热门内容

今日:


总体:


最近浏览：


x

【Microsoft Copilot】将零信任原则应用于Microsoft Copilot

Chinese, Simplified
SEO Title
Apply principles of Zero Trust to Microsoft Copilot

category

摘要：要将零信任原则应用于Microsoft Copilot，您需要：

  1. 对互联网上基于网络的提示实施安全保护。
  2. 为Microsoft Edge浏览器摘要添加安全保护。
  3. 为Microsoft 365的Copilot提供完整的推荐安全保护。
  4. 同时使用Microsoft Copilot和Microsoft 365的Copilot时，请保持安全保护。


介绍


Microsoft Copilot或Copilot是Copilot.Microsoft.com、Windows、Edge、Bing和Copilot移动应用程序中的AI伴侣。本文帮助您在使用Copilot时实施安全保护，以保护您的组织和数据安全。通过实施这些保护措施，您正在建立零信任的基础。

Copilot的零信任安全建议侧重于保护用户帐户、用户设备和配置Copilot方式范围内的数据。

您可以分阶段引入Copilot，从允许基于Web的提示到允许基于Web和Microsoft 365 Graph的提示到互联网和您的组织数据。本文帮助您了解每种配置的范围，从而了解为您的环境准备适当的安全保护的建议。

Zero Trust如何帮助人工智能？


在将人工智能工具引入组织时，安全性，尤其是数据保护，通常是首要关注的问题。零信任是一种安全策略，它验证每个用户、设备和资源请求，以确保每个请求都被允许。“零信任”一词是指将每个连接和资源请求视为来自不受控制的网络和不良行为者的策略。无论请求源自何处或访问什么资源，零信任都教会我们“永远不要信任，始终要验证”

作为安全领域的领导者，微软为实施零信任提供了切实可行的路线图和明确的指导。微软的Copilots是在现有平台的基础上构建的，这些平台继承了应用于这些平台的保护措施。有关将零信任应用于Microsoft平台的详细信息，请参阅零信任指导中心。通过实施这些保护，您正在建立零信任安全的基础。

本文借鉴了该指南，规定了与Copilot相关的零信任保护。

这篇文章包括什么


本文将分四个阶段介绍适用的安全建议。这为您在为用户、设备和Copilot访问的数据应用安全保护的同时，将Copilot引入您的环境提供了一条路径。

要保护的舞台配置组件


 

Stage Configuration Components to secure
1 Web-grounded prompts to the Internet Basic security hygiene for users and devices using identity and access policies.
2 Web-grounded prompts to the Internet with Edge browser page summarization enabled Your organization data on local, intranet, and cloud locations that Copilot in Edge can summarize.
3 Web-grounded prompts to the Internet and access to Copilot for Microsoft 365 All components affected by Copilot for Microsoft 365.
4 Web-grounded prompts to the Internet and access to Copilot for Microsoft 365 with Edge browser page summarization enabled All the components listed above.


 

第一阶段。从基于网络的互联网提示的安全建议开始


Copilot的最简单配置通过基于网络的提示提供人工智能辅助。

微软Copilot图和基于Web的提示处理。

在图示中：

  • 用户可以通过Copilot.microsoft.com、Windows、Bing、Edge浏览器和Copilot移动应用程序与Copilot进行交互。
  • 提示是基于网络的。Copilot仅使用公开可用的数据来响应提示。

使用此配置，您的组织数据不包含在Copilot引用的数据范围内。

使用此阶段为用户和设备实施身份和访问策略，以防止不良行为者使用Copilot。至少，您必须配置条件接收策略，这些策略要求：


Microsoft 365 E3的其他建议


针对Microsoft 365 E5的其他建议


实施E3的建议，并配置以下身份和访问策略：


第二阶段。为Edge浏览器摘要添加安全保护


从Microsoft Edge侧栏，Microsoft Copilot可帮助您从网络上获得答案和灵感，如果启用，还可以从打开的浏览器选项卡中显示的某些类型的信息中获得答案和启发。

启用浏览器选项卡摘要的Edge中基于Web的提示图。

以下是Edge中的Copilot可以总结的私人或组织网页和文档类型的一些示例：

  • SharePoint等内联网站，嵌入式Office文档除外
  • Outlook Web应用程序
  • PDF，包括存储在本地设备上的PDF
  • 不受Microsoft权限DLP策略、移动应用程序管理（MAM）策略或MDM策略保护的站点

