Microsoft Security Copilot Sicherheitswarnungs-Triage-Agent in Microsoft Defender (Vorschau)

Security Operations Center (SOCs) verarbeiten große Mengen von Warnungen über mehrere Workloads hinweg, die jeweils unterschiedliche Kontext, Signale und Untersuchungstiefe erfordern. Unterschiede bei der Auswertung dieser Warnungen können zu inkonsistenten Selektierungsentscheidungen führen und die Fähigkeit, reale Bedrohungen von falschen Alarmen zu unterscheiden, verlangsamen. Infolgedessen können Risikoaktivitäten verpasst oder verzögert werden, während Analysten unverhältnismäßig viel Zeit damit verbringen, Rauschen zu filtern, anstatt auf das Wesentliche zu reagieren.

Der Microsoft Security Copilot-Sicherheitswarnungs-Triage-Agent ist ein autonomer Agent, der in Microsoft Defender eingebettet ist und Sicherheitsteams dabei hilft, Warnungen im großen Stil zu selektieren. Es wendet KI-gesteuertes, dynamisches Denken über Beweise hinweg an, um klare Urteile für unterstützte Sicherheitsworkloads zu liefern. Durch die Identifizierung, welche Warnungen reale Angriffe darstellen und welche falsch positive Ergebnisse sind, ermöglicht der Agent analysten, sich auf die Untersuchung realer Bedrohungen zu konzentrieren, mit transparenten, schritt-für-Schritt-Begründungen, um jede Entscheidung zu unterstützen.

Dieser Artikel bietet einen Überblick über den Security Alert Triage Agent, seine Funktionsweise und seine Triagefunktionen für Warnungen. Bevor Sie den Agenten einrichten, stellen Sie sicher, dass Sie die Voraussetzungen des Security Alert Triage Agents erfüllen, einschließlich Security Copilot-Bereitstellung, einheitlicher RBAC-Aktivierung und arbeitslastspezifischer Lizenzierung. Sehen Sie sich dieses Video an, um eine kurze Demo zu sehen:

So funktioniert der Triage-Agent für Sicherheitswarnungen

Der Sicherheitswarnungs-Triage-Agent ist ein Security Copilot-Agent in Microsoft Defender, der Warnungen über unterstützte Workloads und Warnungstypen hinweg klassifiziert und triagiert. Zu den wichtigsten Funktionen des Agents gehören:

• Autonome Selektierung: Verwendet erweiterte KI-Tools, um Warnungen auszuwerten und zu bestimmen, ob sie böswillige Aktivitäten oder falsche Alarme darstellen, ohne dass eine schrittweise menschliche Eingabe erforderlich ist.
• Transparente Begründung: Zeichnet Klassifizierungsurteile auf und liefert unterstützende Argumentationen in natürlicher Sprache und visuellen Graphen, einschließlich der Beweise, die zum Erreichen der einzelnen Schlussfolgerungen verwendet werden.
• Lernen basierend auf Feedback: Für unterstützte Warnungstypen kann der Agent Analystenfeedback integrieren, wenn er explizit bereitgestellt und genehmigt wird, um seine Bewertungsanalyse zu optimieren. Diese Funktion ist derzeit nur für E-Mail- und Zusammenarbeitswarnungen verfügbar.

Unterstützte Alarmtypen für den Security Alert Triage Agent

Der Sicherheitswarnungs-Selektierungs-Agent unterstützt derzeit die folgende Teilmenge der Warnungstypen in Microsoft Defender. Es wird erwartet, dass der Satz unterstützter Warnungen im Laufe der Zeit zunehmen wird.

Voraussetzungen

Diese Voraussetzungen gelten unabhängig von den Warnungstypen, die der Agent selektieren soll.

Workloadspezifische Voraussetzungen

Die folgenden Voraussetzungen hängen von den Warnungstypen ab, die der Agent selektieren soll.

Erforderliche Benutzerberechtigungen

Benutzer, die mit dem Sicherheitswarnungs-Selektierungs-Agent interagieren, benötigen diese Berechtigungen:

Weitere Informationen zu einheitlichem RBAC finden Sie im Defender-Portal unter Microsoft Defender Unified role-based access control (RBAC).

Sicherheitswarnungs-Triage-Agent einrichten

Stellen Sie sicher, dass Sie die erforderlichen Benutzerberechtigungen haben und alle Agentenvoraussetzungen erfüllt sind, bevor Sie den Agenten einrichten.

Setup starten

Öffnen Sie den Setup-Assistenten für den Sicherheitswarnungs-Triage-Agent auf eine der folgenden zwei Arten:

• Wählen Sie in der Incidents-Warteschlange im Microsoft Defender-Portal Agent einrichten aus.

  

• Aus dem Security Store im Microsoft Defender-Portal, wie unter Bereitstellen von KI-Agenten in Microsoft Defender erläutert. Der Agent erscheint im Security Store möglicherweise als Phishing Triage Agent, aber es ist derselbe Agent.

