AI-agents implementeren in Microsoft Defender

Security Store in de Microsoft Defender portal biedt verschillende agents waarmee u uw beveiligingstaken efficiënt kunt uitvoeren. Deze agents omvatten Microsoft Security Copilot agents die zijn gepubliceerd door Microsoft en partners. Deze agents integreren met Microsoft Defender en voeren verschillende soc-taken (security operations) uit, zoals incident triage, onderzoek, opsporing van bedreigingen en bedreigingsinformatie.

In dit artikel wordt uitgelegd hoe u AI-agents in Microsoft Defender kunt detecteren en implementeren.

Vereisten

Voor het aanschaffen, implementeren en gebruiken van agents in Security Store hebt u het volgende nodig:

• Toegang tot een Security Copilot werkruimte die is ingericht met SCU-capaciteit.
• Voor door partners gepubliceerde agents hebt u de rol Azure inzender of eigenaar van het abonnement nodig.

Agents detecteren en implementeren in de Microsoft Defender-portal

Agents detecteren en implementeren in de Microsoft Defender-portal:

1. Selecteer Security Copilot > Beveiligingsarchief.

2. Blader of zoek naar de agent die u wilt implementeren.

3. Selecteer de agent om de details ervan weer te geven, inclusief de mogelijkheden, vereisten en installatie-instructies.

4. Ga als volgende te werk om de agent aan te schaffen en te implementeren:

   • Selecteer Agent ophalen om het implementatieproces te starten als u over voldoende machtigingen beschikt. Zie Vereisten voor meer informatie.

   • Selecteer Koppeling kopiëren om de URL van de detailspagina van de agent te kopiëren en deze te delen met een beveiligingsbeheerder, als u geen machtigingen hebt om agents te implementeren.

     

   • Voor door de partner gepubliceerde agents voltooit u de aankoop en implementatie op de website van de Security Store, zoals beschreven in de documentatie van de Microsoft Beveiliging Store.

     U kunt gecentraliseerde aankopen voor door partners gepubliceerde agents beheren via openbare aanbiedingen of via privéaanbiedingen, zoals beschreven in SaaS-oplossingen aanschaffen (privéaanbiedingen).

5. Nadat u de agent hebt gekocht, selecteert u Security Copilot > Agents, zoekt u uw agent in de sectie Gereed voor installatie en selecteert u vervolgens Instellen om de agent in te stellen.

   Zie Agent voor Security Copilot beheren voor meer informatie over het instellen, beheren en uitvoeren van door partners gepubliceerde agents.

   Zie Microsoft Security Copilot agents in Microsoft Defender voor meer informatie over Microsoft Security Copilot agents.

   Na de installatie wordt de agent weergegeven in de sectie Agents in gebruik .

agents Microsoft Security Copilot in Microsoft Defender

In deze sectie worden de Microsoft Security Copilot agents beschreven die beschikbaar zijn in de Microsoft Defender-portal.

• Triageagent voor beveiligingswaarschuwingen (preview)
• Bedreigingsinformatiebriefingsagent
• Agent voor het opsporen van bedreigingen
• Agent voor beveiligingsanalisten
• Dynamic Threat Detection Agent

Triageagent voor beveiligingswaarschuwingen (preview)

De Security Alert Triage Agent is een autonome agent waarmee beveiligingsteams waarschuwingen op schaal kunnen sorteren voor meerdere workloads. De agent past ai-gestuurde, dynamische redenering toe om duidelijke oordelen te leveren voor ondersteunde beveiligingsworkloads. Dit is dezelfde agent als de Phishing Triage Agent, die meetbare verbeteringen heeft aangetoond in de nauwkeurigheid en efficiëntie van de triage. De agent kan nu een bredere set waarschuwingen in Microsoft Defender sorteren, waaronder e-mail- en samenwerkingswaarschuwingen (algemeen beschikbaar) en cloud- en identiteitswaarschuwingen (preview). De agent werkt autonoom, biedt transparante logica voor de classificatiebeoordelingen in natuurlijke taal en leert en verbetert voortdurend de nauwkeurigheid op basis van feedback van analisten.

