agente di analista della sicurezza Microsoft Security Copilot

L'agente degli analisti della sicurezza in Defender aiuta gli analisti della sicurezza a identificare, valutare e assegnare priorità ai rischi rapidamente fornendo:

• Analisi flessibile: Eseguire analisi pronte all'uso o personalizzate sui dati di sicurezza. Ottenere informazioni dettagliate, raccomandazioni e report interattivi e con priorità per individuare le principali vulnerabilità e rischi.

• Integrazione dei dati: analizzare i dati da Microsoft Defender XDR, Sentinel Log Analytics o Sentinel Data Lake, in base alle istruzioni. È anche possibile caricare file CSV per l'analisi personalizzata del set di dati (attualmente disponibile nell'esperienza autonoma, ma sarà presto disponibile in Defender)

• Esplorazione interattiva: Visualizzare i dati per individuare anomalie e rischi più velocemente.

• Assistenza per la conversazione: Chattare con l'agente, porre domande di follow-up ed eseguire analisi correlate per approfondire la comprensione

Usare l'agente degli analisti di sicurezza se si vogliono eseguire attività di analisi di base, ad esempio analisi dei modelli, analisi delle tendenze, serie temporali e visualizzazioni e attività di analisi più complesse, ad esempio il rilevamento delle anomalie, il clustering, la classificazione, l'assegnazione dei punteggi dei rischi e la definizione delle priorità, la previsione e la modellazione predittiva per individuare i rischi nascosti. L'agente genera analisi prioritarie con evidenze complete a supporto della difendibilità. Si tratta di un'analisi avanzata basata su Python in una prima esperienza di chat, senza la necessità di scrivere codice o query.

L'agente può eseguire analisi in singolo o in più passaggi su volumi elevati di dati e motivi iterativi e individua i rischi nascosti, assegna priorità a questi rischi con un percorso di prova dettagliato e una giustificazione.

Prerequisiti e requisiti di configurazione

È necessario avere accesso a Security Copilot e Defender XDR o Sentinel Log Analytics o Sentinel Data Lake per usare l'agente.

Requisiti di accesso e configurazione

• Requisiti di accesso

È necessario avere accesso in lettura a Microsoft Defender XDR, all'area di lavoro Log Analytics di Microsoft Sentinel o a Microsoft Sentinel Data Lake, a seconda dell'origine dati scelta.

• RBAC e configurazione specifica per utente

Quando configuri l'agente, questo viene associato alla tua identità e si applica solo all'istanza del tuo utente.

• Supporto per più utenti

Altri utenti nello stesso tenant possono anche configurare l'agente usando la propria identità, a condizione che dispongano dell'accesso necessario alle origini dati selezionate.

Origini dati usate dall'agente di analista della sicurezza

L'agente supporta attualmente tre origini dati:

Esistono due metodi per specificare l'origine dati:

Prompt in linguaggio naturale: Aggiungi la fonte dati all'istruzione. Ad esempio:

Analyze if there are privilege escalation or role elevation activities that are followed by sensitive data access in my enterprise. Please use Sentinel Log Analytics for this.

Quando si specifica un'origine dati nell'istruzione, l'agente recupera e analizza i log di sicurezza da tale origine. Se sono presenti più aree di lavoro, l'agente chiede di specificare quale usare.

Una volta configurata in un prompt, l'impostazione dell'origine dati viene mantenuta per l'intera sessione fino a quando non viene modificata. È consigliabile limitare le modifiche all'origine dati in una determinata sessione a tre per migliorare le prestazioni.

Impostazioni agente: è anche possibile specificare l'origine dati modificando le impostazioni dell'agente.

Configurare l'agente dell'analista della sicurezza (facoltativo)

È possibile eseguire l'agente di Security Analyst direttamente in Defender senza completare la configurazione. La configurazione dell'agente viene fornita per supportare scenari di configurazione facoltativi, ad esempio la definizione di un'identità dell'agente o la preconfigurazione delle origini dati. Non influisce sulla capacità di eseguire l'agente in Defender.

1. Accedere a Security Copilot (https://securitycopilot.microsoft.com).

2. Selezionare l'icona del menu Home.

3. Passare ad Agenti.

4. Nella sezione Pronto per l'installazione selezionare Agente analista della sicurezza.

5. Per la prima installazione, individuare l'agente nella sezione Pronto per l'installazione e selezionare Configura. Se l'agente è già configurato per almeno un utente, cercare "Agente analista della sicurezza" nella sezione "Agenti in uso" e fare clic su "Vai all'agente".

