Kaj je agentna UI v kibernetski varnosti?

Sistemi z agentno UI so pogosto zasnovani z vgrajenim človeškim nadzorom, da uravnotežijo avtonomijo in nadzor.

V Microsoftovem pristopu k agentni UI za kibernetsko varnost je to zasnovano kot sodelovalni model, v katerem lahko človeški operaterji spremljajo in usmerjajo delovanje sistema.

Pogosti primeri so:

• Pregledno razmišljanje. Microsoftovi sistemi zagotovijo podporni kontekst in utemeljitev skupaj s priporočili, da analitikom pomagajo razumeti rezultate sistema in poti odločitve.

• Odobritev in prilagajanje. Ekipe lahko pregledajo, odobrijo, zavrnejo ali natančno prilagodijo dejanja sistema ter vključijo povratne informacije za nenehno izboljševanje rezultatov.

• Nadzori, ki jih je mogoče revidirati. Dejavnosti urejajo varnostni nadzori v podjetju, kot so dostop na osnovi vlog, dnevniki revizij in varovala poteka dela, ki podpirajo odgovornost in zahteve glede skladnosti.

Agentna UI se lahko dinamično odziva na spreminjajoče se pogoje in prilagaja svoje vedenje glede na kontekst zaradi procesa, imenovanega agentna zanka – zaporedja korakov, ki jih posrednik ponavlja, dokler ne doseže svojega cilja.

Zaznavanje → Razmišljanje → Načrtovanje → Ukrepanje → Učenje

• Zaznavanje. Sistem zbira informacije iz svojega okolja, vključno z dnevniki, opozorili, dejavnostjo uporabnikov, informacijami o kibernetskih grožnjah ter podatki iz povezanih orodij in sistemov.
• Razmišljanje. Analizira informacije, prepoznava vzorce, ocenjuje tveganja in ugotavlja, kaj podatki pomenijo v kontekstu.
• Načrtovanje. Na podlagi svojih ciljev sistem pripravi zaporedje dejanj za dosego želenega rezultata.
• Ukrepanje. Posrednik izvede opravila, kot so izolacija naprave, odpiranje vstopnice, stopnjevanje opozorila ali zbiranje dodatnih dokazov, tako da uporablja orodja, sisteme ali poteke dela.
• Učenje. Sistem oceni rezultate svojih dejanj in uporabi povratne informacije, nove podatke in prejšnje rezultate za izboljšanje prihodnjih odločitev in odzivov.

Da bi agentna UI delovala učinkovito, se morajo ekipe odločiti tudi, ali želijo uporabiti sistem z enim posrednikom ali sistem z več posredniki. Sistem z enim posrednikom se zanaša na enega posrednika za upravljanje opravil in odločitev, kar dobro deluje, ko so poteki dela razmeroma omejeni in so odločitve centralizirane. Če so poteki dela zapleteni ali zahtevajo različne vrste strokovnega znanja, organizacije pogosto vzpostavijo sistem z več posredniki, ki uporablja več specializiranih posrednikov UI za kibernetsko varnost, ki skupaj delujejo, da dosežejo skupni cilj.

Tudi z avtonomnimi zmogljivostmi ostaja nadzor ljudi pomemben. Številne organizacije uporabljajo kontrolne točke s človekom v zanki in odobritvena vrata za občutljiva ali visoko tvegana dejanja, da pomagajo ohranjati upravljanje, odgovornost in operativni nadzor.

Razlike med tradicionalno avtomatizacijo, generativno UI in agentno UI postanejo jasnejše, ko jih primerjamo po osnovnih razsežnostih.

