Čo je agentská AI v oblasti kybernetickej bezpečnosti?

Systémy agentskej AI sú často navrhnuté so zabudovaným ľudským dohľadom, aby sa vyvážila autonómia s kontrolou.

V prístupe spoločnosti Microsoft k agentskej AI pre kybernetickú bezpečnosť je to navrhnuté ako model spolupráce, v ktorom môžu ľudskí operátori monitorovať správanie systému a usmerňovať ho.

Medzi bežné príklady patria:

• Transparentné uvažovanie. Systémy spoločnosti Microsoft poskytujú spolu s odporúčaniami aj podporný kontext a odôvodnenie, aby pomohli analytikom pochopiť výstupy systému a rozhodovacie postupy.

• Schvaľovanie a úpravy. Tímy môžu skontrolovať, schváliť, zamietnuť alebo doladiť akcie systému a začlenením spätnej väzby priebežne zlepšovať výsledky.

• Auditovateľné kontrolné mechanizmy. Aktivity sa riadia podnikovými kontrolnými mechanizmami zabezpečenia, ako sú prístup na základe rolí, denníky auditu a ochranné opatrenia v pracovných postupoch, aby sa podporila zodpovednosť a požiadavky na dodržiavanie súladu.

Agentská AI môže dynamicky reagovať na meniace sa podmienky a upravovať svoje správanie na základe kontextu vďaka procesu nazývanému agentský cyklus – postupnosti krokov, ktorú agent opakuje, kým nedosiahne svoj cieľ.

Vnímanie → Uvažovanie → Plánovanie → Konanie → Učenie sa

• Vnímanie. Systém zhromažďuje informácie zo svojho prostredia vrátane denníkov, upozornení, aktivít používateľov, analýzy hrozieba údajov z pripojených nástrojov a systémov.
• Uvažovanie. Analyzuje informácie, identifikuje vzory, vyhodnocuje riziká a určuje, čo údaje znamenajú v kontexte.
• Plánovanie. Na základe svojich cieľov systém vytvára postupnosť krokov na dosiahnutie požadovaného výsledku.
• Konanie. Agent vykonáva úlohy, ako je napríklad izolovanie zariadenia, otvorenie žiadosti, eskalácia upozornenia alebo zhromažďovanie ďalších dôkazných materiálov interakciou s nástrojmi, systémami alebo pracovnými postupmi.
• Učenie sa. Systém vyhodnocuje výsledky svojich akcií a používa pripomienky, nové údaje a predchádzajúce výsledky na zlepšenie budúcich rozhodnutí a odpovedí.

Aby agentská AI fungovala efektívne, tímy sa musia tiež rozhodnúť, či chcú používať systém s jedným alebo viacerými agentmi. Systém s jedným agentom sa spolieha na jedného agenta pri riadení úloh a rozhodnutí, čo funguje dobre, keď sú pracovné postupy relatívne uzavreté a rozhodovanie je centralizované. Ak sú pracovné postupy zložité alebo vyžadujú rôzne typy odborných znalostí, organizácie často nastavujú systém s viacerými agentmi, ktorý využíva viacero špecializovaných AI agentov pre kybernetickú bezpečnosť, ktorí pracujú na spoločnom cieli.

Aj pri autonómnych schopnostiach zostáva dohľad zo strany ľudí dôležitý. Mnohé organizácie používajú kontrolné body s prítomnosťou človeka v cykle a schvaľovacie brány pre citlivé alebo vysoko rizikové akcie, aby pomohli udržiavať riadenie, zodpovednosť a prevádzkovú kontrolu.

Rozdiely medzi tradičnou automatizáciou, generatívnou AI a agentskou AI sú zreteľnejšie pri porovnaní v rámci kľúčových rozmerov.

