Haltungspriorisierungs-Agent

  • Gilt für:: Project Perception

Important

Einige Informationen in diesem Artikel beziehen sich auf ein vorab veröffentlichtes Produkt, das vor der kommerziellen Veröffentlichung möglicherweise erheblich geändert wird. Microsoft übernimmt keine Gewährleistungen, ausgedrückt oder impliziert, in Bezug auf die hier bereitgestellten Informationen. Project Perception befindet sich derzeit in der eingeschränkten öffentlichen Vorschau. „Limited Public Preview Program“ bedeutet, dass Perception vor der breiteren öffentlichen Verfügbarkeit während eines festgelegten Vorschauzeitraums nur einem kleinen, ausschließlich auf Einladung zugänglichen Kundenkreis zur Verfügung steht.

Der Haltungspriorisierungs-Agent hilft Sicherheitsteams und Projektbeteiligten in der gesamten Organisation zu verstehen, was zuerst behoben werden soll und warum. Der Agent unterstützt zwei Szenarien: umfassende Priorisierung des Sicherheitszustands für die routinemäßige Planung von Korrekturmaßnahmen sowie bedrohungsgesteuerte Reaktion auf den Sicherheitszustand zum Verständnis der Gefährdung durch eine bestimmte Bedrohung. In beiden Fällen analysiert der Agent Haltungsergebnisse und erzeugt einen erklärenden, priorisierten Aktionsplan basierend auf Risiko, Ausnutzung, Exposition, Asset Criticality und verfügbaren Defender Signalen. In der Vorschau ist der Agent nur-lesend und konzentriert sich auf Szenarien zum Sicherheitszustand in der Cloud und auf Geräten.

Der zentrale Mehrwert des Agent liegt darin, große Mengen an Sicherheitsbefunddaten zu durchforsten, um das Wesentliche herauszuarbeiten:

  • Reduziert die manuelle Triage – erfasst Befunde zur Sicherheitslage in großem Maßstab, sodass Sicherheitsadministratoren und Teams für Schwachstellenmanagement sie nicht manuell sichten müssen.
  • Erstellt einen bewerteten Aktionsplan – liefert eine sortierte Liste von Abhilfemaßnahmen, nicht ein rohes Dump von Ergebnissen.
  • Erläutert die Begründung – für jede priorisierte Aktion stellt der Agent die Rationale, die unterstützenden Beweise und die Auswirkungen des nicht handelnden Handelns bereit, sodass Teams Entscheidungen für die Beteiligten rechtfertigen können.
  • Verwendet reale Risikosignale – Bewertungen spiegeln reale Risikosignale wider, nicht nur Schweregradbewertungen.

Warum verwenden Sie den Haltungspriorisierungs-Agent?

Der Posture Prioritization Agent kümmert sich um den Bereich der Sicherheit vor einem Sicherheitsvorfall – also um die Maßnahmen, die ergriffen werden, bevor ein Angriff stattfindet. Sicherheitsadministratoren und Sicherheitsrisikomanagementteams verwalten eine fortlaufende Warteschlange mit Haltungsempfehlungen: Patchen Sie diese Software, beheben Sie diese Netzwerkkonfiguration, schließen Sie diese Exposition. Die Herausforderung besteht nicht in einem Mangel an Empfehlungen, sondern darin zu wissen, welche man zuerst umsetzen sollte, um das Risiko bestmöglich zu reduzieren.

Der Haltungspriorisierungs-Agent reduziert diese manuelle Triagelast. Es nimmt Haltungsergebnisse in Ihren Cloudressourcen und -geräten auf und erzeugt einen bewerteten Aktionsplan mit erklärenden, risikobasierten Priorisierungen. Der Agent bewertet nicht nur Ergebnisse; es erklärt, warum jede Aktion priorisiert wird, welche Signale die Entscheidung beeinflusst haben und welche Beweise die Empfehlung unterstützen. Außerdem wird die Auswirkung der Nichtadressierung der einzelnen Elemente kommuniziert, sodass Teams Priorisierungsentscheidungen für die Projektbeteiligten rechtfertigen können. Diese Begründung ist entscheidend dafür, dass Sicherheitsteams den Ergebnissen vertrauen und sie kommunizieren können.

Szenarien

Der Haltungspriorisierungs-Agent unterstützt die folgenden Szenarien:

Umfassende Priorisierung der Sicherheitslage Bedrohungsgesteuerte Haltungsantwort
Frage, die es beantwortet "Was sollte ich zuerst in meiner Umgebung beheben?" "Bin ich dieser Bedrohung ausgesetzt und was soll ich tun?"
Wann verwenden Routinemäßige Verwaltung der Sicherheitslage – keine spezifische Bedrohung im Blick Eine spezifische Bedrohung ist aufgetaucht, und Sie müssen Ihre Gefährdung verstehen.
Eingabe erforderlich Nichts Threat Intelligence-Artikel-URL, Name des Bedrohungsdarstellers, CVE oder TTPs
Playbook Plan zur Behebung von Sicherheitsproblemen Schutz vor einer Bedrohung
So funktioniert es Wertet Haltungssignale in Ihrer Umgebung aus und erzeugt einen priorisierten Aktionsplan. Ordnet Bedrohungstechniken zuerst Ihren Haltungsergebnissen zu und bewertet dann die Behebung im Kontext dieser spezifischen Bedrohung.

