Microsoft Security Copilot Agent voor beveiligingswaarschuwingen in Microsoft Defender (preview)

Security Operations Centers (SOC's) verwerken grote hoeveelheden waarschuwingen voor meerdere workloads, die elk een andere context, signalen en onderzoeksdiepte vereisen. Verschillen in hoe deze waarschuwingen worden geëvalueerd, kunnen leiden tot inconsistente triagebeslissingen en kunnen de mogelijkheid om echte bedreigingen te onderscheiden van valse waarschuwingen vertragen. Als gevolg hiervan kan activiteit met een hoog risico worden gemist of vertraagd, terwijl analisten onevenredig veel tijd besteden aan het filteren van ruis in plaats van te reageren op wat het belangrijkst is.

De Microsoft Security Copilot Security Alert Triage Agent is een autonome agent die is ingesloten in Microsoft Defender waarmee beveiligingsteams waarschuwingen op schaal kunnen sorteren. Er wordt ai-gestuurde, dynamische redenering toegepast op bewijsmateriaal om duidelijke oordelen te leveren voor ondersteunde beveiligingsworkloads. Door te identificeren welke waarschuwingen daadwerkelijke aanvallen vertegenwoordigen en welke false positives zijn, stelt de agent analisten in staat zich te richten op het onderzoeken van werkelijke dreigingen, met transparante, stapsgewijze onderbouwing voor elke beslissing.

Dit artikel bevat een overzicht van de Security Alert Triage Agent, hoe deze werkt en de mogelijkheden voor het triageen van waarschuwingen. Voordat je de agent opzet, zorg ervoor dat je voldoet aan de vereisten van de Security Alert Triage Agent, waaronder Security Copilot-provisioning, unified RBAC-activatie en workload-specifieke licenties. Bekijk deze video voor een snelle demo:

Hoe de triageagent voor beveiligingswaarschuwingen werkt

De triageagent voor beveiligingswaarschuwingen is een Security Copilot-agent in Microsoft Defender die waarschuwingen classificeert en sorteert tussen ondersteunde workloads en waarschuwingstypen. De belangrijkste mogelijkheden van de agent zijn:

• Autonome triage: Maakt gebruik van geavanceerde AI-hulpprogramma's om waarschuwingen te evalueren en te bepalen of deze schadelijke activiteiten of valse alarmen vertegenwoordigen zonder stapsgewijze menselijke invoer.
• Transparante grondgedachte: Registreert classificatiebeoordelingen en biedt ondersteunende redeneringen in natuurlijke taal en visuele grafieken, inclusief het bewijs dat wordt gebruikt om tot elke conclusie te komen.
• Leren op basis van feedback: Voor ondersteunde waarschuwingstypen kan de agent feedback van analisten opnemen wanneer deze expliciet wordt verstrekt en goedgekeurd om de beoordelingsanalyse af te stemmen. Deze mogelijkheid is momenteel alleen beschikbaar voor e-mail- en samenwerkingswaarschuwingen.

Ondersteunde waarschuwingstypen voor de Security Alert Triage Agent

De triageagent voor beveiligingswaarschuwingen ondersteunt momenteel de volgende subset van waarschuwingstypen in Microsoft Defender. De set ondersteunde waarschuwingen zal naar verwachting in de loop van de tijd toenemen.

Vereisten

Deze vereisten zijn van toepassing ongeacht de waarschuwingstypen die de agent moet sorteren.

Workload-specifieke vereisten

De volgende vereisten zijn afhankelijk van de waarschuwingstypen die de agent moet sorteren.

Vereiste gebruikersmachtigingen

Gebruikers die communiceren met de Security Alert Triage Agent hebben deze machtigingen nodig:

Voor meer informatie over unified RBAC in het Defender-portaal, zie Microsoft Defender Unified role-based access control (RBAC).

De triageagent voor beveiligingswaarschuwingen instellen

Zorg ervoor dat je de vereiste gebruikersrechten hebt en dat aan alle agentvereisten is voldaan voordat je de agent opzet.

Installatie starten

Open de installatiewizard voor Security Alert Triage Agent op een van de volgende twee manieren:

• Selecteer in de wachtrij Incidenten in de Microsoft Defender-portal Agent instellen.

  

• Vanuit de Security Store in het Microsoft Defender-portaal, zoals uitgelegd in AI-agents implementeren in Microsoft Defender. De agent kan in de Security Store worden weergegeven als Phishing Triage Agent, maar het is dezelfde agent.

