Microsoft Security Copilot и чат в Microsoft Defender

Начало работы

Чтобы открыть чат Defender из любого места на портале Defender, нажмите кнопку Copilot на верхней панели навигации. Панель чата открывается в правой части экрана и остается в контексте, пока вы продолжаете работать. Появится экран приветствия с приветствием и полем ввода, готовым для первого вопроса.

Чтобы закрыть панель, нажмите кнопку Закрыть в заголовке или снова нажмите кнопку Copilot. Беседа сохраняется, и вы можете снова открыть панель и забрать место, где вы оставили.

Осведомленность о контексте страницы

Чат Defender отвечает на основе страницы, которую вы просматриваете на портале Defender, и может отвечать на вопросы в зависимости от этого контекста.

Если задать вопрос, например "Какие пользователи участвуют в этом инциденте?", чат понимает, на какой инцидент, оповещение, устройство или сущность вы ссылаетесь на текущей странице, не указывая идентификаторы или имена.

Возможности беседы в чате

Интерактивные беседы

Чат запоминает полный контекст вашей беседы, поэтому вы можете естественно задавать дальнейшие вопросы. Например, вы можете начать с показать мне инциденты с высокой степенью серьезности за прошедшую неделю, а затем следить за тем, как рассказать больше о первой, и чат поймет, что вы имеете в виду.

Пошаговые планы

Для сложных или многоэтапных запросов чат может сначала представить предлагаемый план с указанием действий, которые он планирует предпринять. Вы можете утвердить или отклонить план перед выполнением каких-либо действий. Это позволяет контролировать работу, особенно для исследований, требующих нескольких подстановок данных.

Например, если вы спросите о расследовании инцидента 12345 и подытожили ключевые выводы, чат может предложить следующий план:

1. Получение сведений об инциденте
2. Получение связанных оповещений
3. Сбор доказательств и затронутых сущностей
4. Суммирование результатов

После утверждения плана чат выполняет каждый шаг и отображает ход выполнения в режиме реального времени.

Уточняющие вопросы

Если ваш запрос неоднозначный, чат может задать уточняющий вопрос и предложить варианты быстрого выбора (до четырех предложений), чтобы помочь вам быстрее получить правильный ответ. Выберите параметр или введите собственный ответ.

журнал бесед;

Беседы сохраняются автоматически. Используйте панель Беседы в левой части чата, чтобы:

• Возобновление предыдущей беседы
• Запуск нового сеанса
• Удаление беседы
• Очистка всех бесед

Работа с ответами

Ответы форматируются со структурированными таблицами, маркерами и заголовками разделов для удобства чтения. Варианты действий:

• Копирование ответа: щелкните значок копирования в любом сообщении, чтобы скопировать его в буфер обмена.
• Экспорт таблиц. Выберите Экспорт для любой таблицы, чтобы экспортировать ее в Excel для дальнейшего анализа.
• Создание остановки: выберите Остановить , чтобы прервать ответ, который занимает слишком много времени или направляется в неправильном направлении.
• Повтор. Если что-то пойдет не так, выберите Повторить , чтобы повторить попытку ответа.

Основные возможности

• Встроенная возможность чата, позволяющая общения и управления
• Контекстные ответы на инциденты, оповещения, удостоверения, устройства, IP-адреса и доказательства
• Уточняющие вопросы

Расследование инцидентов и реагирование на них на профессиональном уровне

Эти средства ИИ позволяют группам безопасности своевременно решать расследования атак с легкостью и точностью. Они могут немедленно понимать атаки, быстро анализировать подозрительные файлы и скрипты, а также быстро оценивать и применять соответствующие меры для предотвращения и сдерживания атак.

Быстрое создание сводки инцидентов

Исследование инцидентов с несколькими оповещениями может быть сложной задачей. Чтобы сразу разобраться в инциденте, можно создать сводку инцидента с помощью Copilot. Copilot создает обзор атаки. Обзор содержит важную информацию, чтобы понять, что произошло в результате атаки, какие ресурсы участвуют, а также временная шкала атаки. Copilot автоматически создает сводку при переходе на страницу инцидента. Он также помогает понять задействованные ресурсы и действия, предлагая подсказки о связанных удостоверениях, устройствах, IP-адресах и т. д.

Принятие мер по инцидентам с помощью интерактивных ответов

Разрешение инцидентов требует, чтобы аналитики понимали атаку, чтобы знать, какие решения подходят. Copilot предлагает решения с помощью управляемых ответов по каждому конкретному инциденту.

Удобный анализ сценариев

Большинство злоумышленников при проведении атак полагаются на сложные вредоносные программы, чтобы избежать обнаружения и анализа. Эта вредоносная программа обычно скрыта и может быть в виде скриптов или командных строк в PowerShell. Copilot может быстро анализировать сценарии, благодаря чему ускоряются исследования.

Создание сводок по устройствам

Исследование устройств, участвующих в инцидентах, может быть сложным. Чтобы быстро оценить состояние устройства, Copilot может создать сводку сведений об устройстве, которая будет включать состояние безопасности устройства, необычное поведение, список уязвимых программ и соответствующие сведения Microsoft Intune.