Umfassende Priorisierung der Sicherheitslage

Verwenden Sie dieses Szenario für die fortlaufende Haltungsverwaltung. Es ist keine Bedrohungseingabe erforderlich. Der Agent wertet Haltungssignale über Ihre Cloudressourcen und -geräte hinweg aus und erzeugt einen priorisierten Aktionsplan. Ausführliche Informationen dazu, wie Ergebnisse bewertet werden, finden Sie unter Berichtsinhalte.

Playbook: Plan zur Korrektur der Sicherheitslage

Bedrohungsgesteuerte Haltungsantwort

Verwenden Sie dieses Szenario, wenn eine bestimmte Bedrohung angezeigt wurde und Sie Ihre Exposition verstehen müssen. Der Agent führt eine Zuordnung von Bedrohungstechniken zu Ihren Sicherheitsbefunden durch, bevor er eine Priorisierung vornimmt. Daher beschränkt sich die Ausgabe auf das, was für diese spezifische Bedrohung relevant ist, und nicht auf Ihre gesamte Warteschlange für die Korrektur.

  • Playbook: Vor einer Bedrohung schützen
  • Erforderliche Eingabe: Url des Artikels "Bedrohungserkennung", "Name des Bedrohungsakteur", "CVE" oder "Satz von TTPs"

Anmerkung

Hierbei handelt es sich um unterschiedliche Flüsse mit unterschiedlichen Ausgaben. Das Playbook Schutz vor einer Bedrohung wendet vor der Priorisierung eine bedrohungsbezogene Perspektive auf die Sicherheitslageanalyse an. Das Playbook Plan zur Korrektur der Sicherheitslage priorisiert direkt anhand Ihrer aktuellen Sicherheitslagebefunde ohne Bedrohungsfilter.

Bevor Sie anfangen

Bestätigen Sie die erforderliche Produktverfügbarkeit, Lizenzierung, Berechtigungen und Konfiguration, bevor Sie den Haltungspriorisierungs-Agent verwenden.

Voraussetzungen

Um den Haltungspriorisierungs-Agent in Ihrer Umgebung auszuführen, benötigen Sie Folgendes:

  • Microsoft 365 E5

Microsoft Defender for Cloud mit aktiviertem Defender Cloud Security Posture Management (CSPM) ist auf Abonnementebene für Cloudsignale erforderlich. Durch die Aktivierung zusätzlicher Pläne werden weitere Sicherheitslagensignale für den Agent sichtbar gemacht, mit denen dieser arbeiten kann. Weitere Informationen finden Sie unter "Was ist Cloud Security Posture Management (CSPM)".

Weitere Informationen zur einheitlichen rollenbasierten Zugriffssteuerung (RBAC) im Defender-Portal finden Sie unter Microsoft Defender XDR Einheitliche rollenbasierte Zugriffssteuerung (RBAC).

Einrichten des Haltungspriorisierungs-Agents

Führen Sie zum Einrichten dieses Agents die Schritte unter Einrichten eines Agents aus.

Sitzung des Posture Prioritization Agent starten

Informationen zum Starten einer Sitzung finden Sie unter "Starten einer neuen Sitzung". Dieser Agent unterstützt zwei Playbooks mit unterschiedlichen Szenarien. Wählen Sie die Option aus, die Ihren aktuellen Bedarf entspricht.

Anmerkung

Dies sind unterschiedliche Flüsse. Das Playbook Vor einer Bedrohung schützen wendet vor der Priorisierung eine bedrohungsspezifische Perspektive auf die Analyse der Sicherheitslage an. Das Playbook Maßnahmen zur Korrektur des Sicherheitszustands planen wendet die Priorisierung direkt auf Ihre aktuellen Sicherheitszustandsergebnisse an, ohne einen Bedrohungsfilter zu verwenden.

Plan zur Behebung von Sicherheitsproblemen

Szenario (Allgemeine Haltungspriorisierung):"Was sollte ich zuerst in meiner Umgebung beheben?"

Verwenden Sie dieses Playbook, wenn Sie basierend auf Ihren aktuellen Cloud- und Gerätestatusergebnissen einen bewerteten Wartungsplan benötigen. Es ist keine Bedrohungseingabe erforderlich. Der Agent wertet Haltungssignale in Ihrer gesamten Umgebung aus und erzeugt einen priorisierten Aktionsplan.

