzenia w punktach końcowych, tożsamościach, poczcie e-mail i obciążeniach chmury.

W usłudze Microsoft Sentinel funkcja Security Copilot pomaga analitykom przejść od ręcznego dochodzenia do przepływów pracy opartych na języku naturalnym i zestawów poleceń. Analitycy mogą generować przy użyciu języka KQL, podsumowywać zdarzenia, wzbogacać jednostki, analizować użytkowników i urządzenia oraz automatyzować kroki dochodzeniowe za pomocą usługi Logic Apps i zestawów poleceń.

Niestandardowy agent zgłaszający zdarzenia usługi Sentinel może wyodrębnić ustalenia z dochodzenia, jednostki, szczegółowe informacje i kroki naprawcze na podstawie zdarzeń. Zestawy poleceń mogą też automatyzować analizę użytkowników i dodawać ustalenia bezpośrednio do dzienników aktywności zdarzenia.

Te możliwości pomagają ograniczyć ręczne pisanie zapytań, zwiększyć spójność dochodzeń i oszczędzać czas analityków dzięki automatyzacji powtarzalnych zadań.

W usłudze Microsoft Purview funkcja Security Copilot pomaga zespołom zabezpieczać i zarządzać danymi w zakresie zarządzania postawą zabezpieczeniami danych, zapobiegania utracie danych, zarządzania ryzykiem wewnętrznym, elektronicznego ujawniania informacji, inspekcji i zgodności z przepisami komunikacyjnymi.

• Agent klasyfikacji bezpieczeństwa danych — ustala priorytety alertów DLP i dotyczące ryzyka wewnętrznego, wyjaśnia kontekst ryzyka i może rozpoczynać przepływy naprawcze z właścicielami danych.
• Agent stanu bezpieczeństwa danych — wykrywa dane poufne, identyfikuje ukryte ryzyka i ujawnione poświadczenia, usprawnia etykietowanie klasyfikacji poufności i generuje podsumowania gotowe dla kadry kierowniczej.

Te agenty pomagają zespołom ds. zabezpieczeń ograniczyć ręczne sortowanie, szybciej ustalać priorytety dla ryzyka o znaczeniu krytycznym i wzmacniać operacje zabezpieczeń danych i zgodności.

Na platformie Microsoft Entra funkcja Security Copilot pomaga zespołom badać ryzykownych użytkowników, nietypowe logowania, uprzywilejowany dostęp i zagrożenia oparte na tożsamości. Funkcja Copilot może podsumować kontekst tożsamości, wyjaśnić sygnały ryzyka i rekomendować działania, takie jak cofnięcie sesji, przeglądy dostępu lub dostosowanie zasad dostępu warunkowego.

Możliwości obejmują agenty tożsamości i dostępu oraz Identyfikator agenta Microsoft Entra, który pomaga organizacjom rejestrować, zarządzać i nadzorować tożsamości przy użyciu sztucznej inteligencji opartej na agentach dzięki zarządzaniu cyklem życia, nadzorowi dostępu i mechanizmom ochrony tożsamości.

Te możliwości pomagają organizacjom ograniczać ryzyko związane z tożsamością i stosować zasady modelu Zero Trust zarówno do tożsamości ludzkich, jak i sztucznej inteligencji.

W usłudze Intune Security funkcja Copilot pomaga zespołom punktów końcowych i IT zrozumieć zgodność urządzeń, odchylenia konfiguracji, narażenie na luki w zabezpieczeniach i potrzeby związane z naprawą. Funkcja Copilot może podsumować ryzyko urządzenia, wyjaśnić problemy ze zgodnością, polecić kolejne kroki i pomóc zespołom szybciej reagować.

Agenty do zarządzania punktami końcowymi pomagają automatyzować kontrole zgodności, badać problemy z urządzeniami i prowadzić działania naprawcze na zarządzanych punktach końcowych.

Te możliwości pomagają ograniczyć ręczne badanie punktów końcowych, usprawnić operacje związane ze zgodnością i szybciej usuwać luki w konfiguracji.

Razem program Microsoft Security Copilot i osadzone agenty pomagają organizacjom przejść od reaktywnej, ręcznej obsługi zabezpieczeń do adaptacyjnej, wspomaganej przez sztuczną inteligencję ochrony, która zwiększa ochronę, szybkość i skalę w całym cyklu życia zabezpieczeń.