Agent triażu

Centra operacji zabezpieczeń (SOC) przetwarzają duże ilości alertów w wielu obciążeniach, a każde obciążenie wymaga różnych kontekstów, sygnałów i głębokości śledczej. Różnice w ocenie tych alertów przez analityków mogą prowadzić do niespójnych decyzji klasyfikacji i spowolnić możliwość odróżnienia rzeczywistych zagrożeń od fałszywych alarmów. W związku z tym działanie wysokiego ryzyka może zostać pominięte lub opóźnione, podczas gdy analitycy spędzają nieproporcjonalnie dużo czasu na filtrowaniu szumu, zamiast działać na tym, co najważniejsze.

Agent Triage to autonomiczny agent wbudowany w Microsoft Defender, który pomaga zespołom ds. zabezpieczeń analizować i priorytetyzować alerty na szeroką skalę. Stosuje ona oparte na sztucznej inteligencji, dynamiczne rozumowanie dotyczące dowodów w celu dostarczenia jasnych werdyktów dla obsługiwanych obciążeń zabezpieczeń. Identyfikując, które alerty oznaczają rzeczywiste ataki, a które są fałszywymi alarmami, agent umożliwia analitykom skupienie się na analizie rzeczywistych zagrożeń, zapewniając przejrzyste uzasadnienie krok po kroku dla każdej decyzji.

Kluczowe możliwości

Agent Triage klasyfikuje alerty i nadaje im priorytet w usłudze Microsoft Defender dla obsługiwanych obciążeń roboczych i typów alertów. Kluczowe możliwości agenta obejmują:

• Klasyfikacja autonomiczna: używa zaawansowanych narzędzi sztucznej inteligencji do oceniania alertów i określania, czy reprezentują złośliwe działania, czy fałszywe alarmy bez konieczności wprowadzania przez człowieka danych wejściowych krok po kroku.
• Przezroczyste uzasadnienie: Rejestruje werdykty klasyfikacji i dostarcza uzasadnienia w języku naturalnym oraz grafach wizualnych, w tym dowody używane do osiągnięcia każdego podsumowania.
• Nauka oparta na opiniach: w przypadku obsługiwanych typów alertów agent może uwzględniać opinie analityków po jawnym udostępnieniu i zatwierdzeniu w celu dostosowania analizy werdyktu. Ta funkcja jest obecnie dostępna tylko dla alertów dotyczących poczty e-mail i współpracy.

Obsługiwane alerty

Agent triage obsługuje obecnie następujący podzbiór typów alertów w usłudze Microsoft Defender. Oczekuje się, że zestaw obsługiwanych alertów będzie rosnąć wraz z upływem czasu.

Zanim rozpoczniesz

Przed użyciem agenta Triage Agent potwierdź wymaganą dostępność produktu, licencjonowanie, uprawnienia i konfigurację.

Wymagania wstępne

Aby uruchomić agenta Triage w Twoim środowisku, potrzebujesz:

Wymagania wstępne specyficzne dla obciążenia

Następujące wymagania wstępne zależą od typów alertów, które mają zostać sklasyfikowane przez agenta.

Wymagane uprawnienia

W tej tabeli przedstawiono uprawnienia wymagane do wykonywania różnych działań związanych z agentem Triage w portalu Defender.

Aby uzyskać więcej informacji na temat ujednoliconej kontroli dostępu opartej na rolach w portalu usługi Defender, zobacz Microsoft Defender XDR Unified role-based access control (RBAC) (Ujednolicona kontrola dostępu oparta na rolach w usłudze Microsoft Defender).

Skonfiguruj agenta Triage

Przed skonfigurowaniem agenta upewnij się, że masz wymagane uprawnienia i że spełniasz wszystkie wymagania wstępne .

Rozpocznij konfigurację

1. W portalu Defender wybierz pozycje Percepcja>Agenci.
2. Znajdź Triage Agent w sekcji Agenci gotowi do konfiguracji.
3. Wybierz Set up.
4. Postępuj zgodnie z instrukcjami w kreatorze konfiguracji i wybierz z listy obsługiwanych typów alertów typy alertów, które agent ma analizować. Uprawnienia i zakresy danych zależą od tego wyboru.

