Certificazione in Microsoft Security Store

Microsoft Security Le offerte dello Store devono essere integrate con Microsoft Security e risolvere uno scenario correlato alla sicurezza o alla conformità. Ecco i tipi di soluzioni integrate che possono essere pubblicate in Security Store:

• Gli agenti Security Copilot, pubblicati come offerta Software as a Service o SaaS.

• Connettori di Microsoft Sentinel

• Per funzionare con un agente Copilot o un connettore Microsoft Sentinel era necessaria una soluzione SaaS.

  • Le due offerte devono essere collegate tra loro durante la pubblicazione. Le offerte collegate devono avere ID offerta validi di proprietà dello stesso editore.

• Soluzione SaaS con un'integrazione API approvata Microsoft Intelligent Security Association (MISA) con un prodotto 1-P (Defender, Intune, Microsoft Entra, Purview).

• Sono supportate solo soluzioni SaaS transazionabili.

• Tipologia di offerta di servizi professionali certificata nella categoria di sicurezza come rilevamento e risposta estese gestite.

Pacchetti distribuibili

Le soluzioni con pacchetti distribuibili devono rispettare lo schema del pacchetto richiesto dall'archivio sicurezza e, se uno di questi elementi è applicabile al pacchetto, rispettare anche questi requisiti:

• Schema del manifesto dell'agente richiesto da Security Copilot
• Schema richiesto da Microsoft Sentinel
• Il data lake di Microsoft Sentinel dei processi del notebook

I pacchetti devono passare le analisi per individuare le vulnerabilità di sicurezza, che possono includere l'analisi di malware, antivirus e vulnerabilità dell'agente.

Metadati dell'offerta

Se si invia un agente e si consente Microsoft gestire le licenze, il tipo di prezzo deve essere il prezzo del contratto ed è necessario usare i parametri tecnici forniti da Microsoft.

I nomi degli agenti devono essere inferiori a 30 caratteri, in modo da non venire troncati nell'interfaccia utente di Security Copilot.

Assicurarsi di aggiungere un collegamento alla pagina marketing o prodotto nella sezione Collegamenti dell'offerta nel Centro per i partner.

• Questo collegamento dovrebbe portare gli utenti a una pagina in cui possono ottenere altre informazioni sull'agente e trovare istruzioni chiare per installare o usare l'agente. Queste informazioni consentono agli utenti di individuare e comprendere facilmente l'agente tramite il sito Web ufficiale o la pagina del prodotto.

• La pagina a cui rimanda il collegamento deve contenere anche un collegamento a Security Store, in modo che i clienti possano scaricare e distribuire l'agente. È possibile includere questo collegamento nella sezione Collegamenti alle informazioni sul prodotto della scheda Presentazione offerta nella pubblicazione dell'offerta nel Centro per i partner.

Funzionalità e metadati dell'agente

Gli agenti devono superare test funzionali e di qualità, tra cui:

• Le esperienze di distribuzione, installazione ed esecuzione riuscite sono allineate alla descrizione dell'agente.

• Gli agenti devono usare le funzionalità della piattaforma security agente Copilot in modo appropriato.

  • Un agente viene definito come un sistema orientato agli obiettivi e può generare in modo autonomo un piano a più passaggi. Il valore principale di un agente è la capacità di usare ragionamento, memoria e strumenti per creare una sequenza di azioni per soddisfare un obiettivo. Il piano di un agente potrebbe richiedere l'approvazione umana per l'esecuzione finale.

• Gli agenti devono essere conformi agli standard di IA responsabile (RAI) e non devono contenere istruzioni che deviano dalla finalità dell'utente o dallo scopo dichiarato dell'agente.

Gli agenti devono descrivere chiaramente gli input, gli output e le attività che eseguono nella descrizione dell'offerta. Ecco come strutturare le descrizioni (con dati di esempio per questi esempi):

• Input: incidenti di Defender, dati TI.

• Attività: Cerca le entità menzionate nell'evento imprevisto, correla con intelligence sulle minacce e classifica il tipo di vulnerabilità in base ai risultati.

• Uscite: Risultato della valutazione che specifica il tipo di vulnerabilità coinvolto, il livello di confidenza e un piano di correzione consigliato.

Nella descrizione del piano è necessario specificare il consumo stimato dell'unità di calcolo della sicurezza (SCU) per l'agente. Correlare il consumo di SCU agli input, alle attività eseguite e agli output dell'agente. Ad esempio, se l'agente riepiloga gli eventi imprevisti, è possibile pronunciare qualcosa come Questo agente usa circa 0,1 SCU in media per ogni esecuzione, che riepiloga un evento imprevisto. Se l'agente analizza i dati di log, è possibile dire che questo agente utilizza circa 0,2 SCU in media per ogni 1 GB di dati di log sottoposti a query.

Integrazione dell'agente con prodotti Microsoft Security

Se l'agente funziona con Microsoft prodotti come Microsoft Defender, Microsoft Entra o Microsoft Sentinel, assicurarsi di selezionare il prodotto corretto in Integrated Microsoft Security Products nel Centro per i partner.

