Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Important
Einige Informationen in diesem Artikel beziehen sich auf ein vorab veröffentlichtes Produkt, das vor der kommerziellen Veröffentlichung möglicherweise erheblich geändert wird. Microsoft übernimmt keine Gewährleistungen, ausgedrückt oder impliziert, in Bezug auf die hier bereitgestellten Informationen. Project Perception befindet sich derzeit in der eingeschränkten öffentlichen Vorschau. „Limited Public Preview Program“ bedeutet, dass Perception vor der breiteren öffentlichen Verfügbarkeit während eines festgelegten Vorschauzeitraums nur einem kleinen, ausschließlich auf Einladung zugänglichen Kundenkreis zur Verfügung steht.
Security Operations Centers (SOCs) verarbeiten große Mengen von Warnungen in mehreren Workloads, und jede Workload erfordert unterschiedliche Kontext, Signale und Untersuchungstiefe. Unterschiede bei der Bewertung dieser Warnungen können zu inkonsistenten Triageentscheidungen führen und die Fähigkeit verlangsamen, echte Bedrohungen von falschen Alarmen zu unterscheiden. Infolgedessen können Risikoaktivitäten verpasst oder verzögert werden, während Analysten unverhältnismäßig viel Zeit damit verbringen, Rauschen zu filtern, anstatt auf das Wesentliche zu reagieren.
Der Triage-Agent ist ein autonomer Agent, der in Microsoft Defender eingebettet ist und Sicherheitsteams dabei hilft, Warnungen im großen Maßstab zu triagen. Es wendet KI-gesteuerte, dynamische Begründung über Beweise an, um klare Bewertungen für unterstützte Sicherheitsworkloads zu liefern. Durch die Identifizierung, welche Warnungen reale Angriffe darstellen und welche falsch positive Ergebnisse sind, ermöglicht der Agent analysten, sich auf die Untersuchung realer Bedrohungen zu konzentrieren, mit transparenten, schritt-für-Schritt-Begründungen, um jede Entscheidung zu unterstützen.
Wichtige Funktionen
Der Triage Agent klassifiziert und triagiert Warnmeldungen in Microsoft Defender für unterstützte Workloads und Warnungstypen. Zu den wichtigsten Funktionen des Agents gehören:
- Autonome Triage: Verwendet erweiterte KI-Tools, um Warnungen auszuwerten und zu bestimmen, ob sie böswillige Aktivitäten oder falsche Alarme darstellen, ohne dass eine schrittweise menschliche Eingabe erforderlich ist.
- Transparente Begründung: Zeichnet Klassifizierungsbewertungen auf und bietet unterstützende Argumente in natürlicher Sprache und visuellen Diagrammen, einschließlich der Nachweise, die verwendet werden, um die einzelnen Schlussfolgerungen zu erreichen.
- Lernen basierend auf Feedback: Für unterstützte Warnungstypen kann der Agent Analystenfeedback integrieren, wenn es explizit bereitgestellt und genehmigt wird, um seine Bewertungsanalyse zu optimieren. Diese Funktion ist derzeit nur für E-Mail- und Zusammenarbeitswarnungen verfügbar.
Unterstützte Warnungen
Der Triage-Agent unterstützt derzeit die folgende Teilmenge von Warnungstypen in Microsoft Defender. Es wird erwartet, dass der Satz unterstützter Warnungen im Laufe der Zeit zunehmen wird.
| Alarmtyp | Warnungsname |
|---|---|
| Email- und Zusammenarbeitswarnungen, einschließlich Phishing | Vom Benutzer als Schadsoftware oder Phishing-Mail gemeldete E-Mails |
| Cloudwarnungen, einschließlich Containern |
Anzeigen aller Cloudwarnungen
|
| Identitätswarnungen |
Anzeigen aller Identitätswarnungen
|
| Microsoft Defender for Endpoint | Verdächtige PowerShell-Befehlszeile |
| Microsoft Defender für Cloud-Apps |
Alle Microsoft Defender for Cloud Apps Warnungen anzeigen
|
Bevor Sie anfangen
Bestätigen Sie die erforderliche Produktverfügbarkeit, Lizenzierung, Berechtigungen und Konfiguration, bevor Sie den Triage-Agent verwenden.
Voraussetzungen
Um den Triage-Agent in Ihrer Umgebung auszuführen, benötigen Sie Folgendes:
| Voraussetzung | Details |
|---|---|
| Warnungsoptimierungsregeln | Deaktivieren Sie Optimierungsregeln, die die Warnungen auflösen, die der Agent selektieren soll. Der Agent priorisiert keine behobenen Warnmeldungen. Weitere Informationen finden Sie unter Optimieren einer Warnung. |
| Microsoft Unified RBAC | Aktivieren Sie die einheitliche rollenbasierte Zugriffssteuerung, und aktivieren Sie die relevanten Workloads für die Warnungstypen, die Sie selektieren möchten. Weitere Informationen finden Sie unter Workloadspezifische Voraussetzungen. |
| Produkte und Lizenzen | Sie benötigen bestimmte Produkte und Lizenzen basierend auf den Warnungstypen, die der Agent selektieren soll. Weitere Informationen finden Sie unter Workloadspezifische Voraussetzungen. |
| Security Copilot-Plugins | Der Triage-Agent aktiviert diese Plug-Ins automatisch: Microsoft Defender XDR, Microsoft Threat Intelligence, Triage Agent und Phishing Triage Agent. Weitere Informationen finden Sie unter Übersicht über Plug-Ins Microsoft Security Copilot. |
| Bereichsdefinition für Gerätegruppen | Wenn Ihre Organisation Microsoft Defender for Endpoint Gerätegruppen verwendet, fügen Sie die Agent-Identität einer Microsoft Entra Sicherheitsgruppe hinzu, die jeder Gerätegruppe zugewiesen ist, die der Agent benötigt. Die Einrichtung des Agent nimmt Ihnen dies nicht ab, und Warnmeldungen zu Geräten in einer nicht zugewiesenen Gruppe schlagen fehl oder werden auf Grundlage unvollständiger Daten priorisiert. Weitere Bereichsdefinitionen finden Sie unter Einrichten eines Agent. |
Workloadspezifische Voraussetzungen
Die folgenden Voraussetzungen hängen von den Warnungstypen ab, die der Agent selektieren soll.