Przypisywanie tożsamości i uprawnień agenta

Kreator konfiguracji przeprowadzi Cię przez proces nadawania agentowi tożsamości oraz uprawnień potrzebnych mu do pracy.

Przypisywanie tożsamości

Agent potrzebuje Identyfikator agenta Microsoft Entra do pracy. Kreator instalacji automatycznie tworzy nowy identyfikator agenta. Microsoft Entra tworzy identyfikatory agentów specjalnie dla agentów sztucznej inteligencji. Jeśli używasz identyfikatora agenta, zachowasz zakres dostępu, bezpieczeństwo i łatwiejsze zarządzanie. Aby uzyskać więcej informacji, zobacz Czym są tożsamości agentów?.

Przypisz uprawnienia

Aby postępować zgodnie z zasadą najmniejszych uprawnień, przypisz tożsamości agenta tylko uprawnienia, których agent klasyfikacji potrzebuje do wykonywania swoich zadań.

Kreator instalacji automatycznie tworzy rolę na podstawie wybranych typów alertów oraz ujednoliconych uprawnień RBAC wymaganych do uzyskania dostępu do skojarzonych danych.

Wymagane uprawnienia agenta Triage

Agent klasyfikacji potrzebuje określonych uprawnień, aby uzyskać dostęp do potrzebnych danych i wykonywać swoje funkcje klasyfikacji. Wymagane uprawnienia zależą od typów alertów i skojarzonych produktów, z których agent ma pracować.

Ta tabela zawiera podsumowanie wymaganych uprawnień i zakresów danych dla każdego typu alertu:

Te uprawnienia znajdują się w grupie uprawnień operacji związanych z zabezpieczeniami w ujednoliconym modelu RBAC:

Rozpoczynanie sesji

Aby uzyskać informacje na temat sposobów rozpoczęcia sesji, zobacz Rozpoczynanie nowej sesji.

Agent Triage korzysta z następującej procedury:

Automatyczne uruchamianie agenta Triage

Agent pomaga zespołom ds. zabezpieczeń zarządzać dużą liczbą alertów, które organizacje otrzymują każdego dnia, dzięki automatycznej wstępnej analizie obsługiwanych alertów oraz aktualizowaniu ich klasyfikacji i stanu w incydentach w usłudze Defender.

Wyzwalacz i przepływ agenta

Po konfiguracji Agent Triage uruchamia się automatycznie, gdy zostanie utworzony odpowiedni alert. Następnie agent autonomicznie analizuje alert przy użyciu zaawansowanych narzędzi sztucznej inteligencji i kontekstu organizacji, aby ustalić, czy skojarzone zagrożenie jest złośliwe, czy tylko fałszywy alarm.

Jeśli alert zostanie uznany za fałszywy alarm, agent klasyfikuje go jako fałszywie dodatni i odpowiednio go rozpoznaje. Jeśli alert zostanie uznany za złośliwy, zostanie sklasyfikowany jako prawdziwie dodatni, a stan skojarzonego zdarzenia pozostaje otwarty i w toku, aby analityk zbadał i podejmował dalsze działania.

Dla każdego alertu, który przetwarza, agent udostępnia szczegółowe wyjaśnienie swojego werdyktu w odpowiednim zdarzeniu.

Śledź agenta w kolejce

Aby zachować przejrzystość, agent rutynowo aktualizuje pola zdarzeń podczas procesu klasyfikacji. Po rozpoczęciu wstępnej analizy agent przypisuje alert do samego siebie i dodaje tag Agent do odpowiedniego incydentu. Analitycy mogą filtrować kolejkę zdarzeń, aby zobaczyć tylko zdarzenia oznaczone przez agenta, co upraszcza nadzór i priorytetyzację.

Gdy alert zostanie zidentyfikowany jako prawdziwe zagrożenie, agent klasyfikacji oznaczy go jako prawdziwie dodatni, aby analitycy mogli filtrować i ustalać priorytety zdarzeń na podstawie potwierdzonych klasyfikacji.

Przezroczystość i objaśnienie klasyfikacji alertów

Dla każdego alertu, który przetwarza, agent klasyfikacji zawiera szczegółowe wyjaśnienie jego werdyktu i graficzną reprezentację przepływu pracy podejmowania decyzji.