Žal pa hitrega tempa uvajanja UI ne sprejemajo samo podjetja in vlade. Akterji groženj uporabljajo agentne sisteme za povečanje hitrosti in obsega svojih kibernetskih napadov, kar ustvarja ali še poglablja številne izzive na področju kibernetske varnosti, med katerimi so:

• Izziv obsega. Varnostne ekipe se pogosto soočajo s preobsežnim številom opozoril, vse večjo zapletenostjo podatkov in stalnim pomanjkanjem analitikov.
• Izziv hitrosti. Kibernetski napadalci vse pogosteje avtomatizirajo svoje delovanje, številni branilci pa se še vedno zanašajo na ročne postopke razvrščanja in odziva na dogodek.
• Izziv zanesljivosti in pravilnosti. Dolgotrajna izpostavljenost nočnim izmenam in velikemu številu ponavljajočih se opravil lahko povzroči utrujenost in izgorelost analitikov ter poveča tveganje za nedoslednost in človeške napake.
• Izziv odpornosti. Sodobne organizacije delujejo v hibridnih okoljih, ki vključujejo platforme v oblaku, končne točke, identitete, aplikacije in storitve tretjih oseb. Ta vse večja tarča napada povečuje operativno tveganje in ustvarja več priložnosti za kibernetske napadalce.

Agentna UI v kibernetski varnosti pomaga varnostnim ekipam učinkoviteje delovati v okoljih, ki postajajo preveč zapletena, prehitro spreminjajoča se in preveč povezana za povsem ročne varnostne postopke (SecOps). To se razlikuje od širše varnosti agentne UI, ki se osredotoča na zaščito samih sistemov UI.

Namesto da bi nadomestila varnostne ekipe, agentna UI deluje kot množitelj moči v postopkih kibernetske varnosti, kar prinaša prednosti, kot so:

• Hitrejši povprečni čas do zaznave in odziva (MTTD/MTTR). Agentna UI lahko hitro razišče opozorila, poveže signale in uskladi odzivne ukrepe, kar ekipam pomaga skrajšati čas zaznave in odziva.
• Manjša utrujenost analitikov in več časa za delo z večjo dodano vrednostjo. Z obravnavo ponavljajočih se in zamudnih opravil agentna UI pomaga zmanjšati utrujenost zaradi opozoril in analitikom omogoča, da se osredotočijo na bolj strateške raziskave in odločanje.
• Dosledno, ponovljivo razvrščanje in odziv. Agentna UI dosledno uporablja poteke dela in procese pri vseh dogodkih ter izboljšuje operativno zanesljivost z zmanjševanjem odstopanj, ki jih povzročajo ročna opravila.
• 24-urno kritje in prilagodljiva razširljivost. Za razliko od človeških ekip lahko agentna UI deluje neprekinjeno in se prilagaja velikim količinam opozoril, dogodkov in podatkov brez potrebe po dodatnem osebju.
• Boljše razmerje med signalom in šumom ter boljša prioritizacija. Agentna UI lahko analizira velike količine podatkov v kontekstu in pomaga prepoznati najpomembnejše grožnje, s čimer zmanjša nepotrebna opozorila in izboljša prioritizacijo.
• Večja odpornost in proaktivno upravljanje tveganja. Agentna UI lahko nenehno spremlja okolja, prepozna morebitne slabosti in podpira proaktivne varnostne ukrepe, ki organizacijam pomagajo zmanjšati tveganje in sčasoma izboljšati operativno odpornost.

Več primerov uporabe kaže, kako lahko ljudje in posredniki sodelujejo pri krepitvi varnosti.

Varnostne ekipe se pogosto soočajo z več opozorili, kot jih lahko ročno raziščejo, zato je prioritizacija bistvena za učinkovit odziv.

Vloga posrednika:

• Obogati opozorila z informacijami o kibernetskih grožnjah, kontekstu sredstva in vedenju uporabnikov.
• Dogodkom določi prioriteto glede na tveganje in oceno zaupanja.
• Priporoči naslednje korake za raziskavo ali popravljanje/posodabljanje.

Vloga analitika:

• Pregleduje dogodke z visoko prioriteto.
• Potrjuje ugotovitve in odločitve o stopnjevanju.
• Obravnava zapletene ali občutljive raziskave.