Produkt- und Lizenzanforderungen: Für E-Mail- und Zusammenarbeitswarnungen sind das folgende Produkt und die folgende Lizenz erforderlich:
Anforderungen für einheitliche RBAC: Aktivieren Sie Microsoft Defender for Office 365 in den Einstellungen für einheitliche RBAC in Defender XDR.
Weitere Informationen finden Sie unter Aktivieren von Workloads in Microsoft Defender XDR Einstellungen.
Konfigurieren von Vom Benutzer gemeldeten Einstellungen: Aktivieren Sie die Überwachung gemeldeter Nachrichten in Outlook, um zu definieren, wie Benutzer potenziell schädliche Nachrichten in Outlook melden, und wählen Sie eine der Optionen für gemeldete Nachrichtenziele aus:
Weitere Informationen finden Sie unter Verwenden des Microsoft Defender-Portals zum Konfigurieren von benutzerseitig gemeldeten Einstellungen.
Wenn Sie ein E-Mail-Berichterstellungstool eines Drittanbieters verwenden, überprüfen Sie die Optionen für Berichterstellungstools von Drittanbietern, und zeigen Sie die Konfigurationsoptionen Ihres Anbieters an, um gemeldete Nachrichten in Defender for Office 365 zu integrieren.
Hinzufügen einer Warnungsrichtlinie: Der Triage-Agent behebt E-Mail- und Zusammenarbeitsvorfälle, die Warnungen mit dem Typ "E-Mail" enthalten, der vom Benutzer als Schadsoftware oder Phishing gemeldet wurde.
Stellen Sie sicher, dass die entsprechende Warnungsrichtlinie aktiviert ist. Weitere Informationen finden Sie unter Warnungsrichtlinien im Microsoft Defender-Portal.
Important
Der Triage-Agent nimmt keine Triage für Warnungen vor, die durch Warnungsoptimierung behoben werden. Stellen Sie sicher, dass Sie die integrierte Warnungsoptimierungsregel Auto-Resolve - E-Mail vom Benutzer als Malware oder Phishing gemeldet sowie alle benutzerdefinierten Optimierungsregeln deaktivieren, die diese Warnung beheben.
Berechtigungen sind erforderlich
In dieser Tabelle sind die Berechtigungen aufgeführt, die zum Ausführen verschiedener Aktionen im Zusammenhang mit dem Triage-Agent im Defender-Portal erforderlich sind.
| Benutzeraktion | Erforderliche Berechtigungen |
|---|---|
| Starten von Sitzungen und Anzeigen manuell aufgerufener Sitzungen | Rolle „Sicherheitsleser“, wie bei allen Agenten. |
| Automatisch ausgelöste Sitzungen anzeigen | Benutzer benötigen mindestens dieselben Berechtigungen wie der Agent in der einheitlichen RBAC von Defender XDR, wie in Erforderliche Berechtigungen für den Triage-Agent beschrieben. |
| Konfigurieren des Agents (Einrichten, Anhalten, Entfernen des Agents und Verwalten der Agentidentität) | Sicherheitsadministrator in Microsoft Entra ID. |
| Agent durch Feedback unterrichten | Dieselben Berechtigungen wie der Agent (oder höher), wie unter Triage Agent required permissions beschrieben. |
| Feedbackseite anzeigen |
Security Copilot (Lesen), Sicherheitsdatengrundlagen (Lesen) und Metadaten für die Zusammenarbeit per E-Mail und Zusammenarbeit (lesen) unter der Berechtigungsgruppe "Sicherheitsvorgänge" im Defender-Portal. ODER Sicherheitsadministrator in Entra ID. |
| Feedback ablehnen | Sicherheitsadministrator in Entra ID. |
Weitere Informationen zur einheitlichen rollenbasierten Zugriffssteuerung (RBAC) im Defender-Portal finden Sie unter Microsoft Defender XDR Einheitliche rollenbasierte Zugriffssteuerung (RBAC).
Einrichten des Triage-Agents
Stellen Sie sicher, dass Sie über die erforderlichen Berechtigungen verfügen und alle Voraussetzungen erfüllen, bevor Sie den Agent einrichten.
Setup starten
- Wählen Sie im Defender-Portal Perception> aus.
- Suchen Sie den Triage-Agent im Abschnitt " Agents ready for setup ".
- Wählen Sie Einrichten aus.
- Führen Sie die Schritte im Setup-Assistenten aus, und wählen Sie die Warnungstypen aus, die der Agent aus der Liste der unterstützten Warnungstypen triagen soll. Berechtigungen und Datenbereiche hängen von dieser Auswahl ab.
Weisen Sie dem Agenten Identität und Berechtigungen zu
Der Setup-Assistent führt Sie durch das Zuweisen einer Identität des Agents und der Berechtigungen, die er für seine Arbeit benötigt.The setup wizard guides you through assigning the agent an identity and the permissions it needs to do its work.