Volg de stappen in de installatiewizard, zoals beschreven in Selecteren welke waarschuwingstypen u wilt classificeren en de identiteit en machtigingen van de agent toewijzen.

Selecteer welke waarschuwingstypen u wilt sorteren

Selecteer de waarschuwingstypen die de agent moet sorteren in de lijst met ondersteunde waarschuwingstypen. Machtigingen en gegevensbereiken zijn afhankelijk van die selectie.

De identiteit en machtigingen van de agent toewijzen

De installatiewizard begeleidt u bij het toewijzen van een identiteit aan de agent en de machtigingen die nodig zijn om het werk te doen.

Een identiteit toewijzen

Voor de agent is een identiteit vereist. In de wizard wordt u gevraagd een van de twee identiteitstypes te selecteren.

Selecteer:

• Een nieuwe agent-id maken (aanbevolen): maak automatisch een nieuwe Microsoft Entra Agent-ID. Microsoft Entra maakt agent-id's specifiek voor AI-agents. Het gebruik van agent-ID's houdt de toegang afgebakend, veilig en eenvoudiger te beheren. Zie Wat zijn agentidentiteiten? voor meer informatie.

  OF

• Een bestaand gebruikersaccount verbinden : wijs een bestaand gebruikersaccount toe als de agent-id. De agent neemt de toegang en machtigingen van het gebruikersaccount over. Als u deze identiteitsoptie wilt gebruiken, moet u de identiteit zelf maken en deze de machtigingen toewijzen die de agent nodig heeft voordat u deze instelt. Zie Een nieuwe gebruiker maken voor meer informatie over het maken van een gebruikersaccount.

  Wanneer u de agent verbindt met een account, raden we u aan een lange vervaldatum van het account in te stellen en de verificatiestatus nauwlettend te controleren om ervoor te zorgen dat de agent continu werkt. Als de authenticatie verloopt, stopt de agent met functioneren totdat de authenticatie is vernieuwd.

  De opgegeven gebruikersidentiteit van de agent is niet compatibel met PIM of TAP omdat deze geen langetermijnbewerkingen op de achtergrond ondersteunen.

  Tip

  Gebruik een toegewezen identiteitsaccount met de minimaal vereiste machtigingen voor de agent. Wanneer u het account maakt, wijst u een afzonderlijke weergavenaam toe, zoals Security Alert Triage Agent, om deze eenvoudig te identificeren in de Microsoft Defender portal.

  Stel beleid voor voorwaardelijke toegang in voor Security Copilot om de agent te laten functioneren op basis van het gebruikersaccount dat hiervoor is gemaakt. Zie Problemen met beleid voor voorwaardelijke toegang voor Microsoft Security Copilot oplossen voor meer informatie.

Machtigingen toewijzen

In overeenstemming met het principe van minimale bevoegdheden, raden we u aan de agent-id alleen de machtigingen toe te wijzen die de Security Alert Triage Agent nodig heeft om de taken uit te voeren.

• Als u een agent-id gebruikt, worden in de vervolgkeuzelijst alleen rollen in uw organisatie weergegeven die de machtigingen hebben die de agent nodig heeft. Selecteer een bestaande rol in uw organisatie of maak automatisch een nieuwe rol met de vereiste machtigingen als u nog geen geschikte rol hebt ingesteld.

  

• Als u een bestaand gebruikersaccount gebruikt, moet u de vereiste machtigingen toewijzen aan die identiteit voordat u de agent-identiteit toewijst tijdens de installatie. U kunt dit niet doen vanuit de installatiewizard.

  

Vereiste machtigingen voor de Security Alert Triage Agent

De triageagent voor beveiligingswaarschuwingen vereist specifieke machtigingen voor toegang tot de benodigde gegevens en het uitvoeren van de bijbehorende triagefuncties. De vereiste machtigingen zijn afhankelijk van de waarschuwingstypen en de bijbehorende producten waarmee u de agent wilt laten werken.

Deze tabel bevat een overzicht van de vereiste machtigingen en gegevensbereiken voor elk waarschuwingstype:

Deze machtigingen bevinden zich in de groep Machtigingen voor beveiligingsbewerkingen :

Een rol handmatig maken:

1. Zorg ervoor dat de relevante geïntegreerde RBAC-workloads worden geactiveerd, zodat de agent waarschuwingen met uitgebreide context effectief kan analyseren. Volg de stappen in Workloadspecifieke vereisten.

