Distribuire agenti di intelligenza artificiale in Microsoft Defender

Security Store nel portale di Microsoft Defender offre vari agenti che consentono di eseguire le attività di sicurezza in modo efficiente. Questi agenti includono Microsoft Security Copilot agenti pubblicati da Microsoft e dai partner. Questi agenti si integrano con Microsoft Defender ed eseguono varie attività di sicurezza (SOC), ad esempio valutazione degli eventi imprevisti, indagini, ricerca delle minacce e intelligence sulle minacce.

Questo articolo illustra come individuare e distribuire gli agenti di intelligenza artificiale in Microsoft Defender.

Prerequisiti

Per acquistare, distribuire e usare agenti da Security Store, è necessario:

• Accesso a un'area di lavoro Security Copilot di cui è stato effettuato il provisioning con capacità SCU.
• Per gli agenti pubblicati dai partner, è necessario il ruolo di collaboratore o proprietario della sottoscrizione Azure.

Individuare e distribuire agenti nel portale di Microsoft Defender

Per individuare e distribuire gli agenti nel portale di Microsoft Defender:

1. Selezionare Security Copilot > Archivio sicurezza.

2. Individuare o cercare l'agente che si vuole distribuire.

3. Selezionare l'agente per visualizzarne i dettagli, incluse le funzionalità, i requisiti e le istruzioni di configurazione.

4. Per acquistare e distribuire l'agente:

   • Selezionare Ottieni agente per avviare il processo di distribuzione se si dispone di autorizzazioni sufficienti. Per altre informazioni, vedere Prerequisiti.

   • Selezionare Copia collegamento per copiare l'URL della pagina dei dettagli dell'agente e condividerlo con un amministratore della sicurezza, se non si dispone delle autorizzazioni per distribuire gli agenti.

     

   • Per gli agenti pubblicati dai partner, completare l'acquisto e la distribuzione nel sito Web di Security Store, come descritto nella documentazione di Microsoft Security Store.

     È possibile gestire gli acquisti centralizzati per gli agenti pubblicati dai partner tramite offerte pubbliche o offerte private, come descritto in Come acquistare soluzioni SaaS (offerte private).

5. Dopo aver acquistato l'agente, selezionare Security Copilot > Agenti, trovare l'agente nella sezione Pronto per l'installazione e quindi selezionare Configura per avviare la configurazione dell'agente.

   Per altre informazioni sulla configurazione, la gestione e l'esecuzione di agenti pubblicati dal partner, vedere Gestire gli agenti Security Copilot.

   Per altre informazioni sugli agenti Microsoft Security Copilot, vedere Microsoft Security Copilot agenti in Microsoft Defender.

   Dopo l'installazione, l'agente viene visualizzato nella sezione Agenti in uso .

agenti Microsoft Security Copilot in Microsoft Defender

Questa sezione descrive in dettaglio gli agenti Microsoft Security Copilot disponibili nel portale di Microsoft Defender.

• Agente di valutazione degli avvisi di sicurezza (anteprima)
• Agente di briefing di Intelligence per le minacce
• Agente di ricerca delle minacce
• Agente analista della sicurezza
• Agente di rilevamento dinamico delle minacce

Agente di valutazione degli avvisi di sicurezza (anteprima)

L'agente di valutazione degli avvisi di sicurezza è un agente autonomo che consente ai team di sicurezza di valutare gli avvisi su larga scala tra più carichi di lavoro. L'agente applica il ragionamento dinamico basato sull'intelligenza artificiale per fornire verdetti chiari per i carichi di lavoro di sicurezza supportati. Questo è lo stesso agente dell'agente di valutazione del phishing, che ha dimostrato miglioramenti misurabili nell'accuratezza e nell'efficienza della valutazione. L'agente può ora valutare un set più ampio di avvisi in Microsoft Defender, inclusi avvisi di posta elettronica e collaborazione (disponibili a livello generale) e avvisi cloud e identità (anteprima). L'agente opera in modo autonomo, fornisce una logica trasparente per i verdetti di classificazione in linguaggio naturale e impara e migliora continuamente la sua accuratezza in base al feedback degli analisti.