Führen Sie die Schritte im Setup-Assistenten aus, wie in Warnungstypen für die Triage auswählen und Identität und Berechtigungen des Agenten zuweisen beschrieben.

Wählen Sie aus, welche Warnungstypen für die Triage verwendet werden sollen.

Wählen Sie aus der Liste der unterstützten Warnungstypen die Warnungstypen aus, die der Agent selektieren soll. Berechtigungen und Datenbereiche hängen von dieser Auswahl ab.

Zuweisen der Identität und Berechtigungen des Agents

Der Setup-Assistent führt Sie durch den Prozess, dem Agenten eine Identität und die für seine Aufgaben erforderlichen Berechtigungen zuzuweisen.

Zuweisen einer Identität

Für den Agent ist eine Identität erforderlich. Der Assistent fordert Sie dazu auf, eine von zwei Arten von Identitäten auszuwählen.

Auswählen:

• Erstellen einer neuen Agent-Identität (empfohlen): Erstellen Sie automatisch eine neue Microsoft Entra-Agent-ID. Microsoft Entra erstellt Agent-IDs speziell für KI-Agents. Die Verwendung von Agent-IDs sorgt für einen bereichsbezogenen, sicheren und einfacheren Zugriff. Weitere Informationen finden Sie unter Was sind Agentidentitäten?.

  ODER

• Verbinden eines vorhandenen Benutzerkontos : Weisen Sie ein vorhandenes Benutzerkonto als Agentidentität zu. Der Agent erbt den Zugriff und die Berechtigungen des Benutzerkontos. Um diese Identitätsoption verwenden zu können, müssen Sie die Identität selbst erstellen und ihr die Berechtigungen zuweisen, die der Agent vor dem Setup benötigt . Informationen zum Erstellen eines Benutzerkontos finden Sie unter Erstellen eines neuen Benutzers.

  Wenn Sie den Agent mit einem Konto verbinden, wird empfohlen, ein langes Kontoablaufdatum festzulegen und dessen Authentifizierungs-status genau zu überwachen, um den kontinuierlichen Betrieb des Agents sicherzustellen. Wenn die Authentifizierung abläuft, funktioniert der Agent nicht mehr, bis er erneuert wird.

  Die angegebene Benutzeridentität des Agents ist nicht mit PIM oder TAP kompatibel, da sie keine langfristigen Hintergrundvorgänge unterstützen.

  Tipp

  Verwenden Sie ein dediziertes Identitätskonto mit den mindestens erforderlichen Berechtigungen für den Agent. Weisen Sie beim Erstellen des Kontos einen eindeutigen Anzeigenamen wie Sicherheitswarnungs-Selektierungs-Agent zu, um ihn einfach im Microsoft Defender-Portal zu identifizieren.

  Legen Sie Richtlinien für bedingten Zugriff für Security Copilot fest, damit der Agent basierend auf dem dafür erstellten Benutzerkonto funktioniert. Weitere Informationen finden Sie unter Behandeln von Problemen mit Richtlinien für den bedingten Zugriff für Microsoft Security Copilot.

Berechtigungen zuweisen

In Übereinstimmung mit dem Prinzip der geringsten Berechtigungen empfehlen wir, der Agent-Identität nur die Berechtigungen zuzuweisen, die der Sicherheitswarnungs-Selektierungs-Agent zum Ausführen seiner Aufgaben benötigt.

• Wenn Sie eine Agent-ID verwenden, werden in der Dropdownliste nur Rollen in Ihrem organization angezeigt, die über die berechtigungen verfügen, die der Agent benötigt. Wählen Sie eine vorhandene Rolle in Ihrem organization aus, oder erstellen Sie automatisch eine neue Rolle mit den erforderlichen Berechtigungen, wenn Sie noch keine geeignete Rolle eingerichtet haben.

  

• Wenn Sie ein vorhandenes Benutzerkonto verwenden, müssen Sie dieser Identität die erforderlichen Berechtigungen zuweisen , bevor Sie die Agent-Identität während des Setups zuweisen. Dies ist nicht über den Setup-Assistenten möglich.

  

Erforderliche Berechtigungen für den Security Alert Triage-Agenten

Der Sicherheitswarnungs-Selektierungs-Agent benötigt bestimmte Berechtigungen, um auf die erforderlichen Daten zuzugreifen und seine Selektierungsfunktionen auszuführen. Die erforderlichen Berechtigungen hängen von den Warnungstypen und den zugehörigen Produkten ab, mit denen der Agent arbeiten soll.

In dieser Tabelle sind die erforderlichen Berechtigungen und Datenbereiche für jeden Warnungstyp zusammengefasst:

Diese Berechtigungen befinden sich unter der Gruppe Berechtigungen für Sicherheitsvorgänge :

So erstellen Sie eine Rolle manuell:

1. Stellen Sie sicher, dass die relevanten einheitlichen RBAC-Workloads aktiviert sind, damit der Agent Warnungen effektiv mit umfassendem Kontext analysieren kann. Führen Sie die Schritte unter Workloadspezifische Voraussetzungen aus.

