Agent korygowania luk w zabezpieczeniach w usłudze Microsoft Intune

Agent korygowania luk w zabezpieczeniach dla Security Copilot w Intune używa danych z Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender do identyfikowania typowych luk i zagrożeń (CVE) na zarządzanych urządzeniach. Wyniki są traktowane priorytetowo na potrzeby korygowania i zawierają instrukcje krok po kroku ułatwiające korygowanie zagrożenia przy użyciu usługi Intune. Ten agent funkcji Copilot może pomóc skrócić czas potrzebny na badanie, identyfikowanie i korygowanie zagrożeń, co ostatecznie poprawia ogólny stan zabezpieczeń organizacji.

Po uruchomieniu agent analizuje dane z zarządzania lukami w zabezpieczeniach w usłudze Microsoft Defender i dostarcza priorytetową listę sugestii wyświetlanych w centrum administracyjnym usługi Intune. Możesz przejść do szczegółów każdej sugestii, aby wyświetlić szczegóły, które obejmują:

• Liczba skojarzonych luk w zabezpieczeniach (CVE)
• Podsumowana analiza wpływu wspomagana przez usługę Copilot
• Sugerowane działania
• Systemy, których dotyczy problem
• Uwidocznione urządzenia
• Potencjalny wpływ
• Wskazówki krok po kroku dotyczące korzystania z usługi Intune w celu rozwiązania problemu

Po skorygowaniu sugestii agenta możesz oznaczyć ją jako zastosowaną, aby agent zachował rekord, którego można użyć do śledzenia akcji korygowania w czasie.

Ponieważ szczegóły CVE i zalecane wskazówki dotyczące korygowania mogą zmieniać się w czasie, kolejne uruchomienia agenta mogą dostarczyć nowe szczegóły, liczbę urządzeń i kroki korygowania. W miarę zarządzania kolejnymi raportami o zagrożeniach rejestr wcześniej zastosowanych rozwiązań może pomóc w śledzeniu zmian na określone czynniki ryzyka na podstawie wcześniejszych środków zaradczych.

Ten artykuł:

• Zawiera listę wymagań wstępnych dotyczących korzystania z agenta
• Wyjaśnia, jak działa agent.
• Opisuje model tożsamości agenta
• Pokazuje, jak skonfigurować agenta
• Pokazuje, jak usunąć agenta

Aby uzyskać informacje o innych agentach funkcji Security Copilot w usłudze Intune i typowych funkcjach, zobacz Agenci funkcji Security Copilot w usłudze Microsoft Intune.

Wymagania wstępne

Jak działa agent

Agent korygowania luk w zabezpieczeniach przeprowadza zautomatyzowane oceny w celu identyfikowania i nadawania priorytetów lukom w zarządzanych urządzeniach. Oto, jak to działa:

1. Zbieranie danych — agent zbiera dane o lukach w zabezpieczeniach z zarządzania lukami w zabezpieczeniach w usłudze Defender, analizując typowe luki w zabezpieczeniach i zagrożenia (CVE) na zarządzanych urządzeniach.

2. Analiza i ustalanie priorytetów — agent ocenia dane dotyczące luk w zabezpieczeniach i nadaje priorytety zagrożeniom w oparciu o takie czynniki, jak wyniki CVSS, wpływ ekspozycji i liczba urządzeń, aby w pierwszej kolejności skupić się na najbardziej krytycznych problemach.

3. Wskazówki dotyczące korygowania — dla każdej zidentyfikowanej luki agent udostępnia instrukcje krok po kroku dotyczące korygowania dostosowane do możliwości usługi Intune, w tym zalecenia dotyczące zasad i wskazówki.

4. Śledzenie i raportowanie — agent prowadzi ewidencję sugerowanych środków zaradczych i umożliwia śledzenie zastosowanych rozwiązań w czasie, pomagając mierzyć wysiłki w zakresie poprawy bezpieczeństwa.

