Conceptos clave en Perception

Perception usa los siguientes conceptos para organizar el trabajo agéntico: sesiones, agentes y playbooks. Comprender estos conceptos le ayuda a configurar, delegar y supervisar las operaciones agenticas de forma eficaz.

Sesiones

Una sesión es el registro de una interacción del agente. Las sesiones capturan la actividad del agente, las decisiones, las entradas, las salidas y las aprobaciones o las intervenciones humanas. Las sesiones pueden implicar a un solo agente o varios agentes que trabajan en coordinación. Cada sesión tiene un estado que refleja el estado agregado de todas las tareas dentro de ella.

Para obtener más información sobre las sesiones, consulte Ver y administrar sesiones.

Agentes

Un agente es una entidad de software autónoma o semiautonómica que puede razonar, usar herramientas y realizar tareas. Los agentes de percepción son agentes publicados por Microsoft diseñados para el trabajo profundo y autónomo de operaciones de seguridad. Constituyen el núcleo del sistema SOC multiagente de Microsoft y abarcan todo el ciclo de vida de las operaciones de seguridad, desde la inteligencia sobre amenazas hasta la creación de reglas de detección, el análisis de exposición, la priorización de la postura de seguridad, el triaje de alertas y la investigación de incidentes.

Los agentes de percepción están diseñados para colaborar. La salida de un agente se convierte en entrada para otra, lo que permite flujos de trabajo de un extremo a otro. Por ejemplo, la inteligencia de amenazas extraída por el Agente de Inteligencia de Amenazas alimenta directamente las detecciones creadas por el Agente de Creación de Detecciones.

Los agentes de percepción requieren una identidad del agente y la asignación de un rol antes de poder usarlos. Para obtener instrucciones de configuración, consulte Trabajar con agentes.

Los agentes de percepción incluyen:

Agente	Equipo del agente	Description
Recon Agent	Equipo rojo	Realiza actividades de reconocimiento de atacante para mapear su entorno. Utilice este agente para identificar rutas de ataque, cuellos de botella, activos valiosos, problemas de configuración y permisos excesivos.
Agente de triaje	Equipo azul	Clasifica y resuelve varios tipos de alertas como verdaderos o falsos positivos. Este agente proporciona una explicación detallada detrás de sus conclusiones, aprendiendo del contexto y los comentarios de los usuarios para mejorar la precisión.
Agente de inteligencia sobre amenazas	Equipo azul	Extrae patrones de ataque, indicadores y otros objetos clave de TI y los analiza para obtener información sobre cómo defenderse o responder a una amenaza.
Agente de investigación de ataques	Equipo azul	Reconstruye la historia completa del ataque a partir de alertas, incidentes y otras señales de seguridad. Este agente proporciona información preparada para analistas, incluidos veredictos, escalas de tiempo, técnicas de ataque, indicadores de compromiso y entidades afectadas.
Agente de creación de detecciones	Equipo azul	Identifica brechas en la cobertura de amenazas y crea reglas de detección para mejorar las defensas a medida que evolucionan las amenazas.
Agente de priorización de posición	Equipo verde	Clasifica los problemas de postura, de forma general o en el contexto de amenazas específicas, según el riesgo real, la exposición, la posibilidad de explotación y la criticidad de los activos. Este agente proporciona instrucciones claras y centradas en lo que se debe corregir primero y por qué.

Playbook

Un cuaderno de estrategias es un conjunto de acciones reutilizable controlado por agentes para un objetivo de seguridad específico. Cuando se ejecuta, los agentes ejecutan los pasos del cuaderno de estrategias en nombre del usuario, investigan señales, correlacionan datos y generan resultados sin necesidad de intervención manual en cada paso.

Características clave de los manuales de estrategias:

• Predefinido por Microsoft. La lista de cuadernos de estrategias es de solo lectura. No puede crear cuadernos de estrategias personalizados en esta versión.
• Puede usar varios agentes. Un único cuaderno de estrategias puede implicar a varios agentes y varios cuadernos de estrategias pueden usar un solo agente.
• Puede requerir una entrada para ejecutarse. Según el procedimiento, es posible que una sesión no se inicie hasta que proporciones la información específica que necesita. Por ejemplo, el playbook Investigar ataque requiere un identificador de incidente para poder ejecutarse.
• Requerir que todos los agentes estén habilitados. Un cuaderno de estrategias solo está activo cuando todos sus agentes necesarios están configurados y habilitados.

Perception incluye las siguientes guías de actuación. Algunos cuadernos de estrategias ejecutan un único agente para una tarea centrada. Otros coordinan varios agentes en secuencia, donde la salida de cada agente alimenta la siguiente.

Playbook	Description	Agentes participantes
Alerta de triaje	Valida una alerta para detectar falsos positivos para que las amenazas reales obtengan más atención.	Agente de triaje
Protección contra una amenaza	Flujo de trabajo de varios agentes que toma un origen de inteligencia sobre amenazas y genera análisis de rutas de ataque, hallazgos de posición, corrección prioritaria y nuevas reglas de detección.	Agente de inteligencia sobre amenazas, Agente de reconocimiento, Agente de priorización de posición, Agente de creación de detección
Investigación del ataque	Realiza una investigación autónoma de nivel 2 de un incidente de Defender y genera una descripción completa del ataque con veredicto, cronología y acciones de remediación.	Agente de investigación de ataques
Extracción de inteligencia sobre amenazas	Analiza un artículo de inteligencia sobre amenazas y genera objetos de inteligencia estructurada, incluidos TTPs, IOCs, CVEs y consultas de búsqueda en KQL.	Agente de inteligencia sobre amenazas
Identificación de las rutas de acceso de ataques	Muestra cómo un atacante podría moverse por su entorno de Azure y llegar a activos valiosos, con análisis de cuellos de botella y recomendaciones de corrección.	Agente de reconocimiento
Planear la corrección de posturas	Cree un plan de corrección priorizado en nubes, dispositivos e inteligencia artificial. Esta guía operativa sopesa la exposición, la posibilidad de explotación y el contexto de los activos para centrarse en las brechas de la postura de seguridad de mayor riesgo.	Agente de priorización de postura
Evaluación de los riesgos de identidad	Evalúa los riesgos de exposición de identidades y de movimiento lateral en su entorno de Azure, con análisis de rutas de ataque centrado en la identidad y guía para la corrección.	Agente de reconocimiento

Cómo se relacionan los conceptos

En la tabla siguiente se muestra cómo funcionan juntos los conceptos:

Concepto	Crea o usa	Ejemplo
Sesiones	Contiene trabajo del agente; se puede crear mediante guiones.	Se ha clasificado una alerta específica en una sesión.
Agentes	Participar en sesiones	El agente Triage se ejecutó en esta sesión.
Playbooks	Crear sesiones; asignar agentes	Un manual para clasificar las alertas incluye el agente de triaje.

Pasos siguientes

• Introducción a Project Perception
• Trabajar con agentes