   

6. Specificare i dettagli delle origini dati preferite per configurare l'agente:

   • Defender XDR: lasciare vuoti tutti i campi e specificare Use Defender XDR alla fine dell'istruzione.

   • Sentinel Data Lake (obbligatorio):

     1. Immettere SentinelDataLake nel campo DataSource .
     2. Inserisci il nome dell'area di lavoro nel campo Nome dell'area di lavoro di Sentinel Data Lake.
     3. Lasciare vuoti i campi rimanenti.

   • Area di lavoro Log Analytics di Sentinel:

     1. Immettere SentinelLogAnalyticsWorkspace nel campo DataSource .
     2. Compilare il campo seguente: Nome area di lavoro Log Analytics.
     3. Lasciare vuoto il campo Sentinel Data Lake Workspace Name (Nome area di lavoro Data Lake) e salvare le impostazioni.

     

7. Selezionare Chat con l'agente nella parte superiore per interagire con l'agente.

   

   È possibile avviare una nuova chat per una nuova analisi, visualizzare e accedere alle chat cronologiche e visualizzare i dettagli dell'impostazione dell'agente da qualsiasi sessione dell'agente.

   

Usare l'agente di analista della sicurezza

Seguire questa procedura per usare l'agente analista della sicurezza in Microsoft Defender.

1. Passare al portale di Microsoft Defender e quindi selezionare Ricerca avanzata in Indagine e risposta.

2. Aprire Copilot e quindi selezionare Agente analista della sicurezza.

   

3. Immettere il prompt di analisi della sicurezza in linguaggio naturale oppure selezionare una delle richieste suggerite.

4. Se l'attività è ampia, rispondere alle domande di chiarimento dell'agente in modo che l'agente possa limitare l'ambito dell'analisi.

5. Facoltativamente, specificare l'origine dati nel prompt. Se non viene specificata alcuna origine dati, l'agente tenta innanzitutto di Defender XDR e quindi Sentinel Log Analytics per identificare e recuperare i dati necessari per l'analisi.

6. Esaminare la risposta, inclusi i risultati con priorità, le prove di supporto e le raccomandazioni.

   Nell'esempio seguente, l'agente riepiloga i risultati insieme alle prove e fornisce anche raccomandazioni contestuali sui passaggi successivi, ovvero indagini più approfondite o contenimento. La risposta contiene anche un elenco di richieste successive suggerite che l'utente può chiedere di continuare a interagire.

   

7. Continua con i prompt di follow-up nella stessa sessione oppure avvia una nuova sessione per un'indagine distinta.

   Nota

   L'agente può richiedere alcuni minuti per completare analisi complesse.

8. Se è stata eseguita una query KQL e si sta cercando di analizzare i risultati per comprendere i rischi per la sicurezza, selezionare analizza con copilot sotto la scheda risultati della query. L'agente ragiona sui risultati generati e presenta un riepilogo delle informazioni dettagliate con priorità che richiedono un'attenzione urgente.

   

9. Usare i pulsanti di feedback nella risposta per condividere se l'output è stato utile.

Interpretazione del report

Il report è organizzato nelle sezioni seguenti per esaminare l'analisi e le prove di supporto.

Riepilogo esecutivo

Il riepilogo esecutivo fornisce una chiara narrazione del modo in cui è stata eseguita l'analisi, delineando i passaggi eseguiti e i dati considerati. Spiega i criteri di filtro, gli intervalli di tempo e qualsiasi classificazione applicata, il tutto in un linguaggio semplice in modo che i lettori possano seguire facilmente il processo.

Informazioni dettagliate chiave

Qui sono disponibili i risultati più significativi dell'analisi, presentati in modo conciso e significativo. Ogni approfondimento include una breve spiegazione del motivo per cui è importante e, se pertinente, riferimenti a prove di supporto.

Visualizzazioni

La sezione Visualizzazioni contiene grafici o grafici che aggiungono profondità e chiarezza al report, consentendo ai lettori di interpretare rapidamente modelli o relazioni nei dati. Gli oggetti visivi vengono inclusi solo quando forniscono un valore univoco all'analisi.

Manufatti

Gli artefatti sono i file di supporto che accompagnano il report, ad esempio un csv completo di tutte le entità analizzate e, se applicabile, file di prova dettagliati. Queste risorse consentono ai lettori di esplorare il set di dati completo dietro i risultati. Gli artefatti includono la query KQL usata dall'agente per recuperare i dati (si noti che l'agente usa solo KQL per il recupero dei dati, l'analisi viene eseguita in Python), un piano completo formulato per l'esecuzione dell'attività.