Что такое агентный ИИ в сфере кибербезопасности?

Системы агентного ИИ часто проектируются со встроенным человеческим контролем, чтобы сбалансировать автономность и управление.

В подходе Майкрософт к агентному ИИ для кибербезопасности это реализуется как модель совместной работы, в которой операторы могут отслеживать поведение системы и направлять его.

Распространенные примеры включают:

• Прозрачное рассуждение. Системы Майкрософт предоставляют поддерживающий контекст и обоснование вместе с рекомендациями, чтобы помочь аналитикам понять результаты работы системы и пути принятия решений.

• Утверждение и корректировка. Команды могут проверять, утверждать, отклонять или донастраивать действия системы, используя обратную связь для постоянного улучшения результатов.

• Проверяемые элементы управления. Действия регулируются корпоративными средствами управления безопасностью, такими как доступ на основе ролей, журналы аудита и защитные механизмы рабочих процессов, чтобы поддерживать подотчетность и соответствие требованиям.

Агентный ИИ способен динамически реагировать на меняющиеся условия и корректировать свое поведение с учетом контекста благодаря процессу, называемому "агентным циклом", — последовательности действий, которую агент повторяет до тех пор, пока не достигнет поставленной цели.

Восприятие → Рассуждение → Планирование → Действие → Обучение

• Восприятие. Система собирает сведения из своей среды, включая журналы, оповещения, действия пользователей, сведения о киберугрозах и данные из подключенных инструментов и систем.
• Причина. Она анализирует сведения, выявляет закономерности, оценивает риски и определяет, что данные означают в контексте.
• Планирование. На основе своих целей система выстраивает последовательность действий для достижения нужного результата.
• Действие. Агент выполняет задачи, например изолирует устройство, создает запрос, эскалирует оповещение или собирает дополнительные доказательства, взаимодействуя с инструментами, системами или рабочими процессами.
• Обучение. Система оценивает результаты своих действий и использует обратную связь, новые данные и предыдущие результаты, чтобы улучшать будущие решения и реакции.

Чтобы агентный ИИ работал эффективно, командам также нужно определить, хотят ли они использовать систему с одним агентом или систему с несколькими агентами. Система с одним агентом полагается на одного агента для управления задачами и решениями. Это хорошо работает, когда рабочие процессы относительно локализованы, а решения принимаются централизованно. Если рабочие процессы сложны или требуют разных видов экспертизы, организации часто настраивают систему с несколькими агентами, которая использует несколько специализированных агентов ИИ для кибербезопасности, работающих вместе ради общей цели.

Даже при наличии автономных возможностей контроль со стороны людей по-прежнему важен. Многие организации используют контрольные точки и этапы согласования с участием человека при выполнении критически важных или сопряженных с высоким риском действий, чтобы обеспечить надлежащее управление, подотчетность и операционный контроль.

Различия между традиционной автоматизацией, генеративным ИИ и агентным ИИ становятся понятнее при сравнении по ключевым параметрам.

К сожалению, бизнес и государственные структуры — не единственные, кто стремительно внедряет ИИ. Злоумышленники используют агентные системы для повышения скорости и масштаба своих кибератак, что порождает или усугубляет ряд проблем в сфере кибербезопасности, в том числе:

• Испытание масштабирования. Команды по обеспечению безопасности часто сталкиваются с огромным объемом оповещений, растущей сложностью данных и постоянной нехваткой аналитиков.
• Испытание скорости. Киберзлоумышленники все чаще автоматизируют свои действия, в то время как многие специалисты по защите по-прежнему полагаются на ручные процессы первичной обработки и реагирования на инциденты.
• Испытание надежности и правильности. Длительная работа в ночные смены и выполнение больших объемов однообразных задач могут привести к усталости и выгоранию аналитиков, повышая риск несогласованности действий и ошибок, вызванных человеческим фактором.
• Испытание устойчивости. Современные организации функционируют в гибридных средах, включающих облачные платформы, конечные устройства, учетные записи, приложения и сторонние службы. Эта расширяющаяся поверхность атаки повышает операционные риски и создает дополнительные возможности для киберзлоумышленников.