Zuweisen einer Identität
Der Agent benötigt eine Microsoft Entra-Agent-ID, um zu arbeiten. Der Setup-Assistent erstellt automatisch eine neue Agent-ID. Microsoft Entra erstellt Agent-IDs speziell für KI-Agents. Wenn Sie eine Agent-ID verwenden, bleibt der Zugriff klar abgegrenzt, sicher und leichter zu verwalten. Weitere Informationen finden Sie unter Was sind Agentidentitäten?.
Anmerkung
Sie können die Agent-Identität nach dem Setup wie unter Bearbeiten von Agent-Einstellungen beschrieben ändern.
Zuweisen von Berechtigungen
Um dem Prinzip der geringsten Berechtigung zu folgen, weisen Sie der Agent-Identität nur die Berechtigungen zu, die der Triage-Agent für seine Aufgaben benötigt.
Der Setup-Assistent erstellt automatisch eine Rolle basierend auf den von Ihnen ausgewählten Warnungstypen und den einheitlichen RBAC-Berechtigungen, die für den Zugriff auf die zugehörigen Daten erforderlich sind.
Erforderliche Berechtigungen für den Triage-Agent
Der Triage-Agent benötigt spezifische Berechtigungen für den Zugriff auf die benötigten Daten und zum Ausführen seiner Triagefunktionen. Die erforderlichen Berechtigungen hängen von den Warnungstypen und den zugehörigen Produkten ab, mit denen der Agent arbeiten soll.
In dieser Tabelle sind die erforderlichen Berechtigungen und Datenbereiche für jeden Warnungstyp zusammengefasst:
| Alarmtyp | Berechtigungen | Datenbereiche |
|---|---|---|
| Email- und Zusammenarbeitswarnungen, einschließlich Phishing | Security Copilot (Lesen), Grundlagen zu Sicherheitsdaten (Lesen), Warnungen (Verwalten), Metadaten zu E-Mails und zur Zusammenarbeit (Lesen), E-Mail- und Zusammenarbeitsinhalte: Mit Warnungen verknüpfte E-Mails (Lesen) | Defender für Office 365 |
| Cloudwarnungen, einschließlich Containern | Security Copilot (lesen), Grundlagen zu Sicherheitsdaten (lesen), Warnungen (verwalten) | Microsoft Defender for Cloud |
| Identitätswarnungen | Security Copilot (lesen), Grundlagen zu Sicherheitsdaten (lesen), Warnungen (verwalten) | Defender for Identity und Defender for Cloud Apps |
| Endpunktwarnungen | Security Copilot (lesen), Grundlagen zu Sicherheitsdaten (lesen), Warnungen (verwalten) | Microsoft Defender für den Endpunkt |
| Cloud-App-Warnungen | Security Copilot (lesen), Grundlagen zu Sicherheitsdaten (lesen), Warnungen (verwalten) | Defender für Cloud-Apps |
Diese Berechtigungen befinden sich in der Berechtigungsgruppe "Sicherheitsvorgänge " in einheitlichem RBAC:
Important
Nachdem der Setup-Assistent die Agentberechtigungen zugewiesen hat, stellen Sie sicher, dass die Benutzergruppe, die den Agent überwacht, über gleiche oder höhere Berechtigungen verfügt, um die Aktivität und Ausgabe der automatischen Sitzungen zu überwachen. Vergleichen Sie dazu die Berechtigungen der Benutzergruppe mit dem Agent auf der Seite "Berechtigungen" im Defender-Portal.
Starten einer Sitzung
Informationen zum Starten einer Sitzung finden Sie unter "Starten einer neuen Sitzung".
Der Triage-Agent verwendet den folgenden Ablaufplan:
| Leitfaden | Erforderliche Eingabe |
|---|---|
| Triage-Warnung | Die ID einer unterstützten Warnung aus dem Defender-Portal. |
Automatisches Auslösen des Triage-Agents
Der Agent hilft Sicherheitsteams, die große Anzahl von Warnungen zu verwalten, die Organisationen täglich erhalten, indem sie unterstützte Warnungen automatisch triagieren und ihre Klassifizierung und ihren Status in Defender Vorfällen aktualisieren.
Agent-Trigger und -Flow
Nach dem Setup wird der Triage-Agent automatisch ausgeführt, wenn eine relevante Warnung erstellt wird. Anschließend analysiert der Agent die Warnung mithilfe komplexer KI-Tools und des Kontexts Ihrer organization autonom, um zu ermitteln, ob die zugehörige Bedrohung böswillig oder nur ein Falschalarm ist.
Wenn festgestellt wird, dass es sich bei der Warnung um einen Fehlalarm handelt, stuft der Agent sie als False Positive ein und schließt sie entsprechend ab. Wenn die Warnung als schädlich eingestuft wird, wird sie als True Positive klassifiziert, und der Status des zugehörigen Sicherheitsvorfalls bleibt offen und in Bearbeitung, damit ein Analyst ihn untersuchen und weitere Maßnahmen ergreifen kann.
Für jede Warnung, die er verarbeitet, gibt der Agent eine detaillierte Erläuterung seines Urteils im entsprechenden Incident.
Den Agenten in der Warteschlange verfolgen
Um Transparenz zu gewährleisten, aktualisiert der Agent während des Triage-Prozesses routinemäßig die Incident-Felder. Wenn die Triage beginnt, weist der Agent den Alarm sich selbst zu und fügt dem entsprechenden Vorfall ein Agent-Tag hinzu. Analysten können die Incident-Warteschlange filtern, um nur die vom Agenten markierten Vorfälle anzuzeigen, was die Übersicht und Priorisierung vereinfacht.