2. Maak een rol met de vereiste machtigingen of wijs een bestaande rol met deze machtigingen toe aan de agent.

   Zorg ervoor dat u de rol toegang verleent tot alle relevante gegevensbronnen op basis van de ondersteunde waarschuwingen die u wilt koppelen aan de Triage-agent voor beveiligingswaarschuwingen.

   

3. Wijs de rol toe aan de agentidentiteit.

Gebruik de Security Alert Triage Agent

De agent helpt beveiligingsteams bij het beheren van het grote aantal waarschuwingen dat organisaties dagelijks ontvangen door ondersteunde waarschuwingen automatisch te trieren en hun classificatie en status bij Microsoft Defender incidenten bij te werken.

Trigger en werkstroom van agent

Na de configuratie wordt de agent voor de triage van beveiligingswaarschuwingen automatisch gestart wanneer een relevante waarschuwing wordt gegenereerd. Vervolgens analyseert de agent de waarschuwing autonoom met behulp van geavanceerde AI-hulpprogramma's en de context van uw organisatie om te bepalen of de bijbehorende bedreiging schadelijk is of alleen een vals alarm.

Als wordt vastgesteld dat de waarschuwing een vals alarm is, classificeert de agent deze als een fout-positief en lost deze dienovereenkomstig op. Als de waarschuwing als schadelijk wordt beschouwd, wordt deze geclassificeerd als een True Positive en blijft de status van het bijbehorende incident open en in behandeling, zodat een analist dit kan onderzoeken en verdere actie kan ondernemen.

Voor elke waarschuwing die wordt verwerkt, geeft de agent een gedetailleerde uitleg van het oordeel in het bijbehorende incident.

Samenwerken met de agent

Om de transparantie te behouden, werkt de agent incidentvelden regelmatig bij tijdens het triageproces. Wanneer triëring wordt gestart, wijst de agent de waarschuwing aan zichzelf toe en voegt een agenttag toe aan het bijbehorende incident. Analisten kunnen de incidentwachtrij filteren om alleen incidenten te zien die zijn getagd door de agent, wat het toezicht en de prioriteitstelling vereenvoudigt.

Wanneer een waarschuwing wordt geïdentificeerd als een echte bedreiging, markeert de triageagent voor beveiligingswaarschuwingen deze als een waar-positief, zodat analisten incidenten kunnen filteren en prioriteren op basis van bevestigde classificaties.

Transparantie en verklaarbaarheid in de triage van waarschuwingen

Voor elke waarschuwing die wordt verwerkt, biedt de Triage-agent voor beveiligingswaarschuwingen een gedetailleerde uitleg van het oordeel en een grafische weergave van de besluitvormingswerkstroom.

Voer de volgende stappen uit om de bevindingen van de agent te bekijken:

1. Selecteer een incident in de incidentwachtrij.

2. Zoek op de incidentpagina in het Copilot- of Taken-zijvenster naar de kaart 'Security Alert Triage Agent' in de sectie 'Begeleide responstriage'. De taak wordt gemarkeerd als voltooid en toegewezen aan de agent. De kaart geeft het oordeel van de agent weer op basis van de classificatie, en markeert belangrijke onderdelen van belastend bewijsmateriaal dat de beslissing heeft bepaald.

   

3. U kunt het beletselteken Meer acties selecteren om meer waarschuwingsdetails weer te geven, de classificatiegegevens van de agent naar het klembord te kopiëren of feedback te beheren.

   

4. Als u de stappen wilt bekijken die de agent heeft uitgevoerd voordat de classificatie is bereikt, selecteert u Agentactiviteit weergeven in de kaart Triageagent voor beveiligingswaarschuwingen. Dit toont de logica achter de uiteindelijke classificatie van de agent.

   

De agent de context van uw organisatie leren door middel van feedback

Voor ondersteunde waarschuwingstypen kunnen analisten optioneel feedback geven over agentclassificaties in gewone, natuurlijke taal, zonder dat complexe configuraties vereist zijn. Geautoriseerde gebruikers kunnen feedback bekijken, evalueren en expliciet toepassen om te beïnvloeden hoe de agent vergelijkbare waarschuwingen in de toekomst classificeert. Deze mogelijkheid is momenteel alleen beschikbaar voor e-mail- en samenwerkingswaarschuwingen.

