Schlüsselkonzepte in Project Wahrnehmung

  • Gilt für:: Project Perception

Important

Einige Informationen in diesem Artikel beziehen sich auf ein vorab veröffentlichtes Produkt, das vor der kommerziellen Veröffentlichung möglicherweise erheblich geändert wird. Microsoft übernimmt keine Gewährleistungen, ausgedrückt oder impliziert, in Bezug auf die hier bereitgestellten Informationen. Project Wahrnehmung befindet sich derzeit in der eingeschränkten öffentlichen Vorschau. Eingeschränktes öffentliches Vorschauprogramm bedeutet, dass Die Wahrnehmung für einen kleinen, nur einladungsgeschützten Kundensatz für ein definiertes Vorschaufenster vor einer breiteren öffentlichen Verfügbarkeit verfügbar ist.

Project Wahrnehmung verwendet die folgenden Konzepte, um agentische Arbeit zu organisieren: Sitzungen, Agenten und Playbooks. Wenn Sie diese Konzepte verstehen, können Sie agentische Vorgänge effektiv konfigurieren, delegieren und überwachen.

Sessions

Eine Sitzung ist der Datensatz einer Agentinteraktion. Sitzungen erfassen Agentaktivitäten, Entscheidungen, Eingaben, Ausgaben und alle Genehmigungen oder menschliche Interventionen. Sitzungen können einen einzelnen Agent oder mehrere Agents umfassen, die in Koordination arbeiten. Jede Sitzung verfügt über einen Status, der den Aggregatstatus aller Darin enthaltenen Aufgaben widerspiegelt.

Weitere Informationen zu Sitzungen finden Sie unter Anzeigen und Verwalten von Sitzungen.

Agents

Ein Agent ist eine autonome oder halbautonale Softwareentität, die Tools verwenden und Aufgaben ausführen kann. Project Wahrnehmungs-Agents sind Microsoft veröffentlichten Agents, die für umfassende, autonome Sicherheitsvorgänge entwickelt wurden. Sie bilden den Kern des Multi-Agent-SOC-Systems von Microsoft, der den vollständigen Lebenszyklus von Sicherheitsvorgängen von der Bedrohungserkennung bis hin zur Erkennungserstellung, Expositionsanalyse, Statuspriorisierung, Warnungstriage und Vorfalluntersuchung abdeckt.

Wahrnehmungs-Agents sind für die Zusammenarbeit konzipiert. Die Ausgabe von einem Agent wird zur Eingabe für einen anderen, wodurch End-to-End-Workflows ermöglicht werden. Beispielsweise werden bedrohungserkennungen, die vom Threat Intelligence-Agent extrahiert wurden, direkt in Erkennungen eingespeist, die vom Erkennungserstellungs-Agent erstellt wurden.

Wahrnehmungs-Agents erfordern eine Agentidentität und Rollenzuweisung, bevor sie verwendet werden können. Anweisungen zum Einrichten finden Sie unter "Arbeiten mit Agents".

Zu den Wahrnehmungsmitteln gehören:

Agent Agentteam Description
Recon Agent Rotes Team Führt Angreifer-Scouting-Aktivitäten durch, um Ihre Umgebung zu ermitteln. Verwenden Sie diesen Agent, um Angriffspfade, Drosselpunkte, wertvolle Ressourcen, Konfigurationsprobleme und übermäßige Berechtigungen anzuzeigen.
Triage Agent Blaues Team Klassifiziert und löst verschiedene Arten von Warnungen als wahr oder falsch positiv. Dieser Agent bietet eine detaillierte Erklärung hinter seinen Schlussfolgerungen, lernen von Kontext und Benutzerfeedback zur Verbesserung der Genauigkeit.
Threat Intelligence-Agent Blaues Team Extrahiert Angriffsmuster, Indikatoren und andere wichtige TI-Objekte und analysiert sie anhand von Erkenntnissen zur Abwehr oder Reaktion auf eine Bedrohung.
Angriffsuntersuchungs-Agent Blaues Team Rekonstruiert die vollständige Angriffsgeschichte über Warnungen, Vorfälle und andere Sicherheitssignale hinweg. Dieser Agent bietet analystenbereite Einblicke, einschließlich Bewertungen, Zeitachsen, Angriffstechniken, Gefährdungsindikatoren und betroffene Entitäten.
Erkennungserstellungs-Agent Blaues Team Identifiziert Lücken bei der Bedrohungsabdeckung und erstellt Erkennungsregeln, um Die Abwehrmaßnahmen zu verbessern, während Sich Bedrohungen entwickeln.
Haltungspriorisierungs-Agent Grünes Team Bewertet Haltungsprobleme allgemein oder im Kontext spezifischer Bedrohungen durch reale Risiken, Exposition, Exploitability und Asset Criticality. Dieser Agent bietet klare, fokussierte Anleitungen dazu, was zuerst behoben werden soll und warum.