Podniky a vlády bohužiaľ nie sú jedinými, ktoré prijímajú umelú inteligenciu rýchlym tempom. Útočníci používajú agentské systémy na zvýšenie rýchlosti a rozsahu svojich kybernetických útokov, čo vytvára alebo prehlbuje niekoľko výziev v oblasti kybernetickej bezpečnosti vrátane týchto:

• Výzva v oblasti škálovania. Bezpečnostné tímy často čelia obrovským objemom upozornení, rastúcej zložitosti údajov a pretrvávajúcemu nedostatku analytikov.
• Výzva v oblasti rýchlosti. Kybernetickí útočníci čoraz viac automatizujú svoje operácie, zatiaľ čo mnohí obrancovia sa stále spoliehajú na manuálne procesy triedenia a odozvy na incidenty.
• Výzva v oblasti spoľahlivosti a presnosti. Dlhodobé vystavenie nočným zmenám a veľkému objemu opakujúcich sa úloh môže viesť k únave a vyhoreniu analytikov, čo zvyšuje riziko nekonzistentnosti a ľudskej chyby.
• Výzva v oblasti odolnosti. Moderné organizácie fungujú v hybridných prostrediach, ktoré zahŕňajú cloudové platformy, koncové body, identity, aplikácie a služby tretích strán. Tieto rastúce možné miesta útokov zvyšujú prevádzkové riziko a vytvárajú viac príležitostí pre kybernetických útočníkov.

Agentská AI v oblasti kybernetickej bezpečnosti pomáha bezpečnostným tímom fungovať efektívnejšie v prostrediach, ktoré sa stávajú príliš komplexnými, rýchlo sa meniacimi a prepojenými na to, aby bolo možné vykonávať plne manuálne bezpečnostné operácie (SecOps). To sa líši od širšieho zabezpečenia agentskej AI, ktoré sa zameriava na ochranu samotných systémov AI.

Namiesto nahrádzania bezpečnostných tímov pôsobí agentská AI ako násobiteľ síl v rámci operácií kybernetickej bezpečnosti, čo prináša výhody, ako sú:

• Rýchlejší priemerný čas na detekciu a reakciu (MTTD/MTTR). Agentská AI dokáže rýchlo vyšetrovať upozornenia, prepájať signály a koordinovať kroky reakcie, čím pomáha tímom skrátiť čas na detekciu aj reakciu.
• Nižšia únava analytikov a viac času na prácu s vyššou pridanou hodnotou. Tým, že preberá opakujúce sa a časovo náročné úlohy, agentská AI pomáha znižovať únavu z upozornení a umožňuje analytikom sústrediť sa na strategickejšie vyšetrovanie a rozhodovanie.
• Konzistentné a opakovateľné triedenie a reakcia. Agentská AI uplatňuje pracovné postupy a procesy konzistentne naprieč incidentmi, čím zvyšuje prevádzkovú spoľahlivosť a znižuje odchýlky spôsobené manuálnymi operáciami.
• Neprerušované pokrytie a pružné škálovanie. Na rozdiel od ľudských tímov môže agentská AI fungovať nepretržite a škálovať sa tak, aby zvládla veľké objemy upozornení, udalostí a údajov bez potreby dodatočného personálu.
• Lepší pomer signálu k šumu a stanovenie priorít.. Agentská AI dokáže analyzovať veľké množstvá kontextových údajov a pomôcť identifikovať najdôležitejšie hrozby, čím znižuje počet zbytočných upozornení a zlepšuje stanovenie priorít.
• Silnejšia odolnosť a proaktívne riadenie rizík. Agentská AI dokáže nepretržite monitorovať prostredia, identifikovať potenciálne slabiny a podporovať proaktívne bezpečnostné opatrenia, ktoré organizáciám pomáhajú znižovať riziko a zlepšovať prevádzkovú odolnosť v priebehu času.

Niekoľko scenárov použitia ukazuje, ako môžu ľudia a agenti spolupracovať na posilnení zabezpečenia.

Bezpečnostné tímy často čelia väčšiemu počtu upozornení, než dokážu manuálne preskúmať, takže stanovenie priorít je nevyhnutné pre účinnú reakciu.

Rola agenta:

• Obohacuje upozornenia o analýzu hrozieb, kontext aktív a údaje o správaní používateľov.
• Uprednostňuje incidenty na základe rizika a skóre spoľahlivosti.
• Odporúča ďalšie kroky na vyšetrovanie alebo nápravu.