Voer de volgende stappen uit om feedback te geven en de agent te onderwijzen:

1. Zoek op de incidentpagina naar de kaart Security Alert Triage Agent in het zijpaneel Copilot of Tasks onder de sectie Guided Response Triage.

2. Controleer de classificatie en redenering van de agent die worden weergegeven in de titel en inhoud van de kaart. Als de beslissing niet overeenkomt met de classificatiecriteria van uw organisatie, selecteert u Classificatie wijzigen. U kunt de classificatie ook bijwerken door de specifieke waarschuwing te selecteren op het tabblad Waarschuwingen en vervolgens Waarschuwing beheren te kiezen.

   

3. Selecteer in het deelvenster Waarschuwing beheren de nieuwe classificatie in het vervolgkeuzemenu Classificatie . Geef vervolgens uw reden voor de wijziging op door het veld Waarom hebt u deze classificatie gewijzigd in te vullen. Deze stap registreert uw invoer op de pagina feedbackbeheer alleen voor controledoeleinden. De agent gebruikt deze feedback niet om de besluitvorming te verbeteren totdat u expliciet Deze feedback gebruiken hebt geselecteerd om de agent te onderwijzen. Als u ervoor kiest om deze feedback niet te gebruiken om de agent te onderwijzen, kunt u Opslaan selecteren, waardoor alleen de feedback wordt gecontroleerd zonder deze in het geheugen van de agent in te voegen.

   

4. Als u uw feedback wilt toepassen, selecteert u Deze feedback gebruiken om de agent te onderwijzen. Je kunt de best practices gebruiken voor het schrijven van feedback van agenten om effectieve input te formuleren, en vervolgens kiezen voor Evaluatie van feedback , zodat je kunt zien hoe de agent je feedback vertaalt naar een les en kunt beoordelen of het resultaat aansluit bij je intentie. Daarnaast voert de feedback-evaluatie basisveiligheidscontroles uit om ervoor te zorgen dat de toegepaste feedback relevant is voor de agent en niet conflicteert met eerdere feedback.

   Opmerking

   U kunt slechts eenmaal per waarschuwing feedback geven aan de agent en deze kan alleen worden gebruikt om de agent te leren e-mail- en samenwerkingswaarschuwingen te classificeren, met name door True Positive (phishing) of False Positive (niet kwaadwillend) te selecteren. Controleer altijd uw feedback en controleer het door AI gegenereerde antwoord voordat u de les opslaat.

5. Als het resultaat aan uw verwachtingen voldoet, kunt u ervoor kiezen om de les in het geheugen van de agent in te voegen om de toekomstige beslissingen te beïnvloeden. Selecteer Opslaan om de les op te slaan en als les op te slaan in het geheugen van de agent, indien van toepassing. Alle feedback wordt vastgelegd voor controledoeleinden en lessen die zijn toegevoegd aan het geheugen van de agent, kunnen later worden bekeken op de pagina voor feedbackbeheer.

De agent gebruikt opgeslagen feedback om soortgelijke waarschuwingen in de toekomst te sorteren en te classificeren. Wanneer een relevante waarschuwing wordt ontvangen die overeenkomt met de kenmerken van de feedback, past de agent deze feedback toe om de classificatie te bepalen, waarbij deze wordt opgenomen als ondersteunend bewijs in het besluitvormingsproces.

Aanbevolen procedures voor het schrijven van feedback

Lessen bieden systematische richtlijnen waarmee de agent kan bepalen of een waarschuwing een echte phishing-bedreiging of een vals alarm is. Om ervoor te zorgen dat de agent uw feedback effectief opneemt, volgt u deze aanbevolen procedures bij het verstrekken van invoer aan de Security Alert Triage Agent:

