Microsoft Security Copilot-Phishing-Triage-Agent in Microsoft Defender

Phishing ist einer der häufigsten Einstiegspunkte für Cyberangriffe und eine anhaltende Betriebsbelastung für SoC-Teams (Security Operations Center). Analysten sehen sich einem kontinuierlichen Strom von vom Benutzer gemeldeten verdächtigen E-Mails gegenüber, die eine sorgfältige Überprüfung und Selektierung erfordern. Im großen Stil verlangsamt dieses Volumen die Reaktion, beansprucht Zeit für Analysten und erhöht das Risiko, dass echte Bedrohungen übersehen werden.

Der Phishing Triage Agent in Microsoft Defender ist ein KI-Agent, der Sicherheitsteams dabei hilft, die Selektierung und Klassifizierung von von Benutzern gemeldeten Phishing-E-Mails zu skalieren, wodurch sich wiederholende Untersuchungsarbeiten reduziert und die Reaktion beschleunigt wird.

Der Phishing-Triage-Agent verwendet llm-basierte Analysen (Large Language Model), um gemeldete E-Mails zu bewerten, die Absicht zu ermitteln und jede Übermittlung als echte Bedrohung oder falsch positiv zu klassifizieren. Anstatt sich auf statische Regeln oder vordefinierte Eingaben zu verlassen, wendet der Agent kontextbezogene Schlussfolgerungen an, um Übermittlungen dynamisch und im großen Stil auszuwerten.

Durch das Herausfiltern von Fehlalarmen ermöglicht der Agent analysten, sich auf bestätigte Bedrohungen und Untersuchungen mit höheren Auswirkungen zu konzentrieren– die Effizienz zu verbessern, die Erkennung zu beschleunigen und den allgemeinen Sicherheitsstatus der organization zu stärken.

Sehen Sie sich dieses Video an, um eine Demonstration des Phishing Triage Agent zu sehen:

Funktionsweise des Agents

Der Phishing-Triage-Agent ist ein Security Copilot-Agent in Microsoft Defender, der die Effizienz von Sicherheitsteams verbessert, indem von Benutzern übermittelte Phishingvorfälle klassifiziert und selektieren. Zu den wichtigsten Funktionen des Agents gehören:

• Autonome Selektierung: Verwendet erweiterte KI-Tools, um anspruchsvolle Bewertungen durchzuführen und zu bestimmen, ob eine Übermittlung eine echte Bedrohung oder ein Falschalarm ist, ohne dass eine schrittweise Eingabe oder Code von Menschen erforderlich ist.
• Transparente Begründung: Stellt eine transparente Begründung für die Klassifizierungsurteile in natürlicher Sprache bereit, wobei die Gründe für die Schlussfolgerungen und die verwendeten Beweise für ihre Schlussfolgerungen erläutert werden. Es bietet auch eine visuelle Darstellung des Argumentationsprozesses.
• Lernen basierend auf Feedback: Analysten können Feedback zu Klassifizierungsergebnissen geben. Im Laufe der Zeit hilft dieses Feedback, das Verhalten des Agents zu verfeinern, um den Organisationskontext besser widerzuspiegeln und die manuelle Nachverfolgung zu reduzieren.

Um Phishingversuche zu untersuchen, verwendet der Agent eine Kombination aus Microsoft Defender- und Microsoft Security Copilot-Funktionen sowie eine Reihe von Sicherheitstools, die sich ständig weiterentwickeln, wenn neue Erkennungstechniken und Integrationen verfügbar werden. Aktuelle Beispiele:

• Email Inhaltsanalyse: Erkennt verdächtige Muster und Indikatoren in E-Mail-Texten.
• Datei- und URL-Detonation : Führt potenziell schädliche Dateien und Links mithilfe von Microsoft Deep Analysis Tools sicher aus und analysiert sie.
• Screenshotanalyse : Überprüft visuelle Inhalte aus E-Mails, URLs und unterstützten Dateitypen.
• Threat Intelligence-Tools : Verwendet Microsoft Threat Intelligence-Feeds, um einen erweiterten Erkennungskontext bereitzustellen.
• Erweiterte Suche über Datenquellen hinweg : Korreliert Signale in allen verfügbaren Sicherheitsdatenquellen, um verdächtige Aktivitäten zu kontextualisieren und fundierte Ermittlungsentscheidungen zu fördern.

Voraussetzungen

Zum Ausführen des Phishing-Selektierungs-Agents in Ihrer Umgebung benötigen Sie Folgendes:

Aktivieren von URBAC-Einstellungen

Aktivieren Sie die Defender for Office 365-Workload in den Microsoft Defender XDR Einstellungen:

Weitere Informationen finden Sie unter Aktivieren von Workloads in Microsoft Defender XDR Einstellungen.

Konfigurieren von benutzerseitig gemeldeten Einstellungen

Aktivieren Sie Gemeldete Nachrichten in Outlook überwachen , um zu definieren, wie Benutzer potenziell schädliche Nachrichten in Microsoft Outlook melden, und wählen Sie eine der Optionen gemeldete Nachrichtenziele aus:

Weitere Informationen finden Sie unter Verwenden des Microsoft Defender-Portals zum Konfigurieren von benutzerseitig gemeldeten Einstellungen.