Rola analytika:

• Posudzuje incidenty s vysokou prioritou.
• Overuje zistenia a rozhodnutia o eskalácii.
• Rieši komplexné alebo citlivé vyšetrovania.

Bezpečnostné tímy sa spoliehajú na veľké objemy údajov o hrozbách, čo sťažuje rýchle získanie relevantných a použiteľných prehľadov.

Rola agenta:

• Zhromažďuje a sumarizuje analýzu hrozieb z viacerých zdrojov.
• Poskytuje situačné povedomie v reálnom čase a rýchle vykazovanie.
• Koreluje aktivitu hrozieb naprieč prostrediami.

Rolaanalytika:

• Interpretuje strategické riziko a trendy hrozieb.
• Overuje relevantnosť a vplyv analýzy.
• Usmerňuje priority reakcií a plánovanie.

Identifikácia skrytých alebo vznikajúcich hrozieb si vyžaduje nepretržitú analýzu veľkých a komplexných množín údajov.

Rola agenta:

• Generuje hypotézy vyhľadávania hrozieb a dotazuje zdroje údajov.
• Iteruje naprieč veľkými množinami údajov, aby identifikoval podozrivú aktivitu.
• Vykonáva nepretržité vyhľadávanie vznikajúcich hrozieb v pozadí.

Rolaanalytika:

• Overuje zistenia a určuje vplyv na podnikanie.
• Vyšetruje pokročilú alebo cielenú aktivitu kybernetických útokov.
• Spresňuje stratégie vyhľadávania hrozieb a priority.

Reakcia na bezpečnostné incidenty si vyžaduje rýchlu koordináciu medzi aktivitami detekcie, vyšetrovania a obmedzenia.

Rolaagenta:

• Automatizuje zhromažďovanie dôkazných materiálov a dokumentáciu incidentov.
• Pripravuje časové osi a sumarizuje aktivitu kybernetických útokov.
• Dokončuje kroky obmedzenia po schválení analytikmi.
• Pomáha chrániť koncové body a automatizovať pracovné postupy nápravy zraniteľností.

Rolaanalytika:

• Schvaľuje reakčné akcie s vysokým rizikom.
• Dohliada na úsilie o nápravu a obnovu.
• Koordinuje komunikáciu a kontrolu po incidente.

Organizácie musia identifikovať a uprednostniť bezpečnostné slabiny skôr, než ich zneužijú útočníci.

Rolaagenta:

• Uprednostňuje zraniteľnosti na základe úrovne rizika a hodnoty ohrozených aktív.
• Identifikuj ohrozenia v prostrediach cloudov, koncových bodov a identít.
• Odporúča cesty nápravy a akcie na zmiernenie rizík.

Rolaanalytika:

• Určuje priority nápravy na základe podnikového rizika.
• Overuje odporúčané akcie.
• Koordinuje opravovanie a úsilie o zníženie rizika.

Monitorovanie aktivity identít je kľúčové na odhaľovanie neoprávneného prístupu a zabránenie zneužitiu oprávnení.

Rolaagenta:

• Zisťuje nezvyčajné vzory prihlasovania a prístupu.
• Identifikuje rizikové oprávnenia a riziká eskalácie oprávnení.
• Priebežne monitoruje hrozby súvisiace s identitou.

Rolasprávcuriadenia identít:

• Posudzuje udalosti prístupu s vysokým rizikom.
• Schvaľuje zmeny politík alebo povolení.
• Vyšetruje potenciálnu aktivitu zvnútra alebo zneužitia konta.

Bezpečnostné tímy musia nepretržite budovať a spresňovať logiku detekcie, aby držali krok s vyvíjajúcimi sa hrozbami.

Rolaagenta:

• Píše a testuje logiku detekcie.
• Overuje pokrytie detekcií a identifikuje medzery.
• Navrhuje vylepšenia ladenia na zníženie počtu nesprávne pozitívnych výsledkov.

Rolaanalytika:

• Posudzuje a schvaľuje aktualizácie detekcií.
• Zosúlaďuje detekcie s prioritami organizácie.
• Dohliada na architektúru a stratégiu dlhodobého zabezpečenia.

