Configura la protezione in runtime degli agenti AI con Microsoft Defender per endpoint (Anteprima)

Gli agenti di intelligenza artificiale locale vengono eseguiti con i privilegi dell'utente sugli endpoint su cui operano, in cui possono leggere file, richiamare strumenti ed eseguire comandi. Istruzioni dannose nascoste nel contenuto letto da un agente possono dirottare l'agente tramite iniezione di prompt. La protezione del runtime dell'agente di intelligenza artificiale consente di rilevare la richiesta di inserimento a livello di dispositivo e di bloccare o controllare l'azione dell'agente prima che agisca in base a tali istruzioni.

Questo articolo spiega come abilitare la protezione in tempo reale in Microsoft Defender per endpoint, distribuirla in tutta la tua organizzazione e indagare sui rilevamenti.

Per una panoramica del funzionamento della protezione runtime, vedere Protezione runtime dell'agente di intelligenza artificiale con Microsoft Defender per endpoint.

Prerequisiti

Prima di configurare la protezione di runtime, esaminare i requisiti seguenti:

• L'organizzazione ha una licenza Microsoft Defender per endpoint Plan 2, Microsoft 365 E5, Microsoft Agent 365 o Microsoft 365 E7.
• I dispositivi sono integrati in Defender per endpoint e Microsoft Defender Antivirus è in esecuzione in modalità attiva con la protezione in tempo reale abilitata.
• I tuoi dispositivi stanno utilizzando una versione supportata di Windows, e Microsoft Defender Antivirus ha gli ultimi aggiornamenti di piattaforma, motore e intelligence di sicurezza.
• I dispositivi hanno uno o più agenti di intelligenza artificiale locale supportati installati per l'approccio di protezione di runtime che si prevede di abilitare.
• Per distribuire le impostazioni con Microsoft Intune, il tuo account ha un ruolo Intune con permesso per creare, aggiornare e assegnare configurazioni dei dispositivi, come Policy e Profile Manager.
• Per esaminare gli avvisi, il tuo account ha un ruolo Microsoft Entra supportato, come Security Reader, Security Operator o Security Administrator, oppure un ruolo personalizzato Microsoft Defender con permesso di leggere i dati di sicurezza. Per ulteriori informazioni, vedi Permessi richiesti per indagare sugli avvisi.

Approccio di distribuzione consigliato

Microsoft consiglia l'implementazione in più fasi:

1. Test: abilitare la protezione del runtime in modalità di controllo in un piccolo set di dispositivi in cui vengono usati attivamente gli agenti supportati.
2. Recensione: Monitorare gli avvisi nel portale Microsoft Defender per una o due settimane. Classifica gli avvisi inaccurati come falsi positivi. Se un rilevamento riguarda un file erroneamente identificato come malevolo, inviare il file a Microsoft per l'analisi.
3. Distribuisci: Distribuisci in tutta la tua organizzazione in modalità audit su più gruppi di dispositivi.
4. Applica: dopo avere verificato che gli avvisi siano accurati e consentano di intervenire, passare alla modalità di blocco nei gruppi di dispositivi in cui si desidera attivare l'applicazione attiva.

Abilitare la protezione di runtime

Per abilitare la protezione di runtime in un singolo dispositivo:

1. Aprire una sessione di PowerShell con privilegi elevati (finestra di PowerShell aperta selezionando Esegui come amministratore).

2. Verificare che AntivirusSignatureVersion sia 1.451.224.0 o versione successiva:

   Get-MpComputerStatus | Select-Object AntivirusSignatureVersion
   

3. Scegliere il metodo di protezione di runtime da abilitare.

   È possibile abilitare l'ispezione degli eventi nativa dell'agente, l'ispezione di rete o entrambi. Entrambi i metodi supportano le stesse modalità: Disabled, Audite Block.

   • Utilizzare AiAgentProtection per proteggere gli agenti che espongono interfacce per eventi dell'agente supportate dal fornitore.
   • Usare AiAgentNetworkInspection per estendere la protezione agli agenti che non espongono interfacce evento dell'agente supportate dal fornitore.

4. Abilitare il metodo o i metodi necessari:

   • Per abilitare l'ispezione degli eventi agent-native, sostituisci <mode> con Audit o Block, e poi esegui il seguente comando:

     Set-MpPreference -AiAgentProtection <mode>
     

   • Per abilitare l'ispezione di rete, sostituisci <mode> con Audit o Block, e poi esegui il seguente comando:

     Set-MpPreference -AiAgentNetworkInspection <mode>
     

   Per disattivare entrambi i metodi di protezione runtime, imposta la modalità su Disabled.

   Per informazioni dettagliate su ogni modalità, vedere Cosa accade quando si abilita la protezione del runtime. Per altre informazioni sui metodi di protezione di runtime, vedere Ispezione di rete e Ispezione degli eventi nativa dell'agente.

5. Verificare le impostazioni correnti:

   Get-MpPreference | Select-Object AiAgentProtection, AiAgentNetworkInspection
   

6. Chiudere la finestra di PowerShell e tutte le finestre del terminale usate per eseguire gli agenti. Aprire quindi una nuova finestra del terminale prima di avviare l'agente.

Distribuisci le impostazioni in tutta la tua organizzazione con Microsoft Intune

I comandi PowerShell nella sezione Abilita la protezione runtime configurano un singolo dispositivo. Dopo aver confermato il comportamento di protezione runtime su un gruppo di dispositivi limitato, distribuisci uno script della piattaforma PowerShell ai gruppi di dispositivi target. Lo script può configurare l'ispezione degli eventi nativa dell'agente, l'ispezione della rete o entrambe su Audit o Block nei dispositivi interessati.

Per distribuire le impostazioni di protezione runtime con Microsoft Intune:

1. Creare uno script di PowerShell che includa le impostazioni da distribuire.

   Per abilitare l'ispezione degli eventi nativa dell'agente:

   Set-MpPreference -AiAgentProtection Audit
   

   Per abilitare l'ispezione di rete:

   Set-MpPreference -AiAgentNetworkInspection Audit
   

   Sostituire Audit con Block quando si è pronti per applicare la protezione. È possibile abilitare entrambe le impostazioni o entrambe in base alla copertura dell'agente necessaria.

2. Nelle impostazioni dello script, imposta Esegui questo script usando le credenziali di accesso su No. Questa impostazione esegue lo script nel contesto di sistema in modo che abbia il permesso di cambiare le preferenze di Microsoft Defender Antivirus.

3. Usa Microsoft Intune per distribuire lo script ai gruppi di dispositivi target. Per i passaggi dettagliati, vedere Usare gli script di PowerShell nei dispositivi Windows in Intune.

4. Per applicare successivamente una modalità diversa, aggiorna lo script o i relativi criteri in modo che Intune esegua di nuovo lo script.

Esaminare e analizzare i rilevamenti

Dopo aver abilitato la protezione in fase di esecuzione, esamina gli avvisi per verificare l'accuratezza del rilevamento e ottimizzare la configurazione prima di estenderne l'applicazione. Questo passaggio è fondamentale durante la fase di controllo perché consente di comprendere quali agenti riscontrano e se i rilevamenti rappresentano minacce reali.

Quando la protezione di runtime rileva l'inserimento dei prompt, Defender genera un avviso di inserimento di richieste di intelligenza artificiale sospette e attiva l'azione in base alla modalità configurata. L'allarme appare nella timeline del dispositivo e gli avvisi correlati sono correlati a incidenti per l'indagine del centro operativo di sicurezza (SOC). In modalità blocco, la gravità dell'avviso è Critica, Alta, Media o Bassa in base al rischio valutato. In modalità di controllo, l'avviso è informativo, in modo che il team possa esaminare ciò che sarebbe stato bloccato senza analizzarlo come una minaccia attiva.

Per maggiori informazioni sul comportamento delle modalità, vedi Cosa succede quando attivi la protezione in tempo reale.

Esperienza dell'utente finale

Quando Defender blocca un'azione dell'agente, segue le regole di notifica configurate per il dispositivo. Gli utenti possono ricevere le seguenti notifiche:

1. Nel terminale dell'agente: l'agente visualizza un messaggio di blocco che mostra cosa è stato bloccato, perché e conferma che l'azione non è stata eseguita.
2. Notifica popup di Windows: Se le notifiche di protezione di Windows sono abilitate, viene visualizzata una notifica di sistema indipendentemente dal fatto che la finestra dell'agente sia attiva o meno.

La schermata seguente mostra un esempio di iniezione di prompt bloccata nel terminale dell'agente e la corrispondente notifica popup di Windows:

Gli utenti possono anche controllare i rilevamenti in Sicurezza di Windows>Protezione da virus e minacce>Minacce correnti e nella Cronologia della protezione, dove possono visualizzare il nome della minaccia, la gravità, l'agente interessato e lo stato di correzione.

Esperienza delle operazioni di sicurezza

Per i team di operazioni di sicurezza, gli eventi di protezione a runtime appaiono nel portale Microsoft Defender. Seleziona un avviso per visualizzare il tipo di rilevamento, la gravità, l'agente interessato, i dettagli dell'albero del processo e le azioni raccomandate.

Il team di sicurezza usa gli stessi flussi di lavoro di analisi degli altri rilevamenti di endpoint: revisione della sequenza temporale, correlazione di avvisi ed entità e azioni di risposta.

Per altre informazioni, vedere Analizzare gli avvisi in Microsoft Defender e Analizzare gli eventi imprevisti in Microsoft Defender.