Агентный ИИ в кибербезопасности помогает командам безопасности работать эффективнее в средах, которые становятся слишком сложными, быстро меняющимися и взаимосвязанными для полностью ручных операций по обеспечению безопасности (SecOps). Это отличается от более широкого понятия безопасности агентного ИИ, которое сосредоточено на защите самих систем ИИ.

Вместо того чтобы заменять команды безопасности, агентный ИИ выступает в роли множителя эффективности во всех операциях кибербезопасности, обеспечивая такие преимущества, как:

• Более быстрое среднее время обнаружения и реагирования (MTTD/MTTR). Агентный ИИ может анализировать оповещения, сопоставлять сигналы и быстро координировать действия по реагированию, помогая командам сокращать время обнаружения и реагирования.
• Меньше усталости аналитиков и больше времени на задачи с высокой ценностью. Обрабатывая повторяющиеся и трудоемкие задачи, агентный ИИ помогает снизить усталость от оповещений и позволяет аналитикам сосредоточиться на более стратегических расследованиях и принятии решений.
• Последовательная, воспроизводимая сортировка и реагирование. Агентный ИИ последовательно применяет рабочие процессы и процессы ко всем инцидентам, повышая операционную надежность за счет снижения вариативности, вызванной ручными операциями.
• Круглосуточный охват и эластичное масштабирование. В отличие от команд людей, агентный ИИ может работать непрерывно и масштабироваться для обработки больших объемов оповещений, событий и данных без привлечения дополнительного персонала.
• Более высокое соотношение сигнала и шума, а также приоритизация. Агентный ИИ может анализировать большие объемы контекстных данных, помогая выявлять наиболее важные угрозы, снижать количество ненужных оповещений и улучшать приоритизацию.
• Более высокая устойчивость и упреждающее управление рисками. Агентный ИИ может непрерывно отслеживать среды, выявлять потенциальные уязвимости и поддерживать упреждающие меры безопасности, которые помогают организациям со временем снижать риски и повышать операционную устойчивость.

Ряд сценариев использования демонстрирует, как люди и агенты могут совместно работать над повышением уровня безопасности.

Команды безопасности часто получают больше оповещений, чем могут проверить вручную, поэтому приоритизация имеет ключевое значение для эффективного реагирования.

Роль агента:

• Обогащает оповещения данными о сведениях об угрозах, контексте активов и поведении пользователей.
• Приоритизирует инциденты на основе оценки риска и степени уверенности.
• Рекомендует дальнейшие шаги по расследованию или устранению проблемы.

Роль аналитика:

• Рассматривает инциденты с высоким приоритетом.
• Проверяет обоснованность выявленных фактов и решений о передаче вопроса на более высокий уровень управления.
• Обрабатывает сложные или конфиденциальные исследования.

Команды безопасности опираются на большие объемы данных об угрозах, поэтому сложно быстро выделять релевантные и практические выводы.

Роль агента:

• Собирает и обобщает данные об угрозах из различных источников.
• Предоставляет ситуационную осведомленность в реальном времени и быстрое формирование отчетов.
• Сопоставляет активность угроз в разных средах.

Роль аналитика:

• Интерпретирует тренды в области стратегических рисков и угроз.
• Проверяет релевантность и влияние средств искусственного интеллекта.
• Определяет приоритеты реагирования и планирования.

Выявление скрытых или возникающих угроз требует непрерывного анализа больших и сложных наборов данных.

Роль агента:

• Генерирует гипотезы для поиска угроз и выполняет запросы к источникам данных.
• Итеративно анализирует большие наборы данных, чтобы выявлять подозрительную активность.
• Выполняет непрерывный фоновый поиск возникающих угроз.

Роль аналитика:

• Проверяет результаты и определяет влияние на бизнес.
• Исследует действия, связанные со сложными или целевыми кибератаками.
• Уточняет стратегии и приоритеты поиска угроз.