Tożsamość agenta

Agent korygowania luk w zabezpieczeniach używa tożsamości agentycznej usługi Microsoft Entra, wyspecjalizowanej tożsamości w usłudze Microsoft Entra ID, która umożliwia agentowi bezpieczne i niezależne działanie. Podczas instalacji agent inicjuje tożsamość agentyczną (i odpowiedniego użytkownika agenta) w katalogu usługi Entra dzierżawy. Agent działa w ramach uprawnień delegowanych do tego użytkownika agenta, a nie na koncie użytkownika.

• Zachowanie agenta jest ograniczone do tagu uprawnień i zakresu przypisanego do użytkownika agenta. Po zakończeniu instalacji należy delegować wymagane uprawnienia do użytkownika agenta w centrach administracyjnych usługi Entra i usługi Defender. Aby uzyskać listę wymaganych uprawnień, zobacz Wymagania wstępne.

• Jeśli pojawi się problem z tożsamością bieżącego agenta, którego nie możesz rozwiązać, musisz usunąć agenta i skonfigurować go ponownie. Aby uzyskać więcej informacji, zobacz Usuwanie agenta.

Przenoszenie istniejących agentów do tożsamości agentów

Istniejące wystąpienia agentów, które zostały skonfigurowane przed wydaniem tożsamości agentycznej, są uruchamiane w ramach tożsamości użytkownika. Należy przenieść tych agentów do tożsamości agentycznej. Oto, co musisz wiedzieć:

• Termin ostateczny — uwierzytelnianie tożsamości użytkownika ludzkiego wygasa 90 dni po wydaniu tożsamości agentycznej. Po tej dacie agenci, którzy nie zostali przeniesieni, nie mogą być uruchamiani.
• Koniec z przypisywaniem użytkownika — po 90-dniowym wygaśnięciu opcje przypisywania tożsamości człowieka, zmieniania tożsamości lub odnawiania tokenu tożsamości użytkownika nie są dostępne. Po wyświetleniu komunikatu o odnowieniu tokenu administratorzy są proszeni o przełączenie się na tożsamość agentyczną.
• Trwała zmiana — po przełączeniu agenta do tożsamości agenta nie może on powrócić do tożsamości użytkownika.
• Historia uruchamiania jest zachowywana — przejście do tożsamości agenta nie ma wpływu na historię uruchamiania agenta.

Na stronie agenta zostanie wyświetlony baner pokazujący dostępność tożsamości agenta dla agentów, którzy nadal używają tożsamości użytkownika.

Aby przełączyć się z tożsamości użytkownika ludzkiego na tożsamość agentyczną:

1. W centrum administracyjnym usługi Microsoft Intune przejdź doagenta korygowania luk w zabezpieczeniach agentów> (wersja zapoznawcza) i wybierz kartę Ustawienia. Musisz mieć rolę Właściciel obszaru roboczego funkcji Security Copilot i uprawnienia odczytu usługi Intune.
2. Wybierz pozycję Utwórz nową tożsamość , aby aprowizować nową tożsamość agentyczną i użytkownika agenta. Agent automatycznie przełączy się na używanie nowej tożsamości.
3. Deleguj wymagane uprawnienia do użytkownika agenta w centrach administracyjnych usługi Entra i Defender. Aby uzyskać listę wymaganych uprawnień, zobacz Wymagania wstępne.
4. Użyj przycisku Uruchom test gotowości , aby sprawdzić, czy uprawnienia zostały poprawnie delegowane. Aby uzyskać więcej informacji, zobacz Uruchamianie testu gotowości.

Uruchamianie testu gotowości

Po przekazaniu wymaganych uprawnień użytkownikowi agenta użyj przycisku Uruchom sprawdzanie gotowości , aby sprawdzić, czy uprawnienia są poprawnie skonfigurowane. Po pomyślnym zakończeniu sprawdzania gotowości przycisk Uruchom i opcja planowania przebiegów są włączone.

Odzyskiwanie usuniętej tożsamości agenta

Jeśli tożsamość agentyczna zostanie przypadkowo usunięta w usłudze Entra, spróbuj ją odzyskać w centrum administracyjnym usługi Entra. Jeśli odzyskiwanie nie jest możliwe, należy usunąć agenta i skonfigurować go ponownie, aby zainicjować obsługę nowej tożsamości.