1. Zorg ervoor dat feedback relevant en contextueel is. Feedback mag alleen betrekking hebben op het e-mailbericht dat momenteel wordt beoordeeld. Deze moet ook worden afgestemd op de bijgewerkte classificatie die u hebt toegewezen.
2. Wees beschrijvend en specifiek. Duidelijk de kenmerken van de e-mail uitleggen. Geef relevante details op, zoals het onderwerp van het e-mailbericht, de hoofdtekst van het bericht, de afzender of de geadresseerden om de agent inzicht te geven in de context. Specifieke feedback met meerdere details verbetert de effectiviteit.
3. Zorg voor duidelijkheid en daadkracht. Vermijd vage of algemene uitspraken. Feedback geven die duidelijk en uitvoerbaar is. Gebruik beslissende en duidelijke identificatietermen.
4. Wees consistent met eerdere feedback. Zorg ervoor dat nieuwe feedback overeenkomt met wat eerder is gegeven om tegenstrijdigheden te voorkomen die de agent in verwarring kunnen brengen of de nauwkeurigheid van de beslissingen kunnen verminderen. U kunt alle eerder ingediende invoer bekijken op de feedbackbeheerpagina van de agent.
5. Bekijk de interpretatie van uw feedback door de agent. Wanneer u feedback verzendt, controleert u altijd of de feedback correct is vertaald in een les. Controleer of de les uw intentie weerspiegelt en consistent blijft met uw oorspronkelijke invoer. Controleer de geldigheid van door AI gegenereerde antwoorden om ervoor te zorgen dat ze van toepassing zijn op het scenario.

Hier volgen voorbeelden van hoe u uw feedback naar de agent kunt schrijven.

Feedbackfouten oplossen

Wanneer de agent uw feedback opneemt, wordt deze omgezet in een les. Als de agent de feedback niet kan interpreteren, wordt in een relevant bericht weergegeven wat de oorzaak van de fout is. U kunt deze fouten oplossen op basis van het bericht dat door de agent is geretourneerd.

Hier volgen voorbeelden van fouten die kunnen optreden bij het schrijven van feedback naar de agent en hoe u deze kunt oplossen.

Foutbericht	Aanbevolen actie
Een deel van de feedback kan niet worden verwerkt omdat de agent dit type invoer momenteel niet ondersteunt en daarom helemaal niet kan worden vertaald naar een les.	Herschrijf uw feedback en zorg ervoor dat deze de aanbevolen procedures volgt. Selecteer Feedback evalueren om het opnieuw te proberen.
De feedback bevat invoer die de agent kan ondersteunen, maar deze is niet relevant voor het e-mailbericht en kan daarom niet worden vertaald in een bruikbare les die in het geheugen kan worden opgeslagen.	Herschrijf uw feedback en zorg ervoor dat hierin beschrijvingen van de e-mail worden weergegeven die kunnen worden ondersteund. Selecteer vervolgens Feedback evalueren om het opnieuw te proberen.
De opgegeven feedback conflicteert met eerdere feedback op een vergelijkbaar e-mailbericht.	Zoek op de pagina feedbackbeheer naar de feedback-id om de feedback te bekijken waarmee deze conflicteert. Op basis van uw beoordeling kunt u het volgende doen: - De vorige feedback op de pagina voor feedbackbeheer negeren. Selecteer daarna Evalueren om uw feedback opnieuw in te voegen. - Herschrijf uw gegeven feedback op een manier die niet conflicteert en selecteer vervolgens Feedback evalueren voor de agent om uw nieuwe invoer opnieuw te evalueren.

Wanneer toepasselijke feedback is goedgekeurd en opgeslagen, kan de agent deze toepassen bij het in de toekomst uitvoeren van vergelijkbare waarschuwingen, afhankelijk van dezelfde machtigingen en besturingselementen.

De triageagent voor beveiligingswaarschuwingen bewaken en beheren

Als u metrische agentgegevens wilt weergeven en de agent wilt beheren, gaat u naar de kaart Security Alert Triage Agent in de incidentwachtrij of de pagina Agents:

• Als u de pagina Security Alert Triage Agent rechtstreeks wilt openen, selecteert u Security Copilot > Agents, zoekt u de Agent voor beveiligingswaarschuwingen onder Agents in gebruik en selecteert u Naar agent gaan.

  Deze pagina bestaat uit twee tabbladen: Overzicht en Prestaties.

  • Op het tabblad Overzicht vindt u informatie over de huidige status, identiteit, rol en recente activiteit van de agent.

    

    Selecteer een activiteit in de lijst Recente activiteit om details weer te geven over het onderzoek van de agent en de volledige werkstroom van de agent.

    

    Selecteer Volledige agentwerkstroom weergeven om een grafische weergave van het besluitvormingsproces van de agent voor die specifieke activiteit weer te geven.

    

  • Op het tabblad Prestaties worden belangrijke metrische gegevens weergegeven over de activiteit van de agent in de loop van de tijd, inclusief dagelijkse activiteit, gemiddelde tijd tot triage (MTTT) en SCU-verbruik.