注：

有关Edge中Copilot支持的用于分析和摘要的文档类型的当前列表，请参阅Edge中的Copilot网页摘要行为。

Copilot在Edge中可以汇总的潜在敏感组织站点和文档可以存储在本地、内联网或云位置。此组织数据可能会暴露给有权访问该设备并使用Edge中的Copilot快速生成文档和站点摘要的攻击者。

Copilot在Edge中可以汇总的组织数据包括：

  • 用户计算机上的本地资源

不受MAM策略保护的本地应用程序在Edge浏览器选项卡中显示的PDF或信息

  • 内联网资源

不受Microsoft权限DLP策略、MAM策略或MDM策略保护的内部应用程序和服务的PDF或网站

  • 不受Microsoft权限DLP策略、MAM策略或MDM策略保护的Microsoft 365站点
  • Microsoft Azure资源

不受Microsoft权限DLP策略、MAM策略或MDM策略保护的SaaS应用程序的虚拟机或站点上的PDF

  • 用于基于云的SaaS应用程序和服务的第三方云产品网站，不受Microsoft权限DLP策略、MAM策略或MDA策略的保护

使用此阶段实现安全级别，以防止不良行为者使用Copilot更快地发现和访问敏感数据。至少，您必须：

有关Edge中Copilot的更多信息，请参阅：


此图显示了启用浏览器摘要的Edge中Microsoft Copilot可用的数据集。

Edge中Microsoft Copilot可用的数据集示意图。

E3和E5的建议

  • 实施Intune应用程序保护策略（app）以保护数据。APP可以防止无意或有意将Copilot生成的内容复制到设备上未包含在允许的应用程序列表中的应用程序。APP可以限制使用受损设备的攻击者的爆炸半径。
  • 启用Microsoft Defender for Office 363计划1，其中包括用于安全附件、安全链接、高级钓鱼阈值和模拟保护的Exchange联机保护（EOP）以及实时检测。

第三阶段。建议为Microsoft 365的Copilot提供完整的安全保护


Microsoft 365的Copilot可以使用以下数据集来处理基于图形的提示：

  • 您的Microsoft 365租户数据
  • 通过Bing搜索获取互联网数据（如果启用）
  • 支持Copilot的插件和连接器使用的数据


Microsoft 365的Copilot图和基于图形的提示处理。

有关详细信息，请参阅将零信任原则应用于Microsoft 365的Microsoft复制副本。

E3推荐


执行以下操作：

关于E5的建议


实施E3和以下建议：


第四阶段。同时使用Microsoft Copilot和Microsoft 365的Copilot时，请保持安全保护


使用适用于Microsoft 365的Copilot许可证，您将在Edge浏览器、Windows和Bing搜索中看到一个工作/Web切换控件，允许您在使用以下内容之间进行切换：

  • 发送到Microsoft 365 Copilot的基于图形的提示（切换设置为工作）。
  • 主要使用互联网数据的基于网络的提示（切换设置为Web）。


这里有一个copilot.microsoft.com的例子。

Microsoft Bing的Microsoft Copilot示例屏幕截图。

此图显示了基于图形和Web的提示流程。

Microsoft Copilot的逻辑架构图，显示图形和基于网络的提示。

在图中：

  • 拥有Microsoft 365 Copilot许可证的设备上的用户可以为Microsoft Copilot提示选择工作或Web模式。
  • 如果选择“工作”，则基于图形的提示将发送到Microsoft 365的Copilot进行处理。
  • 如果选择了Web，则通过Windows、Bing或Edge输入的基于Web的提示在处理过程中会使用互联网数据。
  • 在Edge的情况下，如果启用，Windows Copilot在处理过程中会在打开的Edge选项卡中包含某些类型的数据。
     

如果用户没有Microsoft 365的Copilot许可证，则不会显示工作/Web切换，所有提示都是基于Web的。

以下是Microsoft Copilot的可访问组织数据集，其中包括基于图形和基于Web的提示。

Microsoft Copilot的可访问组织数据集图，用于图形和基于Web的提示。

在图中，黄色阴影块表示可通过Copilot访问的组织数据。用户通过Copilot访问此数据取决于分配给用户帐户的数据权限。如果为用户或访问数据所在的环境配置了条件访问，则还可以取决于用户设备的状态。遵循零信任原则，这是您希望在攻击者入侵用户帐户或设备时保护的数据。

