Important
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。 Project Perception は現在、限定パブリック プレビュー段階です。 制限付きパブリック プレビュー プログラムは、より広範な一般提供の前に、定義されたプレビュー 期間に対して招待のみの小規模な顧客が Perception を利用できることを意味します。
セキュリティ オペレーション センター (SOC) は、複数のワークロードで大量のアラートを処理します。各ワークロードには、異なるコンテキスト、シグナル、調査の深さが必要です。 アナリストがこれらのアラートを評価する方法の違いにより、トリアージの決定に矛盾が生じ、実際の脅威と誤ったアラームを区別する機能が遅くなる可能性があります。 その結果、リスクの高いアクティビティが見逃されたり遅れたりする可能性があります。アナリストは、最も重要なことに対処するのではなく、ノイズのフィルタリングに不均衡な時間を費やします。
トリアージ エージェントは、セキュリティ チームが大規模にアラートをトリアージするのに役立つ、Microsoft Defenderに埋め込まれた自律エージェントです。 AI 主導の動的推論を証拠に適用して、サポートされているセキュリティ ワークロードに対して明確な判定を行います。 どのアラートが実際の攻撃を表し、どのアラートが誤検知であるかを特定することで、アナリストは、すべての決定をサポートする透過的で段階的な推論を使用して、実際の脅威の調査に集中できます。
主な機能
トリアージ エージェントは、サポートされているワークロードとアラートの種類について、Microsoft Defenderでアラートを分類およびトリアージします。 エージェントの主な機能は次のとおりです。
- 自律トリアージ: 高度な AI ツールを使用してアラートを評価し、人間の入力をステップ バイ ステップで必要とせずに、アラートが悪意のあるアクティビティまたは誤ったアラームを表しているかどうかを判断します。
- 透過的な根拠: 分類の判定を記録し、各結論に達するために使用される証拠を含む自然言語と視覚的なグラフで推論をサポートします。
- フィードバックに基づく学習: サポートされているアラートの種類の場合、エージェントは、明示的に提供および承認されたときにアナリストのフィードバックを組み込んで、判定分析を調整できます。 この機能は現在、電子メールとコラボレーションのアラートでのみ使用できます。
サポートされているアラート
トリアージ エージェントは現在、Microsoft Defenderのアラートの種類の次のサブセットをサポートしています。 サポートされているアラートのセットは、時間の経過と同時に増加することが予想されます。
| アラートの種類 | アラート名 |
|---|---|
| フィッシングなどのEmailとコラボレーションのアラート | ユーザーによってマルウェアまたはフィッシングとして報告されたメール |
| コンテナーを含むクラウド アラート |
すべてのクラウド アラートを表示する
|
| ID アラート |
すべての ID アラートを表示する
|
| Microsoft Defender for Endpoint | 疑わしい PowerShell コマンド ライン |
| Microsoft Defender for Cloud Apps |
すべてのMicrosoft Defender for Cloud Appsアラートを表示する
|
始める前の準備
Triage エージェントを使用する前に、必要な製品の可用性、ライセンス、アクセス許可、および構成を確認します。
前提条件
環境内でトリアージ エージェントを実行するには、次のものが必要です。
| 前提条件 | 詳細情報 |
|---|---|
| アラートチューニングルール | エージェントにトリアージさせたいアラートを解決してしまうチューニング ルールを無効にします。 エージェントは解決されたアラートをトリアージしません。 詳細については、「 アラートの調整」を参照してください。 |
| Microsoft Unified RBAC | 統合されたロールベースのアクセス制御を有効にし、トリアージするアラートの種類に関連するワークロードをアクティブ化します。 詳細については、「 ワークロード固有の前提条件」を参照してください。 |
| 製品とライセンス | エージェントがトリアージするアラートの種類に基づいて、特定の製品とライセンスが必要です。 詳細については、「 ワークロード固有の前提条件」を参照してください。 |
| Security Copilot プラグイン | トリアージ エージェントは、Microsoft Defender XDR、Microsoft脅威インテリジェンス、トリアージ エージェント、フィッシング トリアージ エージェントなどのプラグインを自動的にアクティブ化します。 詳細については、「プラグインの概要 - Microsoft Security Copilot」を参照してください。 |
| デバイス グループの適用範囲 | 組織でデバイス グループMicrosoft Defender for Endpoint使用している場合は、エージェントが必要とするすべてのデバイス グループに割り当てられているMicrosoft Entraセキュリティ グループにエージェント ID を追加します。 エージェントのセットアップではこれが行われず、未割り当てグループ内のデバイスに関連するアラートが失敗するか、不完全なデータにトリアージされます。 その他のスコープについては、「 エージェントの設定」を参照してください。 |