Varnostne ekipe se zanašajo na velike količine podatkov o grožnjah, zato je težko hitro izluščiti ustrezne in uporabne vpoglede.

Vloga posrednika:

• Zbere in povzame informacije o kibernetskih grožnjah iz več virov.
• Zagotavlja sprotno situacijsko zavedanje in hitro poročanje.
• Povezuje dejavnost groženj med okolji.

Vloga analitika:

• Razlaga strateška tveganja in trende groženj.
• Potrjuje ustreznost in vpliv obveščevalnih podatkov.
• Usmerja prednostne naloge odziva in načrtovanje.

Za prepoznavanje skritih ali novih groženj je potrebna neprekinjena analiza velikih in kompleksnih naborov podatkov.

Vloga posrednika:

• Ustvari hipoteze za lov na grožnje in poizvedbe po virih podatkov.
• Iterira po velikih naborih podatkov, da prepozna sumljivo dejavnost.
• Neprekinjeno izvaja preglede v ozadju za lov na nove grožnje.

Vloga analitika:

• Potrjuje ugotovitve in določa poslovni vpliv.
• Raziskuje dejavnost naprednih ali ciljnih kibernetskih napadov.
• Natančneje določa strategije in prioritete lova na grožnje.

Odzivanje na varnostne dogodke zahteva hitro usklajevanje med dejavnostmi zaznavanja, raziskave in zajezitve.

Vloga posrednika:

• Avtomatizira zbiranje dokazov in dokumentacijo dogodkov.
• Pripravi časovnice in povzame dejavnost kibernetskega napada.
• Izvede ukrepe za zajezitev z odobritvijo analitikov.
• Pomaga zaščititi končne točke in avtomatizirati poteke dela za odpravljanje ranljivosti.

Vloga analitika:

• Odobri odzivne ukrepe z visoko stopnjo tveganja.
• Nadzira prizadevanja za popravljanje/posodabljanje in obnovitev.
• Usklajuje komunikacijo in pregled po dogodku.

Organizacije morajo prepoznati varnostne pomanjkljivosti in jim določiti prioriteto, preden jih izkoristijo akterji groženj.

Vloga posrednika:

• Ranljivostim določi prioriteto glede na stopnjo tveganja in vrednost ogroženih sredstev.
• Prepozna izpostavljenosti v okoljih oblaka, končnih točk in identitet.
• Priporoči poti za popravljanje/posodabljanje in ukrepe za ublažitev.

Vloga analitika:

• Določi prioritete za popravljanje/posodabljanje glede na poslovno tveganje.
• Potrjuje priporočena dejanja.
• Usklajuje prizadevanja za namestitev popravkov in zmanjševanje tveganja.

Spremljanje dejavnosti identitet je ključno za zaznavanje nepooblaščenega dostopa in preprečevanje zlorabe pravic.

Vloga posrednika:

• Zaznava neobičajne vzorce vpisa in dostopa.
• Prepoznava tvegana dovoljenja in tveganja eskalacije pravic.
• Nenehno spremlja grožnje, povezane z identiteto.

Vloga skrbnika identitete in dostopa:

• Pregleduje dogodke dostopa z visokim tveganjem.
• Odobri spremembe pravilnika ali dovoljenj.
• Raziskuje morebitno dejavnost notranjega uporabnika ali ogroženosti računa.

Varnostne ekipe morajo neprekinjeno graditi in izpopolnjevati logiko zaznavanja, da ostanejo na tekočem z razvijajočimi se grožnjami.

Vloga posrednika:

• Piše in preizkuša logiko zaznavanja.
• Potrjuje pokritost zaznavanja in prepozna vrzeli.
• Predlaga izboljšave za prilagajanje, da zmanjša število napačnih pozitivnih prepoznav.

Vloga analitika:

• Pregleduje in odobri posodobitve zaznavanja.
• Usklajuje zaznavanja z organizacijskimi prioritetami.
• Nadzira dolgoročno varnostno arhitekturo in strategijo.