Agente di briefing di Intelligence per le minacce

L'agente di intelligence per le minacce fornisce ai team delle operazioni di sicurezza briefing sulle minacce regolari e personalizzati. L'agente raccoglie e sintetizza in modo autonomo i dati di intelligence sulle minacce rilevanti da varie origini, fornendo informazioni concise e interattive per aiutare gli analisti a rimanere informati sulle minacce e le tendenze emergenti.

Configurare le autorizzazioni di Defender per endpoint per l'identità dell'agente

Quando si esegue l'agente briefing di Intelligence per le minacce con un'identità dell'agente, è anche necessario configurare le autorizzazioni del ruolo Defender per endpoint e l'accesso al gruppo di dispositivi seguenti. Senza queste autorizzazioni, il report di esposizione può essere visualizzato come "non disponibile" o restituire zero CVE anche quando esistono vulnerabilità nell'ambiente.

Passaggio 1: Aggiornare le autorizzazioni del ruolo dell'agente

1. Accedere al portale di Microsoft Defender.
2. Passare a Impostazioni>- Ruoli delleautorizzazioni> degli > endpoint.
3. Individuare il ruolo personalizzato assegnato all'agente briefing di Intelligence per le minacce.
4. Modificare il ruolo e verificare che siano abilitate le autorizzazioni seguenti:
   • Ricerca avanzata - Lettura
   • Gestione delle vulnerabilità - Lettura
   • Configurazione computer - Lettura
   • Inventario dispositivi - Lettura
5. Salvare eventuali modifiche se vengono eseguiti aggiornamenti.

Passaggio 2: Concedere al gruppo di dispositivi l'accesso all'agente

1. Nel portale di Microsoft Defender passare a Impostazioni>Endpoint>Gruppi di dispositivi.
2. Per ogni gruppo di dispositivi che contiene endpoint di produzione:
   1. Aprire il gruppo di dispositivi.
   2. Selezionare la sezione Accesso utente .
   3. Aggiungere l'identità dell'agente di Intelligence per le minacce.
   4. Assegnare l'accesso in lettura .
3. Salvare le modifiche.

Agente di ricerca delle minacce

L'agente di ricerca delle minacce rivoluziona la ricerca delle minacce consentendo di analizzare le minacce usando il linguaggio naturale dall'inizio alla fine. Non solo genera query KQL, ma interpreta anche i risultati, visualizza informazioni dettagliate e guida l'utente nelle sessioni di ricerca complete. Queste funzionalità consentono di cacciare le minacce più velocemente, in modo più accurato e con maggiore sicurezza.

Agente analista della sicurezza

L'agente degli analisti della sicurezza consente agli analisti della sicurezza di identificare, valutare e assegnare priorità ai rischi rapidamente eseguendo analisi pronte all'uso o personalizzate sui dati di sicurezza. L'agente fornisce informazioni dettagliate, raccomandazioni e report interattivi e con priorità per individuare le principali vulnerabilità e rischi. Supporta i dati provenienti da Microsoft Defender XDR, Sentinel Log Analytics o Sentinel Data Lake e può eseguire attività di analisi complesse, ad esempio il rilevamento anomalie, il clustering, l'assegnazione dei punteggi dei rischi e la previsione senza richiedere codice o query.

Agente di rilevamento dinamico delle minacce

L'agente di rilevamento dinamico delle minacce nel portale di Defender è un servizio back-end adattivo e sempre attivo che individua le minacce nascoste negli ambienti Defender e Microsoft Sentinel. Usa l'intelligenza artificiale per identificare le lacune e individuare falsi negativi correlando avvisi, eventi, anomalie e intelligence sulle minacce. Quando l'agente identifica un gap, genera un avviso dinamico con il contesto completo nei dettagli dell'avviso, tra cui spiegazioni del linguaggio naturale, tecniche mitre ATT mappate&CK e passaggi di correzione personalizzati.