Ochrana citlivých údajov si vyžaduje nepretržité monitorovanie, klasifikáciu a vynútenie politík zabezpečenia.

Rola agenta:

• Vyšetruje a uprednostňuje riziká ochrany pred únikom údajov a riziká zvnútra.
• Automatizuje zisťovanie a analýzu rizík citlivých údajov naprieč prostrediami.
• Identifikuje porušenia politík a medzery v súlade.

Rola správcu zabezpečenia údajov:

• Kontroluje udalosti ohrozenia údajov s vysokým rizikom.
• Určuje požiadavky na súlad a riadenie.
• Dohliada na rozhodnutia o náprave a vynútení politík.

Agentská AI v oblasti kybernetickej bezpečnosti prináša najväčšiu hodnotu vtedy, keď pomáha tímom analyzovať údaje, obohacovať upozornenia a reagovať na zraniteľnosti a hrozby v celom prostredí. Na dosiahnutie tohto cieľa organizácie používajú rozhrania API na prepojenie bezpečnostných agentov s nástrojmi, ktoré už používajú, ako napríklad SOAR, rozšírená detekcia a reakcia (XDR), spravovanie úrovne cloudového zabezpečenia (CSPM), správa identít a prístupu (IAM), správa bezpečnostných informácií a udalostí (SIEM), nástroje na detekciu a reakciu v koncových bodoch (EDR) a riešenia na spracovanie žiadostí. Ti umožňuje systémom agentskej AI získavať informácie, koordinovať pracovné postupy, spúšťať akcie a aktualizovať systémy v reálnom čase.

Automatizácia šetrí tímom veľa času, ale stále je dôležité zachovať kontrolu a zodpovednosť, aby sa predišlo neúmyselným akciám. Bezpečnostné tímy zvyčajne vyžadujú, aby analytici skontrolovali rozhodnutia s vysokým rizikom, pričom pri akciách s nižším rizikom umožňujú väčšiu autonómiu. V oboch prípadoch je dôležité zaviesť riadenie údajov a ovládacie prvky prístupu, aby AI pracovala len so schválenými systémami a údajmi.

Bezpečnostné tímy, ktoré s agentskou AI dosahujú najväčší úspech, zavádzajú nástroje na meranie, ktoré vyhodnocujú, ako dobre plnia ciele. Vďaka tomu majú informácie, ktoré potrebujú na úpravu a spresnenie svojich implementácií.

Medzi kľúčové ukazovatele úspechu patria:

Údaje, ktoré pomáhajú určiť efektivitu bezpečnostných operácií, zahŕňajú:

• MTTD a MTTR.
• Počet upozornení, ktoré boli automaticky triedené alebo zatvorené.
• Zníženie miery falošne pozitívnych výsledkov.
• Čas potrebný na vyšetrovanie a vyriešenie incidentov.

Tieto metriky poskytujú vedeniu prehľad o tom, ako agentská AI mení spôsob, akým bezpečnostné tímy venujú čas:

• Počet hodín analytikov získaných späť z manuálneho vyšetrovania a triedenia.
• Miera eskalácie upozornení vyžadujúcich zásah analytika.
• Čas potrebný na zaškolenie nových analytikov pri používaní pracovných postupov s asistenciou AI.
• Zníženie opakujúcich sa úloh alebo úloh s nízkou pridanou hodnotou.

Vedúci pracovníci môžu tiež vidieť, ako zlepšenia v oblasti zabezpečenia ovplyvňujú celú organizáciu, a to pomocou metrík, ako sú:

• Náklady na bezpečnostný incident.
• Pokrytie naprieč prostrediami, identitami, koncovými bodmi a cloudovými prostriedkami
• Celková úroveň súladu a pripravenosť na audit.
• Zníženie miery prevádzkového rizika v priebehu času.

Keďže agentské systémy pracujú s rôznymi úrovňami autonómie, riadenie, transparentnosť a kontrola sú nevyhnutné pre bezpečné nasadenie.