Zaščita občutljivih podatkov zahteva neprekinjeno spremljanje, razvrstitev in uveljavljanje varnostnih pravilnikov.

Vloga posrednika:

• Raziskuje in prioritizira preprečitev izgube podatkov ter notranja tveganja.
• Avtomatizira odkrivanje in analizo tveganj za občutljive podatke v različnih okoljih.
• Prepoznava kršitve pravilnika in vrzeli v skladnosti.

Vloga skrbnika za varnost podatkov:

• Pregleduje dogodke z visokim tveganjem za izpostavljenost podatkov.
• Določa zahteve glede skladnosti in upravljanja.
• Nadzira odločitve o popravljanju/posodabljanju in uveljavljanju pravilnikov.

Agentna UI v kibernetski varnosti prinaša največjo vrednost, ko ekipam pomaga analizirati podatke, obogatiti opozorila ter se odzivati na ranljivosti in grožnje v celotnem okolju. Da bi to dosegli, organizacije uporabljajo vmesnike API za povezovanje varnostnih posrednikov z orodji, ki jih že uporabljajo, kot so SOAR, razširjeno odzivanje in zaznavanje (XDR), upravljanje stanja varnosti v oblaku (CSPM), upravljanje identitet in dostopa (IAM), upravljanje varnostnih informacij in dogodkov (SIEM), orodja za zaznavanje končnih točk in odzivanje nanje (EDR) ter rešitve za vstopnice. To omogoča sistemom z agentno UI, da pridobivajo informacije, usklajujejo poteke dela, sprožajo dejanja in posodabljajo sisteme v realnem času.

Avtomatizacija ekipam prihrani veliko časa, vendar je še vedno pomembno ohraniti nadzor in odgovornost, da se preprečijo nenamerna dejanja. Varnostne ekipe običajno zahtevajo, da analitiki pregledajo odločitve z visokim tveganjem, za dejanja z nižjim tveganjem pa omogočajo večjo avtonomijo. V obeh primerih je pomembno vzpostaviti upravljanje podatkov in nadzore dostopa, da se zagotovi, da UI sodeluje le z odobrenimi sistemi in podatki.

Varnostne ekipe, ki z agentno UI dosegajo največji uspeh, uvedejo orodja za merjenje, s katerimi ocenijo, kako dobro dosegajo cilje. To jim da informacije, ki jih potrebujejo za prilagajanje in natančnejše določanje svojih uvedb.

Med glavnimi metrikami uspeha so:

Med podatki, ki pomagajo določiti učinkovitost varnostnih postopkov, so:

• MTTD in MTTR.
• Število opozoril, ki so samodejno razvrščena ali zaprta.
• Zmanjšanje stopnje napačnih pozitivnih prepoznav.
• Čas, potreben za raziskavo in razrešitev dogodkov.

Te metrike vodstvu pokažejo, kako agentna UI spreminja način, kako varnostne ekipe porabljajo svoj čas:

• Povrnjene ure analitika na področju ročne raziskave in razvrščanja.
• Stopnja eskalacije za opozorila, ki zahtevajo posredovanje analitika.
• Čas do sprejemanja novih analitikov s poteki dela, podprtimi z UI.
• Zmanjšanje ponavljajočih se opravil ali opravil z nizko dodano vrednostjo.

Vodje lahko vidijo tudi, kako varnostne izboljšave vplivajo na celotno organizacijo, z metrikami, kot so:

• Strošek na varnostni dogodek.
• Kritje v okoljih, identitetah, končnih točkah in virih v oblaku
• Splošno stanje skladnosti in pripravljenost na revizijo.
• Zmanjšanje izpostavljenosti operativnemu tveganju skozi čas.

Ker agentni sistemi delujejo z različnimi ravnmi avtonomije, so upravljanje, preglednost in nadzor bistveni za varno uvedbo.