ワークロード固有の前提条件
次の前提条件は、エージェントがトリアージするアラートの種類によって異なります。
製品とライセンスの要件: 電子メールとコラボレーションのアラートには、次の製品とライセンスが必要です。
統合 RBAC の要件: Defender XDR の統合 RBAC 設定で Microsoft Defender for Office 365 を有効にします。
詳細については、「Microsoft Defender XDR設定でワークロードをアクティブ化する」を参照してください。
![Triage Agent で有効にする必要がある Defender for Office 365 のトグルが表示されている、[統合ロールベースのアクセス制御を有効にする] ページのスクリーンショット。](media/triage-agent/activate-defender-for-office-365-workloads.png)
ユーザー報告の設定を構成する: Outlookで報告されたメッセージの監視を有効にして、ユーザーがOutlookで悪意のある可能性のあるメッセージを報告する方法を定義し、[報告されたメッセージの送信先] オプションのいずれかを選択します。
![Outlook レポート ボタンと報告されたメッセージの送信先の構成を示す [ユーザーが報告した設定] ページのスクリーンショット。](media/triage-agent/configure-user-reported-settings.png)
詳細については、「Microsoft Defender ポータルを使用してユーザーが報告した設定を構成する」を参照してください。
サードパーティの電子メール レポート ツールを使用している場合は、サード パーティのレポート ツールのオプションを確認し、ベンダーの構成オプションを表示して、報告されたメッセージをDefender for Office 365と統合します。
アラート ポリシーの追加: トリアージ エージェントは、 ユーザーによってマルウェアまたはフィッシングとして報告された種類の電子メールを含むアラートを含む電子メールおよびコラボレーション インシデントに対処します。
対応するアラート ポリシーが有効になっていることを確認します。 詳細については、Microsoft Defender ポータルのアラート ポリシーに関するページを参照してください。
Important
トリアージ エージェントは、アラート チューニングによって解決されたアラートをトリアージしません。 自動解決 - ユーザーによってマルウェアまたはフィッシングとして報告されたメールの組み込みのアラート チューニング ルールと、このアラートを解決するすべてのカスタム チューニング ルールを無効にしてください。
![Triage Agent で有効にする必要がある Defender for Office 365 のトグルが表示されている、[統合ロールベースのアクセス制御を有効にする] ページのスクリーンショット。](media/triage-agent/activate-defender-for-office-365-workloads.png#lightbox)
![Outlook レポート ボタンと報告されたメッセージの送信先の構成を示す [ユーザーが報告した設定] ページのスクリーンショット。](media/triage-agent/configure-user-reported-settings.png#lightbox)
![ID と Cloud Apps の設定を使用した統合 RBAC のアクティブ化を示す [Microsoft Defender XDRのアクセス許可とロール] ページのスクリーンショット。](media/triage-agent/rbac-settings-defender-identity.png#lightbox)
権限が必要です
次の表は、Defender ポータルで Triage エージェントに関連するさまざまなアクションを実行するために必要なアクセス許可の概要を示しています。
| ユーザー アクション | 必要なアクセス許可 |
|---|---|
| セッションを開始し、手動で呼び出されたセッションを表示する | セキュリティ閲覧者 ロールも、他のすべてのエージェントと同様です。 |
| 自動的にトリガーされるセッションを表示する | 少なくとも、ユーザーには、Triage エージェントに必要なアクセス許可で説明されているように、Defender XDR統合 RBAC のエージェントと同じアクセス許可が必要です。 |
| エージェントの構成 (エージェントの設定、一時停止、削除、エージェント ID の管理) | Microsoft Entra IDのセキュリティ管理者。 |
| フィードバックを通じてエージェントに教える | Triage Agent required permissions に記載されているとおり、エージェントと同じ権限（またはそれ以上の権限）。 |
| フィードバック ページを表示する |
Security Copilot (読み取り)、セキュリティ データの基礎 (読み取り)、および Email & コラボレーション メタデータ (読み取り) (Defender ポータルのセキュリティ オペレーション アクセス許可グループ内)。 または セキュリティ管理者 (Entra ID 内)。 |
| フィードバックを拒否する | Entra IDのセキュリティ管理者。 |
Defender ポータルでの統合 RBAC の詳細については、「 Microsoft Defender XDR 統合ロールベースのアクセス制御 (RBAC)」を参照してください。