Wenn Sie ein Drittanbieter-E-Mail-Reporting-Tool verwenden, sehen Sie sich die Optionen für Drittanbieter-Reporting-Tools an und sehen Sie sich die Optionen Ihres Anbieters an, um gemeldete Nachrichten mit Microsoft Defender zu integrieren.

Warnungsrichtlinie aktivieren

Der Phishing-Triage-Agent behandelt Phishingvorfälle, die Warnungen des Typs E-Mail, die vom Benutzer als Schadsoftware oder Phishing gemeldet wurde umfassen. Stellen Sie sicher, dass die entsprechende Warnungsrichtlinie aktiviert ist. Weitere Informationen finden Sie unter Warnungsrichtlinien im Microsoft Defender-Portal.

Erforderliche Berechtigungen

In dieser Tabelle sind die Berechtigungen aufgeführt, die zum Ausführen verschiedener Aktionen im Zusammenhang mit dem Phishing-Triage-Agent im Defender-Portal erforderlich sind.

Weitere Informationen zu einheitlichem RBAC finden Sie im Defender-Portal unter Microsoft Defender Unified role-based access control (RBAC).

Einrichten des Phishing-Selektierungs-Agents

Stellen Sie sicher, dass Sie über die erforderlichen Berechtigungen für den Phishing-Triage-Agent verfügen und alle Voraussetzungen für den Phishing-Triage-Agent erfüllt sind, bevor Sie den Agent einrichten.

Setup starten

Öffnen Sie den Setup-Assistenten für den Phishing-Triage-Agent auf eine von zwei Arten:

• Aus dem Security Store im Microsoft Defender-Portal, wie unter Bereitstellen von KI-Agenten in Microsoft Defender erläutert.

• Wählen Sie in der Incidents-Warteschlange im Microsoft Defender-Portal Agent einrichten aus.

  

Führen Sie die Schritte im Setup-Assistenten aus, wie unter Zuweisen der Identität und Berechtigungen des Agents beschrieben.

Zuweisen der Identität und Berechtigungen des Agents

Der Setup-Assistent führt Sie durch den Prozess, dem Agenten eine Identität und die für seine Aufgaben erforderlichen Berechtigungen zuzuweisen.

Zuweisen einer Identität

Für den Agent ist eine Identität erforderlich. Der Assistent fordert Sie dazu auf, eine von zwei Arten von Identitäten auszuwählen.

Auswählen:

• Erstellen einer neuen Agent-Identität (empfohlen): Erstellen Sie automatisch eine neue Microsoft Entra-Agent-ID. Microsoft Entra erstellt Agent-IDs speziell für KI-Agents. Die Verwendung von Agent-IDs sorgt für einen bereichsbezogenen, sicheren und einfacheren Zugriff. Weitere Informationen finden Sie unter Was sind Agentidentitäten?.

  ODER

• Verbinden eines vorhandenen Benutzerkontos : Weisen Sie ein vorhandenes Benutzerkonto als Agentidentität zu. Der Agent erbt den Zugriff und die Berechtigungen des Benutzerkontos. Um diese Identitätsoption verwenden zu können, müssen Sie die Identität selbst erstellen und ihr die Berechtigungen zuweisen, die der Agent vor dem Setup benötigt . Informationen zum Erstellen eines Benutzerkontos finden Sie unter Erstellen eines neuen Benutzers.

  Wenn Sie den Agent mit einem Konto verbinden, wird empfohlen, ein langes Kontoablaufdatum festzulegen und dessen Authentifizierungs-status genau zu überwachen, um den kontinuierlichen Betrieb des Agents sicherzustellen. Wenn die Authentifizierung abläuft, funktioniert der Agent nicht mehr, bis er erneuert wird.

  Die angegebene Benutzeridentität des Agents ist nicht mit PIM oder TAP kompatibel, da sie keine langfristigen Hintergrundvorgänge unterstützen.

  Tipp

  Verwenden Sie ein dediziertes Identitätskonto mit den mindestens erforderlichen Berechtigungen für den Agent. Weisen Sie beim Erstellen des Kontos einen eindeutigen Anzeigenamen wie phishing triage Agent zu, um ihn im Microsoft Defender-Portal einfach zu identifizieren.

  Legen Sie Richtlinien für bedingten Zugriff für Security Copilot fest, damit der Agent basierend auf dem dafür erstellten Benutzerkonto funktioniert. Weitere Informationen finden Sie unter Behandeln von Problemen mit Richtlinien für den bedingten Zugriff für Microsoft Security Copilot.

Berechtigungen zuweisen

In Übereinstimmung mit dem Prinzip der geringsten Rechte empfehlen wir, der Agent-Identität nur die Berechtigungen zuzuweisen, die der Phishing-Selektierungs-Agent zum Ausführen seiner Aufgaben benötigt.

• Wenn Sie eine Agent-ID verwenden, werden in der Dropdownliste nur Rollen in Ihrem organization angezeigt, die über die berechtigungen verfügen, die der Agent benötigt. Wählen Sie eine vorhandene Rolle in Ihrem organization aus, oder erstellen Sie automatisch eine neue Rolle mit den erforderlichen Berechtigungen, wenn Sie noch keine geeignete Rolle eingerichtet haben.