Tip
Sie können die Vorfallwarteschlange auch filtern, indem Sie den Namen der Identität verwenden, die Sie dem Triage-Agent zugewiesen haben, um die Vorfälle anzuzeigen, an denen der Agent aktiv arbeitet.
Wenn eine Warnung als echte Bedrohung identifiziert wird, markiert der Triage-Agent sie als "True Positive", sodass Analysten Vorfälle basierend auf bestätigten Klassifizierungen filtern und priorisieren können.
Transparenz und Nachvollziehbarkeit bei der Priorisierung von Warnmeldungen
Für jede Warnung, die sie verarbeitet, bietet der Triage-Agent eine detaillierte Erläuterung seiner Bewertung und eine grafische Darstellung des Entscheidungsfindungsworkflows.
Führen Sie die folgenden Schritte aus, um die Ergebnisse des Agenten zu überprüfen:
Wählen Sie einen Vorfall aus der Vorfallwarteschlange aus.
Suchen Sie auf der Seite zum Vorfall im Seitenbereich „Copilot“ oder „Aufgaben“ im Abschnitt „Triage anhand geführter Antworten“ nach der Karte „Triage-Agent“. Die Aufgabe wird als abgeschlossen markiert und dem Agent zugewiesen. Die Karte zeigt das Urteil des Agenten auf Grundlage seiner Klassifizierung und hebt zentrale belastende Beweise hervor, die dieser Entscheidung zugrunde liegen.
Wählen Sie das Auslassungszeichen „Weitere Aktionen“ aus, um weitere Details zur Warnung anzuzeigen, die Klassifizierungsdetails des Agents in die Zwischenablage zu kopieren oder Feedback zu verwalten.
Um die Schritte anzuzeigen, die der Agent ausgeführt hat, bevor er seine Klassifizierung erreicht hat, wählen Sie " Agent-Aktivität anzeigen " auf der Triage Agent-Karte aus. Dies zeigt die Logik hinter der endgültigen Klassifizierung des Agents.
Vermitteln sie dem Agent den Kontext Ihrer organization durch Feedback
Important
Die Feedbackoption ist derzeit nur für E-Mail- und Zusammenarbeitsbenachrichtigungen verfügbar.
Für unterstützte Warnungstypen können Analysten optional Feedback zu Agent-Klassifizierungen in einfacher, natürlicher Sprache bereitstellen, ohne dass komplexe Konfigurationen erforderlich sind. Autorisierte Benutzer können Feedback überprüfen, auswerten und explizit anwenden, um zu beeinflussen, wie der Agent ähnliche Warnungen in Zukunft klassifiziert. Diese Funktion ist derzeit nur für E-Mail- und Zusammenarbeitswarnungen verfügbar.
Führen Sie die folgenden Schritte aus, um Feedback zu geben und den Agent zu unterrichten:
Suchen Sie auf der Seite zum Vorfall im Seitenbereich „Copilot“ oder „Aufgaben“ im Abschnitt „Triage anhand geführter Antworten“ nach der Karte „Triage-Agent“.
Überprüfen Sie die Klassifizierung und Begründung des Agenten, die im Titel und im Inhalt der Karte angezeigt werden. Wenn die Entscheidung nicht mit den Klassifizierungskriterien Ihres organization übereinstimmt, wählen Sie Klassifizierung ändern aus. Alternativ können Sie die Klassifizierung aktualisieren, indem Sie auf der Registerkarte Warnungen die spezifische Warnung und dann Warnung verwalten auswählen.
Wählen Sie im Bereich Warnung verwalten im Dropdownmenü Klassifizierung die neue Klassifizierung aus. Geben Sie dann Ihren Grund für die Änderung an, indem Sie das Feld Warum haben Sie diese Klassifizierung geändert ? ausfüllen. In diesem Schritt werden Ihre Eingaben auf der Feedbackverwaltungsseite nur zu Überwachungszwecken aufgezeichnet. Der Agent wird dieses Feedback erst dann verwenden, um seine Entscheidungsfindung zu verbessern, wenn Sie explizit Dieses Feedback verwenden, um den Agenten zu trainieren auswählen. Wenn Sie dieses Feedback nicht zum Unterrichten des Agents verwenden möchten, können Sie Speichern auswählen. Dadurch wird nur das Feedback überwacht, ohne es in den Arbeitsspeicher des Agents einzufügen.
Um Ihr Feedback zu übernehmen, wählen Sie Dieses Feedback verwenden, um dem Agenten etwas beizubringen aus. Sie können den Leitfaden zum Schreiben von Feedback verwenden, um effektive Eingaben zu erstellen, und dann Feedback bewerten auswählen, um eine Vorschau anzuzeigen, wie der Agent Ihr Feedback in eine Lektion übersetzt und bewerten kann, ob das Ergebnis mit Ihrer Absicht übereinstimmt. Die Feedbackauswertung führt auch grundlegende Sicherheitsprüfungen durch, um sicherzustellen, dass das angewendete Feedback für den Zu verwendenden Agenten relevant ist und nicht mit vorherigen Feedback in Konflikt steht.
Anmerkung
Sie können dem Agent nur einmal pro Warnung Feedback geben, und es kann nur verwendet werden, um dem Agent beizubringen, wie E-Mail- und Zusammenarbeitswarnungen klassifiziert werden, insbesondere durch Auswahl von True Positive (Phishing) oder False Positive (nicht böswillig). Überprüfen Sie immer Ihr Feedback, und überprüfen Sie die VON KI generierte Antwort, bevor Sie die Lektion speichern.