• Tieňoví agenti a neriadená automatizácia. Pri škálovaní agentských systémov môžu organizácie neúmyselne vytvoriť nespravovaných alebo duplicitných agentov. Bez náležitého dohľadu môžu títo „tieňoví agenti“ zaviesť nekonzistentné správanie alebo neoprávnené akcie.
• Halucinácie a falošne pozitívne výsledky. Rovnako ako iné systémy AI, aj agentská AI môže vytvoriť nesprávne závery alebo nesprávne interpretovať údaje, čo môže viesť k zbytočným upozorneniam alebo nesprávnym akciám, ak sa výsledky neoveria.
• Nadmerná automatizácia a strata dohľadu. Nadmerné spoliehanie sa na automatizáciu môže znížiť prehľad o rozhodovacích procesoch, čím sa zvyšuje riziko straty kontextu alebo nevhodných akcií.
• Ochrana osobných údajov a riadenie prístupu. Systémy agentskej AI vyžadujú prístup k citlivým bezpečnostným údajom, preto sú prísne kontroly nad povoleniami, hranicami údajov a prístupom s najmenšími oprávneniami kritické.
• Posun modelu a manipulácia útočníkmi. V priebehu času sa výkonnosť modelu môže zhoršovať v dôsledku zmien v prostredí. Okrem toho sa kybernetickí útočníci môžu pokúsiť manipulovať vstupy alebo metriky, aby ovplyvnili správanie agenta.

• Rámec riadenia rizík AI NIST (AI RMF) poskytuje usmernenia na riadenie rizík súvisiacich s AI počas celého životného cyklu vrátane riadenia, mapovania, merania a správy.
• ISO/IEC 42001 stanovuje požiadavky na riadiaci systém AI so zameraním na zodpovedný vývoj a používanie systémov AI.
• Nariadenie EÚ o AI zavádza klasifikáciu založenú na rizikách a požiadavky na súlad pre systémy AI, ktoré fungujú v Európskej únii alebo ju ovplyvňujú.
• Predpisy týkajúce sa konkrétneho sektora sú jedinečné požiadavky pre určité odvetvia, napríklad zákon USA o zodpovednosti za prenos údajov zdravotného poistenia (HIPAA) na ochranu zdravotníckych údajov, štandard Payment Card Industry Data Security Standard (PCI DSS) na zabezpečenie platieb a nariadenie Sarbanes-Oxley Act (SOX) na kontroly finančného vykazovania.

Keďže bezpečnostné tímy nasadzujú a škálujú agentskú AI pre kybernetickú bezpečnosť v rámci svojich organizácií, premyslená stratégia pomáha zlepšiť výsledky zabezpečenia a zároveň zachovať transparentnosť, zodpovednosť a dôveru v rámci tímov.

Organizácie zvyčajne zavádzajú agentskú AI v kontrolovaných etapách, pričom začínajú s podpornými prípadmi použitia s nízkym rizikom a až potom prechádzajú k akciám s vyšším dopadom. Je tiež dôležité stanoviť prioritu transparentnosti v tom, ako agenti zabezpečenia prijímajú rozhodnutia.

Dobre definované ochranné opatrenia pomáhajú obmedziť správanie agentov na bezpečné a očakávané hranice. Na zníženie rizika neočakávaného správania tímy definujú, ktoré akcie môžu AI agenti pre kybernetickú bezpečnosť vykonávať autonómne, zavádzajú pracovné postupy schvaľovania pre operácie s vysokým dopadom alebo citlivé operácie a nastavujú prahové hodnoty, pri ktorých musia bezpečnostní agenti eskalovať udalosť na analytikov.

Riadenie prístupu na základe rolí (RBAC) pomáha znižovať riziko nechcenej aktivity tým, že obmedzuje prístup agenta k systémom, údajom a akciám potrebným pre jeho konkrétnu funkciu. Z tohto dôvodu tímy identity uplatňujú na agentov rovnaké princípy s najmenšími oprávneniami ako na ľudí.