  • 对于基于图形的提示（切换设置为“工作”），这包括：
    • 您的Microsoft 365租户数据
    • 支持Copilot的插件和连接器的数据
    • 互联网数据（如果启用了web插件）
  • 对于启用了打开浏览器选项卡摘要的Edge浏览器的基于Web的提示（切换设置为Web），这可能包括组织数据，这些数据可以由Edge中的Copilot从本地、内联网和云位置进行摘要。

使用此阶段验证您是否实现了以下安全级别，以防止不良行为者使用Copilot访问您的敏感数据：


E3推荐

  • 请检查您的配置以及Defender for Office 365 Plan 1和Defender for Endpoint Plan 1的功能，并根据需要实施其他功能。
  • 为Microsoft Teams设置适当的保护级别。
     

关于E5的建议


实施E3的建议，并在您的Microsoft 365租户中扩展XDR功能：

  • 启用Microsoft Defender身份验证。
  • 检查您的配置，并根据需要实施其他功能，以使用完整的Microsoft Defender XDR套件增强威胁防护：
    • 端点防御器
    • Office 365防御程序
    • 身份捍卫者
    • 云应用卫士
    • 为云应用的Defender配置会话策略

配置摘要


此图总结了Microsoft Copilot配置以及Copilot用于响应提示的可访问数据。

显示Microsoft Copilot配置以及基于Web和Grapg的提示的可访问数据的表。

此表包括所选配置的零信任建议。

Configuration Accessible data Zero Trust recommendations
Without Copilot for Microsoft 365 licenses (Work/Web toggle not available)

AND

Edge browser page summarization disabled		 For Web-grounded prompts, internet data only None required, but highly recommended for overall security hygiene.
Without Copilot for Microsoft 365 licenses (Work/Web toggle not available)

AND

Edge browser page summarization enabled		 For Web-grounded prompts:

- Internet data
- Organization data on local, intranet, and cloud locations that Copilot in Edge can summarize		 For your Microsoft 365 tenant, see Zero Trust for Copilot for Microsoft 365 and apply Zero Trust protections.

For organization data on local, intranet, and cloud locations, see Manage devices with Intune Overview for MAM and MDM policies. Also see Manage data privacy and data protection with Microsoft Priva and Microsoft Purview for DLP policies.
With Copilot for Microsoft 365 licenses (Work/Web toggle available)

AND

Edge browser page summarization disabled		 For Graph-grounded prompts:

- Microsoft 365 tenant data
- Internet data if the web plug-in is enabled
- Data for Copilot-enabled plug-ins and connectors

For Web-grounded prompts, only internet data		 For your Microsoft 365 tenant, see Zero Trust for Copilot for Microsoft 365 and apply Zero Trust protections.
With Copilot for Microsoft 365 licenses (Work/Web toggle available)

AND

Edge browser page summarization enabled		 For Graph-grounded prompts:

- Microsoft 365 tenant data
- Internet data if the web plug-in enabled
- Data for Copilot-enabled plug-ins and connectors

For Web-grounded prompts:

- Internet data
- Organization data that can be rendered in an Edge browser page, including local, cloud, and intranet resources		 For your Microsoft 365 tenant, see Zero Trust for Copilot for Microsoft 365 and apply Zero Trust protections.

For organization data on local, intranet, and cloud locations, see Manage devices with Intune Overview for MAM and MDM policies. Also see Manage data privacy and data protection with Microsoft Priva and Microsoft Purview for DLP policies.


下一步


有关Zero Trust和Microsoft的Copilots，请参阅以下附加文章：

工具书类


请参阅这些链接，了解本文中提到的各种服务和技术。

本文地址
https://architect.pub/apply-principles-zero-trust-microsoft-copilot
  • 登录 发表评论
  • 5 次浏览
发布日期
星期四, 七月 25, 2024 - 09:51
最后修改
星期四, 七月 25, 2024 - 10:11

Tags

Article
Read more

最新内容

↑