  

• Wenn Sie ein vorhandenes Benutzerkonto verwenden, müssen Sie dieser Identität die erforderlichen Berechtigungen für den Phishing-Triage-Agent zuweisen, bevor Sie die Agent-Identität während des Setups zuweisen . Dies ist im Setup-Assistenten nicht möglich.

  

Vom Phishing-Triage-Agent benötigte Berechtigungen

Die Agent-Identität benötigt diese Berechtigungen, um auf E-Mails zuzugreifen, deren Inhalt zu analysieren und Warnungen zu verwalten:

• Grundlagen zu Sicherheitsdaten (lesen): Wird für den Zugriff auf grundlegende Sicherheitsdaten wie Warnungen und Vorfälle verwendet.
• Warnungen (verwalten): Wird verwendet, um die Warnung zu klassifizieren und den Status der Warnung zu überwachen, um die Außerkraftsetzung der Warnung status zu verhindern.
• Security Copilot (lesen): Wird für den Zugriff auf Security Copilot Funktionen verwendet.
• E-Mail- und Zusammenarbeitsmetadaten (lesen): Wird verwendet, um auf Metadaten zu von Benutzern gemeldeten E-Mails zuzugreifen.
• Inhalt der E-Mail- und Zusammenarbeit: E-Mails, die Benachrichtigungen zugeordnet sind (lesen): Wird verwendet, um den Inhalt der vom Benutzer gemeldeten E-Mails zu lesen, die für die Analyse erforderlich sind. Diese eingeschränktere Berechtigung bietet dem Agent nur Zugriff auf E-Mails, die Benachrichtigungen zugeordnet sind, und nicht auf alle E-Mails.

Diese Berechtigungen befinden sich unter der Gruppe Berechtigungen für Sicherheitsvorgänge :

Stellen Sie sicher, dass Sie dem Agent Zugriff auf die Microsoft Defender für Office 365 Datenquelle gewähren.

So erstellen Sie eine Rolle:

1. Stellen Sie sicher, dass die relevanten Defender-Workloads aktiviert sind, damit der Agent Warnungen effektiv mit umfassendem Kontext analysieren kann. Führen Sie die Schritte unter Aktivieren von URBAC-Einstellungen aus.
2. Erstellen Sie eine Rolle mit den erforderlichen Berechtigungen, oder weisen Sie dem Agent eine vorhandene Rolle mit diesen Berechtigungen zu.
3. Weisen Sie dem Agent die Rolle zu. Stellen Sie sicher, dass Sie dem Agent Zugriff auf die Microsoft Defender für Office 365 Datenquelle gewähren.

Optimieren Sie die Reaktion auf Sicherheitsvorfälle mit dem Phishing-Triage-Agenten

Der Agent soll Sicherheitsteams dabei helfen, die überwältigende Menge verdächtiger E-Mails zu verwalten, die Organisationen täglich erhalten. Der Agent wirkt als Verstärker für SOC-Teams, indem er zeitaufwändige Triage-Aufgaben übernimmt, die Alarmmüdigkeit reduziert und die Reaktion auf Sicherheitsvorfälle beschleunigt, indem er tatsächliche Phishing-Bedrohungen autonom identifiziert. Dies ermöglicht es Analysten, den Lärm zu reduzieren und ihre Aufmerksamkeit auf die Bedrohungen zu konzentrieren, die wirklich wichtig sind.

Agent-Trigger und -Flow

Nach der vollständigen Einrichtung und Ausführung wird der Phishing Triage-Agent automatisch ausgelöst, wenn ein Benutzer eine verdächtige Phishing-E-Mail meldet und eine Warnung erstellt wird. Anschließend analysiert der Agent die Warnung mithilfe komplexer KI-Tools und des Kontexts Ihrer organization autonom, um zu ermitteln, ob die zugehörige Bedrohung böswillig oder nur ein Falschalarm ist.

Wenn festgestellt wird, dass es sich bei der Warnung um einen Fehlalarm handelt, stuft der Agent sie als False Positive ein und schließt sie entsprechend ab. Wenn die Warnung als schädlich eingestuft wird, wird sie als True Positive klassifiziert, und der Status des zugehörigen Sicherheitsvorfalls bleibt offen und in Bearbeitung, damit ein Analyst ihn untersuchen und weitere Maßnahmen ergreifen kann.

Für jede Warnung, die er verarbeitet, liefert der Agent eine detaillierte Erläuterung seiner Bewertung, was die Transparenz erhöht und das Vertrauen der Analysten in den entsprechenden Vorfall aufbaut.

Zusammenarbeiten mit dem Agent

Um Transparenz zu gewährleisten, aktualisiert der Agent während des Triage-Prozesses routinemäßig die Incident-Felder. Wenn die Triage beginnt, weist der Agent den Alarm sich selbst zu und fügt dem entsprechenden Vorfall ein Agent-Tag hinzu. Analysten können die Incident-Warteschlange filtern, um nur die vom Agenten markierten Vorfälle anzuzeigen, was die Übersicht und Priorisierung vereinfacht.

Wenn eine Warnung als echte Phishingbedrohung identifiziert wird, markiert der Phishing-Selektierungs-Agent sie als Richtig positiv. Dadurch können Analysten bestätigte Phishing-Bedrohungen priorisieren und schneller reagieren. Da diese Warnungen klar gekennzeichnet sind, können Analysten die Warteschlange einfach filtern, um sich auf verifizierte Bedrohungen zu konzentrieren, was zu einer erheblichen Reduzierung der Warteschlangen führt und die Zeit für die Sortierung durch falsch positive Ergebnisse minimiert. Dies ermöglicht es ihnen, ihre Bemühungen dort zu konzentrieren, wo sie am wichtigsten sind.