Na udržanie prehľadu o správaní agenta bezpečnostné tímy zaznamenávajú a kontrolujú všetky akcie agenta vrátane rozhodnutí, používania nástrojov a výsledkov. Pomáha im to vyšetrovať incidenty, spĺňať požiadavky na súlad a odhaliť problémy implementácie, ktoré je potrebné doladiť.

Analytici s väčšou pravdepodobnosťou prijmú agentskú AI, ak majú pocit, že sú informovaní a majú veci pod kontrolou. Organizácie môžu budovať dôveru tým, že sa uistia, že odporúčania agenta sú jasné a ľahko zrozumiteľné. Lepšie výsledky dosahujú aj vtedy, keď používajú AI na rozšírenie, a nie nahradenie rozhodovania analytika.

Centrá bezpečnostných operácií (SOC), IT tímy a tímy na dodržiavanie súladu zohrávajú úlohu pri nasadzovaní agentskej AI bezpečne, efektívne a v súlade s toleranciou rizík organizácie. Interdisciplinárny tím pomáha organizáciám definovať prevádzkové prípady použitia, spravovať integráciu a infraštruktúru a spĺňať regulačné požiadavky.

Budovanie plne agentských pracovných postupov, ktoré fungujú naprieč bezpečnostnými doménami, je viacstupňový proces. S rastúcou prevádzkovou vyspelosťou organizácií sa zvyšujú aj požiadavky na riadenie a dohľad.

V najskoršej fáze organizácie používajú vopred definované skripty a pracovné postupy na zvládanie opakujúcich sa bezpečnostných úloh.

Ako vyzerá úspech:

• Konzistentné dokončovanie rutinných úloh, ako je obohacovanie upozornení alebo vytváranie žiadostí.
• Zníženie manuálneho úsilia v pracovných postupoch s nízkou zložitosťou.
• Závislosť od statických pravidiel a štandardizovaných postupov.

Ukazovatele pripravenosti:

• Stabilné integrácie SIEM, SOAR a systémov spracovania žiadostí.
• Jasne definované a opakovateľné bezpečnostné procesy.
• Vysoký objem opakujúcich sa úloh analytikov.

V tejto fáze AI podporuje Analytikov zlepšením viditeľnosti, sumarizácie a rozhodovania, ale nevykonáva priame kroky.

Ako vyzerá úspech:

• Rýchlejšie vyšetrovanie prostredníctvom súhrnov a prehľadov vygenerovaných pomocou AI.
• Lepšie pochopenie upozornení a obohatenie kontextu.
• Analytici zostávajú za rozhodnutia a akcie plne zodpovední.

Ukazovatele pripravenosti:

• Vyspelé údajové kanály a centralizované metriky.
• Zavedené procesy bezpečnostných operácií.
• Potreba rýchlejšej podpory triedenia a vyšetrovania.

Tu začína agentská AI vykonávať obmedzené akcie v rámci definovaných ochranných opatrení, pričom ľudia si ponechávajú oprávnenie na schválenie pri operáciách s vyšším rizikom.

Ako vyzerá úspech:

• Automatizované triedenie, obohatenie a odporúčané kroky nápravy.
• Zníženie pracovného zaťaženia analytika pri opakujúcich sa úlohách vyšetrovania.
• Schvaľovanie akcií obmedzenia a nápravy s prítomnosťou človeka v cykle.

Ukazovatele pripravenosti:

• Silné riadenie identít pre systémy automatizácie.
• Dobre definované pracovné postupy eskalácie a schvaľovania.
• Dôvera v kvalitu údajov a integrácie systémov.

V najvyspelejšej fáze agentská AI pracuje naprieč viacerými doménami a koordinuje akcie s minimálnym zásahom analytika v rámci stanovených hraníc. To umožňuje komplexnú orchestráciu zabezpečenia v celej organizácii.

Ako vyzerá úspech:

• Nepretržitá a autonómna detekcia, vyšetrovanie a reakcia naprieč prostrediami.
• Koordinácia naprieč doménami medzi systémami zabezpečenia, IT, identity a dodržiavania súladu.
• Ľudia sa zameriavajú na riadenie, stratégiu a riešenie výnimiek.