Aby przejrzeć wyniki agenta, wykonaj następujące kroki:

1. Wybierz zdarzenie z kolejki zdarzeń.

2. Na stronie incydentu odszukaj kartę agenta Triage w panelu bocznym Copilot lub Zadania, w sekcji Klasyfikacja odpowiedzi prowadzonej. Zadanie jest oznaczone jako ukończone i przypisane do agenta. Karta przedstawia werdykt agenta na podstawie dokonanej przez niego klasyfikacji, podkreślając kluczowe dowody obciążające, na podstawie których podjęto decyzję.

   

3. Wybierz wielokropek Więcej akcji, aby wyświetlić więcej szczegółów alertu, skopiować do schowka informacje o klasyfikacji agenta lub zarządzać opiniami.

4. Aby wyświetlić kroki wykonane przez agenta, zanim dokonał klasyfikacji, wybierz pozycję Wyświetl aktywność agenta na karcie agenta triage’u. To pokazuje logikę stojącą za ostateczną klasyfikacją agenta.

Naucz agenta kontekstu organizacji za pomocą opinii

W przypadku obsługiwanych typów alertów analitycy mogą opcjonalnie przekazywać opinie na temat klasyfikacji agentów w prostym języku naturalnym bez konieczności tworzenia złożonych konfiguracji. Autoryzowani użytkownicy mogą przeglądać opinie, oceniać je i jawnie stosować w celu wpływania na sposób klasyfikowania podobnych alertów przez agenta w przyszłości. Ta funkcja jest obecnie dostępna tylko dla alertów dotyczących poczty e-mail i współpracy.

Aby przekazać opinię i nauczyć agenta, wykonaj następujące kroki:

1. Na stronie incydentu poszukaj karty Triage Agent w sekcji Klasyfikacja odpowiedzi z przewodnikiem w panelu bocznym Copilot lub Zadaniach.

2. Przejrzyj klasyfikację i rozumowanie agenta wyświetlane w tytule i zawartości karty. Jeśli decyzja nie jest zgodna z kryteriami klasyfikacji organizacji, wybierz pozycję Zmień klasyfikację. Alternatywnie możesz zaktualizować klasyfikację, wybierając konkretny alert na karcie Alerty , a następnie wybierając pozycję Zarządzaj alertem.

3. W okienku Zarządzanie alertami wybierz nową klasyfikację z menu rozwijanego Klasyfikacja . Następnie podaj przyczynę zmiany, wypełniając pole Dlaczego zmieniono tę klasyfikację . Ten krok rejestruje dane wejściowe na stronie zarządzania opiniami tylko do celów inspekcji. Agent nie będzie używać tej opinii do usprawniania podejmowania decyzji, dopóki nie wybierzesz jawnie opcji Użyj tej opinii, aby nauczyć agenta. Jeśli nie chcesz używać tej opinii do nauczania agenta, możesz wybrać pozycję Zapisz, która będzie przeprowadzać inspekcję tylko opinii bez wstawiania jej do pamięci agenta.

   

4. Aby zastosować Twoją opinię, wybierz Użyj tej opinii do uczenia agenta. Możesz skorzystać z przewodnika, aby napisać opinię , aby ułatwić tworzenie efektywnych danych wejściowych, a następnie wybrać pozycję Oceń opinię , aby umożliwić wyświetlenie podglądu sposobu tłumaczenia opinii przez agenta na lekcję i ocenę, czy wynik jest zgodny z Twoją intencją. Ocena informacji zwrotnej obejmuje również podstawowe kontrole bezpieczeństwa, aby upewnić się, że zastosowana informacja zwrotna jest odpowiednia do wykorzystania przez agenta i nie jest sprzeczna z wcześniejszą informacją zwrotną.

   Note

   Możesz przekazać opinię agentowi tylko raz na alert i może on służyć tylko do uczenia agenta, jak klasyfikować alerty dotyczące poczty e-mail i współpracy, w szczególności wybierając pozycję Prawdziwie dodatni (wyłudzanie informacji) lub Fałszywie dodatnie (nie złośliwe). Przed zapisaniem lekcji zawsze przejrzyj swoją opinię i zweryfikuj odpowiedź wygenerowaną przez sztuczną inteligencję.