Konfigurowanie agenta

Podczas instalacji agent tworzy tożsamość agentyczną (i odpowiadającego jej użytkownika agenta) w katalogu usługi Entra dzierżawy. Na stronie konfiguracji są wyświetlane wymagane uprawnienia, wtyczki i informacje o obszarze roboczym. Zawiera komunikaty, które podkreślają potrzebę delegowania uprawnień przed pomyślnym uruchomieniem agenta. Aby skonfigurować agenta, musisz mieć uprawnienia wymienione w obszarze Konfigurowanie i zarządzanie w sekcji Wymagania wstępne.

Aby skonfigurować agenta:

1. W centrum administracyjnym usługi Microsoft Intune przejdź doagenta korygowania luk w zabezpieczeniachagentów>.

2. W obszarze Przegląd wybierz pozycję Skonfiguruj agenta. W tym okienku są wyświetlane szczegółowe informacje o agencie, w tym wymagane uprawnienia i wtyczki.

   

3. Przejrzyj szczegóły, aby upewnić się, że wymagania są spełnione, a następnie wybierz pozycję Uruchom agenta , aby zamknąć okienko konfiguracji i uruchomić pierwsze uruchomienie agenta.

   

4. Po zakończeniu instalacji oddeleguj wymagane uprawnienia do użytkownika agenta w centrach administracyjnych usługi Entra i Defender. Aby uzyskać listę wymaganych uprawnień, zobacz Wymagania wstępne.

   Porada

   Użyj przycisku Uruchom sprawdzanie gotowości , aby sprawdzić, czy uprawnienia są prawidłowo delegowane przed uruchomieniem agenta. Aby uzyskać więcej informacji, zobacz Uruchamianie testu gotowości.

Po zakończeniu konfiguracji i delegowaniu uprawnień agent jest gotowy do użycia. Aby dowiedzieć się więcej na temat korzystania z agenta, zobacz Korzystanie z agenta korygowania luk w zabezpieczeniach.

Zagadnienia operacyjne

Przed uruchomieniem Agenta korygowania luk w zabezpieczeniach należy pamiętać o następujących kwestiach:

• Administrator musi ręcznie uruchomić agenta. Po uruchomieniu agenta nie ma opcji jego zatrzymania lub wstrzymania.
• Możesz uruchomić agenta tylko z centrum administracyjnego usługi Intune.
• Skojarzone CVE zawierają liczbę CVE na urządzeniach z wersjami klienckiego systemu operacyjnego Windows, ale nie uwzględniają urządzeń z wersjami systemu operacyjnego Windows Server. CVE są klasyfikowane jako niskie, średnie, wysokie i krytyczne zgodnie ze skalą CVSS (Common Vulnerability Scoring System).
• Lista ujawnionych urządzeń zawiera tylko urządzenia znalezione w usłudze Entra, które nie są wersjami systemu Windows Server.
• Agent nie obsługuje tagów zakresu w publicznej wersji zapoznawczej.

Usuwanie agenta

Jeśli pojawi się problem z tożsamością agenta agenta, którego nie można rozwiązać, należy usunąć agenta i skonfigurować go ponownie, aby aprowizować nową tożsamość. Usunięcie agenta powoduje usunięcie bieżącej tożsamości agenta i skojarzonego z nią użytkownika agenta z dzierżawy.

Aby usunąć agenta:

1. W centrum administracyjnym usługi Microsoft Intune wybierz pozycję Agenci.
2. Wybierz wystąpienie agenta, które chcesz usunąć.
3. Wybierz pozycję Usuń agenta i potwierdź usunięcie.

Po usunięciu okienko agenta powraca do pierwotnego stanu. Administrator może ponownie zainstalować agenta później, powtarzając proces konfiguracji.

Następne kroki

Zawartość pokrewna

• Korzystanie z agenta korygowania luk w zabezpieczeniach
• Agenci funkcji Security Copilot w usłudze Microsoft Intune
• Microsoft Security Copilot
• Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender