Configurare la protezione runtime dell'agente di intelligenza artificiale con Microsoft Defender per endpoint

Gli agenti di intelligenza artificiale locale vengono eseguiti con i privilegi dell'utente sugli endpoint su cui operano, in cui possono leggere file, richiamare strumenti ed eseguire comandi. Istruzioni dannose nascoste nel contenuto letto da un agente possono dirottare l'agente tramite iniezione di prompt. La protezione del runtime dell'agente di intelligenza artificiale consente di rilevare la richiesta di inserimento a livello di dispositivo e di bloccare o controllare l'azione dell'agente prima che agisca in base a tali istruzioni.

Questo articolo illustra come abilitare la protezione di runtime in Microsoft Defender per endpoint, distribuirla nell'organizzazione e analizzare i rilevamenti.

Per una panoramica del funzionamento della protezione runtime, vedere Protezione runtime dell'agente di intelligenza artificiale con Microsoft Defender per endpoint.

Prerequisiti

Prima di configurare la protezione di runtime, esaminare i requisiti seguenti:

  • L'organizzazione ha una licenza Microsoft Defender per endpoint Plan 2, Microsoft 365 E5, Microsoft Agent 365 o Microsoft 365 E7.
  • I dispositivi sono integrati in Defender per endpoint e Microsoft Defender Antivirus è in esecuzione in modalità attiva con la protezione in tempo reale abilitata.
  • I dispositivi eseguono una versione supportata di Windows e Microsoft Defender Antivirus viene aggiornato con gli aggiornamenti correnti mensili della piattaforma, del motore e dell'intelligence per la sicurezza.
  • I dispositivi hanno uno o più agenti di intelligenza artificiale locale supportati installati per l'approccio di protezione di runtime che si prevede di abilitare.

Microsoft consiglia l'implementazione in più fasi:

  1. Test: abilitare la protezione del runtime in modalità di controllo in un piccolo set di dispositivi in cui vengono usati attivamente gli agenti supportati.
  2. Verifica: monitorare gli avvisi nel portale di Microsoft Defender per 1-2 settimane. Se sono presenti falsi positivi, inviarli a Microsoft per l'analisi.
  3. Distribuisci: Distribuisci in tutta l'organizzazione in modalità di audit per altri gruppi di dispositivi.
  4. Applica: dopo avere verificato che gli avvisi siano accurati e consentano di intervenire, passare alla modalità di blocco nei gruppi di dispositivi in cui si desidera attivare l'applicazione attiva.

Abilitare la protezione di runtime

Per abilitare la protezione di runtime in un singolo dispositivo:

  1. Aprire una sessione di PowerShell con privilegi elevati.

  2. Verificare che AntivirusSignatureVersion sia 1.451.224.0 o versione successiva:

    Get-MpComputerStatus | Select-Object AntivirusSignatureVersion

  3. Scegliere il metodo di protezione di runtime da abilitare.

    È possibile abilitare l'ispezione degli eventi nativa dell'agente, l'ispezione di rete o entrambi. Entrambi i metodi supportano le stesse modalità: Disabled, Audite Block.

    • Utilizzare AiAgentProtection per proteggere gli agenti che espongono interfacce per eventi dell'agente supportate dal fornitore.
    • Usare AiAgentNetworkInspection per estendere la protezione agli agenti che non espongono interfacce evento dell'agente supportate dal fornitore.

  4. Abilitare il metodo o i metodi necessari:

  5. Verificare le impostazioni correnti:

    Get-MpPreference | Select-Object AiAgentProtection, AiAgentNetworkInspection

  6. Chiudere la finestra di PowerShell e tutte le finestre del terminale usate per eseguire gli agenti. Aprire quindi una nuova finestra del terminale prima di avviare l'agente.

Distribuire le impostazioni nell'organizzazione con Intune

I comandi di PowerShell nella sezione enable runtime protection configurano un singolo dispositivo. Dopo aver verificato il comportamento di protezione del runtime in un gruppo di dispositivi limitato, è possibile distribuire i comandi di PowerShell come script per i gruppi di dispositivi di destinazione, impostare l'ispezione degli eventi nativa dell'agente, l'ispezione della rete o entrambi su Audit o Block per tutti i dispositivi nell'ambito.