• Senčni posredniki in neupravljana avtomatizacija. Ko se agentni sistemi širijo, lahko organizacije nenamerno ustvarijo neupravljane ali podvojene posrednike. Brez ustreznega nadzora lahko ti »senčni posredniki« povzročijo nedosledno vedenje ali nepooblaščena dejanja.
• Halucinacije in napačne pozitivne prepoznave. Tako kot drugi sistemi UI lahko tudi agentna UI ustvari napačne zaključke ali napačno razume podatke, kar lahko brez preverjanja vodi do nepotrebnih opozoril ali napačnih dejanj.
• Prekomerna avtomatizacija in izguba nadzora. Prevelika odvisnost od avtomatizacije lahko zmanjša pregled nad postopki odločanja, kar poveča tveganje za spregledan kontekst ali neustrezna dejanja.
• Zasebnost podatkov in nadzor dostopa. Sistemi z agentno UI zahtevajo dostop do občutljivih varnostnih podatkov, zato so strogi nadzori nad dovoljenji, podatkovne meje in dostop z minimalnimi pravicami ključni.
• Nihanje modela in zlonamerno manipuliranje. Sčasoma se lahko delovanje modela poslabša, ko se okolja spreminjajo. Poleg tega lahko kibernetski napadalci poskušajo manipulirati z rezultati ali metrikami, da bi vplivali na vedenje posrednika.

• Ogrodje za upravljanje tveganja UI NIST (AI RMF) zagotavlja smernice za upravljanje tveganj, povezanih z UI, skozi celoten življenjski cikel, vključno z upravljanjem, preslikavo, merjenjem in upravljanjem.
• ISO/IEC 42001 določa zahteve za sistem za upravljanje UI s poudarkom na odgovornem razvoju in uporabi sistemov UI.
• Zakon EU o umetni inteligenci uvaja razvrstitev na osnovi tveganja in zahteve glede skladnosti za sisteme UI, ki delujejo v Evropski uniji ali nanjo vplivajo.
• Predpisi, specifični za posamezne sektorje, so posebne zahteve za nekatere panoge, kot so Health Insurance Portability and Accountability Act (HIPAA) za zaščito zdravstvenih podatkov, standard varnosti podatkov industrije plačilnih kartic (PCI DSS) za varnost plačil in zakon Sarbanes-Oxley (SOX) za nadzor finančnega poročanja.

Ko varnostne ekipe uvajajo in širijo agentno UI za kibernetsko varnost v svojih organizacijah, premišljena strategija pomaga izboljšati varnostne rezultate, hkrati pa ohranja preglednost, odgovornost in zaupanje med ekipami.

Organizacije agentno UI običajno uvajajo v nadzorovanih fazah, pri čemer začnejo s pomožnimi primeri uporabe z nizkim tveganjem, nato pa se razširijo na dejanja z večjim vplivom. Pomembno je tudi dati prednost preglednosti pri tem, kako varnostni posredniki sprejemajo odločitve.

Dobro opredeljene varovalke pomagajo omejiti vedenje posrednika na varne in pričakovane meje. Da bi zmanjšale tveganje nepričakovanega vedenja, ekipe določijo, katera dejanja lahko posredniki UI za kibernetsko varnost opravijo samostojno, vzpostavijo poteke dela odobritve za postopke z velikim vplivom ali občutljive postopke in določijo prage, pri katerih morajo varnostni posredniki primere posredovati analitikom.

Nadzor dostopa na osnovi vlog (RBAC) pomaga zmanjšati tveganje nenamerne dejavnosti, saj omeji dostop posrednika do sistemov, podatkov in dejanj, ki so potrebni za njegovo posebno funkcijo. Zato identitetne ekipe za posrednike uporabljajo enaka načela minimalnih pravic kot za ljudi.

Da ohranijo vidljivost vedenja posrednika, varnostne ekipe beležijo in revidirajo vsa dejanja posrednika, vključno z odločitvami, uporabo orodij in rezultati. To jim pomaga raziskati dogodke, izpolnjevati zahteve glede skladnosti in zaznati težave pri uvedbi, ki jih je treba natančneje prilagoditi.