Transparenz und Erklärbarkeit bei der Phishing-Selektierung

Der Phishing Triage Agent wurde entwickelt, um klar zu erklären , warum und wie er jede Entscheidung getroffen hat. Für jede Warnung, die verarbeitet wird, bietet sie eine detaillierte Erklärung im Klartext sowie eine vollständige grafische Darstellung des Entscheidungsfindungsworkflows. Dieses Maß an Transparenz ermöglicht es Analysten, Ergebnisse schnell zu interpretieren, Vertrauen in die Ausgabe des Agents aufzubauen und ihre Zeit auf fundierte Entscheidungen zu konzentrieren, anstatt manuelle Schritte im Phishing-Selektierungsprozess zu wiederholen.

Führen Sie die folgenden Schritte aus, um die Ergebnisse des Agents zu überprüfen:

1. Wählen Sie einen Vorfall aus der Vorfallwarteschlange aus.

2. Suchen Sie auf der Seite zum Vorfall im Seitenbereich „Copilot“ oder „Aufgaben“ im Abschnitt „Triage anhand geführter Antworten“ nach der Karte „Phishing-Triage-Agent“. Die Aufgabe wird als abgeschlossen markiert und dem Agent zugewiesen. Die Karte legt das Urteil des Agenten basierend auf seiner Klassifizierung dar und hebt wichtige Elemente von belastenden Beweisen hervor, die die Entscheidung geprägt haben.

   

3. Sie können die Ellipse Weitere Aktionen auswählen, um weitere Details zur Warnung anzuzeigen, die Klassifizierungsdetails des Agenten in die Zwischenablage zu kopieren oder Feedback zu verwalten.

   

4. Um die Schritte anzuzeigen, die der Agent ausgeführt hat, bevor er seine Klassifizierung vorgenommen hat, wählen Sie in der Karte View agent activity des Phishing Triage Agent aus. Dies zeigt die Logik hinter der endgültigen Klassifizierung des Agents.

   

Vermitteln sie dem Agent den Kontext Ihrer organization durch Feedback

Der Phishing Triage Agent verbessert seine Entscheidungsfindung kontinuierlich basierend auf Feedback, das auf die Anforderungen Ihrer organization zugeschnitten ist. Analysten können Eingaben in einfacher, natürlicher Sprache bereitstellen – ohne dass komplexe Konfigurationen erforderlich sind –, sodass das Verhalten des Agents leicht zu steuern und zu gestalten ist. Dieses Feedback wird im Arbeitsspeicher des Agents gespeichert, sodass er sich daran anpassen kann, wie Ihr organization Phishing-Bedrohungen interpretiert und klassifiziert. Im Laufe der Zeit verbessert diese Anpassung die Genauigkeit und Effektivität des Agents bei der Selektierung zukünftiger Warnungen, wobei Ihr Team die Kontrolle hat.

Führen Sie die folgenden Schritte aus, um Feedback zu geben und den Agent zu unterrichten:

1. Suchen Sie auf der Seite zum Vorfall im Seitenbereich „Copilot“ oder „Aufgaben“ im Abschnitt „Triage anhand geführter Antworten“ nach der Karte „Phishing-Triage-Agent“.

2. Überprüfen Sie die Klassifizierung und Begründung des Agenten, die im Titel und Inhalt der Karte angezeigt werden. Wenn die Entscheidung nicht mit den Klassifizierungskriterien Ihres organization übereinstimmt, wählen Sie Klassifizierung ändern aus. Alternativ können Sie die Klassifizierung aktualisieren, indem Sie auf der Registerkarte Warnungen die spezifische Warnung und dann Warnung verwalten auswählen.

   

3. Wählen Sie im Bereich Warnung verwalten im Dropdownmenü Klassifizierung die neue Klassifizierung aus. Geben Sie dann Ihren Grund für die Änderung an, indem Sie das Feld Warum haben Sie diese Klassifizierung geändert ? ausfüllen. In diesem Schritt werden Ihre Eingaben auf der Feedbackverwaltungsseite nur zu Überwachungszwecken aufgezeichnet. Der Agent wird dieses Feedback erst verwenden, um seine Entscheidungsfindung zu verbessern, wenn Sie explizit Dieses Feedback verwenden, um dem Agenten etwas beizubringen auswählen. Wenn Sie dieses Feedback nicht zum Unterrichten des Agents verwenden möchten, können Sie Speichern auswählen. Dadurch wird nur das Feedback überwacht, ohne es in den Arbeitsspeicher des Agents einzufügen.

   

4. Um Ihr Feedback zu übernehmen, wählen Sie Dieses Feedback verwenden, um dem Agenten etwas beizubringen aus. Sie können den Leitfaden zum Schreiben von Feedback verwenden, um effektive Eingaben zu erstellen, und dann Feedback bewerten auswählen, um eine Vorschau anzuzeigen, wie der Agent Ihr Feedback in eine Lektion übersetzt und bewerten kann, ob das Ergebnis mit Ihrer Absicht übereinstimmt. Darüber hinaus führt die Feedbackauswertung grundlegende Sicherheitsüberprüfungen durch, um sicherzustellen, dass das angewendete Feedback für die Verwendung durch den Agent relevant ist und nicht in Konflikt mit vorherigem Feedback steht.

