Distribuisci agenti IA in Microsoft Defender

Security Store nel portale di Microsoft Defender offre vari agenti che consentono di eseguire le attività di sicurezza in modo efficiente. Questi agenti includono agenti Microsoft Security Copilot pubblicati da Microsoft e dai partner. Questi agenti si integrano con Microsoft Defender ed eseguono varie attività di sicurezza (SOC), ad esempio valutazione degli eventi imprevisti, indagini, ricerca delle minacce e intelligence sulle minacce.

Questo articolo illustra come individuare e distribuire gli agenti di intelligenza artificiale in Microsoft Defender.

Prerequisiti

Per acquistare, distribuire e usare agenti da Security Store, è necessario:

• Accesso a un'area di lavoro di Security Copilot di cui è stato effettuato il provisioning con capacità SCU.
• Per gli agenti pubblicati dai partner, è necessario il ruolo di collaboratore o proprietario della sottoscrizione Azure.

Individuare e distribuire agenti nel portale di Microsoft Defender

Per individuare e distribuire gli agenti nel portale di Microsoft Defender:

1. Selezionare Security Copilot > Archivio di sicurezza.

2. Sfoglia o cerca l'agente che desideri distribuire.

3. Selezionare l'agente per visualizzarne i dettagli, incluse le funzionalità, i requisiti e le istruzioni di configurazione.

4. Per acquistare e distribuire l'agente:

   • Selezionare Ottieni agente per avviare il processo di distribuzione se si dispone di autorizzazioni sufficienti. Per altre informazioni, vedere Prerequisiti.

   • Selezionare Copia collegamento per copiare l'URL della pagina dei dettagli dell'agente e condividerlo con un amministratore della sicurezza, se non si dispone delle autorizzazioni per distribuire gli agenti.

     

   • Per gli agenti pubblicati dai partner, completare l'acquisto e la distribuzione nel sito Web di Security Store, come descritto nella documentazione di Microsoft Security Store.

     È possibile gestire gli acquisti centralizzati per gli agenti pubblicati dai partner tramite offerte pubbliche o offerte private, come descritto in Come acquistare soluzioni SaaS (offerte private).

5. Dopo aver acquistato l'agente, selezionare Security Copilot > Agenti, trovare l'agente nella sezione Pronto per l'installazione e quindi selezionare Configura per avviare la configurazione dell'agente.

   Per altre informazioni sulla configurazione, la gestione e l'esecuzione di agenti pubblicati dal partner, vedere Gestire gli agenti Security Copilot.

   Per altre informazioni sugli agenti di Microsoft Security Copilot, vedere Agenti di Microsoft Security Copilot in Microsoft Defender.

   Dopo l'installazione, l'agente viene visualizzato nella sezione Agenti in uso .

Gli agenti di Microsoft Security Copilot in Microsoft Defender

Questa sezione descrive in dettaglio gli agenti Microsoft Security Copilot disponibili nel portale di Microsoft Defender.

• Agente di valutazione degli avvisi di sicurezza (anteprima)
• Agente di briefing dell'intelligence sulle minacce
• Assistente alla Caccia alle Minacce
• Agente analista della sicurezza
• Agente di rilevamento dinamico delle minacce

Agente di valutazione degli avvisi di sicurezza (anteprima)

L'agente di valutazione degli avvisi di sicurezza è un agente autonomo che consente ai team di sicurezza di valutare gli avvisi su larga scala tra più carichi di lavoro. L'agente applica il ragionamento dinamico basato sull'intelligenza artificiale per fornire verdetti chiari per i carichi di lavoro di sicurezza supportati. Questo è lo stesso agente del Phishing Triage Agent, che ha dimostrato miglioramenti misurabili in termini di accuratezza ed efficienza del triage. L'agente può ora valutare un set più ampio di avvisi in Microsoft Defender, inclusi avvisi di posta elettronica e collaborazione (disponibili a livello generale) e avvisi cloud e identità (anteprima). L'agente opera in modo autonomo, fornisce una logica trasparente per i verdetti di classificazione in linguaggio naturale e impara e migliora continuamente la sua accuratezza in base al feedback degli analisti.

