Microsoft Entra Internet Access: Secure Web & AI Gateway

Úvod: proč je pro bezpečnost AI důležitý přístup identity-first

Adopce generativní AI v podnicích rychle zrychluje, ale připravenost v oblasti bezpečnosti zaostává—zejména pokud jde o úniky dat do neschválených AI nástrojů, útoky typu prompt injection a roztříštěné řízení napříč zařízeními a cloudy. Nejnovější aktualizace Entra od Microsoftu staví identitu do role řídicí roviny pro správu přístupu k AI a přinášejí nové ochrany na síťové vrstvě, které mají zabezpečit používání AI bez nutnosti přepisování aplikací.

Co je nového: Secure Web & AI Gateway v Entra Internet Access (Public Preview)

Microsoft Entra Internet Access nyní zahrnuje secure web and AI gateway, která rozšiřuje kontrolu a vynucování zásad s ohledem na AI do síťové vrstvy jako součást přístupu SASE od Microsoftu.

1) Shadow AI Detection

• Zjišťuje neschválené AI nástroje pozorované v síťovém provozu.
• Využívá Cloud Application Analytics spolu s hodnocením rizik v Defender for Cloud Apps a s Cloud App Catalog od Microsoftu.
• Umožňuje rychlé vynucení přes Conditional Access pro schválení, omezení nebo blokování vysoce rizikových AI aplikací.

2) Network File Filtering (s integrací Purview)

• Blokuje uploady/downloady na základě typu souboru.
• Umí kontrolovat obsah a metadata souborů během přenosu.
• Integruje se s Microsoft Purview pro vynucení zásad Sensitive Information Types a Exact Data Match—snižuje tak pravděpodobnost, že regulovaná nebo důvěrná data budou sdílena s neschválenými AI službami.

3) Prompt Injection Protection

• Inline kontroluje AI provoz a blokuje škodlivé prompty v reálném čase.
• Rozšiřuje Azure AI Prompt Shields do síťové vrstvy, s cílem zajistit konzistentní ochranu napříč AI aplikacemi, agenty a LLMs—bez refaktoringu aplikací.

4) Řízení pro AI agenty a MCP servery

• Aplikuje hranice na síťové vrstvě pomocí URL filtering: umožní schválená připojení agentů a blokuje neschválené MCP servery.
• V kombinaci s identitními kontrolami Entra (např. MFA, geo-restrictions) napříč Windows, macOS, iOS a Android.

Další vylepšení Entra Internet Access

Microsoft také vyzdvihl širší zlepšení, včetně:

• Threat intelligence filtering pro známé škodlivé weby.
• Remote networks for Internet traffic pro rozšíření ochran na pobočky/remote lokality bez klienta Global Secure Access.
• Cloud firewall for remote networks s centrálně spravovanými zásadami řízenými identitou.

Dopad na IT administrátory a bezpečnostní týmy

• Jednotnější vynucování AI zásad napříč prohlížeči, zařízeními a prostředími (on-prem, hybrid, multi-cloud).
• Menší závislost na per-app kontrolách nebo bezpečnostních úpravách založených na SDK.
• Silnější governance díky propojení síťových pozorování (k čemu uživatelé přistupují) s rozhodnutími řízenými identitou (co smí dělat).

Akční kroky / další postup

1. Vyhodnoťte veřejnou preview Secure Web & AI Gateway v Entra Internet Access a namapujte ji na své scénáře AI rizik (Shadow AI, únik dat, prompt injection).
2. Integrujte s Purview: ověřte pokrytí Sensitive Information Types a Exact Data Match pro vysoce rizikové kategorie dat.
3. Zrevidujte zásady Conditional Access pro AI služby (schválené vs. neschválené) a definujte kritéria blokovat/povolit s využitím hodnocení rizik v Defender for Cloud Apps.
4. Vytvořte baseline pro přístup k AI (schválené nástroje, schválené agent/MCP endpointy, požadavky na logování/monitoring) a slaďte ji se security a business ownery.