トリアージ エージェントを設定する
エージェントを設定する前に、 必要なアクセス許可 があり、すべての 前提条件を 満たしていることを確認します。
セットアップを開始する
- Defender ポータルで、Perception>Agents を選択します。
- セットアップの準備ができているエージェントセクションで、トリアージ エージェントを見つけてください。
- [セットアップ] を選択します。
- セットアップ ウィザードの手順に従い、 サポートされているアラートの種類の一覧からエージェントでトリアージするアラートの種類を選択します。 アクセス許可とデータ スコープは、その選択内容によって異なります。
エージェントの ID とアクセス許可を割り当てる
セットアップ ウィザードでは、エージェントに ID とその作業に必要なアクセス許可を割り当てる手順を説明します。
ID を割り当てる
エージェントが機能するには、Microsoft Entra エージェント IDが必要です。 セットアップ ウィザードによって、新しいエージェント ID が自動的に作成されます。 Microsoft Entraは、AI エージェント専用のエージェント ID を作成します。 エージェント ID を使用する場合は、アクセススコープを設定し、セキュリティで保護し、管理しやすくします。 詳細については、「 エージェント ID とは」を参照してください。
Note
「エージェント設定の編集」の説明に従って、セットアップ後に エージェント ID を変更できます。
アクセス許可の割り当て
最小特権の原則に従うために、Triage エージェントがそのタスクを実行するために必要なアクセス許可のみをエージェント ID に割り当てます。
セットアップ ウィザードでは、選択したアラートの種類と、関連付けられているデータにアクセスするために必要な統合 RBAC アクセス許可に基づいて、ロールが自動的に作成されます。
トリアージ エージェントに必要なアクセス許可
トリアージ エージェントには、必要なデータにアクセスしてそのトリアージ機能を実行するための特定のアクセス許可が必要です。 必要なアクセス許可は、エージェントが操作するアラートの種類と関連する製品によって異なります。
次の表は、各アラートの種類に必要なアクセス許可とデータ スコープをまとめたものです。
| アラートの種類 | アクセス許可 | データ スコープ |
|---|---|---|
| フィッシングなどのEmailとコラボレーションのアラート | Security Copilot (閲覧)、セキュリティ データの基本情報 (閲覧)、アラート (管理)、メールとコラボレーションのメタデータ (閲覧)、メールとコラボレーションのコンテンツ: アラートに関連付けられたメール (閲覧) | Office 365 用ディフェンダー |
| コンテナーを含むクラウド アラート | Security Copilot (読み取り)、セキュリティ データの基本 (読み取り)、アラート (管理) | Microsoft Defender for Cloud |
| ID アラート | Security Copilot (読み取り)、セキュリティ データの基本 (読み取り)、アラート (管理) | Defender for Identity と Defender for Cloud Apps |
| エンドポイント アラート | Security Copilot (読み取り)、セキュリティ データの基本 (読み取り)、アラート (管理) | Microsoft Defender for Endpoint（エンドポイント用マイクロソフトディフェンダー） |
| クラウド アプリのアラート | Security Copilot (読み取り)、セキュリティ データの基本 (読み取り)、アラート (管理) | Defender for Cloud Apps（クラウドアプリケーション用ディフェンダー） |
これらのアクセス許可は、統合 RBAC の セキュリティ操作 のアクセス許可グループにあります。
Important
セットアップ ウィザードでエージェントのアクセス許可が割り当てられたら、エージェントを監視するユーザー グループに、自動セッションのアクティビティと出力を監視するための同等以上のアクセス許可があることを確認します。 これを行うには、Defender ポータルの [アクセス許可] ページで、ユーザー グループのアクセス許可をエージェントと比較します。
セッションを開始する
セッションを開始する方法については、「 新しいセッションを開始する」を参照してください。
トリアージ エージェントは、次のプレイブックを使用します。
| プレイブック | 必須の入力 |
|---|---|
| トリアージ アラート | Defender ポータルからサポートされているアラートの ID。 |
トリアージ エージェントの自動トリガー
エージェントは、サポートされているアラートを自動的にトリアージし、Defender インシデントの分類と状態を更新することで、組織が毎日受信する大量のアラートをセキュリティ チームが管理するのに役立ちます。
エージェントのトリガーとフロー
セットアップ後、関連するアラートが作成されると、トリアージ エージェントが自動的に実行されます。 エージェントは、高度な AI ツールとorganizationのコンテキストを使用してアラートを自律的に分析し、関連する脅威が悪意のある脅威か誤報かを判断します。
アラートが誤報と判断された場合、エージェントは誤検知として分類し、それに応じて解決します。 アラートが悪意があると見なされた場合、アラートは True Positive として分類され、関連するインシデントの状態は、アナリストが調査してさらなるアクションを実行するために開いたまま進行中です。