5. Jeśli wynik spełnia Twoje oczekiwania, możesz wstawić lekcję do pamięci agenta, aby wpłynąć na jego przyszłe decyzje. Wybierz pozycję Zapisz , aby zapisać lekcję i zapisać ją jako lekcję w pamięci agenta, jeśli ma to zastosowanie. Wszystkie opinie są rejestrowane do celów inspekcji, a lekcje dodane do pamięci agenta można przejrzeć później na stronie zarządzania opiniami.

Agent wykorzystuje zapisane informacje zwrotne do segregowania i klasyfikowania podobnych alertów w przyszłości. Po otrzymaniu odpowiedniego alertu zgodnego z charakterystyką opinii agent stosuje tę opinię, aby określić jego klasyfikację, uwzględniając ją jako dowody potwierdzające w procesie podejmowania decyzji.

Najlepsze rozwiązania dotyczące pisania opinii

Lekcje zawierają systematyczne wytyczne, które pomagają agentowi określić, czy alert jest prawdziwym zagrożeniem wyłudzania informacji, czy fałszywym alarmem. Aby upewnić się, że agent skutecznie uwzględnia Twoją opinię, postępuj zgodnie z tymi najlepszymi rozwiązaniami podczas wprowadzania danych wejściowych do agenta klasyfikacji:

1. Upewnij się, że opinie są istotne i kontekstowe. Opinie powinny dotyczyć tylko wiadomości e-mail aktualnie przeglądanej. Musi również być zgodna ze zaktualizowaną klasyfikacją, którą przypisujesz.
2. Opisuj dokładnie i konkretnie. Jasno wyjaśnij charakterystykę wiadomości e-mail. Podaj odpowiednie szczegóły, takie jak temat wiadomości e-mail, treść wiadomości, nadawca lub adresaci, aby ułatwić agentowi zrozumienie kontekstu. Konkretne opinie z wieloma szczegółami zwiększają skuteczność.
3. Zapewnij przejrzystość i zdecydowaność. Unikaj niejasnych lub uniwersalnych stwierdzeń. Prześlij opinię, która jest jasna i z możliwością działania. Użyj decydujących i jasnych terminów identyfikacyjnych.
4. Bądź zgodny z wcześniejszymi opiniami. Upewnij się, że nowa opinia jest zgodna z tym, co wcześniej podano, aby uniknąć sprzeczności, które mogłyby mylić agenta lub zmniejszyć dokładność jego decyzji. Wszystkie przesłane wcześniej dane wejściowe można przejrzeć na stronie zarządzania opiniami .
5. Przejrzyj interpretację opinii agenta. Podczas przesyłania opinii zawsze sprawdź, czy opinia została dokładnie przetłumaczona na lekcję. Upewnij się, że lekcja odzwierciedla Twoją intencję i utrzymuje spójność z oryginalnymi danymi wejściowymi. Sprawdź poprawność odpowiedzi wygenerowanych przez sztuczną inteligencję, aby upewnić się, że mają one zastosowanie do scenariusza.

Poniżej przedstawiono przykłady sposobu pisania opinii do agenta.

Rozwiąż problemy z przesyłaniem opinii

Gdy agent przyjmuje Twoją opinię, przekłada ją na lekcję. Jeśli agentowi nie uda się zinterpretować opinii, odpowiedni komunikat pokazuje, co spowodowało błąd. Te błędy można rozwiązać na podstawie komunikatu zwróconego przez agenta.

Poniżej przedstawiono przykłady błędów, które mogą wystąpić podczas pisania opinii do agenta i sposobu ich rozwiązywania.