Реагирование на инциденты безопасности требует быстрой координации действий по обнаружению, расследованию и сдерживанию.

Роль агента:

• Автоматизирует сбор свидетельств и документирование инцидентов.
• Формирует временные шкалы и кратко описывает действия кибератак.
• Выполняет действия по сдерживанию после подтверждения со стороны аналитиков.
• Помогает защищать конечные точки и автоматизировать рабочие процессы устранения уязвимостей.

Рольаналитика:

• Утверждает действия реагирования с высоким риском.
• Руководит усилиями по устранению последствий и восстановлению.
• Координирует коммуникацию и анализ событий после инцидента.

Организациям необходимо выявлять и приоритизировать уязвимости безопасности до того, как ими воспользуются злоумышленники.

Роль агента:

• Приоритизирует уязвимости на основе уровня риска и ценности ресурсов, подверженных риску.
• Выявляет экспозиции в облачной среде, на конечных точках и в средах идентификации.
• Рекомендует пути устранения и действия по снижению рисков.

Роль аналитика:

• Определяет приоритеты устранения на основе бизнес-риска.
• Проверяет рекомендуемые действия.
• Координирует обновление путем частичной замены и усилия по снижению риска.

Мониторинг активности учетных записей имеет решающее значение для выявления несанкционированного доступа и предотвращения злоупотребления привилегиями.

Роль агента:

• Обнаруживает необычные шаблоны входа и доступа.
• Выявляет рискованные разрешения и риски повышения привилегий.
• Непрерывно отслеживает угрозы, связанные с идентификацией.

Роль администратора по идентификации и доступу:

• Проверяет события доступа с высоким уровнем риска.
• Утверждает изменения политик или разрешений.
• Исследует потенциальные действия, связанные с внутренними угрозами или взломом учетных записей.

Команды безопасности должны непрерывно создавать и совершенствовать логику обнаружения, чтобы успевать за меняющимися угрозами.

Роль агента:

• Пишет и тестирует логику обнаружения.
• Проверяет охват обнаружения и выявляет пробелы.
• Предлагает улучшения настройки, чтобы снизить число ложных срабатываний.

Роль аналитика:

• Проверяет и утверждает обновления обнаружения.
• Выравнивает обнаруженные уязвимости с приоритетами организации.
• Осуществляет надзор за долгосрочной архитектурой и стратегией безопасности.

Защита конфиденциальных данных требует непрерывного мониторинга, классификации и применения политик безопасности.

Роль агента:

• Проводит исследование и приоритизирует защиту от потери данных и внутренние риски.
• Автоматизирует обнаружение и анализ рисков, связанных с конфиденциальными данными, в различных средах.
• Выявляет нарушения политики и пробелы в соблюдении требований.

Роль администратора безопасности данных:

• Просматривает события раскрытия данных с высоким риском.
• Определяет требования к соответствию требованиям и управлению.
• Курирует принятие решений по устранению выявленных нарушений и обеспечению соблюдения политик.

Использование агентного ИИ в кибербезопасности приносит наибольшую пользу, когда помогает командам анализировать данные, обогащать оповещения и реагировать на уязвимости и угрозы во всей среде. Для этого организации используют API, чтобы подключать агентов безопасности к инструментам, которые они уже применяют, таким как SOAR, расширенное обнаружение и реагирование (XDR), управление состоянием безопасности облака (CSPM), управление идентификацией и доступом (IAM), управление информацией и событиями безопасности (SIEM), обнаружение и реагирование на угрозы на конечных точках (EDR), а также системы обработки обращений. Это позволяет системам агентного ИИ извлекать информацию, координировать рабочие процессы, инициировать действия и обновлять системы в реальном времени.

Автоматизация экономит командам много времени, но по-прежнему важно сохранять контроль и подотчетность, чтобы избежать непреднамеренных действий. Как правило, командам безопасности требуется, чтобы аналитики проверяли решения с высоким уровнем риска, а для действий с более низким уровнем риска можно предоставить больше автономии. В любом из этих случаев важно наладить управление данными и контроль доступа, чтобы гарантировать, что ИИ взаимодействует только с санкционированными системами и данными.