Agente di briefing dell'intelligence sulle minacce

L'agente di intelligence sulle minacce fornisce ai team delle operazioni di sicurezza briefing periodici e personalizzati di intelligence sulle minacce. L'agente raccoglie e sintetizza in modo autonomo i dati di intelligence sulle minacce rilevanti da varie origini, fornendo informazioni concise e interattive per aiutare gli analisti a rimanere informati sulle minacce e le tendenze emergenti.

Configurare le autorizzazioni di Defender for Endpoint per l'identità dell'agente

Quando si esegue il Threat Intelligence Briefing Agent con un'identità agente, è inoltre necessario configurare le seguenti autorizzazioni del ruolo di Defender for Endpoint e l'accesso ai gruppi di dispositivi. Senza queste autorizzazioni, il report di esposizione può essere visualizzato come "non disponibile" o restituire zero CVE anche quando esistono vulnerabilità nell'ambiente.

Passaggio 1: Aggiornare le autorizzazioni del ruolo dell'agente

1. Accedere al portale di Microsoft Defender.
2. Passare a Impostazioni>Endpoint>Autorizzazioni>Ruoli.
3. Individuare il ruolo personalizzato assegnato all'agente di briefing sull'intelligence delle minacce.
4. Modificare il ruolo e verificare che siano abilitate le autorizzazioni seguenti:
   • Ricerca avanzata - Lettura
   • Gestione delle vulnerabilità - Lettura
   • Configurazione macchina – Lettura
   • Inventario dispositivi - Lettura
5. Salvare eventuali modifiche se vengono eseguiti aggiornamenti.

Passaggio 2: Concedere al gruppo di dispositivi l'accesso all'agente

1. Nel portale di Microsoft Defender passare a Impostazioni>Endpoint>Gruppi di dispositivi.
2. Per ogni gruppo di dispositivi che contiene endpoint di produzione:
   1. Aprire il gruppo di dispositivi.
   2. Selezionare la sezione Accesso utente .
   3. Aggiungere l'identità dell'agente di Intelligence per le minacce.
   4. Assegnare l'accesso in lettura.
3. Salvare le modifiche.

Assistente alla Caccia alle Minacce

L'Assistente alla Caccia alle Minacce rivoluziona la caccia alle minacce permettendoti di indagare sulle minacce usando il linguaggio naturale dall'inizio alla fine. Non solo genera query KQL, ma interpreta anche i risultati, visualizza informazioni dettagliate e guida l'utente nelle sessioni di ricerca complete. Queste funzionalità consentono di cacciare le minacce più velocemente, in modo più accurato e con maggiore sicurezza.

Agente analista della sicurezza

L'agente degli analisti della sicurezza consente agli analisti della sicurezza di identificare, valutare e assegnare priorità ai rischi rapidamente eseguendo analisi pronte all'uso o personalizzate sui dati di sicurezza. L'agente fornisce informazioni dettagliate, raccomandazioni e report interattivi e con priorità per individuare le principali vulnerabilità e rischi. Supporta i dati di Microsoft Defender, Sentinel Log Analytics o Sentinel Data Lake, e può svolgere compiti di analisi complessi come rilevamento di anomalie, clustering, risk scoring e previsione senza richiedere codice o interrogazioni.

Agente di rilevamento dinamico delle minacce

L'agente di rilevamento dinamico delle minacce nel portale di Defender è un servizio back-end adattivo e sempre attivo che individua le minacce nascoste negli ambienti Defender e Microsoft Sentinel. Usa l'intelligenza artificiale per identificare le lacune e individuare falsi negativi correlando avvisi, eventi, anomalie e intelligence sulle minacce. Quando l'agente identifica un gap, genera un avviso dinamico con il contesto completo nei dettagli dell'avviso, tra cui spiegazioni in linguaggio naturale, tecniche MITRE ATT&CK mappate e passaggi di correzione mirati.