Komunikat o błędzie	Zalecana akcja
opinii Nie można rozwiązać części dostarczonej opinii, ponieważ agent obecnie nie obsługuje tego typu danych wejściowych i dlatego nie można w ogóle przetłumaczyć na lekcję.	Zapisz ponownie swoją opinię i upewnij się, że jest ona zgodna z najlepszymi rozwiązaniami. Wybierz pozycję Oceń opinię , aby spróbować ponownie.
Przekazana opinia zawiera treści, które agent może obsłużyć, ale nie są one istotne dla tej wiadomości e-mail, dlatego nie można było przekształcić ich w praktyczną wskazówkę do zapisania w pamięci.	Przeredaguj swoją opinię i upewnij się, że odnosi się ona do opisów typów wiadomości e-mail, które może obsługiwać. Następnie wybierz pozycję Oceń opinię , aby spróbować ponownie.
Podana opinia jest sprzeczna z poprzednią opinią udzieloną w odniesieniu do podobnej wiadomości e-mail.	Na stronie zarządzania opiniami wyszukaj identyfikator opinii, aby wyświetlić opinię, z którą jest w konflikcie. Na podstawie recenzji możesz: Odrzuć poprzednią opinię na stronie zarządzania opiniami. Następnie wybierz pozycję Oceń , aby ponownie spróbować wstawić swoją opinię. Ponownie napisz swoją opinię w sposób, który nie jest w konflikcie, a następnie wybierz pozycję Oceń opinię dla agenta, aby ponownie ocenić nowe dane wejściowe.

Jeśli odpowiednia informacja zwrotna zostanie zatwierdzona i zapisana, agent będzie mógł ją zastosować podczas klasyfikowania podobnych alertów w przyszłości, z zastrzeżeniem tych samych uprawnień i mechanizmów kontroli.

Monitoruj agenta triage i zarządzaj nim

Aby wyświetlić metryki agenta i nim zarządzać, przejdź do karty Triage Agent w kolejce incydentów lub na stronę Agenci. Aby otworzyć stronę Triage Agent:

1. Wybierz pozycję Percepcja>Agenci.
2. W sekcji Agenci w użyciu znajdź agenta Triage i wybierz Przejdź do agenta.

Strona zawiera następujące karty:

Karta Wydajność

Wybierz wielokropek (...) w prawym górnym rogu strony, aby uzyskać dostęp do opcji zarządzania agentem, zgodnie z opisem w poniższych sekcjach. Wybierz pozycję Wstrzymaj lub Uruchom , aby tymczasowo zatrzymać lub ponownie uruchomić działania agenta.

Wyświetl agenta klasyfikacji w kolejce incydentów

Aby wyświetlić kartę Agent triage w kolejce incydentów, wybierz pozycję Badanie i odpowiedź>Incydenty i alerty>Incydenty.

Karta agenta Triage pokazuje wybrane kluczowe metryki agenta, w tym obsłużone zdarzenia, czyli zdarzenia zawierające alerty sklasyfikowane przez agenta jako rzeczywiste zagrożenia lub fałszywe alarmy. Te dane pomagają pokazać wpływ agenta i mogą służyć jako podstawa do szerszych rozmów strategicznych, podkreślenia zwrotu z inwestycji lub wspierania decyzji dotyczących skalowania automatyzacji w całej organizacji. Metryki są obliczane na podstawie aktywności agenta, począwszy od pierwszego zarejestrowanego zdarzenia lub z ostatnich 30 dni, w zależności od tego, która z nich jest nowsza.

Oto, jak karta agenta klasyfikacji wygląda w kolejce incydentów:

Wybierz opcję Zarządzaj agentem na kafelku, aby otworzyć stronę Triage Agent, na której dostępnych jest więcej metryk wydajności i opcji zarządzania.

Edytowanie ustawień agenta

Aby edytować ustawienia agenta:

1. Wybierz pozycję Percepcja>Agenci.
2. Znajdź Triage Agent w sekcji Agenci w użyciu, a następnie wybierz Przejdź do agenta.
3. W prawym górnym rogu strony Agent Triage wybierz wielokropek (...)>Edytuj agenta.

Na stronie Edytowanie agenta możesz edytować następujące ustawienia:

• Tożsamość i rola: Zmień tożsamość agenta, wybierając pozycję Wybierz nową tożsamość i wykonaj kroki przypisywania tożsamości i uprawnień agenta.

• Opinie: Wyświetlaj i zarządzaj opiniami przesłanymi przez użytkowników dotyczącymi agenta.