    

  Selecteer het beletselteken (...) in de rechterbovenhoek van de pagina voor toegang tot beheeropties voor de agent, zoals beschreven in de onderstaande secties.

  Selecteer Onderbreken of Uitvoeren om de activiteiten van de agent tijdelijk te stoppen of opnieuw te starten.

• Als u de kaart Security Alert Triage Agent in de incidentwachtrij wilt openen, selecteert u Onderzoeken & reactie > Incidenten & waarschuwingen > Incidenten .

  De kaart Security Alert Triage Agent boven de incidentwachtrij toont enkele van de belangrijkste metrische gegevens van de agent, waaronder incidenten die zijn aangepakt. Dit zijn incidenten die waarschuwingen bevatten die door de agent zijn geclassificeerd als echte bedreigingen of valse waarschuwingen.

  Deze gegevens helpen de impact van de agent te demonstreren en kunnen worden gebruikt om bredere strategische gesprekken te voeren, het rendement van investeringen te benadrukken of beslissingen te ondersteunen over het schalen van automatisering in uw organisatie.

  Metrische gegevens worden berekend op basis van de activiteit van de agent, te beginnen vanaf het eerste geregistreerde incident of vanaf de afgelopen 30 dagen, afhankelijk van wat recenter is.

  

  Selecteer Agent beheren op de kaart om de pagina Security Alert Triage Agent te openen, die meer prestatiegegevens en beheeropties bevat.

Agentinstellingen bewerken

De instellingen van de agent bewerken:

1. Selecteer Security Copilot > Agents.

2. Zoek de agent voor het beoordelen van beveiligingswaarschuwingen onder Gebruikte agents, en selecteer Naar agent gaan.

3. Selecteer het beletselteken (...) > Bewerk de agent in de rechterbovenhoek van de pagina Security Alert Triage Agent .

   De pagina Agent bewerken heeft drie tabbladen:

   • Identiteit en rol : wijzig de identiteit van de agent. Selecteer Een nieuwe identiteit selecteren en volg de stappen die worden beschreven in De identiteit en machtigingen van de agent toewijzen.

   • Feedback : feedback die door de gebruiker is verzonden, weergeven en beheren. Zie Feedback aan de agent weergeven en beheren voor meer informatie.

   • Ondersteunde waarschuwingen : bekijk welke van de ondersteunde waarschuwingstypen de agent kan sorteren. Specifieke waarschuwingstypen voor de agent activeren of deactiveren:

     1. Selecteer Ondersteunde waarschuwingen bewerken om de pagina Door agent ondersteunde waarschuwingen te openen.

        

     2. Schakel afzonderlijke waarschuwingstypen in of uit en selecteer Bijwerken.

        

     3. Selecteer Rolmachtigingen bijwerken om de updates toe te passen.

        

Feedback aan de agent weergeven en beheren

De Security Alert Triage Agent leert van feedback van gebruikers en verbetert de prestaties in de loop van de tijd. Toepasselijke feedback wordt in het geheugen opgeslagen als lessen. U kunt feedback voor de Security Alert Triage Agent bekijken en beheren op de feedbackpagina van de agent.

Deze pagina bevat een uitgebreide lijst met alle feedback die aan de agent is verzonden. U kunt belangrijke details bekijken voor elk deel van de feedback, waaronder:

• De oorspronkelijke classificatie van de agent en de door de gebruiker toegepaste wijziging
• De oorspronkelijke feedback van de gebruiker bij het wijzigen van de classificatie
• De vertaalde les die door de agent is gegenereerd (indien van toepassing)
• Feedbackstatus: in gebruik, niet in gebruik of conflict
• De gebruiker die de feedback heeft gegeven
• Datum van inzending van feedback, feedback-id, waarschuwings-id en incident-id

In deze tabel worden de feedbackstatussen uitgelegd:

Door de gebruiker ingediende feedback weergeven en beheren:

1. Selecteer Security Copilot > Agents, zoek naar de Security Alert Triage Agent onder Agents in use en selecteer Ga naar agent.

2. Selecteer het beletselteken (...) > Agent bewerken in de rechterbovenhoek van de pagina. Dit opent de pagina Agent bewerken.