Команды по обеспечению безопасности, добивающиеся наибольших успехов в использовании агентного ИИ, внедряют инструменты для оценки того, насколько эффективно они достигают поставленных целей. Это предоставляет им информацию, необходимую для корректировки и совершенствования их реализаций.

Ключевые метрики успешности включают:

К данным, помогающим определить эффективность операций по обеспечению безопасности, относятся:

• MTTD и MTTR.
• Число оповещений, прошедших автоматическую сортировку или закрытых автоматически.
• Снижение частоты ложноположительных результатов.
• Время, затрачиваемое на исследование и устранение инцидентов.

Эти метрики дают руководству представление о том, как агентный ИИ меняет распределение времени в командах по безопасности:

• Время аналитиков, высвобожденное благодаря автоматизации ручного анализа и первичной сортировки.
• Уровень эскалации для оповещений, требующих вмешательства аналитика.
• Время подключения новых аналитиков при использовании рабочих процессов с поддержкой ИИ.
• Сокращение объема повторяющихся или маловажных задач.

Руководители также могут оценить влияние мер по повышению безопасности на всю организацию с помощью таких метрик, как:

• Стоимость одного инцидента безопасности.
• Охват различных сред, учетных записей, конечных точек и облачных ресурсов
• Общее состояние соответствия требованиям и готовность к аудиту.
• Уменьшение подверженности операционному риску с течением времени.

Поскольку агентные системы функционируют с разной степенью автономности, для их безопасного внедрения критически важны механизмы управления, прозрачности и контроля.

• Теневые агенты и неуправляемая автоматизация. По мере масштабирования агентных систем организации могут непреднамеренно создавать неуправляемые или дублирующиеся агенты. Без соответствующего контроля эти "теневые агенты" могут приводить к непоследовательному поведению или совершению несанкционированных действий.
• Галлюцинации и ложноположительные срабатывания. Как и другие системы ИИ, агентный ИИ может делать неверные выводы или неверно интерпретировать данные, что без проверки может привести к ненужным оповещениям или ошибочным действиям.
• Избыточная автоматизация и потеря контроля. Избыточная зависимость от автоматизации может снизить видимость процессов принятия решений, повышая риск упущенного контекста или неуместных действий.
• Конфиденциальность данных и управление доступом. Системам агентного ИИ требуется доступ к конфиденциальным данным, касающимся безопасности, поэтому критически важным становится наличие строгих механизмов контроля прав доступа, границ использования данных и соблюдения принципа минимально необходимых привилегий.
• Смещение данных модели и манипуляции злоумышленников. Со временем производительность модели может снижаться по мере изменения среды. Кроме того, кибератаки могут пытаться управлять входами или метриками, чтобы повлиять на поведение агента.

• NIST AI Risk Management Framework (AI RMF) предоставляет рекомендации по управлению рисками, связанными с ИИ, на протяжении всего жизненного цикла, включая управление, сопоставление, измерение и контроль.
• ISO/IEC 42001 устанавливает требования к системе управления ИИ, уделяя особое внимание ответственному разработке и использованию систем ИИ.
• Закон ЕС об искусственном интеллекте вводит классификацию на основе риска и требования к соблюдению для систем ИИ, которые работают в Европейском союзе или влияют на него.
• Отраслевые нормативные требования — это особые требования, действующие в определенных сферах; к ним относятся, например, Акт о передаче и защите данных учреждений здравоохранения HIPAA (HIPAA), регулирующий защиту медицинских данных, Стандарт безопасности данных индустрии платежных карт (PCI DSS), обеспечивающий безопасность платежей, и Закон Сарбейнса-Оксли (SOX), устанавливающий требования к контролю финансовой отчетности.