• Obsługiwane alerty: wyświetl typy obsługiwanych alertów, które agent może sklasyfikować. Aby aktywować lub dezaktywować określone typy alertów dla agenta:

  • Na stronie Edytowanie agenta wybierz pozycję Edytuj obsługiwane alerty , aby otworzyć stronę Alerty obsługiwane przez agenta .
  • Na stronie Alerty obsługiwane przez agenta przełącz poszczególne typy alertów włączone lub wyłączone, a następnie wybierz pozycję Aktualizuj.
  • Na stronie Aktualizowanie bieżącej roli wybierz pozycję Aktualizuj uprawnienia roli , aby zastosować aktualizacje.

Wyświetlanie opinii agenta i zarządzanie nimi

Agent triażu uczy się na podstawie informacji zwrotnych przesyłanych przez użytkowników i z czasem poprawia swoje działanie. Przechowuje istotne informacje zwrotne w swojej pamięci w formie lekcji. Możesz wyświetlać opinie dotyczące Agenta Triage i zarządzać nimi na stronie Opinie o agencie.

Ta strona zawiera pełną listę wszystkich opinii przesłanych do agenta. Możesz przejrzeć kluczowe szczegóły każdej opinii, w tym:

• Oryginalna klasyfikacja agenta i zmiana zastosowana przez użytkownika
• Oryginalna opinia przekazana przez użytkownika podczas zmiany klasyfikacji
• Przetłumaczona lekcja wygenerowana przez agenta (jeśli ma zastosowanie)
• Status opinii: używana, nieużywana lub konfliktowa
• Użytkownik, który przekazał opinię
• Data przesłania opinii, identyfikator opinii, identyfikator alertu i identyfikator zdarzenia

W tej tabeli opisano wartości stanu opinii:

Aby wyświetlić opinię przesłaną przez użytkownika i zarządzać nią:

1. Wybierz pozycję Perception>Agents, znajdź agenta Triage w sekcji Agents in use, a następnie wybierz pozycję Go to agent.

2. Wybierz wielokropek (...)>Edytuj agenta w prawym górnym rogu strony. Ta akcja otwiera stronę Edytuj agenta.

3. Wybierz pozycję Opinie w okienku po lewej stronie, aby otworzyć stronę Opinie o agencie .

4. Wybierz wpis z listy opinii, aby otworzyć okienko Przeglądanie opinii .

5. Sprawdź szczegóły przekazanych informacji zwrotnych, lekcję dla agenta, zmiany w klasyfikacji oraz inne ważne informacje.

   

6. Aby odrzucić określoną opinię, wybierz pozycję Odrzuć opinię. Agent przestaje wykorzystywać informacje zwrotne przy przyszłych decyzjach dotyczących wstępnej oceny.

   Note

   Aby odrzucić dostarczone opinie, potrzebujesz roli Administrator zabezpieczeń w Entra ID.

Usuwanie agenta

Po usunięciu agenta przestaje on przeprowadzać triage i klasyfikować nowe zdarzenia oraz usuwa wszystkie informacje zwrotne. Historia wcześniej przypisanych do kategorii zdarzeń jest jednak przechowywana do wglądu.

Aby usunąć agenta:

1. Wybierz pozycję Perception>Agents, znajdź agenta Triage w sekcji Agents in use, a następnie wybierz pozycję Go to agent.
2. Wybierz wielokropek (...) w prawym górnym rogu strony, a następnie wybierz pozycję Usuń.

Często zadawane pytania

Poniżej przedstawiono odpowiedzi na często zadawane pytania dotyczące agenta klasyfikacji. Aby uzyskać informacje o możliwościach i wymaganiach agenta, zobacz Kluczowe możliwości i wymagania wstępne.

Kiedy agent jest wyzwalany?

Ten podręcznik agenta można wyzwolić ręcznie. Agent jest uruchamiany automatycznie po wykryciu nowego alertu. Proces konfiguracji wyłącza wbudowane reguły dostrajania, które rozpoznają obsługiwane typy alertów.

Czy możesz zaufać agentowi triage’u?