   Hinweis

   Sie können dem Agent nur einmal pro Warnung Feedback geben, und es kann nur verwendet werden, um dem Agent beizubringen, wie Phishingwarnungen klassifiziert werden, insbesondere durch Auswahl von True Positive (Phishing) oder False Positive (nicht böswillig). Überprüfen Sie immer Ihr Feedback, und überprüfen Sie die VON KI generierte Antwort, bevor Sie die Lektion speichern.

5. Wenn das Ergebnis Ihren Erwartungen entspricht, können Sie die Lektion in das Gedächtnis des Agents einfügen, um die zukünftigen Entscheidungen zu beeinflussen. Wählen Sie Speichern aus, um die Lektion zu speichern und sie, falls zutreffend, als Lektion im Gedächtnis des Agenten zu speichern. Das gesamte Feedback wird zu Überwachungszwecken aufgezeichnet, und lektionen, die dem Speicher des Agents hinzugefügt werden, können später auf der Feedbackverwaltungsseite überprüft werden.

Der Agent nutzt gespeichertes Feedback, um ähnliche Warnungen in Zukunft zu selektieren und zu klassifizieren. Wenn eine relevante Warnung empfangen wird, die den Feedbackmerkmalen entspricht, wendet der Agent dieses Feedback an, um seine Klassifizierung zu bestimmen und es als unterstützende Beweise in seinen Entscheidungsprozess einzubeziehen.

Bewährte Methoden zum Schreiben von Feedback

Lektionen enthalten systematische Richtlinien, die dem Agent dabei helfen zu bestimmen, ob eine Warnung eine echte Phishing-Bedrohung oder ein falscher Alarm ist. Um sicherzustellen, dass der Agent Ihr Feedback effektiv einbezieht, befolgen Sie diese bewährten Methoden, wenn Sie Eingaben für den Phishing-Triage-Agent bereitstellen:

1. Stellen Sie sicher, dass Feedback relevant und kontextbezogen ist. Feedback sollte sich nur auf die aktuell überprüfte E-Mail beziehen. Sie muss auch mit der aktualisierten Klassifizierung übereinstimmen, die Sie zugewiesen haben.
2. Beschreibend und spezifisch sein. Erläutern Sie die Merkmale der E-Mail deutlich. Geben Sie relevante Details wie E-Mail-Betreff, Nachrichtentext, Absender oder Empfänger an, damit der Agent den Kontext besser verstehen kann. Spezifisches Feedback mit mehreren Details erhöht die Effektivität.
3. Sorgen Sie für Klarheit und Entschlossenheit. Vermeiden Sie vage oder universelle Aussagen. Geben Sie klares und umsetzbares Feedback. Verwenden Sie entscheidende und klare Identifikationsbegriffe.
4. Seien Sie konsistent mit vorherigem Feedback. Stellen Sie sicher, dass das neue Feedback mit dem übereinstimmt, was zuvor bereitgestellt wurde, um Widersprüche zu vermeiden, die den Agent verwirren oder die Genauigkeit seiner Entscheidungen verringern könnten. Sie können alle zuvor übermittelten Eingaben auf der Feedbackverwaltungsseite des Agenten überprüfen.
5. Überprüfen Sie die Interpretation Ihres Feedbacks durch den Agenten. Wenn Sie Feedback übermitteln, überprüfen Sie immer, ob das Feedback korrekt in eine Lektion übersetzt wird. Vergewissern Sie sich, dass die Lektion Ihre Absicht widerspiegelt und die Konsistenz mit Ihrer ursprünglichen Eingabe aufrechterhält. Überprüfen der Gültigkeit von KI-generierten Antworten, um sicherzustellen, dass sie auf das Szenario anwendbar sind.

Hier finden Sie Beispiele dafür, wie Sie Ihr Feedback an den Agent schreiben können.

Beheben von Feedbackfehlern

Wenn der Agent Ihr Feedback akzeptiert, übersetzt er es in eine Lektion. Wenn es dem Agent nicht gelingt, das Feedback zu interpretieren, zeigt eine relevante Meldung an, was den Fehler verursacht hat. Sie können diese Fehler basierend auf der vom Agent zurückgegebenen Nachricht beheben.

Hier finden Sie Beispiele für Fehler, die beim Schreiben von Feedback an den Agent auftreten können, und wie Sie diese beheben können.