Analitiki bodo bolj verjetno sprejeli agentno UI, če se bodo počutili obveščene in bodo imeli nadzor. Organizacije lahko zaupanje vzpostavijo tako, da poskrbijo, da so priporočila posrednikov jasna in preprosto razumljiva. Poleg tega imajo več uspeha, ko z UI dopolnjujejo, ne pa nadomeščajo, odločanje analitikov.

Središča za varnostne postopke (SOC), oddelki IT in ekipe za skladnost so pomembni pri uvajanju agentne UI na varen in učinkovit način, ki je v skladu s toleranco za tveganje organizacije. Meddisciplinarna ekipa organizacijam pomaga opredeliti operativne primere uporabe, upravljati integracijo in infrastrukturo ter izpolnjevati regulativne zahteve.

Vzpostavljanje popolnoma agentnih potekov dela, ki delujejo med varnostnimi domenami, je večstopenjski proces. Ko organizacije povečujejo svojo operativno zrelost, potrebujejo močnejše upravljanje in nadzor.

Na najzgodnejši stopnji organizacije uporabljajo vnaprej določene skripte in poteke dela za obravnavo ponavljajočih se varnostnih opravil.

Kako je videti uspeh:

• Dosledno dokončanje rutinskih opravil, kot sta obogatitev opozoril ali ustvarjanje vstopnice.
• Manj ročnega dela v potekih dela z nizko zahtevnostjo.
• Odvisnost od statičnih pravil in postopkovnih priročnikov.

Kazalniki pripravljenosti:

• Stabilne integracije rešitve SIEM, rešitve SOAR in ustvarjanja vstopnic.
• Jasno opredeljeni in ponovljivi varnostni postopki.
• Veliko število ponavljajočih se opravil analitikov.

Na tej stopnji UI podpira analitike z izboljšanjem vidljivosti, povzemanja in odločanja, vendar ne izvaja neposrednih dejanj.

Kako je videti uspeh:

• Hitrejša raziskava s povzetki in vpogledi, ustvarjenimi z UI.
• Izboljšano razumevanje opozoril in obogatitev konteksta.
• Analitiki ostajajo v celoti odgovorni za odločitve in dejanja.

Kazalniki pripravljenosti:

• Zreli podatkovni cevovodi in centralizirane metrike.
• Vzpostavljeni procesi varnostnih postopkov.
• Potreba po hitrejši podpori pri razvrstitvi in raziskavi.

Tukaj agentna UI začne izvajati omejena dejanja v okviru določenih varoval, ljudje pa ohranijo pooblastila za odobritev za postopke z večjim tveganjem.

Kako je videti uspeh:

• Samodejna razvrstitev, obogatitev in priporočeni koraki za popravljanje/posodabljanje.
• Manjša delovna obremenitev analitikov pri ponavljajočih se raziskovalnih opravilih.
• Odobritev s človekom v zanki za dejanja za zajezitev in popravljanje/posodabljanje.

Kazalniki pripravljenosti:

• Robustni nadzori identitete in dostopa za sisteme za avtomatizacijo.
• Dobro opredeljeni poteki dela za eskalacijo in odobritev.
• Zaupanje v kakovost podatkov in sistemske integracije.

Na najbolj zreli stopnji agentna UI deluje v več domenah in usklajuje dejanja z minimalnim posegom analitika v okviru določenih meja. To omogoča celovito varnostno orkestracijo v celotni organizaciji.

Kako je videti uspeh:

• Neprekinjeno avtonomno zaznavanje, raziskovanje in odzivanje v različnih okoljih.
• Meddomensko usklajevanje med sistemi za varnost, IT, identiteto in skladnost.
• Ljudje se osredotočajo na upravljanje, strategijo in obravnavo izjem.