Leitfaden

Ein Playbook ist ein wiederverwendbarer, agentgesteuerter Satz von Aktionen für ein bestimmtes Sicherheitsziel. Wenn sie ausgeführt wird, führen Agents die Schritte des Playbook im Namen des Benutzers aus, untersuchen Signale, Korrelieren von Daten und erzeugen Die Ausgabe, ohne dass bei jedem Schritt manuelle Eingriffe erforderlich sind.

Wichtige Merkmale von Playbooks:

  • Voreingestellt durch Microsoft. Die Playbookliste ist schreibgeschützt. Sie können in dieser Version keine benutzerdefinierten Playbooks erstellen.
  • Kann mehrere Agents verwenden. Ein einzelnes Playbook kann mehrere Agents umfassen, und ein einzelner Agent kann von mehreren Playbooks verwendet werden.
  • Möglicherweise muss eine Eingabe ausgeführt werden. Je nach Playbook wird eine Sitzung möglicherweise erst gestartet, wenn Sie die spezifischen Eingaben angeben, die sie benötigt. Beispielsweise erfordert das Playbook "Angriff untersuchen" eine Vorfall-ID, bevor es ausgeführt werden kann.
  • Alle Agents müssen aktiviert sein. Ein Playbook ist nur aktiv, wenn alle erforderlichen Agents eingerichtet und aktiviert sind.

Die Wahrnehmung umfasst die folgenden Playbooks. Einige Playbooks führen einen einzelnen Agent für eine fokussierte Aufgabe aus. Andere koordinieren mehrere Agents in Sequenz, wobei die Ausgabe jedes Agents die nächste feeds.

Leitfaden Description Teilnehmende Agents
Triage-Warnung Überprüft eine Warnung auf falsch positive Ergebnisse, sodass echte Bedrohungen weitere Aufmerksamkeit erhalten. Triage Agent
Schutz vor einer Bedrohung Multi-Agent-Workflow, der eine Bedrohungserkennungsquelle verwendet und Angriffspfadanalyse, Haltungsergebnisse, priorisierte Korrekturen und neue Erkennungsregeln erzeugt. Threat Intelligence Agent, Recon Agent, Posture Prioritization Agent, Erkennungserstellungs-Agent
Untersuchen von Angriffen Führt eine autonome Untersuchung der Ebene 2 eines Defender Vorfalls durch und erzeugt eine vollständige Angriffsstory mit Bewertungs-, Zeitachsen- und Wartungsaktionen. Angriffsuntersuchungs-Agent
Extrahieren der Bedrohungserkennung Analysiert einen Artikel zur Bedrohungserkennung und produziert strukturierte Intelligence-Objekte, einschließlich TTPs, IOCs, CVEs und KQL-Suchabfragen. Threat Intelligence-Agent
Identifizieren von Angriffspfaden Ordnet zu, wie ein Angreifer durch Ihre Azure Umgebung navigieren und wertvolle Ressourcen erreichen kann, mit Drosselungsanalysen und Korrekturempfehlungen. Recon Agent
Planen der Wartung von Haltungen Erstellen Sie einen priorisierten Wartungsplan für Clouds, Geräte und KI. Dieses Playbook wiegt risiken, exploitability und asset context to target the highest-risk posture gaps. Haltungspriorisierungs-Agent
Bewerten von Identitätsrisiken Wertet Identitätsexpositions- und Lateral Movement-Risiken in Ihrer Azure Umgebung mit identitätsorientierter Analyse des Angriffspfads und Anleitungen zur Behebung aus. Recon Agent

Beziehung zwischen den Konzepten

Die folgende Tabelle zeigt, wie die Konzepte zusammenarbeiten:

Konzept Erstellt oder verwendet Example
Sessions Enthält Agentenarbeit; kann von Playbooks erstellt werden Eine Sitzung, die einen Phishing-Vorfall untersucht, umfasst drei Agents, die sequenziert arbeiten.
Agents Nimmt an Sitzungen teil Ein Bedrohungsintelligenz-Agent tritt einer Sitzung bei, um Indikatoren der Kompromittierung zu untersuchen.
Playbooks Erstellt Sitzungen; zuweisen von Agents Ein Playbook für Vorfälle mit hohem Schweregrad erstellt eine Sitzung mit Triage-, Untersuchungs- und Reaktions-Agents.

Nächste Schritte

  • Zuletzt aktualisiert um