2. Erstellen Sie eine Rolle mit den erforderlichen Berechtigungen, oder weisen Sie dem Agent eine vorhandene Rolle mit diesen Berechtigungen zu.

   Stellen Sie sicher, dass Sie der Rolle Zugriff auf alle relevanten Datenquellen gewähren, entsprechend den unterstützten Warnmeldungen, die Sie dem Triage-Agenten für Sicherheitswarnungen zuordnen möchten.

   

3. Weisen Sie die Rolle der Agent-Identität zu.

Verwenden Sie den Sicherheitswarnungs-Triage-Agent

Der Agent unterstützt Sicherheitsteams bei der Verwaltung der großen Anzahl von Warnungen, die Organisationen täglich erhalten, indem er unterstützte Warnungen automatisch selektieren und ihre Klassifizierung und status in Microsoft Defender Incidents aktualisiert.

Agent-Trigger und -Flow

Nach dem Setup wird der Sicherheitswarnungs-Selektierungs-Agent automatisch ausgeführt, wenn eine relevante Warnung erstellt wird. Anschließend analysiert der Agent die Warnung mithilfe komplexer KI-Tools und des Kontexts Ihrer organization autonom, um zu ermitteln, ob die zugehörige Bedrohung böswillig oder nur ein Falschalarm ist.

Wird die Warnung als Fehlalarm eingestuft, stuft der Agent sie als False Positive ein und schließt sie entsprechend ab. Wenn die Warnung als schädlich eingestuft wird, wird sie als True Positive klassifiziert, und der Status des zugehörigen Sicherheitsvorfalls bleibt offen und in Bearbeitung, damit ein Analyst den Vorfall untersuchen und weitere Maßnahmen ergreifen kann.

Für jede Warnung, die er verarbeitet, gibt der Agent eine detaillierte Erläuterung seines Urteils im entsprechenden Incident.

Zusammenarbeiten mit dem Agent

Um Transparenz zu gewährleisten, aktualisiert der Agent während des Triage-Prozesses regelmäßig die Incident-Felder. Wenn die Triage beginnt, weist der Agent den Alarm sich selbst zu und fügt dem entsprechenden Vorfall ein Agent-Tag hinzu. Analysten können die Incident-Warteschlange filtern, um nur die vom Agenten markierten Vorfälle anzuzeigen, was den Überblick und die Priorisierung vereinfacht.

Wenn eine Warnung als echte Bedrohung identifiziert wird, markiert der Sicherheitswarnungs-Selektierungs-Agent sie als Richtig positiv, sodass Analysten Incidents basierend auf bestätigten Klassifizierungen filtern und priorisieren können.

Transparenz und Nachvollziehbarkeit bei der Priorisierung von Warnmeldungen

Für jede Warnung, die er verarbeitet, bietet der Sicherheitswarnungs-Triage-Agent eine detaillierte Erläuterung seiner Bewertung und eine grafische Darstellung seines Entscheidungsworkflows.

Führen Sie die folgenden Schritte aus, um die Ergebnisse des Agents zu überprüfen:

1. Wählen Sie einen Vorfall aus der Vorfallwarteschlange aus.

2. Suchen Sie auf der Seite zum Vorfall im Seitenbereich „Copilot“ oder „Aufgaben“ im Abschnitt „Triage anhand geführter Antworten“ nach der Karte „Sicherheitswarnungs-Triage-Agent“. Die Aufgabe wird als abgeschlossen markiert und dem Agent zugewiesen. Die Karte legt das Urteil des Agenten basierend auf seiner Klassifizierung dar und hebt wichtige Elemente von belastenden Beweisen hervor, die die Entscheidung geprägt haben.

   

3. Sie können die Ellipse Weitere Aktionen auswählen, um weitere Details zur Warnung anzuzeigen, die Klassifizierungsdetails des Agenten in die Zwischenablage zu kopieren oder Feedback zu verwalten.

   

4. Um die Schritte anzuzeigen, die der Agent durchgeführt hat, bevor er seine Klassifizierung vorgenommen hat, wählen Sie in der Karte des Triage-Agenten für Sicherheitswarnungen Agent-Aktivität anzeigen aus. Dies zeigt die Logik hinter der endgültigen Klassifizierung des Agents.

   

Vermitteln sie dem Agent den Kontext Ihrer organization durch Feedback

Für unterstützte Warnungstypen können Analysten optional Feedback zu Agent-Klassifizierungen in einfacher, natürlicher Sprache bereitstellen, ohne dass komplexe Konfigurationen erforderlich sind. Autorisierte Benutzer können Feedback überprüfen, auswerten und explizit anwenden, um zu beeinflussen, wie der Agent ähnliche Warnungen in Zukunft klassifiziert. Diese Funktion ist derzeit nur für E-Mail- und Zusammenarbeitswarnungen verfügbar.

