Implementar agentes de IA no Microsoft Defender

Loja de Segurança no portal Microsoft Defender oferece vários agentes que lhe permitem realizar as suas tarefas de segurança com eficiência. Estes agentes incluem agentes do Microsoft Security Copilot publicados pela Microsoft e pelos parceiros. Estes agentes integram-se com Microsoft Defender e executam várias tarefas de operações de segurança (SOC), tais como triagem de incidentes, investigação, investigação de ameaças e informações sobre ameaças.

Este artigo explica como detetar e implementar agentes de IA no Microsoft Defender.

Pré-requisitos

Para comprar, implementar e utilizar agentes na Loja de Segurança, precisa de:

• Acesso a uma área de trabalho do Security Copilot aprovisionada com capacidade SCU.
• Para os agentes publicados por parceiros, precisa da função de Colaborador ou Proprietário da subscrição do Azure.

Detetar e implementar agentes no portal do Microsoft Defender

Para detetar e implementar agentes no portal do Microsoft Defender:

1. Selecione Security Copilot > Repositório de Segurança.

2. Navegue ou pesquise o agente que pretende implementar.

3. Selecione o agente para ver os detalhes, incluindo as respetivas capacidades, requisitos e instruções de configuração.

4. Para adquirir e instalar o agente:

   • Selecione Obter agente para iniciar o processo de implementação se tiver permissões suficientes. Para obter mais informações, veja Pré-requisitos.

   • Selecione Copiar ligação para copiar o URL da página de detalhes do agente e partilhá-lo com um administrador de segurança, se não tiver permissões para implementar agentes.

     

   • Para agentes publicados por parceiros, conclua a compra e implementação no site da Loja de Segurança, conforme descrito na documentação da Microsoft Security Store.

     Pode gerir compras centralizadas para agentes publicados por parceiros através de ofertas públicas ou através de ofertas privadas, conforme descrito em Como Comprar Soluções SaaS (Ofertas Privadas).

5. Depois de comprar o agente, selecione Security Copilot > Agentes, localize o agente na secção Pronto para configuração e, em seguida, selecione Configurar para iniciar a configuração do agente.

   Para obter mais informações sobre como configurar, gerir e executar agentes publicados por parceiros, veja Gerir agentes Security Copilot.

   Para obter mais informações sobre os agentes do Microsoft Security Copilot, consulte Agentes do Microsoft Security Copilot no Microsoft Defender.

   Após a configuração, o agente aparece na secção Agentes em utilização .

agentes do Microsoft Security Copilot no Microsoft Defender

Esta secção detalha os agentes Microsoft Security Copilot que estão disponíveis no portal do Microsoft Defender.

• Agente de Triagem de Alertas de Segurança (Pré-visualização)
• Agente de Informação sobre Ameaças
• Assistente de Caça a Ameaças
• Agente analista de segurança
• Agente de Deteção de Ameaças Dinâmico

Agente de Triagem de Alertas de Segurança (Versão preliminar)

O Agente de Triagem de Alertas de Segurança é um agente autónomo que ajuda as equipas de segurança a fazer a triagem de alertas em escala em várias cargas de trabalho. O agente aplica o raciocínio dinâmico e orientado por IA para dar veredictos claros para cargas de trabalho de segurança suportadas. Este é o mesmo agente que o Agente de Triagem de Phishing, que demonstrou melhorias mensuráveis na precisão e eficiência da triagem. O agente pode agora efetuar a triagem de um conjunto mais vasto de alertas no Microsoft Defender, incluindo alertas de e-mail e colaboração (disponibilidade geral) e alertas de nuvem e identidade (pré-visualização). O agente opera de forma autónoma, fornece lógica transparente para os seus veredictos de classificação em linguagem natural, e aprende e melhora continuamente a sua precisão com base no feedback dos analistas.

Agente de Informação sobre Ameaças

O Agente de Informação sobre Ameaças fornece às equipas de operações de segurança informações de informações sobre ameaças regulares e personalizadas. O agente recolhe e sintetiza de forma autónoma dados relevantes de informações sobre ameaças de várias origens, fornecendo informações concisas e acionáveis para ajudar os analistas a manterem-se informados sobre ameaças e tendências emergentes.

Configurar as permissões do Defender para Endpoint para a identidade do agente

Ao executar o Agente de Informativo de Informações sobre Ameaças com uma identidade de agente, também tem de configurar as seguintes permissões da função do Defender for Endpoint e o acesso aos Grupos de dispositivos. Sem estas permissões, o Relatório de Exposição pode ser apresentado como "não disponível" ou devolver zero CVEs mesmo quando existem vulnerabilidades no seu ambiente.

Passo 1 – Atualizar as permissões de função de agente

1. Inicie sessão no portal Microsoft Defender.
2. Aceda a Definições>Pontos de extremidade>Permissões>Funções.
3. Localize a função personalizada atribuída ao Agente de Informação sobre Ameaças.
4. Edite a função e confirme que as seguintes permissões estão ativadas:
   • Advanced Hunting – Leitura
   • Gestão de Vulnerabilidades – Leitura
   • Configuração da Máquina – Leitura
   • Inventário de Dispositivos – Ler
5. Guarde quaisquer alterações se forem efetuadas atualizações.

Passo 2 – Conceder acesso ao Grupo de Dispositivos ao agente

1. No portal do Microsoft Defender, aceda a Definições>Pontos finais>Grupos de dispositivos.
2. Para cada Grupo de Dispositivos que contém pontos finais de produção:
   1. Abra o Grupo de Dispositivos.
   2. Selecione a secção Acesso de Utilizador .
   3. Adicione a identidade do Agente de Informação sobre Ameaças.
   4. Atribuir acesso de leitura.
3. Guarde as alterações.

Assistente de Caça a Ameaças

O Assistente de Caça a Ameaças revoluciona a caça a ameaças ao permitir-lhe investigar ameaças usando linguagem natural do início ao fim. Não só gera consultas KQL, como também interpreta resultados, apresenta informações e orienta-o ao longo de sessões de investigação completas. Estas capacidades permitem-lhe investigar ameaças de forma mais rápida, mais precisa e com maior confiança.

Agente analista de segurança

O Agente do Analista de Segurança ajuda os analistas de segurança a identificar, avaliar e priorizar rapidamente os riscos ao realizar análises prontas a utilizar ou personalizadas em dados de segurança. O agente fornece informações, recomendações e relatórios acionáveis e prioritários para descobrir as principais vulnerabilidades e riscos. Suporta dados do Microsoft Defender, Sentinel Log Analytics ou Sentinel Data Lake, e pode realizar tarefas de análise complexas como deteção de anomalias, agrupamento, pontuação de risco e previsão sem necessidade de código ou consultas.

Agente de Deteção de Ameaças Dinâmico

O Agente de Deteção de Ameaças Dinâmicas no portal do Defender é um serviço de back-end sempre ligado e adaptável que deteta ameaças ocultas em ambientes do Defender e Microsoft Sentinel. Utiliza IA para identificar lacunas e descobrir falsos negativos ao correlacionar alertas, eventos, anomalias e informações sobre ameaças. Quando o agente identifica uma lacuna, gera um alerta dinâmico com todo o contexto nos detalhes do alerta, incluindo explicações em linguagem natural, técnicas MITRE ATT&CK mapeadas e passos de remediação adaptados.