Wenn das Ergebnis Ihren Erwartungen entspricht, können Sie die Lektion in das Gedächtnis des Agents einfügen, um die zukünftigen Entscheidungen zu beeinflussen. Wählen Sie Speichern aus, um die Lektion zu speichern und sie, falls zutreffend, als Lektion im Gedächtnis des Agenten zu speichern. Das gesamte Feedback wird zu Überwachungszwecken aufgezeichnet, und lektionen, die dem Speicher des Agents hinzugefügt werden, können später auf der Feedbackverwaltungsseite überprüft werden.
Der Agent verwendet gespeichertes Feedback, um ähnliche Warnungen in Zukunft zu triagen und zu klassifizieren. Wenn eine relevante Warnung empfangen wird, die den Feedbackmerkmalen entspricht, wendet der Agent dieses Feedback an, um seine Klassifizierung zu bestimmen und es als unterstützende Beweise in seinen Entscheidungsprozess einzubeziehen.
Bewährte Methoden zum Schreiben von Feedback
Lektionen enthalten systematische Richtlinien, die dem Agent dabei helfen zu bestimmen, ob eine Warnung eine echte Phishing-Bedrohung oder ein falscher Alarm ist. Um sicherzustellen, dass der Agent Ihr Feedback effektiv einbezieht, befolgen Sie die folgenden bewährten Methoden, wenn Sie Dem Triage-Agenten Eingaben bereitstellen:
- Stellen Sie sicher, dass Feedback relevant und kontextbezogen ist. Feedback sollte sich nur auf die aktuell überprüfte E-Mail beziehen. Sie muss auch mit der aktualisierten Klassifizierung übereinstimmen, die Sie zuweisen.
- Beschreibend und spezifisch sein. Erläutern Sie die Merkmale der E-Mail deutlich. Geben Sie relevante Details wie E-Mail-Betreff, Nachrichtentext, Absender oder Empfänger an, damit der Agent den Kontext besser verstehen kann. Spezifisches Feedback mit mehreren Details erhöht die Effektivität.
- Sorgen Sie für Klarheit und Entschlossenheit. Vermeiden Sie vage oder universelle Aussagen. Geben Sie klares und umsetzbares Feedback. Verwenden Sie entscheidende und klare Identifikationsbegriffe.
- Seien Sie konsistent mit vorherigem Feedback. Stellen Sie sicher, dass das neue Feedback mit dem übereinstimmt, was Sie zuvor bereitgestellt haben, um Widersprüche zu vermeiden, die den Agenten verwirren oder die Genauigkeit seiner Entscheidungen verringern könnten. Sie können alle zuvor übermittelten Eingaben auf der Seite Feedbackverwaltung überprüfen.
- Überprüfen Sie die Interpretation Ihres Feedbacks durch den Agenten. Wenn Sie Feedback übermitteln, überprüfen Sie immer, ob das Feedback korrekt in eine Lektion übersetzt wird. Vergewissern Sie sich, dass die Lektion Ihre Absicht widerspiegelt und die Konsistenz mit Ihrer ursprünglichen Eingabe aufrechterhält. Überprüfen Sie die Gültigkeit von KI-generierten Antworten, um sicherzustellen, dass sie auf das Szenario anwendbar sind.
Hier finden Sie Beispiele dafür, wie Sie Ihr Feedback an den Agent schreiben können.
| Fläche | Beispiele für gut geschriebenes Feedback | Beispiele für Feedback, das zu Fehlern führen kann | Vergleich |
|---|---|---|---|
| Feedback zu einem Absender | Jede E-Mail, die behauptet, von Leistungsanbietern zu sein, muss von "@benefits.company.com" stammen. | Der Absender in der zweiten Warnung im Vorfall ist nicht legitim. | Feedback muss sich auf die E-Mail in der aktuellen Warnung und ihren Kontext beziehen. Sie ist an die ausgewählte Klassifizierung gebunden (auch wenn Sie sie nicht explizit im Feedback erwähnen) und für ähnliche zukünftige Warnungen verwendet werden. |
| Feedback zum Absender und E-Mail-Text | E-Mails, die Dateifreigaben oder Dokumentzugriff anbieten, sollten nur von unserem autorisierten Anbieter Contoso.com stammen. | E-Mails, die Dateifreigaben oder Dokumentzugriff anbieten, sollten nur von unseren autorisierten Anbietern stammen. | Gut geschriebenes Feedback gibt eindeutig bestimmte Anforderungen an (z. B. Absenderdomäne), während vage Verweise (z. B. "autorisierte Anbieter") keine umsetzbaren Informationen enthalten. |
| Feedback zum E-Mail-Betreff | Jede E-Mail mit einem Betreff, der eine Anforderung für eine Abrechnungstransaktion enthält, ist in unserer Organisation nicht zulässig und gilt als Phishing. | Wenn das Subjekt eine positive natürliche Stimmung hat, ist es legitim. | Beschreibendes und spezifisches Feedback können effektiv überprüft werden, während subjektives Feedback zu unbeabsichtigten Ergebnissen führen kann. |
| Feedback zum E-Mail-Text | E-Mails, die die Überprüfung der Anmeldeinformationen anfordern, sollten einen Verweis auf das jeweilige Konto oder den jeweiligen Dienst enthalten. Jede generische "Konto verifizieren"-Anforderung ohne Details sollte als Phishing behandelt werden. | Diese E-Mail sollte als Phishing behandelt werden. | Feedback, das detaillierte Informationen enthält, ist wahrscheinlicher zu verstehen, während feedbackmangelte Details auf verschiedene Weise interpretiert werden und zu unvorhersehbaren Ergebnissen führen könnten. |
| Feedback zu Empfänger und E-Mail-Text | Diese E-Mail wurde an mehrere Mitarbeiter gesendet, und der Textkörper weist Empfänger an, eine "wichtige Anlage" herunterzuladen, ohne den Inhalt zu beschreiben. Legitime E-Mails geben immer Anlagendetails an. | Interne Massen-E-Mails mit Anlagen sind Phishing. | Feedback, das bestimmte fehlende Details hervorgibt, die häufig in legitimen E-Mails gefunden werden, ist effektiver. Feedback, das weit gefasste Verallgemeinerungen (Massen-E-Mails) oder vage Begriffe (z. B. „intern“) enthält, kann zu einer überhöhten Anzahl von True Positives führen. |
| Feedback zu einem Empfänger und einer Domäne | Neue Auftragnehmer-Onboarding-E-Mails sollten nur an E-Mail-Adressen gesendet werden, beginnend mit "v-", um sicherzustellen, dass sie zu den richtigen Empfängern wechseln. | Vertragsnehmer-E-Mails sehen anders aus als üblich, sodass sie möglicherweise Phishing sind. | Gut geschriebenes Feedback definiert klar das erwartete Empfängerformat, während Feedback, das unentschlossen ("vielleicht sein") ist und keine klaren Identifikationskriterien enthält ("sieht anders aus als üblich" ohne Angabe, was anders ist) die Erkennung unzuverlässig macht. |
Beheben von Feedbackfehlern
Wenn der Agent Ihr Feedback akzeptiert, übersetzt er es in eine Lektion. Wenn es dem Agent nicht gelingt, das Feedback zu interpretieren, zeigt eine relevante Meldung an, was den Fehler verursacht hat. Sie können diese Fehler basierend auf der vom Agent zurückgegebenen Nachricht beheben.