Ukazovatele pripravenosti:

• Vyspelé rámce riadenia pre AI a automatizáciu.
• Metriky s vysokou spoľahlivosťou a integrita údajov naprieč systémami.
• Silné zosúladenie naprieč funkciami medzi tímami zabezpečenia, IT a dodržiavania súladu.
• Zavedená dôvera v automatizované rozhodovanie s auditovateľnosťou a dohľadom.

Agentská AI je stále na začiatku svojho prijatia, ale jej vývoj v oblasti zabezpečenia už formuje niekoľko jasných trendov.

• Autonómne vytváranie červených tímov. AI agenti budú čoraz viac simulovať správanie útočníkov, aby priebežne testovali obranu, identifikovali slabiny a overovali bezpečnostné ovládacie prvky v reálnom čase.
• Cykly agentov. Agentská AI pre bezpečnostné operácie bude fungovať čoraz plynulejšie a bude sa sama zdokonaľovať, pričom agenti budú vnímať situáciu, konať a učiť sa z výsledkov, aby tak zdokonalili detekciu a reakciu.
• Kybernetický konflikt medzi AI systémami. Keďže AI prijímajú aj kybernetickí útočníci, budúce kybernetické strety môžu zahŕňať obranné a útočné agentské systémy, ktoré budú priamo súperiť medzi sebou.
• Prediktívna obrana. Namiesto reakcie na incidenty budú agentské systémy predvídať hrozby analýzou vzorcov, údajov o miere rizika a správania útočníkov, aby zabránili kybernetickým útokom ešte pred ich vznikom.
• AI agenti na spoluprácu. Viacerí špecializovaní agenti budú koordinovať úlohy, ako sú detekcia, vyšetrovanie, náprava a vykazovanie, aby vytvorili škálovateľnejšie a odolnejšie bezpečnostné pracovné postupy.
• Vyvíjajúca sa rola analytika. Analytici sa odklonia od opakujúcich sa úloh vyšetrovania a reakcie k činnostiam s vyššou pridanou hodnotou, ako je dohľad nad agentmi, návrh politík a strategické riadenie rizík.

Organizácie môžu zisťovať, vyšetrovať a reagovať na hrozby v rámci svojho digitálneho prostredia pomocou jednotnej bezpečnostnej platformy založenej na umelej inteligencii od spoločnosti Microsoft. Ústredným prvkom je Microsoft Security Copilot, bezpečnostné riešenie s podporou AI a prirodzeného jazyka, ktoré umožňuje analytikom zdôvodňovať incidenty, sumarizovať hrozby a koordinovať akcie odozvy naprieč prostrediami. Vložení agenti rozširujú tieto možnosti naprieč riešeniami zabezpečenia od spoločnosti Microsoft.

Bezpečnostné tímy často zahlcuje množstvo upozornení, manuálne triedenie a fragmentované vyšetrovania. V službe Microsoft Defender XDR pomáha agentská AI uprednostňovať vysoko rizikové problémy, rýchlejšie vyšetrovať incidenty a zlepšovať efektivitu reakcie.

• Agent triedenia upozornení zabezpečenia – uprednostňuje upozornenia na zníženie šumu a pomáha analytikom rýchlejšie sa zamerať na incidenty s vysokým rizikom.
• Agent analytiky zabezpečenia – vyšetruje incidenty, koreluje signály a odporúča akcie odozvy na zjednodušenie pracovných postupov SOC.
• Agent vyhľadávania hrozieb – prehľadáva prostredia, aby odhalil skryté hrozby, podozrivé správanie a vznikajúce vzory útokov.
• Agent dynamickej detekcie hrozieb – nepretržite analyzuje aktivitu a prispôsobuje logiku zisťovania tak, aby identifikoval vyvíjajúce sa hrozby a anomálie.
• Agent pre prehľad analýzy hrozieb – sumarizuje analýzu hrozieb do praktických prehľadov, aby tímy mohli byť o krok vpred pred vznikajúcimi rizikami.