3. Selecteer Feedback in het linkerdeelvenster om de feedbackpagina van de agent te openen.

4. Selecteer een vermelding in de feedbacklijst om het deelvenster Feedback bekijken te openen.

5. Controleer de details van de feedback, de les van de agent, de classificatiewijzigingen en andere belangrijke details.

   

6. Als u specifieke feedback wilt weigeren, selecteert u Feedback weigeren. De agent stopt met het gebruik van de feedback bij toekomstige triagebeslissingen.

   Opmerking

   Als u feedback wilt weigeren, hebt u de rol Beveiligingsbeheerder in Microsoft Entra ID nodig.

De agent verwijderen

Wanneer u de agent verwijdert, stoppen de triage en classificatie van nieuwe incidenten en wordt alle feedback verwijderd. De geschiedenis van eerder gerangschikte incidenten wordt echter bewaard ter referentie.

Zo verwijdert u de agent:

1. Selecteer Security Copilot > Agents, zoek naar de Security Alert Triage Agent onder Agents in use en selecteer Ga naar agent.
2. Selecteer het beletselteken (...) in de rechterbovenhoek van de pagina en selecteer vervolgens Verwijderen.

Veelgestelde vragen

Deze sectie beantwoordt veelgestelde vragen over de Security Alert Triage Agent. Voor informatie over de mogelijkheden en vereisten van de agent, zie Hoe de beveiligingswaarschuwingsagent werkt en Vereisten.

Wat is de Security Alert Triage Agent, hoe verschilt deze van de Phishing Triage Agent en hoe kan ik onboarden als ik de agent al gebruik om phishing-waarschuwingen te sorteren?

De Security Alert Triage Agent is een autonome Microsoft Security Copilot-agent in Microsoft Defender waarmee beveiligingsteams waarschuwingen op schaal kunnen sorteren. Het evalueert waarschuwingen met behulp van AI-gestuurde redenering, komt tot een oordeel en registreert de conclusies rechtstreeks in Microsoft Defender incidenten om analisten te helpen prioriteit te geven aan wat actie vereist.

De Security Alert Triage Agent is dezelfde agent als de Phishing Triage Agent, uitgebreid om extra waarschuwingstypen te sorteren naast e-mail en samenwerking. De triageagent voor beveiligingswaarschuwingen is modulair: u kiest welke waarschuwingstypen de agent moet sorteren. De agent breidt zich nu uit tot identiteits- en cloudwaarschuwingen, te beginnen met containers, die momenteel in preview zijn. triagemogelijkheden voor Email- en samenwerkingswaarschuwingen zijn al algemeen beschikbaar (GA). De set ondersteunde waarschuwingen zal naar verwachting in de loop van de tijd toenemen.

Als u de Phishing Triage-agent al gebruikt, hoeft u geen nieuwe agent te installeren. Uw bestaande agent blijft werken en u kunt de extra waarschuwingstypen inschakelen via de configuratie. Om in te stappen op de uitgebreide mogelijkheden, bekijk je de vereisten voor de Security Alert Triage Agent voor de extra waarschuwingstypen en bewerk je de instellingen van de Security Alert Triage Agent om de waarschuwingstypen te selecteren die je wilt inschakelen.

Uw bestaande configuratie en feedback voor phishing-triage worden automatisch overgedragen. Voor meer informatie, zie Hoe de Security Alert Triage Agent werkt en De Security Alert Triage Agent instellen.

Wanneer wordt de agent geactiveerd?

Deze agent wordt automatisch gestart wanneer er een nieuwe waarschuwing wordt gedetecteerd. Ingebouwde afstemmingsregels voor het oplossen van ondersteunde waarschuwingstypen worden uitgeschakeld tijdens de installatie.

Kan de security alert triage-agent worden vertrouwd?

Microsoft AI agents volgen strikte richtlijnen voor verantwoordelijke AI en ondergaan grondige beoordelingen om naleving van alle AI-standaarden en -beveiligingen te garanderen. De triageagent voor beveiligingswaarschuwingen is volledig opgenomen in deze besturingselementen. Tijdens de installatie wijst u de agent een identiteit toe en configureert u deze met de minimale machtigingen die nodig zijn voor de werking ervan, zodat deze geen onnodige machtigingen heeft. Alle agentactiviteiten worden gedetailleerd geregistreerd, waarbij de volledige stroom op elk gewenst moment kan worden gecontroleerd door analisten en beheerders. Feedback die aan de agent wordt gegeven om deze te helpen zich aan te passen aan de omgeving van de organisatie, wordt vastgelegd, wordt weergegeven in het systeem en is indien nodig toegankelijk voor beoordeling en wijziging door beheerders.