Быстрый анализ файлов

Copilot помогает командам безопасности быстро оценивать и изучать подозрительные файлы с использованием анализа файлов. Copilot предоставляет сводку о файлах. Эта сводка содержит сведения об обнаружении, связанные сертификаты файлов, список вызовов API и строки, обнаруженные в файле.

Немедленное изучение удостоверений

Быстро оцените риск пользователя, создав сводку удостоверений с помощью Copilot. Определите, когда удостоверение находится под угрозой или подозрительно с контекстной информацией о роли и изменениях роли пользователя, поведением входа, устройствами, в которые выполнен вход, и соответствующими контактными данными.

Эффективное написание отчетов об инцидентах

Группы по операциям безопасности обычно пишут отчеты для записи важных сведений. Эти отчеты включают предпринятые меры реагирования, их результаты, участвующих в команде и другую информацию, которая поможет в принятии будущих решений в области безопасности. Документирование инцидентов может занять много времени, так как эффективный отчет об инцидентах должен содержать сводку по инцидентам, предпринятые действия и кто принял какие действия и когда. Copilot создает отчет об инцидентах путем объединения сводки инцидентов, действий реагирования и участия команды.

Управление инцидентами в едином интерфейсе

Вкладка Copilot объединяет действия, связанные с инцидентами, в единый интерфейс чата, устраняя необходимость переключения между несколькими панелями или слоями.

Перейдите на вкладку Copilot на странице инцидента, чтобы просмотреть сводку по инцидентам, получить рекомендации или создать отчет.

Выберите Сводные данные , чтобы создать сводку по инцидентам или просмотреть ее, если она уже существует. Вы можете просматривать сводки и взаимодействовать со всеми событиями и связанными запросами на одной панели.

Вы можете параллельно выполнять несколько сводных запросов для разных сущностей (например, пользователей и устройств), а результаты кэшируются, если они не создаются повторно.

При закрытии панели сводки процесс сводки останавливается.

Чаты инцидентов сохраняются в разных инцидентах. При переключении на другой инцидент чат автоматически закрывается, но при повторном открытии панели Copilot отображается журнал чата. Это позволяет сравнивать сводки по различным инцидентам и переходить к соответствующим отчетам.

Вы также можете выбрать Рекомендации , чтобы получить рекомендации на основе ИИ для дальнейших действий по изучению и исправлению инцидента, или выбрать Отчет , чтобы создать исчерпывающий отчет об инциденте, включающий сводку, временные шкалы, задействованные сущности и многое другое.

Охота на угрозы на профессиональном уровне

Copilot в Defender помогает командам безопасности в заблаговременной охоте на угрозы в сети путем быстрого создания соответствующих запросов KQL.

Команды безопасности, использующие расширенную охоту, теперь могут использовать запрос помощник, который преобразует вопросы на естественном языке в готовые к выполнению запросы KQL. Запрос помощник экономит время, создавая запрос KQL, который можно выполнить немедленно или настроить в соответствии с потребностями аналитика. Дополнительные сведения о помощник запросов.

Защита организации с помощью аналитики угроз

Аналитика современных угроз поможет организациям безопасности принимать взвешенные решения. Copilot объединяет аналитику угроз и создает сводки, чтобы помочь командам безопасности определить приоритет угроз и эффективно реагировать на них.

Мониторинг аналитики угроз

Попросите Copilot создать сводку угроз, влияющих на вашу среду, чтобы определить приоритет устранения угроз на основе уровня подверженности риску или чтобы найти злоумышленников, которые атаковали вашу отрасль. Дополнительные сведения о Security Copilot в аналитике угроз.

Доступ к Copilot в Defender

Чтобы убедиться, что у вас есть доступ к Copilot в Defender, ознакомьтесь с Security Copilot сведениями о покупке и лицензировании. После получения доступа к Security Copilot ключевые функции становятся доступны на портале Microsoft Defender.

Примеры запросов в Copilot

На портале Microsoft Defender вы можете найти примеры запросов, которые помогут вам ориентироваться и использовать некоторые возможности Copilot. Подсказки предназначены для того, чтобы помочь вам понять эти возможности и как их эффективно использовать. Ниже приведены некоторые примеры запросов, которые могут отображаться на портале:

Дополнительные запросы на поиск:

Запросы аналитики угроз:

Вы можете расширить исследование на автономном портале Security Copilot с помощью запросов на естественном языке. Ниже приведены примеры запросов, которые можно ввести на панели запросов, чтобы свести итоги инцидента с рекомендациями.

• Введите Сводка инцидента {номер инцидента} и завершите набором рекомендаций по созданию сводки и рекомендаций по инцидентам.
• Введите Что вы можете рассказать мне о репутации индикаторов в скрипте? Являются ли они вредоносными? Если да, то почему? для анализа скрипта и создания сведений о нем.

Запрос в Copilot помогает эффективно перемещаться и использовать возможности. Вы также можете использовать панель командной строки для создания запросов KQL, суммирования инцидентов и анализа файлов. См . советы по эффективному запросу. Для начала работы с Copilot можно также использовать предварительно созданные модули подсказок. Дополнительные сведения см. в статье Использование предварительно созданных модулей командной строки в Copilot.