Hier finden Sie Beispiele für Fehler, die beim Schreiben von Feedback an den Agent auftreten können, und wie Sie diese beheben können.
| Fehlermeldung | Empfohlene Maßnahme |
|---|---|
Ein Teil des bereitgestellten Feedbacks kann nicht verarbeitet werden, da der Agent diese Art von Eingaben derzeit nicht unterstützt und daher überhaupt nicht zu einer Lektion verarbeitet werden konnte. |
Schreiben Sie Ihr Feedback um, und stellen Sie sicher, dass es den bewährten Methoden entspricht. Wählen Sie Feedback auswerten aus, um es erneut zu versuchen. |
Das Feedback enthält Eingaben, die der Agent verarbeiten kann, die jedoch für die betreffende E-Mail nicht relevant sind und daher nicht in eine umsetzbare Erkenntnis umgewandelt werden konnten, die im Speicher abgelegt werden kann. |
Schreiben Sie Ihr Feedback um, und stellen Sie sicher, dass es die Beschreibungen der E-Mail enthält, die es unterstützen kann. Wählen Sie dann Feedback auswerten aus, um es erneut zu versuchen. |
Das angegebene Feedback steht im Widerspruch zu zuvor zu einer ähnlichen E-Mail gegebenem Feedback. |
Suchen Sie auf der Feedbackverwaltungsseite nach der Feedback-ID, um das Feedback anzuzeigen, mit dem ein Konflikt auftritt. Basierend auf Ihrer Bewertung haben Sie folgende Möglichkeiten:
|
Anmerkung
Sie können entscheiden, Feedback-Fehler nicht zu beheben. Sie können Ihr Feedback hinterlassen und Speichern auswählen, ohne das Kontrollkästchen zum Unterrichten des Agents zu aktivieren. Das Feedback wird nicht im Arbeitsspeicher des Agents gespeichert und nur auf der Feedbackverwaltungsseite für Ihre zukünftigen Nachverfolgungsklassifizierungsänderungen dokumentiert.
Wenn relevantes Feedback genehmigt und gespeichert wurde, kann der Agent es bei der Einstufung ähnlicher Warnmeldungen in Zukunft anwenden, wobei dies denselben Berechtigungen und Kontrollen unterliegt.
Überwachen und Verwalten des Triage-Agents
Um Agentmetriken anzuzeigen und den Agent zu verwalten, wechseln Sie zur Triage Agent-Karte in der Vorfallwarteschlange oder auf der Seite " Agents ". So öffnen Sie die Triage Agent-Seite :
- Wählen Sie Perception>Agents aus.
- Suchen Sie unter Verwendete Agents nach dem Triage-Agent und wählen Sie Zum Agent wechseln aus.
Die Seite enthält die folgenden Registerkarten:
| Tab | Description |
|---|---|
| Übersicht | Zeigt den Status des Agenten, die Playbooks, die Identität, die Berechtigungen und die letzten Sitzungen an. |
| Leistung | Zeigt wichtige Metriken zur Aktivität des Agents im Laufe der Zeit an, einschließlich täglicher Aktivität und mittlerer Zeit für die Triage (MTTT). |
Registerkarte „Leistung”
Wählen Sie die Ellipse (...) oben rechts auf der Seite aus, um die Verwaltungsoptionen für den Agenten aufzurufen, wie in den folgenden Abschnitten beschrieben wird. Wählen Sie Pausieren oder Ausführen aus, um die Aktivitäten des Agenten vorübergehend anzuhalten oder fortzusetzen.
Triage-Agent in der Vorfallswarteschlange anzeigen
Um die Triage Agent-Karte in der Vorfallswarteschlange anzuzeigen, wählen Sie Untersuchung und Reaktion>Vorfälle und Warnungen>Vorfälle.