Spoločne títo agenti pomáhajú znížiť manuálne vyšetrovanie a urýchliť odozvu na incidenty naprieč koncovými bodmi, identitami, e-mailom a cloudovými workloadmi.

V službe Microsoft Sentinel pomáha nástroj Security Copilot analytikom prejsť z manuálneho vyšetrovania na pracovné postupy v prirodzenom jazyku založené na príkazových scenároch. Analytici môžu generovať KQL, sumarizovať incidenty, obohacovať entity, analyzovať používateľov a zariadenia a automatizovať kroky vyšetrovania prostredníctvom služby Logic Apps príkazových scenárov.

Vlastný agent hlásenia incidentov Sentinel môže extrahovať zistenia vyšetrovania, entity, prehľady a kroky nápravy z incidentov. Príkazové scenáre môžu tiež automatizovať analýzu používateľov a pridávať zistenia priamo do denníkov aktivít incidentov.

Tieto možnosti pomáhajú znížiť manuálne písanie dotazov, zlepšiť konzistentnosť vyšetrovania a ušetriť čas analytikov automatizáciou opakovateľných úloh.

V službe Microsoft Purview pomáha nástroj Security Copilot tímom zabezpečiť a riadiť údaje naprieč riešeniami Riadenie stavu zabezpečenia údajov, Ochrana pred únikom údajov, Spravovanie rizík zvnútra, eDiscovery, Audit a Dodržiavanie súladu pri komunikácii.

• Agent triedenia upozornení o zabezpečení údajov – uprednostňuje upozornenia DLP a rizík zvnútra, vysvetľuje kontext rizika a môže spustiť pracovné postupy nápravy s vlastníkmi údajov.
• Agent stavu zabezpečenia údajov – zisťuje citlivé údaje, identifikuje skryté riziká a vystavené prihlasovacie údaje, zlepšuje označovanie citlivosti a generuje súhrny pripravené pre vedúcich pracovníkov.

Títo agenti pomáhajú bezpečnostným tímom znížiť manuálne triedenie, rýchlejšie uprednostňovať kritické riziká a posilniť operácie zabezpečenia údajov a dodržiavania súladu.

V službe Microsoft Entra pomáha nástroj Security Copilot tímom vyšetrovať rizikových používateľov, nezvyčajné prihlásenia, privilegovaný prístup a hrozby založené na identite. Copilot môže zhrnúť kontext identity, vysvetliť rizikové signály a odporučiť akcie, ako sú zrušenie relácie, kontroly prístupu alebo ladenie politiky podmieneného prístupu.

Medzi možnosti patria agenti riadenia identít a Microsoft Entra ID agenta, ktoré organizáciám pomáhajú registrovať, spravovať a riadiť identity AI agentov pomocou správy životného cyklu, riadenia prístupu a ovládacích prvkov ochrany identity.

Tieto možnosti pomáhajú organizáciám znižovať riziko identity a uplatňovať princípy Nulová dôvera (Zero Trust) naprieč ľudskými aj AI identitami.

V službe Microsoft Intune pomáha nástroj Security Copilot koncovým bodom a IT tímom porozumieť dodržiavaniu súladu so zariadeniami, odchýlkam konfigurácie, miere rizika zraniteľnosti a potrebám nápravy. Copilot môže sumarizovať riziko zariadenia, vysvetliť problémy s nedodržiavaním súladu, odporučiť ďalšie kroky a pomôcť tímom reagovať rýchlejšie.

Agenti správy koncových bodov pomáhajú automatizovať kontroly dodržiavania súladu, vyšetrovať problémy so zariadeniami a viesť nápravu naprieč spravovanými koncovými bodmi.

Tieto možnosti pomáhajú znížiť manuálne vyšetrovanie koncových bodov, zlepšiť prevádzku dodržiavania súladu a rýchlejšie odstrániť medzery v konfigurácii.

Spoločne Microsoft Security Copilot a zabudovaní agenti pomáhajú organizáciám prejsť od reaktívnych a manuálnych bezpečnostných operácií k adaptívnej obrane s podporou AI, ktorá zlepšuje ochranu, rýchlosť a škálovanie v celom životnom cykle zabezpečenia.