Important
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリック プレビュー段階です。 制限付きパブリック プレビュー プログラムは、より広範な一般提供の前に、定義されたプレビュー 期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。
Project Perception では、エージェント作業 (セッション、エージェント、プレイブック) を整理するために、次の概念が使用されます。 これらの概念を理解することは、エージェント操作を効果的に構成、委任、および監視するのに役立ちます。
Sessions
セッションは、エージェントの相互作用のレコードです。 セッションでは、エージェントのアクティビティ、決定、入力、出力、承認または人間の介入がキャプチャされます。 セッションには、1 つのエージェントまたは複数のエージェントが連携して作業する必要があります。 各セッションには、その中のすべてのタスクの集計状態を反映する状態があります。
セッションの詳細については、「セッションの 表示と管理」を参照してください。
エージェント
エージェントは、推論、ツールの使用、タスクの実行が可能な自律的または半自律的なソフトウェア エンティティです。 Project Perception エージェントは、詳細で自律的なセキュリティ運用作業用に設計された、Microsoft公開されたエージェントです。 これらは、脅威インテリジェンスから検出の作成、露出分析、ポスチャの優先順位付け、アラートトリアージ、インシデント調査まで、セキュリティ運用ライフサイクル全体をカバーする、Microsoftのマルチエージェント SOC システムの中核を形成します。
認識エージェントは、共同作業を行うように設計されています。 1 つのエージェントからの出力が別のエージェントの入力になり、エンド ツー エンドのワークフローが可能になります。 たとえば、脅威インテリジェンス エージェントによって抽出された脅威インテリジェンスは、検出作成エージェントによって作成された検出に直接フィードされます。
Perception エージェントを使用するには、エージェント ID とロールの割り当てが必要です。 セットアップ手順については、「 エージェントの操作」を参照してください。
知覚エージェントには次のものが含まれます。
| エージェント | エージェント チーム | Description |
|---|---|---|
| Recon エージェント | レッド チーム | 攻撃者の偵察アクティビティを実行して、環境をマップします。 このエージェントを使用して、攻撃パス、チョーク ポイント、貴重な資産、構成の問題、および過剰なアクセス許可を表示します。 |
| トリアージ エージェント | ブルー チーム | さまざまな種類のアラートを真陽性または誤検知として分類して解決します。 このエージェントは、結論の背後にある詳細な説明を提供し、コンテキストとユーザーフィードバックから学習して精度を向上させます。 |
| 脅威インテリジェンス エージェント | ブルー チーム | 攻撃パターン、インジケーター、およびその他の重要な TI オブジェクトを抽出し、脅威に対する防御方法や対応方法に関する分析情報を得るために分析します。 |
| 攻撃調査エージェント | ブルー チーム | アラート、インシデント、およびその他のセキュリティシグナル全体の攻撃ストーリーを再構築します。 このエージェントは、判定、タイムライン、攻撃手法、侵害のインジケーター、影響を受けるエンティティなど、アナリスト対応の分析情報を提供します。 |
| 検出作成エージェント | ブルー チーム | 脅威の範囲のギャップを特定し、脅威の進化に応じて防御を強化する検出ルールを作成します。 |
| ポスチャの優先順位付けエージェント | グリーン チーム | 実際のリスク、露出、悪用可能性、資産の重要度によって、ポスチャの問題を広く、または特定の脅威のコンテキストでランク付けします。 このエージェントは、最初に修正する内容とその理由に関する明確で重点的なガイダンスを提供します。 |
プレイブック
プレイブックは、特定のセキュリティ目標に対する再利用可能なエージェント主導の一連のアクションです。 エージェントを実行すると、ユーザーに代わってプレイブックのステップが実行され、信号の調査、データの関連付け、出力の生成が行われ、各ステップで手動で介入する必要はありません。
プレイブックの主な特徴:
- Microsoftによるプリセット。 プレイブック リストは読み取り専用です。 このリリースでは、カスタム プレイブックを作成できません。
- 複数のエージェントを使用できます。 1 つのプレイブックに複数のエージェントが含まれる場合があり、1 つのエージェントを複数のプレイブックで使用できます。
- 実行する入力が必要な場合があります。 プレイブックによっては、必要な特定の入力を指定するまでセッションが開始されない場合があります。 たとえば、 調査攻撃 プレイブックでは、実行する前にインシデント ID が必要です。
- すべてのエージェントを有効にする必要があります。 プレイブックは、必要なすべてのエージェントが設定され、有効になっている場合にのみアクティブになります。
Perception には、次のプレイブックが含まれています。 一部のプレイブックでは、フォーカスされたタスクに対して 1 つのエージェントが実行されます。 他のエージェントは複数のエージェントを順番に調整し、各エージェントの出力が次のエージェントにフィードされます。
| プレイブック | Description | 参加しているエージェント |
|---|---|---|
| トリアージ アラート | 実際の脅威がさらに注目されるように、誤検知のアラートを検証します。 | トリアージ エージェント |
| 脅威から保護する | 脅威インテリジェンス ソースを取得し、攻撃パス分析、ポスチャの検出、優先順位付けされた修復、新しい検出ルールを生成するマルチエージェント ワークフロー。 | 脅威インテリジェンス エージェント、偵察エージェント、体制の優先順位付けエージェント、検出作成エージェント |
| 攻撃を調査する | Defender インシデントの自律的な Tier-2 調査を実行し、判定、タイムライン、修復アクションを含む完全な攻撃ストーリーを生成します。 | 攻撃調査エージェント |
| 脅威インテリジェンスを抽出する | 脅威インテリジェンス記事を分析し、TCP、IOC、CVE、KQL ハンティング クエリなど、構造化されたインテリジェンス オブジェクトを生成します。 | 脅威インテリジェンス エージェント |
| 攻撃パスを特定する | 攻撃者がAzure環境を移動して貴重な資産に到達する方法を、チョークポイント分析と修復の推奨事項を使用してマップします。 | Recon エージェント |
| ポスチャ修復の計画 | クラウド、デバイス、AI 全体で優先順位付けされた修復計画を構築します。 このプレイブックは、リスクが最も高い姿勢のギャップをターゲットにするため、露出、悪用可能性、資産コンテキストを重視しています。 | ポスチャの優先順位付けエージェント |
| ID リスクを評価する | ID に重点を置いた攻撃パス分析と修復ガイダンスを使用して、Azure環境での ID の露出と横移動のリスクを評価します。 | Recon エージェント |
概念の関係
次の表は、概念がどのように連携するかを示しています。
| 概念 | 作成または使用 | 例 |
|---|---|---|
| Sessions | エージェントの作業を含みます。プレイブックで作成できます | フィッシング インシデントを調査するセッションには、3 人のエージェントが順番に作業する必要があります。 |
| エージェント | セッションに参加する | 脅威インテリジェンス エージェントがセッションに参加して、侵害のインジケーターを調査します。 |
| プレイブック | セッションを作成します。エージェントを割り当てる | 重大度の高いインシデントのプレイブックでは、トリアージ、調査、および対応エージェントとのセッションが作成されます。 |