Fehlermeldung	Empfohlenes Vorgehen
Ein Teil des feedbacks kann nicht behandelt werden, da der Agent diese Art von Eingabe derzeit nicht unterstützt und daher überhaupt nicht in eine Lektion übersetzt werden konnte.	Schreiben Sie Ihr Feedback um, und stellen Sie sicher, dass es den bewährten Methoden entspricht. Wählen Sie Feedback auswerten aus, um es erneut zu versuchen.
Das Feedback enthält Eingaben, mit denen der Agent umgehen kann, die jedoch für die vorliegende E-Mail nicht relevant sind und daher nicht als umsetzbare Lektion im Speicher gespeichert werden konnten.	Schreiben Sie Ihr Feedback um, und stellen Sie sicher, dass es die Beschreibungen der E-Mail enthält, die es unterstützen kann. Wählen Sie dann Feedback auswerten aus, um es erneut zu versuchen.
Das gegebene Feedback widerspricht dem vorherigen Feedback, das einer ähnlichen E-Mail gegeben wurde.	Suchen Sie auf der Feedbackverwaltungsseite nach der Feedback-ID, um das Feedback anzuzeigen, mit dem ein Konflikt auftritt. Basierend auf Ihrer Bewertung haben Sie folgende Möglichkeiten: – Lehnen Sie das vorherige Feedback auf der Feedbackverwaltungsseite ab. Wählen Sie anschließend Auswerten aus, um ihr Feedback erneut einzufügen. – Schreiben Sie Ihr feedback auf eine Weise um, die nicht in Konflikt steht, und wählen Sie dann Feedback auswerten aus, damit der Agent Ihre neue Eingabe neu auswertet.

Wenn relevantes Feedback genehmigt und gespeichert wird, kann der Agent dieses Feedback künftig bei der Einstufung ähnlicher Warnmeldungen verwenden.

Überwachen und Verwalten des Phishing-Triage-Agents

Um Agent-Metriken anzuzeigen und den Agenten zu verwalten, gehen Sie zur Karte „Phishing Triage Agent“ in der Incident-Warteschlange oder zur Seite „Agents“:

• Um die Seite Phishing-Triage-Agent direkt zu öffnen, wählen Sie Security Copilot > Agents aus, suchen Sie nach dem Phishing-Triage-Agent unter Verwendete Agents und wählen Sie Zum Agent wechseln aus.

  Diese Seite besteht aus zwei Registerkarten: Übersicht und Leistung.

  • Die Registerkarte Übersicht enthält Details zum aktuellen status, zur Identität, zur Rolle und zur aktuellen Aktivität des Agents.

    

    Wählen Sie eine Aktivität aus der Liste Zuletzt verwendete Aktivitäten aus, um Details zur Untersuchung des Agents und zum vollständigen Workflow des Agents anzuzeigen.

    

    Wählen Sie Vollständigen Agent-Workflow anzeigen aus, um eine grafische Darstellung des Entscheidungsprozesses des Agents für diese bestimmte Aktivität anzuzeigen.

    

  • Die Registerkarte Performance zeigt wichtige Kennzahlen zur Aktivität des Agenten im Zeitverlauf an, darunter die tägliche Aktivität, die durchschnittliche Zeit bis zur Triage (MTTT) und den SCU-Verbrauch.

    

  Wählen Sie die Ellipse (...) oben rechts auf der Seite aus, um auf Verwaltungsoptionen für den Agenten zuzugreifen, einschließlich der Änderung der Identität und Rolle des Agenten, dem Ansehen und Verwalten von Feedback sowie dem Entfernen des Agenten.

  Wählen Sie Anhalten oder Fortsetzen, um die Aktivitäten des Agenten vorübergehend anzuhalten oder fortzusetzen.

• Um die Karte des Phishing-Triage-Agents in der Warteschlange für Vorfälle zu öffnen, wählen Sie Untersuchung & Antwort >Vorfälle & Warnungen >Vorfälle aus.

  Die Karte des Phishing-Triage-Agents über der Incident-Warteschlange zeigt einige der wichtigsten Kennzahlen des Agents an, darunter:

  • Behandelte Incidents: Vorfälle mit vom Benutzer gemeldeten Phishingwarnungen, die der Agent als echte Phishing-Bedrohungen oder falsche Alarme klassifiziert hat.
  • Behobene Vorfälle: Vorfälle, die keine weitere Behandlung mehr erfordern, z. B. Falsche Alarme.

  Diese Daten helfen bei der Veranschaulichung der Auswirkungen des Agents und können verwendet werden, um umfassendere strategische Gespräche zu führen, die Rendite hervorzuheben oder Entscheidungen zur Skalierung der Automatisierung in Ihren organization zu unterstützen.

  Metriken werden basierend auf der Aktivität des Agents berechnet, beginnend entweder mit dem ersten aufgezeichneten Incident oder den letzten 30 Tagen ( je nachdem, was aktueller ist).

  

  Wählen Sie auf der Karte Agent verwalten aus, um die Seite Phishing Triage Agent zu öffnen, die zusätzliche Leistungskennzahlen und Verwaltungsoptionen bietet.

Ändern der Identität und Rolle des Agents

So verwalten Sie die Identität und Rolle des Agents:

1. Wählen Sie Security Copilot > Agents aus, suchen Sie unter Verwendete Agents nach dem Phishing-Triage-Agent, und wählen Sie Zum Agent wechseln aus.
2. Wählen Sie oben rechts auf der Seite die Option Auslassungszeichen (...) > Agent bearbeiten aus. Dadurch wird die Seite Agent bearbeiten geöffnet.
3. Wählen Sie Identität und Rolle > Neue Identität auswählen aus.
4. Wählen Sie eine neue Identität aus, wie unter Zuweisen der Identität und Berechtigungen des Agents beschrieben.

Feedback für den Agent anzeigen und verwalten

Der Phishing-Triage-Agent lernt aus vom Benutzer übermitteltem Feedback und verbessert im Laufe der Zeit seine Leistung. Es speichert anwendbares Feedback in seinem Gedächtnis als Lektionen. Sie können Feedback für den Phishing Triage Agent auf der Seite Agentenfeedback anzeigen und verwalten.