По мере того как команды безопасности внедряют и масштабируют агентный ИИ для кибербезопасности в своих организациях, продуманная стратегия помогает улучшить результаты в области безопасности, сохраняя при этом прозрачность, подотчетность и доверие между командами.

Организации, как правило, внедряют агентный ИИ поэтапно и контролируемо, начиная с вспомогательных сценариев использования с низким уровнем риска, прежде чем переходить к действиям с более высоким уровнем влияния. Также важно уделять приоритетное внимание прозрачности того, как агенты безопасности принимают решения.

Четко определенные ограничения помогают удерживать поведение агента в безопасных и ожидаемых рамках. Чтобы снизить риск непредсказуемого поведения, команды определяют, какие действия агенты ИИ в сфере кибербезопасности могут выполнять автономно, устанавливают процедуры согласования для операций, имеющих серьезные последствия или затрагивающих конфиденциальные данные, а также определяют пороговые значения, при которых агенты должны передавать задачу аналитикам.

Управление доступом на основе ролей (RBAC) помогает снизить риск непреднамеренных действий, ограничивая доступ агентов к системам, данным и операциям, необходимым для выполнения их конкретных функций. По этой причине команды по управлению удостоверениями применяют к агентам те же принципы наименьших привилегий, что и к людям.

Для обеспечения видимости действий агентов группы безопасности регистрируют и проверяют все их операции, включая принимаемые решения, использование инструментов и полученные результаты. Это помогает им исследовать инциденты, соблюдать нормативные требования и выявлять проблемы реализации, требующие доработки.

Аналитики с большей готовностью начнут использовать агентный ИИ, если будут чувствовать себя информированными и контролирующими ситуацию. Организации могут укрепить доверие, обеспечив ясность и понятность рекомендаций, предоставляемых агентами. Они также добиваются лучших результатов, когда используют искусственный интеллект для дополнения процесса принятия решений аналитиками, а не для его замены.

Центры мониторинга информационной безопасности (SOC), ИТ-подразделения и специалисты по обеспечению соответствия требованиям играют важную роль в безопасном и эффективном внедрении агентного ИИ с учетом допустимого уровня риска организации. Междисциплинарная команда помогает организациям определять сценарии практического использования, управлять интеграцией и инфраструктурой, а также соблюдать нормативные требования.

Создание полностью агентных рабочих процессов, охватывающих различные направления безопасности, — это многоэтапный процесс. По мере повышения операционной зрелости организациям требуется более строгое управление и надзор.

На самом раннем этапе организации используют заранее определенные сценарии и рабочие процессы для обработки повторяющихся задач по безопасности.

Как выглядит успех:

• Последовательное выполнение рутинных задач, таких как обогащение оповещений или создание записей.
• Сокращение объема ручной работы в простых рабочих процессах.
• Зависимость от статических правил и инструкций.

Индикаторы готовности:

• Стабильные интеграции с SIEM, SOAR и системой обработки заявок.
• Четко определенные и повторяемые процессы безопасности.
• Высокий объем повторяющихся задач аналитиков.

На этом этапе ИИ поддерживает аналитиков, улучшая видимость, сводку и принятие решений, но не выполняет прямых действий.

Как выглядит успех:

• Более быстрое исследование благодаря сводкам и аналитике, созданным ИИ.
• Улучшенное понимание оповещений и обогащение контекста.
• Аналитики несут полную ответственность за решения и действия.

Индикаторы готовности:

• Зрелые конвейеры данных и централизованные метрики.
• Налаженные процессы операций безопасности.
• Необходимость в более быстрой первичной сортировке и поддержке исследования.

На этом этапе агентный ИИ начинает выполнять ограниченные действия в рамках заданных защитных ограничений, при этом право утверждения операций с более высоким уровнем риска остается за людьми.

Как выглядит успех:

• Автоматизированная первичная обработка, обогащение данных и рекомендации по устранению проблем.
• Уменьшение рабочей нагрузки на аналитиков при выполнении повторяющихся задач по исследованию.
• Утверждение человеком действий по сдерживанию и устранению последствий.