  1. Wechseln Sie zu Playbooks.
  2. Wählen Sie das Playbook Maßnahmen zur Korrektur des Sicherheitszustands planen aus.
  3. Wählen Sie "Neue Sitzung" aus.
  4. Wählen Sie "Startsitzung" aus.

Schutz vor einer Bedrohung

Szenario (bedrohungsgesteuerte Reaktion auf den Sicherheitszustand):„Eine neue Bedrohung ist aufgetreten. Bin ich gefährdet, und was soll ich tun?“

Verwenden Sie diesen Leitfaden, wenn eine bestimmte Bedrohung aufgetreten ist und Sie Ihre Gefährdung besser verstehen und entsprechende Abhilfemaßnahmen priorisieren möchten. Der Agent führt die Zuordnung der Bedrohung zu Ihren Sicherheitszustandsergebnissen durch, bevor er eine Priorisierung vornimmt.

  1. Wechseln Sie zu Playbooks.
  2. Wählen Sie das Playbook "Schutz vor Bedrohungen" aus.
  3. Wählen Sie "Neue Sitzung" aus.
  4. Bereitstellen der erforderlichen Bedrohungseingabe: ein Artikel zur Bedrohungserkennung.
  5. Wählen Sie "Startsitzung" aus.

Überwachen des Sitzungsfortschritts

Wenn eine Sitzung beginnt, erstellt der Agent eine Sitzung in Project Perception. Um Sitzungen anzuzeigen und zu verwalten, wechseln Sie zu "Agents", suchen Sie unter den verwendeten Agents den "Haltungspriorisierungs-Agent", und wählen Sie "Zu Agent wechseln" aus.

Die Seite „Posture Prioritization Agent“ enthält die folgenden Registerkarten:

Tab Description
Übersicht Zeigt den Status des Agenten, die Playbooks, die Identität, die Berechtigungen und die letzten Sitzungen an.
Sitzungen Zeigt Sitzungen an, einschließlich des aktuellen Status und der aktuellen Aktivität. Öffnen Sie eine Sitzung, um Ergebnisse zu überprüfen und im Chat Anschlussfragen zu stellen.

Wählen Sie oben rechts auf der Seite das Auslassungszeichen (...) aus, um den Agenten zu verwalten. Wählen Sie Pause aus, um den Agenten vorübergehend anzuhalten, oder Run, um die Agentaktivität fortzusetzen.

Verstehen Sie den Bericht

Anmerkung

Die Ergebnisse können von Durchlauf zu Durchlauf variieren. Dies bedeutet nicht, dass die Empfehlungen falsch sind. Jede empfohlene Aktion wird zum Zeitpunkt der Analyse anhand der verfügbaren Risikosignale und Nachweise ausgewertet.

Wenn eine Sitzung abgeschlossen ist, wählen Sie " Zusammenfassung " in der Sitzungsoberfläche aus, um die Sitzungszusammenfassung anzuzeigen. Vollständige Ausgabedateien sind auch als herunterladbare Markdown-Dateien im Abschnitt "Ausgaben" des Sitzungsdetailspanels verfügbar. Die Ausgabe ist das primäre Ergebnis einer Ausführung. Es enthält die wichtigsten Gefährdungen, die priorisiert werden sollten, um das Risiko in Ihrer Umgebung zu verringern.

Sie können den Bericht in der Sitzungschat-Benutzeroberfläche nachverfolgen. Bitten Sie den Agenten, eine bestimmte Aktion zu erläutern, sich auf eine bestimmte Arbeitsauslastung zu konzentrieren, oder geben Sie mehr Details zu den Gründen hinter einer Empfehlung.

Berichtsinhalte

Die Sitzungszusammenfassung umfasst:

  • Überschrift - Eine kurze Übersicht über die Sitzungsergebnisse und die wichtigsten Ergebnisse.
  • Was passiert ist - eine Erzählung, die beschreibt, was der Agent analysiert und was es gefunden hat.
  • Was als Nächstes zu tun ist – eine priorisierte Liste der empfohlenen Wartungsaktionen.

Die vollständige Ausgabe ist auch als herunterladbare Markdown-Dateien im Bereich " Ausgaben" des Sitzungsdetailspanels verfügbar.

Vorschaubereich und Einschränkungen

Der folgende Bereich und die folgenden Einschränkungen gelten während der Vorschau:

Geltungsbereich Details
Schreibgeschützt Der Agent analysiert und empfiehlt; es nimmt keine Änderungen an Ihrer Umgebung vor oder erzwingt Wartungsaktionen
Cloud- und Gerätestatus In der Vorschau konzentriert sich der Agent auf Cloudressourcen und -geräte.
Nur Defender-Signale Der Agent arbeitet mit Haltungssignalen, die in Ihrer Defender Umgebung zur Verfügung stehen. CSPM-Daten und Signale von Drittanbietern aus externen Quellen werden in der Vorschau nicht unterstützt.

Verwandte Inhalte

  • Zuletzt aktualisiert um