Microsoft AI agenci przestrzegają ścisłych wytycznych dotyczących odpowiedzialnej sztucznej inteligencji i przechodzą gruntowne przeglądy w celu zapewnienia zgodności ze wszystkimi standardami i zabezpieczeniami dotyczącymi sztucznej inteligencji. Agent Triage jest w pełni zintegrowany z tymi elementami sterującymi. Podczas instalacji przypisujesz agentowi tożsamość i konfigurujesz ją z minimalnymi uprawnieniami wymaganymi do jej działania, zapewniając, że nie ma on niepotrzebnych uprawnień. System rejestruje szczegółowo wszystkie działania agenta, a analitycy i administratorzy mogą przeglądać pełny przepływ w dowolnym momencie. System rejestruje opinie przekazane agentowi, aby pomóc mu dostosować się do środowiska organizacji. Administratorzy mogą przeglądać i modyfikować tę opinię zgodnie z potrzebami.

Czym różni się agent od standardowego rozwiązania SOAR?

Chociaż zarówno rozwiązania SOAR, jak i agent klasyfikacji automatyzują aspekty operacji zabezpieczeń, używają różnych metod.

Rozwiązania SOAR zwykle polegają na wstępnie zdefiniowanych przepływach pracy opartych na regułach, które wymagają ręcznej konfiguracji i trwającej konserwacji. Z kolei agent triażu używa analizy opartej na wnioskowaniu do przeprowadzania triażu alertów i rejestrowania ich klasyfikacji w usłudze Defender, pod nadzorem człowieka i z opcjonalną informacją zwrotną, jeśli jest obsługiwana.

Agent działa w ramach zdefiniowanych uprawnień i przepływów pracy w Defender i nie zastępuje istniejących narzędzi do badania ani odpowiedzi.

Jaki poziom widoczności i kontroli mam nad agentem?

Microsoft udostępnia organizacjom narzędzia, które umożliwiają zachowanie widoczności działania agenta Triage i kontroli nad nim — od wdrożenia po bieżącą eksploatację. Agenci przestrzegają standardów odpowiedzialnej sztucznej inteligencji (RAI) firmy Microsoft w zakresie uczciwości, niezawodności, bezpieczeństwa, prywatności, bezpieczeństwa, inkluzywności, przejrzystości i odpowiedzialności.

Administratorzy konfigurują poziom tożsamości i dostępu agenta podczas instalacji, postępując zgodnie z zasadami najniższych uprawnień. Zespoły ds. zabezpieczeń i IT mogą autoryzować określone akcje, monitorować wydajność i przeglądać dane wyjściowe bezpośrednio w Defender. Administratorzy mogą również skonfigurować użycie pojemności i limity dostępu do danych.

Agent Triage działa w środowisku zero trust. System wymusza zasady organizacyjne dla każdej akcji agenta, oceniając intencję i zakres każdej operacji. Agent w sposób przezroczysty dokumentuje wszystkie decyzje, rozumowanie i akcje jako drzewo decyzyjne w Defender i rejestruje je w dziennikach inspekcji Microsoft Purview w celu śledzenia i zgodności.

Jeśli mam Perception, co stanie się z moim Phishing Triage Agent? Czym wyróżnia się nowy agent Triage w Perception?

Perception nie zmienia automatycznie istniejącego sposobu działania funkcji Phishing Triage Agent. Jeśli uczestniczysz w wersji zapoznawczej agenta klasyfikacji alertów zabezpieczeń, ten agent będzie również działać do momentu skonfigurowania agenta klasyfikacji percepcji.

Agent Perception Triage rozszerza możliwości triage o dodatkowe typy alertów, playbooki, ręczne wywoływanie, sesje oraz możliwość omawiania jego wyników na czacie. Po skonfigurowaniu agenta Perception Triage zastępuje on agenta Phishing Triage i zachowuje historię uruchomień, metryki oraz ustawienia.

Jednocześnie może być aktywny tylko jeden agent klasyfikacji. Jeśli usuniesz Perception Triage Agent, możesz ponownie skonfigurować Phishing Triage Agent.

Treści powiązane

• Co to jest Project Perception?
• Poznaj kluczowe pojęcia w Project Perception
• Praca z agentami
• Monitorowanie sesji agentów i zarządzanie nimi
• Agent analizy ataków
• Agent analizy zagrożeń