エージェントは、処理するすべてのアラートについて、対応するインシデントでの判定の詳細な説明を提供します。
キュー内のエージェントを追跡する
透明性を維持するために、エージェントはトリアージ プロセス中にインシデント フィールドを定期的に更新します。 トリアージが開始されると、エージェントはアラートをそれ自体に割り当て、対応するインシデントに エージェント タグを追加します。 アナリストは、インシデント キューをフィルター処理して、エージェントによってタグ付けされたインシデントのみを表示できるため、監視と優先順位付けが簡素化されます。
Tip
また、トリアージ エージェントに割り当てた ID の名前を使用してインシデント キューをフィルター処理して、エージェントがアクティブに作業しているインシデントを確認することもできます。
アラートが真の脅威として識別されると、トリアージ エージェントによって真陽性としてマークされるため、アナリストは確認済みの分類に基づいてインシデントをフィルター処理して優先順位を付けることができます。
アラートトリアージの透明性と説明性
トリアージ エージェントは、処理するアラートごとに、その判定の詳細な説明と、意思決定ワークフローのグラフィカルな表現を提供します。
エージェントの結果を確認するには、次の手順に従います。
インシデント キューからインシデントを選択します。
インシデント ページで、[ガイド付き応答トリアージ] セクションの [Copilot] または [タスク] サイド パネルで[トリアージ エージェント]カードを探します。 タスクは完了としてマークされ、エージェントに割り当てられます。 カードには、その分類に基づくエージェントの判定が表示され、その判断の根拠となった主要な不利な証拠が強調表示されます。
![[トリアージ エージェント] カードが強調表示されているインシデント ページのスクリーンショット](media/triage-agent/incident-main.png)
[その他のアクション] 省略記号を選択して、アラートの詳細を表示したり、エージェントの分類の詳細をクリップボードにコピーしたり、フィードバックを管理したりできます。
エージェントが分類に到達する前に実行した手順を表示するには、[トリアージ エージェント] カードで [ エージェント アクティビティの表示 ] を選択します。 これは、エージェントの最終的な分類の背後にあるロジックを示しています。
![[トリアージ エージェント] カードが強調表示されているインシデント ページのスクリーンショット](media/triage-agent/incident-main.png#lightbox)
フィードバックを通じてエージェントにorganizationのコンテキストを教える
Important
現在、フィードバック オプションは、電子メールとコラボレーションのアラートでのみ使用できます。
サポートされているアラートの種類の場合、アナリストは必要に応じて、複雑な構成を必要とせず、プレーンで自然な言語でエージェントの分類に関するフィードバックを提供できます。 承認されたユーザーは、フィードバックを確認し、評価し、それを明示的に適用して、エージェントが今後同様のアラートを分類する方法に影響を与えることができます。 この機能は現在、電子メールとコラボレーションのアラートでのみ使用できます。
フィードバックを提供し、エージェントに教えるために、次の手順に従います。
インシデント ページの [ガイド付き応答トリアージ] セクションで、[Copilot] または [タスク] のサイド パネルにある [トリアージ エージェント] カードを見つけてください。
カードのタイトルとコンテンツに表示されるエージェントの分類と推論を確認します。 決定がorganizationの分類基準と一致しない場合は、[分類の変更] を選択します。 または、[アラート] タブから特定のアラートを選択し、[ アラート の 管理] を選択して分類を更新することもできます。
[ アラートの管理 ] ウィンドウで、[分類] ドロップダウン メニューから新しい 分類 を選択します。 次に、[この分類を変更した理由] フィールドに入力して 、変更の理由を 指定します。 この手順では、監査のみを目的としてフィードバック管理ページに入力を記録します。 [このフィードバックを使用してエージェントを教える] を明示的に選択するまで、 エージェントはこのフィードバックを使用して意思決定を改善しません。 エージェントの指導にこのフィードバックを使用しないことを選択した場合は、[ 保存] を選択できます。これは、エージェントのメモリに挿入せずにフィードバックのみを監査します。
![[アラートの管理] ウィンドウの分類フィールドとフィードバック フィールドを強調表示しているスクリーンショット](media/triage-agent/manage-alert-why.png)
フィードバックを適用するには、[ このフィードバックを使用してエージェントに教える] を選択します。 ガイドを使用して、効果的な入力を作成するのに役立つフィードバックを記述し、[フィードバックの評価] を選択すると、エージェントがフィードバックをレッスンに変換する方法をプレビューし、結果が意図と一致するかどうかを評価できます。 フィードバックの評価では、基本的な安全性チェックも実行され、適用されたフィードバックがエージェントが使用するために関連し、以前のフィードバックと競合しないことを確認します。
Note