Questa selezione garantisce che quando l'agente viene pubblicato, viene visualizzato correttamente sotto il filtro del prodotto selezionato nel Microsoft Security Store. Il filtro corretto dei prodotti consente agli utenti di trovare agenti correlati al prodotto Microsoft. Le selezioni dei filtri vengono utilizzate anche per decidere in quale portale del prodotto Microsoft Security potrebbe essere visualizzato l'agente.

Affinché gli agenti vengano visualizzati in qualsiasi portale del prodotto Microsoft Security, devono prima essere convalidati. Qualsiasi integrazione selezionata deve soddisfare questi criteri:

• Rilevanza: la descrizione e la funzione dell'agente devono essere allineate con le personas e i casi d'uso del prodotto integrato selezionato.

  • Le descrizioni devono spiegare il funzionamento dell'agente e integrarsi con i prodotti Microsoft Security elencati. Assicurarsi che la descrizione dettagli sul modo in cui l'agente interagisce con e supporti i prodotti di sicurezza selezionati. Queste informazioni devono includere il modo in cui gli input dell'agente (i dati necessari) e/o gli output (quali azioni, informazioni restituiscono) usano i prodotti selezionati. Assicurarsi di dichiarare chiaramente queste informazioni.

• Integrazione: L'agente deve integrarsi con il prodotto Microsoft Security selezionato(ad esempio, con una competenza Copilot, plug-in personalizzato, MCP e così via).

• Migliora l'esperienza dei clienti: L'agente deve migliorare l'esperienza dei clienti con prodotti Microsoft Security come Microsoft Defender, Microsoft Entra o Microsoft Sentinel supportando uno degli scenari idonei definiti da ogni Microsoft Security prodotto.

Affinché gli agenti vengano visualizzati nel portale di Microsoft Defender, devono soddisfare questi criteri:

• La descrizione dell'agente (breve o lunga), la documentazione, gli screenshot, il file manifesto e le funzionalità dell'agente devono essere coerenti con le personas e i casi d'uso di Microsoft Defender o Microsoft Sentinel. L'agente deve supportare analisti del Centro operazioni di sicurezza (SOC), cacciatori di minacce, amministratori IT, risponditori di eventi imprevisti o responsabili della conformità. L'agente deve consentire agli analisti SOC di gestire le operazioni SOC, eseguire la ricerca delle minacce, ridurre l'esposizione, attenuare i rischi di identità o garantire la conformità tra endpoint, identità, posta elettronica e app cloud.

• La descrizione deve specificare il funzionamento dell'agente con Microsoft Defender, ad esempio l'acquisizione di dati di avviso o eventi imprevisti (input) e la generazione di risposte automatizzate, informazioni dettagliate arricchite o azioni del flusso di lavoro (output) tramite integrazioni predefinite.

• L'agente deve integrarsi con Microsoft Defender o Microsoft Sentinel tramite competenze di Copilot, plug-in o strumenti MCP che interagiscono con Defender o Microsoft Sentinel (inclusa la piattaforma Microsoft Sentinel).

• L'agente deve supportare uno di questi scenari:

  • Arricchire Defender con più contesto o metriche che consentono a un analista SOC di eseguire un flusso di lavoro.

    • Esempio: Integrare feed di intelligence sulle minacce esterne, dati di vulnerabilità o contesto degli asset in un flusso di lavoro di indagine sugli eventi imprevisti, in modo che l'analista SOC possa identificare più rapidamente la superficie di attacco o la causa radice.

  • Esegui analisi avanzate o ricava informazioni utili dai dati di Defender o di Microsoft Sentinel.

    • Esempio: Correlare le attività correlate agli eventi imprevisti tra più origini dati Defender e non Defender, evidenziare i percorsi di attacco o assegnare priorità agli avvisi.

  • Automatizzare i flussi di lavoro in più passaggi in Microsoft Defender tramite la pianificazione. L'automazione può essere eseguita con raccomandazioni che coinvolgono l'uomo nel ciclo.

    • Esempio: Orchestrazione di attività SOC ripetitive come l'isolamento degli endpoint, l'attivazione di script di Defender Live Response, la creazione di report degli incidenti o l'escalation degli incidenti con contesto arricchito.

Processo e errori di certificazione

Se l'offerta non riesce a superare il processo di certificazione descritto, viene visualizzata una notifica tramite posta elettronica per segnalarlo.

Controllare lo stato della pubblicazione delle offerte nei Centri per i partner selezionando la scheda Panoramica dell'offerta . È possibile trovare un collegamento a un report dalla scheda Panoramica dell'offerta o dalla scheda Cronologia che descrive in dettaglio quali errori e cosa è necessario correggere.

Contenuti correlati

Pianifica la pubblicazione per Security Store

Come visualizzare in anteprima e testare le presentazioni delle offerte per l'archivio sicurezza