Kazalniki pripravljenosti:

• Zrela ogrodja upravljanja za UI in avtomatizacijo.
• Metrike z visoko stopnjo zaupanja in celovitost podatkov v različnih sistemih.
• Močna medfunkcijska usklajenost med ekipami za varnost, IT in skladnost.
• Vzpostavljeno zaupanje v avtomatizirano sprejemanje odločitev z možnostjo revizije in nadzorom.

Agentna UI je še vedno v zgodnji fazi uvajanja, vendar več jasnih trendov oblikuje njen razvoj na področju varnosti.

• Avtonomne rdeče ekipe. Posredniki UI bodo vse bolj posnemali vedenje napadalcev, da bodo nenehno preizkušali obrambo, prepoznavali slabosti in potrjevali varnostne nadzore v realnem času.
• Zanke posrednikov. Agentna UI za varnostne postopke bo postala vse bolj neprekinjena in samoizboljšujoča, posredniki pa bodo zaznavali rezultate ter ukrepali in se učili na podlagi teh z namenom izboljšanja zaznavanja in odziva.
• Kibernetski spor med UI. Ker tudi kibernetski napadalci uvajajo UI, lahko prihodnji kibernetski spopadi vključujejo obrambne in napadalne agentne sisteme, ki bodo neposredno tekmovali med seboj.
• Napovedna obramba. Namesto da bi se odzivali na dogodke, bodo agentni sistemi grožnje predvideli z analizo vzorcev, podatkov o izpostavljenosti in vedenja napadalcev, da bi preprečili kibernetske napade, še preden se zgodijo.
• Sodelujoči posredniki UI. Več specializiranih posrednikov bo usklajevalo opravila, kot so zaznavanje, raziskava, popravljanje/posodabljanje in poročanje, da bodo ustvarili bolj razširljive in odporne varnostne poteke dela.
• Razvijajoča se vloga analitika. Analitiki se bodo od ponavljajočih se opravil raziskovanja in odzivanja premaknili k pomembnejšim odgovornostim, kot so nadzor posrednikov, načrtovanje pravilnikov in strateško upravljanje tveganj.

Organizacije lahko zaznajo in raziskujejo grožnje v celotnem digitalnem okolju ter se odzovejo nanje z Microsoftovo poenoteno varnostno platformo, ki uporablja UI. V središču je Microsoft Security Copilot, varnostna rešitev z UI in naravnim jezikom, ki analitikom omogoča sklepanje o dogodkih, povzemanje groženj in usklajevanje odzivnih dejanj v različnih okoljih. Vdelani posredniki te zmogljivosti razširjajo v rešitve Microsoftove varnosti.

Varnostne ekipe so pogosto preobremenjene s količino opozoril, ročnimi razvrščanjem in fragmentiranimi raziskavami. V rešitvi Microsoft Defender XDR agentna UI pomaga določiti prednostno obravnavo težav z visokim tveganjem, hitreje raziskati dogodke in izboljšati učinkovitost odzivanja.

• Posrednik za razvrščanje varnostnih opozoril – določa prednost opozoril, da zmanjša šum in analitikom pomaga, da se hitreje osredotočijo na dogodke z visoko stopnjo tveganja.
• Posrednik varnostni analist – raziskuje dogodke, povezuje signale in priporoča odzivne ukrepe za poenostavitev potekov dela središča za varnostne postopke.
• Posrednik za lov na grožnje – išče po vseh okoljih, da odkrije skrite grožnje, sumljivo vedenje in nove vzorce napadov.
• Posrednik za dinamično zaznavanje groženj – nenehno analizira dejavnost in prilagaja logiko zaznavanja, da prepozna razvijajoče se grožnje in nepravilnosti.
• Posrednik za pregled informacij o grožnjah – povzema informacije o kibernetskih grožnjah v uporabne vpoglede, da ekipe ostanejo na tekočem z novimi tveganji.

Skupaj ti posredniki pomagajo zmanjšati ročno raziskovanje in pospešiti odziv na dogodek v končnih točkah, identitetah, e-pošti in delovnih obremenitvah v oblaku.