アラートごとに 1 回だけエージェントにフィードバックを提供でき、特に True Positive (フィッシング) または False Positive (悪意のない) を選択することで、メールとコラボレーションのアラートを分類する方法をエージェントに教えるためだけに使用できます。 レッスンを保存する前に、常にフィードバックを確認し、AI によって生成された応答を確認してください。
結果が期待に応える場合は、エージェントのメモリにレッスンを挿入して、将来の決定に影響を与えることができます。 [ 保存] を 選択してレッスンを保存し、該当する場合はエージェントのメモリにレッスンとして保存します。 すべてのフィードバックは監査目的で記録され、エージェントのメモリに追加されたレッスンは 、フィードバック管理ページで後で確認できます。
![[アラートの管理] ウィンドウの分類フィールドとフィードバック フィールドを強調表示しているスクリーンショット](media/triage-agent/manage-alert-why.png#lightbox)
エージェントは、保存されたフィードバックを使用して、今後同様のアラートをトリアージして分類します。 フィードバックの特性に一致する関連アラートを受信すると、エージェントはこのフィードバックを適用して分類を決定し、意思決定プロセスのサポート証拠として組み込みます。
フィードバックを記述するためのベスト プラクティス
レッスンでは、エージェントがアラートが本物のフィッシング脅威か誤報かを判断するのに役立つ体系的なガイドラインが提供されます。 エージェントにフィードバックが効果的に組み込まれるようにするには、Triage エージェントに入力を提供するときに、次のベスト プラクティスに従います。
- フィードバックが関連性があり、コンテキストに合っていることを確認します。 フィードバックは、現在レビュー中のメールにのみ関連する必要があります。 また、割り当てた更新された分類に合わせて調整する必要があります。
- 説明的で具体的である。 メールの特性を明確に説明します。 エージェントがコンテキストを理解するのに役立つ、電子メールの件名、メッセージ本文、送信者、受信者などの関連する詳細を指定します。 複数の詳細を含む特定のフィードバックにより、有効性が向上します。
- 明確さと決定的性を確保します。 漠然とした記述や普遍的な記述は避けてください。 明確で実用的なフィードバックを提供します。 決定的で明確な識別用語を使用します。
- 以前のフィードバックと一致する。 エージェントを混乱させたり、決定の精度を低下させたりする可能性のある矛盾を避けるために、新しいフィードバックが以前に提供した内容と一致していることを確認します。 以前に送信されたすべての入力は、[ フィードバック 管理] ページで確認できます。
- エージェントによるフィードバックの解釈を確認します。 フィードバックを送信するときは、常にフィードバックが正確にレッスンに翻訳されていることを確認します。 レッスンに意図が反映され、元の入力との整合性が維持されていることを確認します。 AI によって生成された応答の有効性を確認して、シナリオに適用できることを確認します。
エージェントにフィードバックを書き込む方法の例を次に示します。
| 面積 | 適切に記述されたフィードバックの例 | 失敗につながる可能性があるフィードバックの例 | Comparison |
|---|---|---|---|
| 送信者に関するフィードバック | 特典プロバイダーからのメールは、"@benefits.company.com" から送信する必要があります。 | インシデントの 2 番目のアラートの送信者は正当ではありません。 | フィードバックは、現在のアラートとそのコンテキストの電子メールに関連している必要があります。 選択した分類 (フィードバックで明示的に言及していない場合でも) に関連付けられ、同様の将来のアラートに使用されます。 |
| 送信者と電子メールの本文に関するフィードバック | ファイル共有またはドキュメント アクセスを提供する電子メールは、承認されたプロバイダー Contoso.com からのみ送信する必要があります。 | ファイル共有またはドキュメント アクセスを提供するメールは、承認されたプロバイダーからのみ送信する必要があります。 | 適切に記述されたフィードバックでは、特定の要件 (送信者ドメインなど) が明確に示されていますが、あいまいな参照 ("承認されたプロバイダー" など) には実用的な情報は含まれません。 |
| メールの件名に関するフィードバック | 課金トランザクションの要求を含む件名のメールは、組織内では許可されず、フィッシングと見なされます。 | 対象に肯定的な自然感情がある場合は、正当です。 | 説明的および具体的なフィードバックは効果的に検証できますが、主観的なフィードバックは意図しない結果につながる可能性があります。 |
| 電子メール本文に関するフィードバック | 資格情報の検証を要求する電子メールには、特定のアカウントまたはサービスへの参照が含まれている必要があります。 詳細を含まない汎用の "アカウントの確認" 要求は、フィッシングとして扱う必要があります。 | このメールはフィッシングとして扱う必要があります。 | 詳細情報を含むフィードバックは明確に理解される可能性が高くなりますが、詳細を欠くフィードバックはさまざまな方法で解釈され、予測できない結果につながる可能性があります。 |