Индикаторы готовности:

• Надежные средства управления удостоверениями и доступом для систем автоматизации.
• Четко определенные процессы эскалации и утверждения.
• Уверенность в качестве данных и интеграции системы.

На наиболее зрелом этапе агентный ИИ работает сразу в нескольких областях, координируя действия с минимальным участием аналитика в рамках установленных границ. Это позволяет выстроить сквозную оркестрацию безопасности во всей организации.

Как выглядит успех:

• Непрерывное автономное обнаружение, расследование и реагирование в разных средах.
• Междоменная координация систем обеспечения безопасности, ИТ, управления идентификацией и обеспечения соответствия требованиям.
• Люди сосредоточены на управлении, стратегии и обработке исключений.

Индикаторы готовности:

• Зрелые системы управления в сфере ИИ и автоматизации.
• Высоконадежные метрики и целостность данных во всех системах.
• Тесная межфункциональная согласованность между командами безопасности, ИТ и соответствия требованиям.
• Сформированное доверие к автоматизированному принятию решений с возможностью аудита и надзора.

Агентный ИИ все еще находится на ранней стадии своей кривой внедрения, но несколько явных тенденций формируют то, как он будет развиваться в области безопасности.

• Автономное тестирование на проникновение. Агенты ИИ будут все чаще имитировать поведение злоумышленников, чтобы непрерывно тестировать средства защиты, выявлять слабые места и проверять элементы безопасности в реальном времени.
• Циклы агентов. Агентный ИИ для операций безопасности станет более непрерывным и самосовершенствующимся: агенты будут воспринимать ситуацию, действовать и учиться на основе результатов, чтобы повышать точность обнаружения угроз и реагирования на них.
• Киберконфликт между системами ИИ. По мере того как киберпреступники также начинают использовать искусственный интеллект, будущие киберпротивостояния могут включать в себя прямое соперничество между защитными и наступательными автономными системами.
• Прогностическая защита. Вместо реакции на инциденты агентные системы будут прогнозировать угрозы, анализируя шаблоны, данные о поверхности атаки и поведение злоумышленников, чтобы предотвращать кибератаки до их возникновения.
• Совместно работающие агенты ИИ.. Множество специализированных агентов будут координировать свои действия при выполнении таких задач, как обнаружение, расследование, устранение угроз и подготовка отчетности, для создания более масштабируемых и устойчивых рабочих процессов обеспечения безопасности.
• Меняющаяся роль аналитика. Аналитики будут переходить от выполнения повторяющихся задач по расследованию и реагированию к более ценным обязанностям, таким как надзор за агентами, разработка политик и стратегическое управление рисками.

Организации могут выявлять угрозы, расследовать их и реагировать на них во всем своем цифровом контуре с помощью единой платформы безопасности Майкрософт на базе ИИ. В центре системы находится Microsoft Security Copilot — решение для обеспечения безопасности на базе искусственного интеллекта, работающее с естественным языком и позволяющее аналитикам анализировать инциденты, обобщать информацию об угрозах и координировать действия по реагированию в различных средах. Встроенные агенты расширяют эти возможности во всех решениях Microsoft Security.

Команды безопасности часто перегружены объемом оповещений, ручной первичной сортировкой и разрозненными исследованиями. В Microsoft Defender XDR агентный ИИ помогает расставлять приоритеты для проблем с высоким уровнем риска, быстрее исследовать инциденты и повышать эффективность реагирования.

• Агент рассмотрения оповещений безопасности приоритизирует оповещения для снижения информационного шума и помогает аналитикам быстрее сосредоточиться на инцидентах с высоким уровнем риска.
• Агент аналитики безопасности исследует инциденты, сопоставляет сигналы и рекомендует меры реагирования для оптимизации рабочих процессов SOC.
• Агент охоты на угрозы выполняет поиск в различных средах для выявления скрытых угроз, подозрительной активности и новых схем атак.
• Агент динамического обнаружения угроз непрерывно анализирует активность и адаптирует логику обнаружения для выявления меняющихся угроз и аномалий.
• Агент информирования об аналитике угроз обобщает сведения об угрозах, преобразуя ее в практически применимые выводы, что позволяет командам действовать на опережение в отношении возникающих рисков.