Nota

Il supporto nativo di Intune per i criteri di protezione in fase di esecuzione dell'agente di intelligenza artificiale non è disponibile. È possibile distribuire queste impostazioni usando gli script di PowerShell in Intune.

  1. Creare uno script di PowerShell che includa le impostazioni da distribuire.

    Per abilitare l'ispezione degli eventi nativa dell'agente:

    Set-MpPreference -AiAgentProtection Audit

    Per abilitare l'ispezione di rete:

    Set-MpPreference -AiAgentNetworkInspection Audit

    Sostituire Audit con Block quando si è pronti per applicare la protezione. È possibile abilitare entrambe le impostazioni o entrambe in base alla copertura dell'agente necessaria.

  2. Usare Intune per distribuire lo script nei dispositivi di destinazione. Per i passaggi dettagliati, vedere Usare gli script di PowerShell nei dispositivi Windows in Intune.

Esaminare e analizzare i rilevamenti

Dopo aver abilitato la protezione in fase di esecuzione, esamina gli avvisi per verificare l'accuratezza del rilevamento e ottimizzare la configurazione prima di estenderne l'applicazione. Questo passaggio è fondamentale durante la fase di controllo perché consente di comprendere quali agenti riscontrano e se i rilevamenti rappresentano minacce reali.

Quando la protezione di runtime rileva l'inserimento dei prompt, Defender genera un avviso di inserimento di richieste di intelligenza artificiale sospette e attiva l'azione in base alla modalità configurata. L'avviso viene visualizzato nella cronologia del dispositivo e gli avvisi correlati vengono raggruppati in incidenti per l'analisi da parte del SOC. In modalità blocco, la gravità dell'avviso è Critica, Alta, Media o Bassa in base al rischio valutato. In modalità di controllo, l'avviso è informativo, in modo che il team possa esaminare ciò che sarebbe stato bloccato senza analizzarlo come una minaccia attiva.

Screenshot che mostra un avviso di inserimento di richieste di intelligenza artificiale sospette in Microsoft Defender, incluso l'albero dei processi e i dettagli di rilevamento correlati.

Per altre informazioni sul comportamento in modalità, vedere Cosa accade quando si abilita la protezione del runtime.

Esperienza dell'utente finale

Quando Defender blocca un'azione dell'agente, gli utenti visualizzano due notifiche:

  1. Nel terminale dell'agente: l'agente visualizza un messaggio di blocco che mostra cosa è stato bloccato, perché e conferma che l'azione non è stata eseguita.
  2. Notifica popup di Windows: una notifica di sistema viene visualizzata indipendentemente dal fatto che il terminale dell'agente sia in primo piano.

La schermata seguente mostra un esempio di iniezione di prompt bloccata nel terminale dell'agente e la corrispondente notifica popup di Windows:

Schermata che mostra un messaggio di blocco di Defender nel terminale dell'agente e una notifica popup di Windows relativa a un'iniezione di prompt bloccata.

Gli utenti possono anche controllare i rilevamenti in Sicurezza di Windows>Protezione da virus e minacce>Minacce correnti e nella Cronologia della protezione, dove possono visualizzare il nome della minaccia, la gravità, l'agente interessato e lo stato di correzione.

Esperienza delle operazioni di sicurezza

Per i team delle operazioni di sicurezza, gli eventi di protezione del runtime vengono visualizzati nel portale di Microsoft Defender:

Selezionare un avviso per visualizzare il tipo di rilevamento, la gravità, l'agente interessato, i dettagli dell'albero dei processi e le azioni consigliate.

Il team di sicurezza usa gli stessi flussi di lavoro di analisi degli altri rilevamenti di endpoint: revisione della sequenza temporale, correlazione di avvisi ed entità e azioni di risposta.

Per altre informazioni, vedere Analizzare gli avvisi in Microsoft Defender e Analizzare gli eventi imprevisti in Microsoft Defender.

  • Last updated on