| 受信者とメール本文に関するフィードバック | この電子メールは複数の従業員に送信され、本文は受信者にその内容を記述せずに「重要な添付ファイル」をダウンロードするよう指示します。 正当な電子メールでは、常に添付ファイルの詳細が指定されます。 | 添付ファイルを含む大量の内部メールはフィッシングです。 | 正当なメールでよく見られる特定の不足している詳細を強調するフィードバックの方が効果的です。 広範な一般化 (大量の電子メール) またはあいまいな用語 ("内部" など) を含むフィードバックは、過剰な数の真陽性につながる可能性があります。 |
| 受信者とドメインに関するフィードバック | 新しい請負業者のオンボード電子メールは、正しい受信者に送信されるように、"v-" で始まるメール アドレスにのみ送信する必要があります。 | 請負業者のメールは通常とは異なって見えるので、フィッシングである可能性があります。 | 適切に記述されたフィードバックは、予想される受信者の形式を明確に定義しますが、優柔不断 ("可能性があります") で明確な識別基準が欠けている ("通常とは異なる" ように見える) フィードバックは、検出の信頼性を低下させます。 |
フィードバックエラーを解決する
エージェントがフィードバックを受け取ると、それをレッスンに変換します。 エージェントがフィードバックの解釈に成功しない場合は、エラーの原因を示す関連メッセージが表示されます。 エージェントから返されたメッセージに基づいて、これらのエラーに対処できます。
エージェントにフィードバックを書き込むときに発生する可能性があるエラーの例と、それらを解決する方法を次に示します。
| エラー メッセージ | 推奨されるアクション |
|---|---|
提供されたフィードバックの一部は、エージェントが現在この種類の入力をサポートしていないため、まったくレッスンに変換できないため、対処できません。 |
フィードバックを書き直し、ベスト プラクティスに従っていることを確認します。 [ フィードバックの評価] を選択して再試行します。 |
フィードバックには、エージェントがサポートできる入力が含まれていますが、手元の電子メールには関係ないため、メモリに保存される実用的なレッスンに変換できませんでした。 |
フィードバックを書き直し、サポートできるメールの説明に対応していることを確認します。 次に、[ フィードバックの評価 ] を選択してやり直します。 |
指定されたフィードバックは、同様の電子メールに与えられた以前のフィードバックと競合します。 |
フィードバック管理ページで、フィードバック ID を検索して、競合しているフィードバックを表示します。 レビューに基づいて、次のことができます。
|
Note
フィードバックエラーを解決しないことを選択できます。 フィードバックを残し、エージェントを教えるためのボックスをオンにせずに [保存] を選択できます。 フィードバックはエージェントのメモリに保存されないため、今後の追跡分類の変更に関するフィードバック管理ページにのみ記載されます。
該当するフィードバックが承認され、保存されると、エージェントは、同じアクセス許可と制御に従って、今後同様のアラートをトリアージするときにそれを適用できます。
トリアージ エージェントの監視と管理
エージェント メトリックを表示してエージェントを管理するには、インシデント キューまたは [エージェント] ページの[トリアージ エージェント] カードに移動します。 [トリアージ エージェント] ページを開くには:
- [ Perception>Agents] を選択します。
- 使用中 のエージェントで、トリアージ エージェントを探し、[ エージェントに移動] を選択します。
このページには、次のタブが含まれています。
| タブ | Description |
|---|---|
| Overview | エージェントの状態、プレイブック、ID、アクセス許可、および最近のセッションを表示します。 |
| パフォーマンス | 毎日のアクティビティや平均トリアージ時間 (MTTT) など、時間の経過に伴うエージェントのアクティビティに関する主要なメトリックが表示されます。 |
[パフォーマンス] タブ
以下のセクションで説明するように、ページの右上隅にある省略記号 (...) を選択して、エージェントの管理オプションにアクセスします。 エージェントのアクティビティを一時的に停止または再起動するには、[ 一時停止 ] または [ 実行 ] を選択します。
インシデント キュー内のトリアージ エージェントを表示する
インシデント キューのトリアージ エージェント カードを表示するには、 調査と応答>Incidents およびアラート>Incidents の順に選択します。
トリアージ エージェント カードには、エージェントが真の脅威または誤ったアラームとして分類したアラートを含むインシデントなど、エージェントの主要メトリックの一部が表示 されます。 このデータは、エージェントの影響を示すのに役立ち、より広範な戦略的な会話を通知したり、投資収益率を強調したり、組織全体の自動化のスケーリングに関する意思決定をサポートしたりするために使用できます。 メトリックは、エージェントのアクティビティに基づいて計算されます。最初に記録されたインシデントから、または過去 30 日間のいずれか新しい方から開始されます。
インシデント キューにトリアージ エージェント カードが表示される方法を次に示します。
![[トリアージ エージェント] カードが強調表示されているインシデント キューのスクリーンショット。](media/triage-agent/incident-queue-with-agent.png#lightbox)
カードの [エージェントの管理 ] を選択して [トリアージ エージェント] ページを開きます。このページには、パフォーマンス メトリックと管理オプションが追加されています。
エージェント設定を編集する