Führen Sie die folgenden Schritte aus, um Feedback zu geben und den Agent zu unterrichten:

1. Suchen Sie auf der Seite zum Vorfall im Seitenbereich „Copilot“ oder „Aufgaben“ im Abschnitt „Triage anhand geführter Antworten“ nach der Karte „Sicherheitswarnungs-Triage-Agent“.

2. Überprüfen Sie die Klassifizierung und Begründung des Agenten, die im Titel und im Inhalt der Karte angezeigt werden. Wenn die Entscheidung nicht mit den Klassifizierungskriterien Ihres organization übereinstimmt, wählen Sie Klassifizierung ändern aus. Alternativ können Sie die Klassifizierung aktualisieren, indem Sie auf der Registerkarte Warnungen die spezifische Warnung und dann Warnung verwalten auswählen.

   

3. Wählen Sie im Bereich Warnung verwalten im Dropdownmenü Klassifizierung die neue Klassifizierung aus. Geben Sie dann Ihren Grund für die Änderung an, indem Sie das Feld Warum haben Sie diese Klassifizierung geändert ? ausfüllen. In diesem Schritt werden Ihre Eingaben auf der Feedbackverwaltungsseite nur zu Überwachungszwecken aufgezeichnet. Der Agent wird dieses Feedback erst dann verwenden, um seine Entscheidungsfindung zu verbessern, wenn Sie explizit Dieses Feedback verwenden, um den Agenten zu trainieren auswählen. Wenn Sie dieses Feedback nicht zum Unterrichten des Agents verwenden möchten, können Sie Speichern auswählen. Dadurch wird nur das Feedback überwacht, ohne es in den Arbeitsspeicher des Agents einzufügen.

   

4. Um Ihr Feedback zu übernehmen, wählen Sie Dieses Feedback verwenden, um dem Agenten etwas beizubringen aus. Sie können die besten Praktiken für das Schreiben von Agentenfeedback nutzen, um effektive Beiträge zu formulieren, und dann Feedback bewerten und dann Feedback bewerten , um zu sehen, wie der Agent Ihr Feedback in eine Lektion übersetzt und beurteilen kann, ob das Ergebnis mit Ihrer Absicht übereinstimmt. Darüber hinaus führt die Feedbackauswertung grundlegende Sicherheitsüberprüfungen durch, um sicherzustellen, dass das angewendete Feedback für die Verwendung durch den Agent relevant ist und nicht in Konflikt mit vorherigem Feedback steht.

   Hinweis

   Sie können dem Agent nur einmal pro Warnung Feedback geben, und es kann nur verwendet werden, um dem Agent beizubringen, wie E-Mail- und Zusammenarbeitswarnungen klassifiziert werden, insbesondere durch Auswahl von True Positive (Phishing) oder False Positive (nicht böswillig). Überprüfen Sie immer Ihr Feedback, und überprüfen Sie die VON KI generierte Antwort, bevor Sie die Lektion speichern.

5. Wenn das Ergebnis Ihren Erwartungen entspricht, können Sie die Lektion in das Gedächtnis des Agents einfügen, um die zukünftigen Entscheidungen zu beeinflussen. Wählen Sie Speichern aus, um die Lektion zu speichern und sie, falls zutreffend, als Lektion im Gedächtnis des Agenten zu speichern. Das gesamte Feedback wird zu Überwachungszwecken aufgezeichnet, und lektionen, die dem Speicher des Agents hinzugefügt werden, können später auf der Feedbackverwaltungsseite überprüft werden.

Der Agent nutzt gespeichertes Feedback, um ähnliche Warnungen in Zukunft zu selektieren und zu klassifizieren. Wenn eine relevante Warnung empfangen wird, die den Feedbackmerkmalen entspricht, wendet der Agent dieses Feedback an, um seine Klassifizierung zu bestimmen und es als unterstützende Beweise in seinen Entscheidungsprozess einzubeziehen.

Bewährte Methoden zum Schreiben von Feedback

Lektionen enthalten systematische Richtlinien, die dem Agent dabei helfen zu bestimmen, ob eine Warnung eine echte Phishing-Bedrohung oder ein falscher Alarm ist. Um sicherzustellen, dass ihr Feedback vom Agent effektiv berücksichtigt wird, befolgen Sie diese bewährten Methoden, wenn Sie Eingaben für den Sicherheitswarnungs-Selektierungs-Agent bereitstellen:

1. Stellen Sie sicher, dass Feedback relevant und kontextbezogen ist. Feedback sollte sich nur auf die aktuell überprüfte E-Mail beziehen. Sie muss auch mit der aktualisierten Klassifizierung übereinstimmen, die Sie zugewiesen haben.
2. Beschreibend und spezifisch sein. Erläutern Sie die Merkmale der E-Mail deutlich. Geben Sie relevante Details wie E-Mail-Betreff, Nachrichtentext, Absender oder Empfänger an, damit der Agent den Kontext besser verstehen kann. Spezifisches Feedback mit mehreren Details erhöht die Effektivität.
3. Sorgen Sie für Klarheit und Entschlossenheit. Vermeiden Sie vage oder universelle Aussagen. Geben Sie klares und umsetzbares Feedback. Verwenden Sie entscheidende und klare Identifikationsbegriffe.
4. Seien Sie konsistent mit vorherigem Feedback. Stellen Sie sicher, dass das neue Feedback mit dem übereinstimmt, was zuvor bereitgestellt wurde, um Widersprüche zu vermeiden, die den Agent verwirren oder die Genauigkeit seiner Entscheidungen verringern könnten. Sie können alle zuvor übermittelten Eingaben auf der Feedbackverwaltungsseite des Agenten überprüfen.
5. Überprüfen Sie die Interpretation Ihres Feedbacks durch den Agenten. Wenn Sie Feedback übermitteln, überprüfen Sie immer, ob das Feedback korrekt in eine Lektion übersetzt wird. Vergewissern Sie sich, dass die Lektion Ihre Absicht widerspiegelt und die Konsistenz mit Ihrer ursprünglichen Eingabe aufrechterhält. Überprüfen der Gültigkeit von KI-generierten Antworten, um sicherzustellen, dass sie auf das Szenario anwendbar sind.

Hier finden Sie Beispiele dafür, wie Sie Ihr Feedback an den Agent schreiben können.

Beheben von Feedbackfehlern

Wenn der Agent Ihr Feedback akzeptiert, übersetzt er es in eine Lektion. Wenn es dem Agent nicht gelingt, das Feedback zu interpretieren, zeigt eine relevante Meldung an, was den Fehler verursacht hat. Sie können diese Fehler basierend auf der vom Agent zurückgegebenen Nachricht beheben.

Hier finden Sie Beispiele für Fehler, die beim Schreiben von Feedback an den Agent auftreten können, und wie Sie diese beheben können.

Fehlermeldung	Empfohlenes Vorgehen
Ein Teil des feedbacks kann nicht behandelt werden, da der Agent diese Art von Eingabe derzeit nicht unterstützt und daher überhaupt nicht in eine Lektion übersetzt werden konnte.	Schreiben Sie Ihr Feedback um, und stellen Sie sicher, dass es den bewährten Methoden entspricht. Wählen Sie Feedback auswerten aus, um es erneut zu versuchen.
Das Feedback enthält Eingaben, mit denen der Agent umgehen kann, die jedoch für die vorliegende E-Mail nicht relevant sind und daher nicht als umsetzbare Lektion im Speicher gespeichert werden konnten.	Schreiben Sie Ihr Feedback um, und stellen Sie sicher, dass es die Beschreibungen der E-Mail enthält, die es unterstützen kann. Wählen Sie dann Feedback auswerten aus, um es erneut zu versuchen.
Das gegebene Feedback widerspricht dem vorherigen Feedback, das einer ähnlichen E-Mail gegeben wurde.	Suchen Sie auf der Feedbackverwaltungsseite nach der Feedback-ID, um das Feedback anzuzeigen, mit dem ein Konflikt auftritt. Basierend auf Ihrer Bewertung haben Sie folgende Möglichkeiten: – Lehnen Sie das vorherige Feedback auf der Feedbackverwaltungsseite ab. Wählen Sie anschließend Auswerten aus, um ihr Feedback erneut einzufügen. – Schreiben Sie Ihr feedback auf eine Weise um, die nicht in Konflikt steht, und wählen Sie dann Feedback auswerten aus, damit der Agent Ihre neue Eingabe neu auswertet.

Wenn relevantes Feedback genehmigt und gespeichert wurde, kann der Agent es bei der Einstufung ähnlicher Warnmeldungen in Zukunft anwenden, wobei dies denselben Berechtigungen und Kontrollen unterliegt.

Überwachen und Verwalten des Sicherheitswarnungs-Triage-Agents

Um Metriken des Agenten anzuzeigen und den Agenten zu verwalten, wechseln Sie zur Karte „Security Alert Triage Agent“ in der Incident-Warteschlange oder auf die Seite „Agenten“:

• Um die Seite Security Alert Triage Agent direkt zu öffnen, wählen Sie Security Copilot > Agents aus, suchen Sie unter Verwendete Agents nach dem Security Alert Triage Agent, und wählen Sie Zu Agent wechseln aus.

  Diese Seite besteht aus zwei Registerkarten: Übersicht und Leistung.

  • Die Registerkarte Übersicht enthält Details zum aktuellen status, zur Identität, zur Rolle und zur aktuellen Aktivität des Agents.

    

    Wählen Sie eine Aktivität aus der Liste Zuletzt verwendete Aktivitäten aus, um Details zur Untersuchung des Agents und zum vollständigen Workflow des Agents anzuzeigen.

    

    Wählen Sie Vollständigen Agent-Workflow anzeigen aus, um eine grafische Darstellung des Entscheidungsprozesses des Agents für diese bestimmte Aktivität anzuzeigen.