Die Triage Agent-Karte zeigt einige der wichtigsten Metriken des Agents an, einschließlich der behobenen Vorfälle, bei denen es sich um Vorfälle handelt, die Warnungen enthalten, die der Agent als echte Bedrohungen oder falsche Alarme klassifiziert hat. Diese Daten helfen dabei, den Einfluss des Agenten zu veranschaulichen, und können genutzt werden, um als Grundlage für umfassendere strategische Gespräche zu dienen, den Return on Investment (ROI) aufzuzeigen oder Entscheidungen zur Skalierung der Automatisierung in Ihrer gesamten Organisation zu unterstützen. Metriken werden basierend auf der Aktivität des Agents berechnet, beginnend mit dem ersten aufgezeichneten Vorfall oder von den letzten 30 Tagen, je nachdem, welcher Zeitpunkt aktueller ist.
So wird die Karte des Triage-Agenten in der Incident-Warteschlange angezeigt:
Wählen Sie "Agent verwalten" auf der Karte aus, um die Seite "Triage Agent " zu öffnen, auf der mehr Leistungsmetriken und Verwaltungsoptionen verfügbar sind.
Bearbeiten von Agent-Einstellungen
So bearbeiten Sie die Agenteinstellungen:
- Wählen Sie Perception>Agents aus.
- Suchen Sie unter den verwendeten Agenten nach dem Triage-Agenten, und wählen Sie Zum Agenten wechseln.
- Wählen Sie die Auslassungspunkte (...)>Agent bearbeiten oben rechts auf der Triage-Agent-Seite aus.
Auf der Seite "Agent bearbeiten" können Sie diese Einstellungen bearbeiten:
Identität und Rolle: Ändern Sie die Identität des Agents, indem Sie "Neue Identität auswählen" auswählen und die Schritte ausführen, um die Identität und berechtigungen des Agents zuzuweisen.
Feedback: Anzeigen und Verwalten von vom Benutzer übermittelten Feedback an den Agent.
Unterstützte Warnungen: Zeigen Sie an, welche der unterstützten Warnungstypen, die der Agent triagen kann. So aktivieren oder deaktivieren Sie bestimmte Warnungstypen für den Agent:
- Wählen Sie auf der Seite "Agent bearbeiten " die Option " Unterstützte Warnungen bearbeiten " aus, um die Seite " Unterstützte Warnungen des Agents " zu öffnen.
- Schalten Sie auf der Seite " Agent unterstützte Warnungen " einzelne Warnungstypen ein oder aus, und wählen Sie dann "Aktualisieren" aus.
- Wählen Sie auf der Seite " Aktuelle Rolle aktualisieren" die Option "Rollenberechtigungen aktualisieren" aus, um die Updates anzuwenden.
Feedback für den Agent anzeigen und verwalten
Der Triage-Agent lernt aus vom Benutzer übermittelten Feedback und verbessert seine Leistung im Laufe der Zeit. Es speichert anwendbares Feedback in seinem Gedächtnis als Lektionen. Sie können Feedback für den Triage Agent auf der Feedbackseite des Agenten anzeigen und verwalten.
Diese Seite enthält eine umfassende Liste aller Feedbacks, die an den Agent übermittelt werden. Sie können die wichtigsten Details für jedes Feedback überprüfen, einschließlich:
- Die ursprüngliche Klassifizierung des Agents und die vom Benutzer angewendete Änderung
- Das ursprüngliche Feedback des Benutzers beim Ändern der Klassifizierung
- Die vom Agent generierte übersetzte Lektion (falls zutreffend)
- Feedback status: in Verwendung, nicht in Gebrauch oder Konflikt
- Der Benutzer, der das Feedback übermittelt hat
- Feedbackübermittlungsdatum, Feedback-ID, Warnungs-ID und Incident-ID
In dieser Tabelle werden die Feedbackstatuswerte erläutert:
| Status | Description |
|---|---|
| In Verwendung | Das Feedback wurde erfolgreich in eine Lektion im Speicher des Agenten umgewandelt und wird aktiv verwendet, um ähnliche Vorfälle zu triagen und zu klassifizieren. |
| Konflikt: | Die gegebene Rückmeldung stand im Widerspruch zu zuvor gegebenen Rückmeldungen in einem ähnlichen Vorfall. Erfahren Sie, wie Sie Feedbackfehler beheben können. |
| Nicht verwendet | Das Feedback wurde entweder nicht in das Gedächtnis des Agents integriert oder vom Benutzer nicht für den Unterricht markiert. Abgelehnte Lektionen werden als "nicht verwendet" angezeigt und nur für die Überwachung gespeichert, nicht für das Selektieren und Klassifizieren von Vorfällen. Weitere Details finden Sie im Detailbereich. |
Tip
Sie können Feedback nur einzeln verwalten. Die Massenverwaltung mehrerer Feedbackeinträge wird derzeit nicht unterstützt.
So zeigen Sie vom Benutzer übermitteltes Feedback an und verwalten es:
Wählen Sie Perception>Agents aus, suchen Sie unter Verwendete Agents nach dem Triage-Agent und wählen Sie Zum Agent wechseln aus.
Wählen Sie oben rechts auf der Seite die Auslassungszeichen (...)>Agent bearbeiten aus. Diese Aktion öffnet die Seite Agent bearbeiten.
Wählen Sie im linken Bereich Feedback aus, um die Seite Agent-Feedback zu öffnen.
Wählen Sie einen Eintrag aus der Feedbackliste aus, um den Bereich Feedback überprüfen zu öffnen.
Überprüfen Sie die Details des bereitgestellten Feedbacks, die Lektion des Agenten, die Klassifizierungsänderungen und andere wichtige Details.
Um bestimmtes Feedback abzulehnen, wählen Sie Feedback ablehnen aus. Der Agent verwendet das Feedback bei zukünftigen Selektierungsentscheidungen nicht mehr.