Вместе эти агенты помогают сократить объем ручных исследований и ускорить реагирование на инциденты на конечных точках, в идентификационных системах, электронной почте и облачных рабочих нагрузках.

В Microsoft Sentinel инструмент Security Copilot помогает аналитикам перейти от ручного исследования к рабочим процессам, управляемым запросами на естественном языке. Аналитики могут генерировать запросы KQL, составлять сводки по инцидентам, обогащать данные о сущностях, анализировать пользователей и устройства, а также автоматизировать этапы расследования с помощью Logic Apps и наборов запросов.

Пользовательский агент Sentinel для отчетности об инцидентах может извлекать из инцидентов результаты расследования, сущности, аналитические выводы и меры по устранению проблем. Наборы запросов также позволяют автоматизировать анализ действий пользователя и добавлять полученные результаты непосредственно в журналы событий инцидента.

Эти возможности помогают уменьшить объем ручного написания запросов, повысить единообразие процесса расследования и сэкономить время аналитиков за счет автоматизации повторяющихся задач.

В Microsoft Purview Security Copilot помогает командам защищать и контролировать данные в рамках Управления состоянием безопасности данных Microsoft Purview, Защиты от потери данных, управления внутренними рисками, обнаружения электронных данных, аудита и Соответствия требованиям к обмену данными.

• Агент рассмотрения безопасности данных расставляет приоритеты для оповещений систем DLP и рисков, связанных с инсайдерами, разъясняет контекст рисков и может инициировать процессы устранения угроз совместно с владельцами данных.
• Агент состояния безопасности данных обнаруживает конфиденциальные данные, выявляет скрытые риски и открытые учетные данные, улучшает классификацию данных по уровню конфиденциальности и формирует отчеты, готовые для представления руководству.

Эти агенты помогают командам безопасности сократить объем ручной первичной сортировки, быстрее приоритизировать критические риски и укрепить процессы защиты данных и соответствия требованиям.

В Microsoft Entra Security Copilot помогает командам расследовать рискованных пользователей, нестандартные попытки входа, привилегированный доступ и угрозы, связанные с идентификацией. Copilot может обобщать контекст, связанный с учетными записями, разъяснять сигналы риска и рекомендовать такие действия, как аннулирование сеансов, пересмотр прав доступа или корректировка политик условного доступа.

Возможности включают агенты управления идентификацией и доступом, а также Microsoft Entra ID для агентов, который помогает организациям регистрировать, управлять и контролировать идентификационные данные агентов ИИ с помощью управления жизненным циклом, управления доступом и средств защиты идентификации.

Эти возможности помогают организациям снизить риски, связанные с идентификационными данными, и применять принципы "Никому не доверяй" к учетным записям людей и к идентификаторам систем ИИ.

В Microsoft Intune Security Copilot помогает командам, отвечающим за конечные точки и ИТ-инфраструктуру, оценивать соответствие устройств требованиям, выявлять отклонения в конфигурации и уязвимости, а также определять необходимые меры по их устранению. Copilot может кратко описывать риски для устройств, объяснять проблемы несоответствия, рекомендовать следующие шаги и помогать командам быстрее реагировать.

Агенты управления конечными точками помогают автоматизировать проверки соответствия, расследовать проблемы на устройствах и направлять процессы устранения на управляемых конечных точках.

Эти возможности помогают сократить объем ручного расследования на конечных точках, улучшить операции по обеспечению соответствия и быстрее устранять пробелы в конфигурации.

Вместе Microsoft Security Copilot и встроенные агенты помогают организациям перейти от реактивных, ручных операций безопасности к адаптивной защите с поддержкой ИИ, которая повышает уровень защиты, скорость и масштаб на всех этапах жизненного цикла безопасности.