    

  • Die Registerkarte Performance zeigt wichtige Kennzahlen zur Aktivität des Agenten im Zeitverlauf an, darunter die tägliche Aktivität, die durchschnittliche Zeit bis zur Triage (MTTT) und den SCU-Verbrauch.

    

  Wählen Sie die Ellipse (...) oben rechts auf der Seite aus, um die Verwaltungsoptionen für den Agenten aufzurufen, wie in den folgenden Abschnitten beschrieben wird.

  Wählen Sie Anhalten oder Fortsetzen, um die Aktivitäten des Agenten vorübergehend anzuhalten oder fortzusetzen.

• Um die Karte „Security Alert Triage Agent“ in der Vorfallswarteschlange zu öffnen, wählen Sie Untersuchung & Reaktion > Vorfälle & Warnungen > Vorfälle aus.

  Die Karte des Security Alert Triage Agent über der Incident-Warteschlange zeigt einige der wichtigsten Metriken des Agenten an, darunter Bearbeitete Incidents – also Incidents mit Warnungen, die der Agent als echte Bedrohungen oder Fehlalarme klassifiziert hat.

  Diese Daten helfen bei der Veranschaulichung der Auswirkungen des Agents und können verwendet werden, um umfassendere strategische Gespräche zu führen, die Rendite hervorzuheben oder Entscheidungen zur Skalierung der Automatisierung in Ihren organization zu unterstützen.

  Metriken werden basierend auf der Aktivität des Agents berechnet, beginnend entweder mit dem ersten aufgezeichneten Incident oder den letzten 30 Tagen ( je nachdem, was aktueller ist).

  

  Wählen Sie auf der Karte Agent verwalten aus, um die Seite Sicherheitswarnungs-Triage-Agent zu öffnen, die über weitere Leistungsmetriken und Verwaltungsoptionen verfügt.

Bearbeiten von Agent-Einstellungen

So bearbeiten Sie die Einstellungen des Agents:

1. Wählen Sie Security Copilot > Agents aus.

2. Suchen Sie unter Verwendete Agents nach dem Sicherheitswarnungs-Triage-Agent, und wählen Sie Zum Agent wechseln aus.

3. Wählen Sie oben rechts auf der Seite > die Option Auslassungszeichen (...) Agent bearbeiten aus.

   Die Seite Agent bearbeiten verfügt über drei Registerkarten:

   • Identität und Rolle : Ändern Sie die Identität des Agents. Wählen Sie eine neue Identität auswählen aus, und führen Sie die in Identität und Berechtigungen für den Agenten zuweisen beschriebenen Schritte aus.

   • Feedback : Anzeigen und Verwalten von benutzerseitig übermitteltem Feedback. Weitere Informationen finden Sie unter Anzeigen und Verwalten von Feedback an den Agent.

   • Unterstützte Warnungen : Zeigen Sie an, welche der unterstützten Warnungstypen der Agent selektieren kann. So aktivieren oder deaktivieren Sie bestimmte Warnungstypen für den Agent:

     1. Wählen Sie Unterstützte Warnungen bearbeiten aus, um die Seite "Vom Agent unterstützte Warnungen" zu öffnen.

        

     2. Schalten Sie einzelne Warnungstypen ein oder aus, und wählen Sie Aktualisieren aus.

        

     3. Wählen Sie Rollenberechtigungen aktualisieren aus, um die Updates anzuwenden.

        

Feedback für den Agent anzeigen und verwalten

Der Sicherheitswarnungs-Selektierungs-Agent lernt aus benutzerseitig übermitteltem Feedback und verbessert seine Leistung im Laufe der Zeit. Es speichert anwendbares Feedback in seinem Gedächtnis als Lektionen. Sie können Feedback für den Sicherheitswarnungs-Selektierungs-Agent auf der Seite Agent-Feedback anzeigen und verwalten.

Diese Seite enthält eine umfassende Liste aller Feedbacks, die an den Agent übermittelt werden. Sie können die wichtigsten Details für jedes Feedback überprüfen, einschließlich:

• Die ursprüngliche Klassifizierung des Agents und die vom Benutzer angewendete Änderung
• Das ursprüngliche Feedback des Benutzers beim Ändern der Klassifizierung
• Die vom Agent generierte übersetzte Lektion (falls zutreffend)
• Feedback status: in Verwendung, nicht in Gebrauch oder Konflikt
• Der Benutzer, der das Feedback übermittelt hat
• Feedbackübermittlungsdatum, Feedback-ID, Warnungs-ID und Incident-ID

In dieser Tabelle werden die Feedbackstatus erläutert:

So zeigen Sie vom Benutzer übermitteltes Feedback an und verwalten es:

1. Wählen Sie Security Copilot > Agents aus, suchen Sie unter Verwendete Agents nach dem Security Alert Triage-Agent, und wählen Sie Zum Agent wechseln aus.

2. Wählen Sie oben rechts auf der Seite die Option Auslassungszeichen (...) > Agent bearbeiten aus. Dadurch wird die Seite Agent bearbeiten geöffnet.