Diese Seite enthält eine umfassende Liste aller Feedbacks, die an den Agent übermittelt werden. Sie können die wichtigsten Details für jedes Feedback überprüfen, einschließlich:

• Die ursprüngliche Klassifizierung des Agents und die vom Benutzer angewendete Änderung
• Das ursprüngliche Feedback des Benutzers beim Ändern der Klassifizierung
• Die vom Agent generierte übersetzte Lektion (falls zutreffend)
• Feedback status: in Verwendung, nicht in Gebrauch oder Konflikt
• Der Benutzer, der das Feedback übermittelt hat
• Feedbackübermittlungsdatum, Feedback-ID, Warnungs-ID und Incident-ID

In dieser Tabelle werden die Feedbackstatus erläutert:

So zeigen Sie vom Benutzer übermitteltes Feedback an und verwalten es:

1. Wählen Sie Security Copilot > Agents aus, suchen Sie unter Verwendete Agents nach dem Phishing-Triage-Agent, und wählen Sie Zum Agent wechseln aus.

2. Wählen Sie oben rechts auf der Seite die Option Auslassungszeichen (...) > Agent bearbeiten aus. Dadurch wird die Seite Agent bearbeiten geöffnet.

3. Wählen Sie im linken Bereich Feedback aus, um die Seite Agent-Feedback zu öffnen.

4. Wählen Sie einen Eintrag aus der Feedbackliste aus, um den Bereich Feedback überprüfen zu öffnen.

5. Überprüfen Sie die Details des bereitgestellten Feedbacks, die Lektion des Agents, die Klassifizierungsänderungen und andere wichtige Details.

   

6. Um bestimmtes Feedback abzulehnen, wählen Sie Feedback ablehnen aus. Der Agent verwendet das Feedback bei zukünftigen Selektierungsentscheidungen nicht mehr.

   Hinweis

   Um feedback abzulehnen, benötigen Sie die Rolle Sicherheitsadministrator in Microsoft Entra ID.

Entfernen des Agents

So entfernen Sie den Agent:

1. Wählen Sie Security Copilot > Agents aus, suchen Sie unter Verwendete Agents nach dem Phishing-Triage-Agent, und wählen Sie Zum Agent wechseln aus.
2. Wählen Sie oben rechts auf der Seite die Schaltfläche mit den Auslassungspunkten (...) und anschließend Entfernen aus.

Häufig gestellte Fragen

Im Folgenden werden Antworten auf häufig gestellte Fragen zum Phishing-Triage-Agent aufgeführt. Informationen zu den Funktionen und Anforderungen des Agents finden Sie unter Funktionsweise und Voraussetzungen des Agents.

Wann wird der Agent ausgelöst?

Der Agent wird automatisch ausgeführt, wenn ein Benutzer einen potenziellen Phishingversuch meldet und eine Warnung erstellt wird.

Warum ist der Phishing-Triage-Agent wichtig?

Phishing ist nach wie vor eine der gängigsten Methoden, mit denen Angreifer sich ersten Zugriff auf Systeme verschaffen. Während Sicherheitstools die meisten Bedrohungen effektiv blockieren, schaffen es einige immer noch, durchzurutschen, überwältigen Inboxen und lassen E-Mail-Benutzer unsicher, ob eine verdächtige E-Mail ein legitimer Phishingversuch oder harmloser Spam ist. Diese Unsicherheit führt häufig zu einem Zustrom von von Benutzern übermittelten Berichten. Daher wird die Verwaltung dieser Vorfälle für SoC-Analysten (Security Operations Center) zu einer mühsamen und sich wiederholenden Aufgabe. Jede Warnung kann bis zu 30 Minuten manuelle Selektierung erfordern, was erhebliche Anstrengungen erfordert, um eine große Anzahl von Vorfällen auf der Suche nach der tatsächlichen Bedrohung inmitten des Lärms zu durchsuchen. Diese Anstrengung überfordert Analysten, die eine begrenzte Zeit für die Erfüllung kritischer Anforderungen aufwenden müssen. Durch die Entlastung reaktiver Arbeit ermöglicht der Phishing-Selektierungs-Agent Analysten, sich auf proaktive Sicherheitsmaßnahmen zu konzentrieren und letztendlich den allgemeinen Sicherheitsstatus von Organisationen zu stärken.

Kann man dem Phishing-Triage-Agenten vertrauen?

Microsoft AI Agents befolgen strenge Richtlinien für verantwortungsvolle KI und werden gründlichen Überprüfungen unterzogen, um die Einhaltung aller KI-Standards und Sicherheitsvorkehrungen sicherzustellen. Der Phishing Triage Agent von Security Copilot ist vollständig in diese Steuerelemente integriert. Während des Setups weisen Sie dem Agent eine Identität zu und konfigurieren ihn mit den minimalen Berechtigungen, die für seinen Betrieb erforderlich sind, um sicherzustellen, dass er nicht über unnötige Berechtigungen verfügt. Alle Agent-Aktivitäten werden detailliert protokolliert, wobei der gesamte Flow jederzeit von Analysten und Administratoren überprüft werden kann. Feedback, das an den Agent bereitgestellt wird, um ihn bei der Anpassung an die Umgebung des organization zu unterstützen, wird protokolliert, im System widerspiegelt und kann von Administratoren nach Bedarf überprüft und geändert werden.

