Stel AI-agent-runtimebescherming in met Microsoft Defender voor Eindpunt (Preview)

Lokale AI-agents worden uitgevoerd met de bevoegdheden van de gebruiker op de eindpunten waarop ze werken, waar ze bestanden kunnen lezen, hulpprogramma's kunnen aanroepen en opdrachten kunnen uitvoeren. Schadelijke instructies die zijn verborgen in de inhoud die een agent leest, kunnen de agent kapen via promptinjectie. Runtimebeveiliging voor AI-agents helpt u prompt-injectie op apparaatniveau te detecteren en de actie van de agent te blokkeren of te auditen voordat deze op basis van die instructies handelt.

Dit artikel legt uit hoe u runtime-bescherming inschakelt in Microsoft Defender voor Eindpunt, deze in uw organisatie kunt implementeren en detecties kunt onderzoeken.

Zie Runtimebeveiliging van AI-agent met Microsoft Defender voor Eindpunt voor een overzicht van hoe runtimebeveiliging werkt.

Vereisten

Controleer de volgende vereisten voordat u runtimebeveiliging configureert:

• Uw organisatie heeft een licentie voor Microsoft Defender voor Eindpunt Plan 2, Microsoft 365 E5, Microsoft Agent 365 of Microsoft 365 E7.
• Uw apparaten worden toegevoegd aan Defender voor Eindpunt en Microsoft Defender Antivirus wordt uitgevoerd in de actieve modus met realtime-beveiliging ingeschakeld.
• Je apparaten draaien op een ondersteunde versie van Windows, en Microsoft Defender Antivirus heeft de nieuwste updates voor platform, engine en beveiligingsinlichtingen.
• Op uw apparaten zijn een of meer ondersteunde lokale AI-agents geïnstalleerd voor de runtime-beveiligingsbenadering die u wilt inschakelen.
• Om de instellingen met Microsoft Intune te implementeren, heeft je account een Intune-rol met de toestemming om apparaatconfiguraties te maken, bij te werken en toe te wijzen, zoals Policy en Profile Manager.
• Om meldingen te bekijken, heeft uw account een ondersteunde Microsoft Entra-rol, zoals Security Reader, Security Operator of Security Administrator, of een Microsoft Defender custom rol met toestemming om beveiligingsgegevens te lezen. Voor meer informatie, zie Vereiste toestemmingen om meldingen te onderzoeken.

Aanbevolen implementatiebenadering

Microsoft raadt de volgende gefaseerde implementatie aan:

1. Test: Schakel runtimebeveiliging in de controlemodus in op een kleine set apparaten waar ondersteunde agents actief worden gebruikt.
2. Controleren: Controleer het Microsoft Defender-portaal één tot twee weken lang op waarschuwingen. Markeer onjuiste meldingen als vals positieven. Als een detectie een bestand betreft dat ten onrechte als kwaadaardig is geïdentificeerd, dien het bestand dan in bij Microsoft voor analyse.
3. Implementeren: Implementeer dit in je organisatie in auditmodus voor meer apparaatgroepen.
4. Afdwingen: nadat u hebt geverifieerd dat waarschuwingen nauwkeurig en uitvoerbaar zijn, schakelt u over naar de blokkeringsmodus voor apparaatgroepen waar u actieve afdwinging wilt.

Runtime-beveiliging inschakelen

Runtimebeveiliging op één apparaat inschakelen:

1. Open een PowerShell-sessie met verhoogde bevoegdheid (een PowerShell-venster dat u hebt geopend door Uitvoeren als beheerder te selecteren).

2. Controleer of dit AntivirusSignatureVersion het volgende is 1.451.224.0 of hoger:

   Get-MpComputerStatus | Select-Object AntivirusSignatureVersion
   

3. Kies welke runtime-beveiligingsmethode u wilt inschakelen.

   U kunt systeemeigen gebeurtenisinspectie, netwerkinspectie of beide inschakelen. Beide methoden ondersteunen dezelfde modi: Disabled, Auditen Block.

   • Gebruik AiAgentProtection dit om agents te beveiligen die door de leverancier ondersteunde agentgebeurtenisinterfaces beschikbaar maken.
   • Gebruik AiAgentNetworkInspection dit om beveiliging uit te breiden naar agents die geen door de leverancier ondersteunde agentgebeurtenisinterfaces beschikbaar maken.

4. Schakel de methode of methoden in die u nodig hebt:

   • Om agent-native event inspection mogelijk te maken, vervang <mode> het door Audit of Block, en voer vervolgens het volgende commando uit:

     Set-MpPreference -AiAgentProtection <mode>
     

   • Om netwerkinspectie in te schakelen, vervang <mode> je met Audit of Block, en voer je vervolgens het volgende commando uit:

     Set-MpPreference -AiAgentNetworkInspection <mode>
     

   Om een van beide runtime-beschermingsmethoden uit te schakelen, zet je de modus op Disabled.