V rešitvi Microsoft Sentinel Security Copilot pomaga analitikom preiti z ročnega raziskovanja na poteke dela, ki temeljijo na naravnem jeziku in skupini pozivov. Analitiki lahko ustvarijo KQL, povzamejo dogodke, obogatijo entitete, analizirajo uporabnike in naprave ter avtomatizirajo korake raziskave s storitvijo Logic Apps in skupinami pozivov.

Prilagojeni posrednik za poročanje o dogodkih Sentinel lahko iz dogodkov izlušči ugotovitve raziskave, entitete, vpoglede in korake za popravljanje/posodabljanje. Skupine pozivov lahko avtomatizirajo tudi analizo uporabnikov in neposredno dodajo ugotovitve v dnevnike dejavnosti dogodka.

Te zmogljivosti pomagajo zmanjšati ročno pisanje poizvedb, izboljšati doslednost raziskav in prihraniti čas analitikov z avtomatizacijo ponovljivih opravil.

V rešitvi Microsoft Purview Security Copilot pomaga ekipam zaščititi in upravljati podatke v Upravljanju stanja varnosti podatkov, Preprečitvi izgube podatkov, Upravljanju notranjega tveganja, E-odkrivanju, Nadzoru in Skladnosti komunikacije.

• Posrednik za razvrščanje varnosti podatkov – daje prednost opozorilom preprečitve izgube podatkov in notranjega tveganja, pojasni kontekst tveganja in lahko sproži poteke dela za popravljanje/posodabljanje z lastniki podatkov.
• Posrednik za stanje varnosti podatkov – odkriva občutljive podatke, prepoznava skrita tveganja in razkrite poverilnice, izboljšuje označevanje občutljivosti in ustvarja povzetke, pripravljene za vodstvo.

Ti posredniki pomagajo varnostnim ekipam zmanjšati ročno razvrščanje, hitreje določiti prednost kritičnih tveganj ter okrepiti postopke varnosti podatkov in skladnosti.

V storitvi Microsoft Entra Security Copilot pomaga ekipam raziskati tvegane uporabnike, nenavadne vpise, prednostni dostop in grožnje, povezane z identiteto. Copilot lahko povzame kontekst identitete, pojasni signale tveganja in priporoči ukrepe, kot so preklic seje, pregledi dostopa ali prilagajanje pravilnika o pogojnem dostopu.

Zmogljivosti vključujejo posrednike za identiteto in dostop ter Microsoft Entra ID za posrednike, ki organizacijam pomaga registrirati, upravljati in urejati identitete posrednikov UI z upravljanjem življenjskega cikla, upravljanjem dostopa in nadzori za zaščito identitete.

Te zmogljivosti organizacijam pomagajo zmanjšati tveganje identitete in uporabljati načela modela Ničelno zaupanje za človeške identitete in identitete UI.

V rešitvi Microsoft Intune Security Copilot pomaga ekipam za končne točke in IT razumeti skladnost naprave, odstopanje od konfiguracije, izpostavljenost ranljivostim in potrebe po popravljanju/posodabljanju. Copilot lahko povzame tveganje naprave, pojasni težave z neskladnostjo, priporoči naslednje korake in ekipam pomaga, da se hitreje odzovejo.

Posredniki za upravljanje končnih točk pomagajo avtomatizirati preverjanja skladnosti, raziskati težave z napravami in usmerjati popravljanje/posodabljanje v upravljanih končnih točkah.

Te zmogljivosti pomagajo zmanjšati ročno raziskovanje končnih točk, izboljšati postopke skladnosti in hitreje odpraviti vrzeli v konfiguraciji.

Skupaj Microsoft Security Copilot in vdelani posredniki pomagajo organizacijam preiti z reaktivnih, ročnih varnostnih postopkov na prilagodljivo obrambo, podprto z UI, ki izboljšuje zaščito, hitrost in obseg v celotnem varnostnem življenjskem ciklu.