Wie unterscheidet sich der Agent von einer Standardlösung zur Sicherheitsorchering, Automatisierung und Reaktion (SOAR)?

Sowohl SOAR-Lösungen als auch der Phishing-Triage-Agent zielen darauf ab, Aspekte von Sicherheitsvorgängen zu automatisieren, doch ihre Ansätze unterscheiden sich grundlegend. SOAR-Tools basieren auf statischen, richtlinien- und regelbasierten Workflows, die vordefinierte Logik und manuelle Optimierung erfordern. Im Gegensatz dazu verwendet der Agent rekursives Denken, um Aufgaben selbstständig zu erledigen – Lernen, Anpassen und Verbessern im Laufe der Zeit.

Der Agent muss nicht für jede neue Situation neu programmiert werden. Innerhalb definierter Grenzen passt sie sich an die anstehenden Aufgaben an und macht sie deutlich flexibler als herkömmliche Automatisierung. Anstatt starr und reaktiv zu sein, entwickelt es sich kontinuierlich mit Ihrer Umgebung und Bedrohungslandschaft, geleitet von Analystenfeedback und basiert auf echten Daten. Der Phishing-Triage-Agent wurde speziell für Sicherheitsteams entwickelt und trägt dazu bei, Die Reaktionen zu beschleunigen und manuelle Workloads zu reduzieren, wodurch analysten sich auf strategische Initiativen konzentrieren können.

Welche Sichtbarkeit und Kontrolle habe ich über den Agent?

Microsoft stellt Tools für Organisationen bereit, mit denen Sie den Einblick und die Kontrolle über den Phishing-Triage-Agent von der Bereitstellung bis hin zum laufenden Betrieb behalten können. Der Agent hält die Rai-Standards (Responsible AI) von Microsoft für Fairness, Zuverlässigkeit, Sicherheit, Datenschutz, Sicherheit, Inklusion, Transparenz und Verantwortlichkeit ein.

Administratoren konfigurieren die Identitäts- und Zugriffsebenen des Agents während der Installation nach den Prinzipien der geringsten Rechte. Sicherheits- und IT-Teams können bestimmte Aktionen autorisieren, die Leistung überwachen und Ausgaben direkt in Microsoft Defender überprüfen. Kapazitätsnutzungs- und Datenzugriffslimits können auch von Administratoren konfiguriert werden.

Der Phishing Triage-Agent arbeitet in einer Zero Trust-Umgebung. Das System setzt organisatorische Richtlinien bei jeder Aktion eines Agenten durch, indem es Zweck und Umfang jeder Operation auswertet. Alle Entscheidungen, Argumentationen und Aktionen des Agents werden transparent als Entscheidungsstruktur in Defender dokumentiert und in Microsoft Purview-Überwachungsprotokollen zur Rückverfolgbarkeit und Compliance aufgezeichnet.

Ich möchte den Phishing-Selektierungs-Agent ausprobieren – wie kann ich ihn in Microsoft Defender einrichten?

Zum Einrichten des Agents müssen Sie Zugriff auf Security Copilot in Microsoft Defender haben und die erforderlichen Voraussetzungen erfüllen. Wenn Sie noch kein Onboarding bei Security Copilot vorgenommen haben, lesen Sie Erste Schritte mit Security Copilot oder wenden Sie sich an Ihren Microsoft-Vertreter. Nach dem Onboarding in Security Copilot kann es einige Zeit dauern, bis die Agent-Setupoption im Microsoft Defender-Portal verfügbar ist.

Ich habe den Phishing-Triage-Agent ausprobiert – wie kann ich die SCU-Kapazität schätzen, die für den Agenten in meiner Organisation benötigt wird?

Nach dem Setup beginnt der Agent automatisch mit der Nutzung von SCUs, die für den Arbeitsbereich bereitgestellt wurden, wenn der Testzeitraum endet.

Es ist wichtig, sicherzustellen, dass Ihre Organisation über ausreichende SCUs für den fehlerfreien Betrieb des Agenten verfügt. Um die SCU-Nutzung auszuwerten und die zukünftige Kapazitätsplanung vorzunehmen, sehen Sie sich das Dashboard zur Nutzungsüberwachung im Security Copilot-Portal an, und prüfen Sie, ob Sie im Rahmen des Microsoft Security Copilot-Inklusionsmodells Anspruch auf SCUs haben. Das Dashboard zeigt Folgendes an:

• Kosten pro verarbeiteter E-Mail
• Kapazitätsverbrauch im Zeitverlauf

Sie können die Dashboard Daten auch nach Excel exportieren, um eine detailliertere Analyse durchzuführen und nur nach Agent-Vorgängen zu filtern.

Nachdem Sie Ihre SCU-Nutzungsanforderungen bewertet haben, aktualisieren Sie die SCU-Kapazität für Ihre organization. Weitere Informationen zum Verwalten von SCUs finden Sie unter Verwalten der Nutzung von Sicherheitscomputeeinheiten in Security Copilot.

Verwandte Inhalte

• Microsoft Security Copilot-Agenten
• Häufig gestellte Fragen zur verantwortungsvollen KI für Security Copilot-Agent