エージェント設定を編集するには:
- [ Perception>Agents] を選択します。
- 使用中のエージェントでトリアージ エージェント を探し、[ エージェントに移動] を選択します。
- Triage Agent ページの右上で、省略記号 (...)>[エージェントの編集] を選択します。
[エージェントの編集] ページで、次の設定を編集できます。
ID とロール: [新しい ID の選択] を選択してエージェントの ID を 変更し、手順に従って エージェントの ID とアクセス許可を割り当てます。
フィードバック: エージェントに対してユーザーから送信されたフィードバックを表示および管理します。
サポートされているアラート: エージェントがトリアージできるサポートされているアラートの種類を表示します。 エージェントの特定のアラートの種類をアクティブ化または非アクティブ化するには:
- [ エージェントの編集] ページで、[ サポートされているアラートの編集] を選択して、[ エージェントでサポートされているアラート ] ページを開きます。
- [エージェントでサポートされているアラート] ページで、個々のアラートの種類をオンまたはオフに切り替えて、[更新] を選択します。
- [ 現在のロールの更新 ] ページで、[ ロールのアクセス許可の更新 ] を選択して更新プログラムを適用します。
エージェントへのフィードバックの表示と管理
Triage エージェントは、ユーザーから送信されたフィードバックから学習し、時間の経過と同時にそのパフォーマンスを向上させます。 該当するフィードバックをレッスンとしてメモリに格納します。 [エージェントのフィードバック] ページで、トリアージ エージェントの フィードバック を表示および管理できます。
このページでは、エージェントに送信されたすべてのフィードバックの包括的な一覧を提供します。 フィードバックの各部分について、次のような重要な詳細を確認できます。
- エージェントの元の分類とユーザーが適用した変更
- 分類を変更するときに、ユーザーから提供された元のフィードバック
- エージェントによって生成された翻訳されたレッスン (該当する場合)
- フィードバックの状態: 使用中、使用中ではない、または競合している
- フィードバックを提供したユーザー
- フィードバック送信日、フィードバック ID、アラート ID、インシデント ID
次の表では、フィードバックの状態の値について説明します。
| 地位 | Description |
|---|---|
| 使用中 | フィードバックはエージェントのメモリ内のレッスンに正常に変換され、同様のインシデントのトリアージと分類に積極的に使用されます。 |
| 葛藤 | 提供されたフィードバックは、同様のインシデントで以前に提供されたフィードバックと競合しています。 フィードバックエラーを解決する方法について説明します。 |
| 使用されていません | フィードバックは、エージェントのメモリに組み込まれていないか、ユーザーが教えるためのマークを付けなかったかのどちらかです。 却下されたレッスンは「未使用」と表示され、監査のためにのみ保持され、インシデントのトリアージや分類には使用されません。 詳細については、詳細パネルを選択してください。 |
Tip
フィードバックは個別にのみ管理できます。 現在、複数のフィードバック エントリの一括管理はサポートされていません。
ユーザーが送信したフィードバックを表示および管理するには:
[ Perception>Agents] を選択し、[使用中のエージェント] でトリアージ エージェントを探し、[ エージェントに移動] を選択します。
ページの右上で、省略記号 (...)>[エージェントの編集] を選択します。 この操作により、[ エージェントの編集] ページが開きます。
左側のウィンドウで [ フィードバック ] を選択して、[ エージェント のフィードバック ] ページを開きます。
フィードバックの一覧からエントリを選択して、[ フィードバックの確認 ] ウィンドウを開きます。
提供されたフィードバックの詳細、エージェントのレッスン、分類の変更、その他の重要な詳細を確認します。
![[フィードバックの確認] ウィンドウのスクリーンショット](media/triage-agent/review-feedback-pane.png)
特定のフィードバックを拒否するには、[ フィードバックの拒否] を選択します。 エージェントは、今後のトリアージの決定でフィードバックの使用を停止します。
Note
提供されたフィードバックを拒否するには、Entra IDのセキュリティ管理者ロールが必要です。
![[フィードバックの確認] ウィンドウのスクリーンショット](media/triage-agent/review-feedback-pane.png#lightbox)
エージェントを削除する
エージェントを削除すると、新しいインシデントのトリアージと分類が停止され、すべてのフィードバックが削除されます。 ただし、以前にトリアージされたインシデントの履歴は、参照のために保持されます。
エージェントを削除するには:
- [ Perception>Agents] を選択し、[使用中のエージェント] でトリアージ エージェントを探し、[ エージェントに移動] を選択します。
- ページの右上隅にある省略記号 (...) を選択し、[削除] を選択 します。
よく寄せられる質問
トリアージ エージェントに関してよく寄せられる質問への回答を次に示します。 エージェントの機能と要件については、「 主要な機能 と 前提条件」を参照してください。
エージェントはいつトリガーされますか?
