Microsoft Defenderに AI エージェントをデプロイする

Microsoft Defender ポータルの Security Store には、セキュリティ タスクを効率的に実行するのに役立つさまざまなエージェントが用意されています。 これらのエージェントには、Microsoft およびパートナーによって発行されたMicrosoft Security Copilot エージェントが含まれます。 これらのエージェントはMicrosoft Defenderと統合され、インシデントトリアージ、調査、脅威ハンティング、脅威インテリジェンスなど、さまざまなセキュリティ操作 (SOC) タスクを実行します。

この記事では、Microsoft Defenderで AI エージェントを検出してデプロイする方法について説明します。

前提条件

Security Store からエージェントを購入、デプロイ、使用するには、次のものが必要です。

• SCU 容量でプロビジョニングされたSecurity Copilot ワークスペースへのアクセス。
• パートナーが公開したエージェントの場合は、Azure サブスクリプションの共同作成者ロールまたは所有者ロールが必要です。

Microsoft Defender ポータルでエージェントを検出してデプロイする

Microsoft Defender ポータルでエージェントを検出してデプロイするには、

1. Security Copilot > Security Store を選択します。

2. デプロイするエージェントを参照または検索します。

3. エージェントを選択して、その機能、要件、セットアップ手順など、詳細を表示します。

4. エージェントを購入してデプロイするには:

   • 十分なアクセス許可がある場合は、[ エージェントの取得 ] を選択してデプロイ プロセスを開始します。 詳細については、前提条件をご覧ください。

   • [ リンクのコピー ] を選択して、エージェントの詳細ページ URL をコピーし、エージェントを展開するためのアクセス許可がない場合は、セキュリティ管理者と共有します。

     

   • パートナーが発行したエージェントの場合は、Microsoft Security Store のドキュメントで説明されているように、Security Store Web サイトで購入と展開を完了します。

     「 SaaS ソリューションを購入する方法 (プライベート オファー)」で説明されているように、パブリック オファーまたはプライベート オファーを使用して、パートナーが発行したエージェントの一元的な購入を管理できます。

5. エージェントを購入したら、[エージェントのSecurity Copilot >] を選択し、[セットアップの準備完了] セクションでエージェントを見つけて、[セットアップ] を選択してエージェントのセットアップを開始します。

   パートナーが発行したエージェントの設定、管理、実行の詳細については、「Security Copilot エージェントの管理」を参照してください。

   Microsoft Security Copilot エージェントの詳細については、Microsoft Defender における Microsoft Security Copilot エージェントを参照してください。

   セットアップ後、エージェントは [使用中の エージェント] セクションに 表示されます。

Microsoft Defender の Microsoft Security Copilot エージェント

このセクションでは、Microsoft Defender ポータルで利用可能な Microsoft Security Copilot エージェントについて説明します。

• セキュリティ アラート トリアージ エージェント (プレビュー)
• 脅威インテリジェンスブリーフィングエージェント
• 脅威ハンティングアシスタント
• セキュリティ アナリスト エージェント
• 動的脅威検出エージェント

セキュリティ アラート トリアージ エージェント (プレビュー)

セキュリティ アラートトリアージ エージェントは、セキュリティ チームが複数のワークロードにわたって大規模にアラートをトリアージするのに役立つ自律エージェントです。 エージェントは、サポートされているセキュリティ ワークロードに対して明確な判定を提供するために、AI 主導の動的推論を適用します。 これはフィッシング トリアージエージェントと同じエージェントであり、トリアージの精度と効率の測定可能な改善を示しています。 エージェントは、電子メールとコラボレーションのアラート (一般提供)、クラウドと ID のアラート (プレビュー) など、Microsoft Defenderのアラートのより広範なセットをトリアージできるようになりました。 エージェントは自律的に動作し、自然言語での分類判定の透過的な根拠を提供し、アナリストからのフィードバックに基づいて精度を継続的に学習し、向上させます。

脅威インテリジェンス報告エージェント

脅威インテリジェンスブリーフィング エージェントは、セキュリティ運用チームに、カスタマイズされた定期的な脅威インテリジェンスブリーフィングを提供します。 エージェントは、さまざまなソースから関連する脅威インテリジェンス データを自律的に収集して合成し、アナリストが新たな脅威や傾向について情報を得るのに役立つ簡潔で実用的な分析情報を提供します。

エージェント ID の Defender for Endpoint アクセス許可を構成する

エージェント ID を使用して脅威インテリジェンス ブリーフィング エージェントを実行する場合は、以下の Defender for Endpoint のロールアクセス許可およびデバイス グループへのアクセス権も構成する必要があります。 これらのアクセス許可がないと、環境に脆弱性が存在する場合でも、露出レポートに "使用できない" と表示されたり、CVEs が 0 個返されたりすることがあります。

手順 1 – エージェント ロールのアクセス許可を更新する

1. Microsoft Defender ポータルにサインインします。
2. 設定>エンドポイント>アクセス許可>ロール に移動します。
3. Threat Intelligence Briefing Agent に割り当てられているカスタム ロールを特定します。
4. ロールを編集し、次のアクセス許可が有効になっていることを確認します。
   • 高度なハンティング – 読み取り
   • 脆弱性管理 – 閲覧
   • マシン構成 – 読み取り
   • デバイス インベントリ – 読み取り
5. 更新が行われた場合は、変更を保存します。

手順 2 – デバイス グループにエージェントへのアクセス権を付与する

1. Microsoft Defender ポータルで、設定>Endpoints>Device Groups に移動します。
2. 運用エンドポイントを含むデバイス グループごとに、次の手順を実行します。
   1. デバイス グループを開きます。
   2. [ ユーザー アクセス ] セクションを選択します。
   3. Threat Intelligence Briefing Agent の ID 情報を追加します。
   4. 読み取りアクセス権を割り当てる。
3. 変更を保存します。

脅威ハンティングアシスタント

Threat Hunting Assistantは、自然言語を使って脅威を最初から最後まで調査できることで、脅威ハンティングに革命をもたらします。 KQL クエリを生成するだけでなく、結果を解釈し、分析情報を表示し、完全なハンティング セッションをガイドします。 これらの機能を使用すると、脅威をより迅速かつ正確に、より自信を持って捜索することができます。

セキュリティ アナリスト エージェント

Security Analyst エージェントは、セキュリティ データに対してすぐに使用できる分析またはカスタム分析を実行することで、セキュリティ アナリストがリスクをすばやく特定、評価、優先順位付けするのに役立ちます。 エージェントは、アクション可能で優先順位付けされた分析情報、推奨事項、レポートを提供して、上位の脆弱性とリスクを明らかにします。 Microsoft Defender、Sentinel Log Analytics、またはSentinel Data Lakeのデータをサポートし、異常検出、クラスタリング、リスクスコアリング、予測などの複雑な分析タスクをコードやクエリなしで実行できます。

動的脅威検出エージェント

Defender ポータルの動的脅威検出エージェントは、Defender およびMicrosoft Sentinel環境全体で隠された脅威を検出する、常時オンのアダプティブ バックエンド サービスです。 AI を使用して、アラート、イベント、異常、脅威インテリジェンスを関連付けることで、ギャップを特定し、偽陰性を明らかにします。 エージェントがギャップを識別すると、自然言語の説明、 マップされた MITRE ATT&CK 手法、調整された修復手順など、アラートの詳細に完全なコンテキストを含む動的アラートが生成されます。