3. Wählen Sie im linken Bereich Feedback aus, um die Seite Agent-Feedback zu öffnen.

4. Wählen Sie einen Eintrag aus der Feedbackliste aus, um den Bereich Feedback überprüfen zu öffnen.

5. Überprüfen Sie die Details des bereitgestellten Feedbacks, die Lektion des Agents, die Klassifizierungsänderungen und andere wichtige Details.

   

6. Um bestimmtes Feedback abzulehnen, wählen Sie Feedback ablehnen aus. Der Agent verwendet das Feedback bei zukünftigen Selektierungsentscheidungen nicht mehr.

   Hinweis

   Um feedback abzulehnen, benötigen Sie die Rolle Sicherheitsadministrator in Microsoft Entra ID.

Entfernen des Agents

Wenn Sie den Agent entfernen, wird die Selektierung und Klassifizierung neuer Vorfälle beendet, und das gesamte Feedback wird gelöscht. Der Verlauf zuvor triagierter Incidents wird jedoch zu Ihrer Referenz beibehalten.

So entfernen Sie den Agent:

1. Wählen Sie Security Copilot > Agents aus, suchen Sie unter Verwendete Agents nach dem Security Alert Triage-Agent, und wählen Sie Zum Agent wechseln aus.
2. Wählen Sie oben rechts auf der Seite die Schaltfläche mit den Auslassungspunkten (...) und anschließend Entfernen aus.

Häufig gestellte Fragen

Dieser Abschnitt beantwortet häufig gestellte Fragen zum Security Alert Triage Agent. Informationen zu den Funktionen und Anforderungen des Agents finden Sie unter Funktionsweise und Voraussetzungen des Security Alert Triage Agent.

Was ist der Sicherheitswarnungs-Selektierungs-Agent, wie unterscheidet er sich vom Phishing-Selektierungs-Agent, und wie kann ich das Onboarding durchführen, wenn ich den Agent bereits zum Selektieren von Phishingwarnungen verwende?

Der Sicherheitswarnungs-Triage-Agent ist ein autonomer Microsoft Security Copilot-Agent, der in Microsoft Defender eingebettet ist und Sicherheitsteams dabei hilft, Warnungen im großen Stil zu selektieren. Es wertet Warnungen mithilfe von KI-gesteuertem Denken aus, gelangt zu einem Urteil und zeichnet die Schlussfolgerungen direkt in Microsoft Defender Incidents auf, um Analysten bei der Priorisierung der Handlungsbedarfe zu unterstützen.

Der Agent für die Triage von Sicherheitswarnungen ist derselbe Agent wie der Phishing-Triage-Agent, erweitert um zusätzliche Arten von Warnungen über E-Mail und Kollaboration hinaus zu triagieren. Der Sicherheitswarnungs-Triage-Agent ist modular aufgebaut. Sie wählen aus, welche Warnungstypen der Agent selektieren soll. Der Agent wird nun auch auf Identitäts- und Cloudwarnungen erweitert, zunächst für Container, die sich derzeit in der Vorschauphase befinden. Triagefunktionen für E-Mail- und Zusammenarbeitswarnungen sind bereits allgemein verfügbar (GA). Es wird erwartet, dass der Satz unterstützter Warnungen im Laufe der Zeit zunehmen wird.

Wenn Sie bereits den Phishing-Triage-Agent verwenden, müssen Sie keinen neuen Agent installieren. Ihr vorhandener Agent wird weiterhin ausgeführt, und Sie können die zusätzlichen Warnungstypen über die Konfiguration aktivieren. Um die erweiterten Funktionen zu nutzen, überprüfen Sie die Voraussetzungen für den Security Alert Triage Agent für die zusätzlichen Alarmtypen und bearbeiten die Einstellungen des Security Alert Triage Agent , um die gewünschten Alarmtypen auszuwählen.

Ihre vorhandene Phishing-Selektierungskonfiguration und Ihr Feedback werden automatisch übernommen. Weitere Informationen finden Sie unter Funktionsweise des Sicherheitswarnungs-Selektierungs-Agents und Einrichten des Sicherheitswarnungs-Selektierungs-Agents.

Wann wird der Agent ausgelöst?

Dieser Agent wird automatisch ausgeführt, wenn eine neue Warnung erkannt wird. Integrierte Optimierungsregeln, die unterstützte Warnungstypen auflösen, werden während des Setups deaktiviert.

Kann dem Security Alert Triage Agent vertraut werden?

Microsoft AI Agents befolgen strenge Richtlinien für verantwortungsvolle KI und werden gründlichen Überprüfungen unterzogen, um die Einhaltung aller KI-Standards und Sicherheitsvorkehrungen sicherzustellen. Der Sicherheitswarnungs-Triage-Agent ist vollständig in diese Steuerelemente integriert. Während des Setups weisen Sie dem Agent eine Identität zu und konfigurieren ihn mit den minimalen Berechtigungen, die für seinen Betrieb erforderlich sind, um sicherzustellen, dass er nicht über unnötige Berechtigungen verfügt. Alle Agent-Aktivitäten werden detailliert protokolliert, wobei der gesamte Flow jederzeit von Analysten und Administratoren überprüft werden kann. Feedback, das an den Agent bereitgestellt wird, um ihn bei der Anpassung an die Umgebung des organization zu unterstützen, wird protokolliert, im System widerspiegelt und kann von Administratoren nach Bedarf überprüft und geändert werden.