Bedreigingsinformatiebriefingsagent

De Bedreigingsinformatieagent biedt beveiligingsteams regelmatig aangepaste informatie over bedreigingsinformatie. De agent verzamelt en synthetiseert autonoom relevante bedreigingsinformatiegegevens uit verschillende bronnen en levert beknopte en bruikbare inzichten om analisten te helpen op de hoogte te blijven van opkomende bedreigingen en trends.

Defender for Endpoint-machtigingen configureren voor de agentidentiteit

Wanneer u de Threat Intelligence Briefing Agent uitvoert met een agent-id, moet u ook de volgende Defender for Endpoint-rolmachtigingen en toegang tot apparaatgroepen configureren. Zonder deze machtigingen kan het blootstellingsrapport worden weergegeven als 'niet beschikbaar' of nul CVE's retourneren, zelfs wanneer er beveiligingsproblemen in uw omgeving bestaan.

Stap 1: de machtigingen voor de agentrol bijwerken

1. Meld u aan bij de Microsoft Defender-portal.
2. Navigeer naar Instellingen>Eindpuntmachtigingenrollen>>.
3. Zoek de aangepaste rol die is toegewezen aan de Threat Intelligence Briefing Agent.
4. Bewerk de rol en controleer of de volgende machtigingen zijn ingeschakeld:
   • Geavanceerde opsporing – lezen
   • Beheer van beveiligingsproblemen – Lezen
   • Machineconfiguratie – Lezen
   • Apparaatinventaris – Lezen
5. Sla eventuele wijzigingen op als er updates worden aangebracht.

Stap 2: Apparaatgroep toegang verlenen tot de agent

1. Ga in de Microsoft Defender portal naar Instellingen>Eindpunten>Apparaatgroepen.
2. Voor elke apparaatgroep die productie-eindpunten bevat:
   1. Open de apparaatgroep.
   2. Selecteer de sectie Gebruikerstoegang .
   3. Voeg de identiteit van de bedreigingsinformatieagent toe.
   4. Leestoegang toewijzen.
3. Sla de wijzigingen op.

Agent voor het opsporen van bedreigingen

De Agent voor het opsporen van bedreigingen zorgt voor een revolutie in het opsporen van bedreigingen door u in staat te stellen bedreigingen van begin tot eind met natuurlijke taal te onderzoeken. Het genereert niet alleen KQL-query's, maar interpreteert ook resultaten, geeft inzichten weer en begeleidt u door volledige opsporingssessies. Met deze mogelijkheden kunt u bedreigingen sneller, nauwkeuriger en met meer vertrouwen opsporen.

Agent voor beveiligingsanalisten

Met de agent voor beveiligingsanalisten kunnen beveiligingsanalisten risico's snel identificeren, beoordelen en prioriteren door gebruiksklare of aangepaste analyses op beveiligingsgegevens uit te voeren. De agent biedt bruikbare inzichten, aanbevelingen en rapporten met prioriteit om de belangrijkste beveiligingsproblemen en risico's aan het licht te brengen. Het ondersteunt gegevens van Microsoft Defender XDR, Sentinel Log Analytics of Sentinel Data Lake en kan complexe analysetaken uitvoeren, zoals anomaliedetectie, clustering, risicoscore en prognoses zonder code of query's.

Dynamic Threat Detection Agent

De Dynamic Threat Detection Agent in de Defender-portal is een altijd ingeschakelde, adaptieve back-endservice die verborgen bedreigingen in Defender- en Microsoft Sentinel-omgevingen blootlegt. Het maakt gebruik van AI om hiaten te identificeren en fout-negatieven te ontdekken door waarschuwingen, gebeurtenissen, afwijkingen en bedreigingsinformatie te correleren. Wanneer de agent een hiaat identificeert, genereert deze een dynamische waarschuwing met de volledige context in de waarschuwingsdetails, inclusief uitleg in natuurlijke taal, toegewezen MITRE ATT&CK-technieken en op maat gemaakte herstelstappen.