   Zie Wat gebeurt er wanneer u runtime-beveiliging inschakelt voor meer informatie over elke modus. Zie netwerkinspectie en systeemeigen gebeurtenisinspectie voor meer informatie over de runtimebeveiligingsmethoden.

5. Controleer de huidige instellingen:

   Get-MpPreference | Select-Object AiAgentProtection, AiAgentNetworkInspection
   

6. Sluit het PowerShell-venster en eventuele terminalvensters die worden gebruikt om agents uit te voeren. Open vervolgens een nieuw terminalvenster voordat u de agent start.

Deploy instellingen in je hele organisatie met Microsoft Intune

De PowerShell-opdrachten in de sectie Runtimebescherming inschakelen configureren één apparaat. Nadat je het runtime-beschermingsgedrag op een beperkte apparaatgroep hebt bevestigd, deploy je een PowerShell-platformscript om apparaatgroepen te targeten. Het script kan voor apparaten binnen het bereik agent-native gebeurtenisinspectie, netwerkinspectie of beide instellen op Audit of Block.

Om runtime beschermingsinstellingen te implementeren met Microsoft Intune:

1. Maak een PowerShell-script met de instellingen die u wilt implementeren.

   Ga als volgende te werk om systeemeigen gebeurtenisinspectie van agents in te schakelen:

   Set-MpPreference -AiAgentProtection Audit
   

   Netwerkinspectie inschakelen:

   Set-MpPreference -AiAgentNetworkInspection Audit
   

   Vervang Audit door Block wanneer u klaar bent om beveiliging af te dwingen. U kunt een van beide instellingen of allebei inschakelen, afhankelijk van de dekking van agents die u nodig hebt.

2. Zet in de scriptinstellingen Dit script uitvoeren met de aangemelde referenties op Nee. Deze instelling voert het script uit in de systeemcontext zodat het toestemming heeft om de voorkeuren van Microsoft Defender Antivirus te wijzigen.

3. Gebruik Microsoft Intune om het script uit te rollen naar de doelapparaatgroepen. Zie PowerShell-scripts gebruiken op Windows-apparaten in Intune voor gedetailleerde stappen.

4. Om later een andere modus toe te passen, werk je het script of het beleid bij zodat Intune het script opnieuw uitvoert.

Detecties controleren en onderzoeken

Nadat u runtimebeveiliging hebt ingeschakeld, controleert u waarschuwingen om de detectienauwkeurigheid te valideren en uw configuratie af te stemmen voordat u de afdwinging uitbreidt. Deze stap is essentieel tijdens de controlefase, omdat u hiermee begrijpt wat agents tegenkomen en of detecties echte bedreigingen vertegenwoordigen.

Wanneer runtimebeveiliging promptinjectie detecteert, genereert Defender een waarschuwing voor verdachte AI-promptinjectie en onderneemt actie op basis van de geconfigureerde modus. De waarschuwing verschijnt op de apparaattijdlijn en gerelateerde waarschuwingen worden gekoppeld aan incidenten voor het onderzoek van het Security Operations Center (SOC). In de blokmodus is de ernst van de waarschuwing Kritiek, Hoog, Gemiddeld of Laag op basis van het geëvalueerde risico. In de auditmodus heeft de waarschuwing de status Informational, zodat uw team kan beoordelen wat er zou zijn geblokkeerd zonder dit als een actieve bedreiging te classificeren.

Voor meer informatie over modusgedrag, zie Wat gebeurt er wanneer je runtime-bescherming inschakelt.

Eindgebruikerservaring

Wanneer Defender een agentactie blokkeert, volgt het de notificatieregels die voor het apparaat zijn ingesteld. Gebruikers kunnen de volgende meldingen ontvangen:

1. In de agentterminal: De agent geeft een blokkeringsbericht weer waarin wordt weergegeven wat er is geblokkeerd, waarom en de bevestiging dat de actie niet is uitgevoerd.
2. Windows toast-melding: Als Windows-beveiliging-meldingen zijn ingeschakeld, verschijnt er een systeemmelding, ongeacht of de agent terminal in focus staat.

De volgende schermopname toont een voorbeeld van een geblokkeerde prompt-injectie in de terminal van de agent en de bijbehorende Windows-toastmelding:

Gebruikers kunnen ook detecties bekijken onder Windows-beveiliging>Virus & bedreigingsbeveiliging>Huidige bedreigingen en de beveiligingsgeschiedenis, waar ze de bedreigingsnaam, ernst, betrokken agent en herstelstatus kunnen zien.

Ervaring met beveiligingsbewerkingen

Voor beveiligingsteams verschijnen runtime protection events in het Microsoft Defender-portaal. Selecteer een melding om het detectietype, ernst, getroffen agent, procesbomendetails en aanbevolen acties te bekijken.

Uw beveiligingsteam gebruikt dezelfde onderzoekswerkstromen als andere eindpuntdetecties: tijdlijnbeoordeling, waarschuwings- en entiteitscorrelatie en reactieacties.

Zie Waarschuwingen onderzoeken in Microsoft Defender en Incidenten onderzoeken in Microsoft Defender voor meer informatie.