Anmerkung
Um Feedback abzulehnen, benötigen Sie die Rolle "Sicherheitsadministrator" in Entra ID.
Entfernen des Agents
Wenn Sie den Agent entfernen, wird das Triagieren und Klassifizieren neuer Vorfälle beendet, und es löscht alle Rückmeldungen. Der Verlauf zuvor triagierter Incidents wird jedoch zu Ihrer Referenz beibehalten.
So entfernen Sie den Agenten:
- Wählen Sie Perception>Agents aus, suchen Sie unter Verwendete Agents nach dem Triage-Agent und wählen Sie Zum Agent wechseln aus.
- Wählen Sie oben rechts auf der Seite die Schaltfläche mit den Auslassungspunkten (...) und anschließend Entfernen aus.
Häufig gestellte Fragen
Nachfolgend finden Sie Antworten auf häufig gestellte Fragen zum Triage Agent. Informationen zu den Funktionen und Anforderungen des Agents finden Sie unter "Wichtige Funktionen und Voraussetzungen".
Wann wird der Agent ausgelöst?
Sie können dieses Agent-Playbook manuell auslösen. Der Agent wird automatisch ausgeführt, wenn eine neue Warnung erkannt wird. Der Setupprozess deaktiviert integrierte Optimierungsregeln, die unterstützte Warnungstypen auflösen.
Können Sie dem Triage-Agent vertrauen?
Microsoft AI Agents befolgen strenge Richtlinien für verantwortungsvolle KI und werden gründlichen Überprüfungen unterzogen, um die Einhaltung aller KI-Standards und Sicherheitsvorkehrungen sicherzustellen. Der Triage-Agent ist vollständig in diese Steuerelemente integriert. Während des Setups weisen Sie dem Agent eine Identität zu und konfigurieren ihn mit den minimalen Berechtigungen, die für seinen Betrieb erforderlich sind, um sicherzustellen, dass er nicht über unnötige Berechtigungen verfügt. Das System protokolliert alle Agentaktivitäten detailliert, und Analysten und Administratoren können den vollständigen Ablauf jederzeit überprüfen. Das System protokolliert Feedback, das dem Agent zur Anpassung an die Umgebung der Organisation bereitgestellt wird. Administratoren können dieses Feedback nach Bedarf überprüfen und ändern.
Wie unterscheidet sich der Agent von einer STANDARD-SOAR-Lösung?
Während sowohl SOAR-Lösungen als auch der Triage-Agent Aspekte von Sicherheitsabläufen automatisieren, verfolgen sie unterschiedliche Ansätze.
SOAR-Lösungen basieren in der Regel auf vordefinierten, regelbasierten Workflows, die eine manuelle Konfiguration und laufende Wartung erfordern. Im Gegensatz dazu verwendet der Triage Agent eine schlussfolgerungsbasierte Analyse, um Warnungen zu priorisieren und Klassifizierungen in Defender zu erfassen, mit menschlicher Aufsicht und optionalem Feedback, sofern dies unterstützt wird.
Der Agent arbeitet innerhalb definierter Berechtigungen und Workflows in Defender und ersetzt keine vorhandenen Untersuchungs- oder Antworttools.
Welche Sichtbarkeit und Kontrolle habe ich über den Agent?
Microsoft stellt Organisationen Tools zur Verfügung, um Transparenz über den Triage-Agenten sowie die Kontrolle über ihn von der Bereitstellung bis zum laufenden Betrieb aufrechtzuerhalten. Die Agenten halten sich an die RAI-Standards (Responsible AI) von Microsoft für Fairness, Zuverlässigkeit, Sicherheit, Datenschutz, Sicherheit, Inklusion, Transparenz und Verantwortlichkeit.
Administratoren konfigurieren die Identitäts- und Zugriffsebenen des Agents während der Installation, wobei die Grundsätze der geringsten Rechte befolgt werden. Sicherheits- und IT-Teams können bestimmte Aktionen autorisieren, die Leistung überwachen und Ausgaben direkt in Defender überprüfen. Administratoren können auch Kapazitätsverbrauch und Datenzugriffsbeschränkungen konfigurieren.
Der Triage-Agent arbeitet innerhalb einer Zero-Trust-Umgebung. Das System setzt organisatorische Richtlinien bei jeder Aktion eines Agenten durch, indem es Zweck und Umfang jeder Operation auswertet. Der Agent dokumentiert transparent alle Entscheidungen, Argumente und Aktionen als Entscheidungsstruktur innerhalb Defender und zeichnet sie in Microsoft Purview Überwachungsprotokollen zur Rückverfolgbarkeit und Compliance auf.
Wenn ich Perception habe, was passiert mit meinem Phishing-Triage-Agent? Wie unterscheidet sich der neue Triage Agent in Perception?
Perception ändert Ihre vorhandene Erfahrung mit dem Phishing Triage Agent nicht automatisch. Wenn Sie die Vorschauversion des Security Alert Triage Agent verwenden, wird dieser Agent ebenfalls weiterhin ausgeführt, bis Sie den Perception Triage Agent eingerichtet haben.
Der Perception Triage Agent erweitert die Triagefunktionen um zusätzliche Warnungstypen, Playbooks, manuellen Aufruf, Sitzungen und die Möglichkeit, über seine Ergebnisse zu chatten. Nachdem Sie den Wahrnehmungs-Triage-Agent eingerichtet haben, ersetzt er den Phishing-Triage-Agent und behält den Ausführungsverlauf, metriken und Einstellungen bei.
Es kann jeweils nur ein Triage-Agent aktiv sein. Wenn Sie den Perception Triage Agent entfernen, können Sie den Phishing Triage Agent erneut einrichten.