Wat is het verschil tussen de agent en een standaard-SOAR-oplossing?

Hoewel zowel SOAR-oplossingen als de Security Alert Triage Agent aspecten van beveiligingsbewerkingen automatiseren, gebruiken ze verschillende benaderingen.

SOAR-oplossingen zijn doorgaans afhankelijk van vooraf gedefinieerde, op regels gebaseerde werkstromen waarvoor handmatige configuratie en doorlopend onderhoud is vereist. De agent voor beveiligingswaarschuwingen maakt daarentegen gebruik van analyse op basis van reden om waarschuwingen te sorteren en classificaties vast te leggen binnen Microsoft Defender, met menselijk toezicht en optionele feedback, indien ondersteund.

De agent werkt binnen gedefinieerde machtigingen en werkstromen in Microsoft Defender en vervangt geen bestaande onderzoeks- of antwoordhulpprogramma's.

Welk niveau van zichtbaarheid en controle heb ik over de agent?

Microsoft biedt hulpprogramma's voor organisaties om inzicht te houden in en controle te houden over de Security Alert Triage Agent vanaf de implementatie tot en met lopende bewerkingen. De agents voldoen aan de RAI-standaarden (Responsible AI) van Microsoft voor eerlijkheid, betrouwbaarheid, veiligheid, privacy, beveiliging, inclusiviteit, transparantie en verantwoordelijkheid. Beheerders configureren de identiteits- en toegangsniveaus van de agent tijdens de installatie, volgens de principes met minimale bevoegdheden. Beveiligings- en IT-teams kunnen specifieke acties autoriseren, prestaties bewaken en uitvoer rechtstreeks in Microsoft Defender bekijken. Capaciteitsverbruik en limieten voor gegevenstoegang kunnen ook worden geconfigureerd door beheerders.

De triageagent voor beveiligingswaarschuwingen werkt binnen een omgeving zonder vertrouwen. Het systeem dwingt organisatiebeleid af voor elke agentactie door de intentie en het bereik van elke bewerking te evalueren. Alle beslissingen, redeneringen en acties die door de agent worden genomen, worden transparant gedocumenteerd als een beslissingsstructuur in Defender en vastgelegd in Microsoft Purview-auditlogboeken voor traceerbaarheid en naleving.

Ik wil de Security Alert Triage Agent proberen. Hoe kan ik deze instellen in Microsoft Defender?

Als u de agent wilt instellen, moet u toegang hebben tot Security Copilot in Microsoft Defender en voldoen aan de vereiste vereisten. Als u geen onboarding hebt gemaakt voor Security Copilot, raadpleegt u Aan de slag met Security Copilot of neemt u contact op met uw Microsoft-vertegenwoordiger. Nadat u de onboarding voor Security Copilot hebt uitgevoerd, kan het even duren voordat de optie voor het instellen van de agent beschikbaar is in de Microsoft Defender portal.

Ik heb de Security Alert Triage Agent geprobeerd. Hoe kan ik de SCU-capaciteit schatten die nodig is voor de agent in mijn organisatie?

Het is belangrijk ervoor te zorgen dat uw organisatie over voldoende SCU's beschikt voor een gezonde werking van de agent. Als u het SCU-gebruik en de planningscapaciteit in de toekomst wilt evalueren, raadpleegt u het dashboard Gebruikscontrole in de Security Copilot portal en controleert u of u recht hebt op SCU's als onderdeel van het Microsoft Security Copilot-opnamemodel. Op het dashboard wordt het volgende weergegeven:

• Kosten per verwerkte e-mail
• Capaciteitsverbruik in de loop van de tijd

U kunt de dashboardgegevens ook exporteren naar Excel voor gedetailleerdere analyse en om alleen te filteren op agentbewerkingen.

Nadat u uw SCU-gebruiksbehoeften hebt geëvalueerd, werkt u de SCU-capaciteit voor uw organisatie bij. Zie Het gebruik van security compute units in Security Copilot beheren voor meer informatie over het beheren van SCU's.

Verwante onderwerpen

• Microsoft Security Copilot-agenten
• Veelgestelde vragen over verantwoordelijke AI voor de Security Copilot Agent