Wie unterscheidet sich der Agent von einer STANDARD-SOAR-Lösung?

Sowohl SOAR-Lösungen als auch der Security Alert Triage-Agent automatisieren zwar Aspekte von Sicherheitsvorgängen, verwenden jedoch unterschiedliche Ansätze.

SOAR-Lösungen basieren in der Regel auf vordefinierten, regelbasierten Workflows, die eine manuelle Konfiguration und laufende Wartung erfordern. Im Gegensatz dazu verwendet der Security Alert Triage-Agent eine auf Gründen basierende Analyse, um Warnungen zu selektieren und Klassifizierungen innerhalb Microsoft Defender aufzuzeichnen, mit menschlicher Aufsicht und optionalem Feedback, sofern unterstützt.

Der Agent arbeitet innerhalb definierter Berechtigungen und Workflows in Microsoft Defender und ersetzt keine vorhandenen Untersuchungs- oder Antworttools.

Welche Sichtbarkeit und Kontrolle habe ich über den Agent?

Microsoft stellt Tools bereit, mit denen Organisationen den Einblick und die Kontrolle über den Sicherheitswarnungs-Triage-Agent von der Bereitstellung bis hin zum laufenden Betrieb behalten können. Die Agenten halten sich an die RAI-Standards (Responsible AI) von Microsoft für Fairness, Zuverlässigkeit, Sicherheit, Datenschutz, Sicherheit, Inklusion, Transparenz und Verantwortlichkeit. Administratoren konfigurieren die Identitäts- und Zugriffsebenen des Agents während der Installation nach den Prinzipien der geringsten Rechte. Sicherheits- und IT-Teams können bestimmte Aktionen autorisieren, die Leistung überwachen und Ausgaben direkt in Microsoft Defender überprüfen. Kapazitätsnutzungs- und Datenzugriffslimits können auch von Administratoren konfiguriert werden.

Der Sicherheitswarnungs-Triage-Agent agiert innerhalb einer Zero-Trust-Umgebung. Das System setzt organisatorische Richtlinien bei jeder Aktion eines Agenten durch, indem es Zweck und Umfang jeder Operation auswertet. Alle Entscheidungen, Argumentationen und Aktionen des Agents werden transparent als Entscheidungsstruktur in Defender dokumentiert und in Microsoft Purview-Überwachungsprotokollen zur Rückverfolgbarkeit und Compliance aufgezeichnet.

Ich möchte den Sicherheitswarnungs-Selektierungs-Agent ausprobieren – wie kann ich ihn in Microsoft Defender einrichten?

Zum Einrichten des Agents müssen Sie Zugriff auf Security Copilot in Microsoft Defender haben und die erforderlichen Voraussetzungen erfüllen. Wenn Sie noch kein Onboarding bei Security Copilot vorgenommen haben, lesen Sie Erste Schritte mit Security Copilot oder wenden Sie sich an Ihren Microsoft-Vertreter. Nach dem Onboarding in Security Copilot kann es einige Zeit dauern, bis die Agent-Setupoption im Microsoft Defender-Portal verfügbar ist.

Ich habe den Agenten für die Triage von Sicherheitswarnungen ausprobiert – wie kann ich die für den Agenten in meiner Organisation benötigte SCU-Kapazität abschätzen?

Es ist wichtig, sicherzustellen, dass Ihre Organisation über ausreichende SCUs für den fehlerfreien Betrieb des Agenten verfügt. Um die SCU-Nutzung auszuwerten und die zukünftige Kapazitätsplanung vorzunehmen, sehen Sie sich das Dashboard zur Nutzungsüberwachung im Security Copilot-Portal an, und prüfen Sie, ob Sie im Rahmen des Microsoft Security Copilot-Inklusionsmodells Anspruch auf SCUs haben. Das Dashboard zeigt Folgendes an:

• Kosten pro verarbeiteter E-Mail
• Kapazitätsverbrauch im Zeitverlauf

Sie können die Dashboard Daten auch nach Excel exportieren, um eine detailliertere Analyse durchzuführen und nur nach Agent-Vorgängen zu filtern.

Nachdem Sie Ihre SCU-Nutzungsanforderungen bewertet haben, aktualisieren Sie die SCU-Kapazität für Ihre organization. Weitere Informationen zum Verwalten von SCUs finden Sie unter Verwalten der Nutzung von Sicherheitscomputeeinheiten in Security Copilot.

Verwandte Inhalte

• Microsoft Security Copilot-Agenten
• Häufig gestellte Fragen zur verantwortungsvollen KI für Security Copilot-Agent