このエージェント プレイブックは手動でトリガーできます。 新しいアラートが検出されると、エージェントが自動的に実行されます。 セットアップ プロセスでは、サポートされているアラートの種類を解決する組み込みのチューニング 規則が無効になります。
トリアージ エージェントを信頼できますか?
Microsoft AIエージェントは、厳格な責任ある AI ガイドラインに従い、すべての AI 標準とセーフガードへの準拠を確保するために徹底的なレビューを実施します。 トリアージエージェントは、これらのコントロールに完全に組み込まれています。 セットアップ中に、エージェントに ID を割り当て、その操作に必要な最小限のアクセス許可で構成し、不要なアクセス許可がないことを確認します。 システムはすべてのエージェント アクティビティを詳細にログに記録し、アナリストと管理者はいつでも完全なフローを確認できます。 システムは、エージェントに提供されたフィードバックをログに記録して、組織の環境に適応できるようにします。 管理者は、必要に応じてこのフィードバックを確認および変更できます。
エージェントは標準の SOAR ソリューションとどのように異なりますか?
SOAR ソリューションとトリアージ エージェントの両方がセキュリティ操作の側面を自動化しますが、さまざまなアプローチを使用します。
SOAR ソリューションは、通常、手動構成と継続的なメンテナンスを必要とする定義済みのルールベースのワークフローに依存します。 これに対し、トリアージ エージェントでは、推論ベースの分析を使用して、アラートをトリアージし、Defender内の分類を記録します。人間による監視と、サポートされている場合はオプションのフィードバックを使用します。
エージェントは、Defenderで定義されたアクセス許可とワークフロー内で動作し、既存の調査ツールや応答ツールを置き換えることはありません。
エージェントに対する可視性と制御のレベルは何ですか?
Microsoftは、デプロイから進行中の運用まで、Triage エージェントの可視性と制御を維持するためのツールを組織に提供します。 エージェントは、公平性、信頼性、安全性、プライバシー、セキュリティ、包括性、透明性、説明責任に関する Microsoft の責任ある AI (RAI) 標準に準拠しています。
管理者は、最小特権の原則に従って、インストール時にエージェントの ID とアクセス レベルを構成します。 セキュリティチームと IT チームは、特定のアクションを承認し、パフォーマンスを監視し、Defenderで出力を直接確認できます。 管理者は、容量消費とデータ アクセス制限を構成することもできます。
トリアージ エージェントは、ゼロトラスト環境内で動作します。 システムは、各操作の意図とスコープを評価することで、すべてのエージェント アクションに組織ポリシーを適用します。 エージェントは、すべての決定、推論、アクションをDefender内のデシジョン ツリーとして透過的に文書化し、追跡性とコンプライアンスのためにMicrosoft Purview監査ログに記録します。
Perception を利用している場合、Phishing Triage Agent はどうなりますか? Perception の新しいトリアージ エージェントはどのように異なりますか?
Perception では、既存のフィッシング トリアージ エージェント エクスペリエンスは自動的に変更されません。 セキュリティ アラート トリアージ エージェント プレビューに参加している場合、Perception Triage エージェントを設定するまで、そのエージェントも引き続き実行されます。
Perception Triage エージェントは、追加のアラートの種類、プレイブック、手動呼び出し、セッション、出力についてチャットする機能を備えたトリアージ機能を拡張します。 Perception Triage エージェントを設定すると、フィッシング トリアージ エージェントが置き換えられ、実行履歴、メトリック、設定が保持されます。
一度にアクティブにできるトリアージ エージェントは 1 つだけです。 Perception Triage エージェントを削除した場合は、もう一度フィッシング トリアージ エージェントを設定できます。