Microsoft Security Copilot и чат в Microsoft Defender

Начало работы

Чтобы открыть чат Defender из любого места на портале Defender, нажмите кнопку Copilot на верхней панели навигации. Панель чата открывается в правой части экрана и остается в контексте, пока вы продолжаете работать. Появится экран приветствия с приветствием и полем ввода, готовым для первого вопроса.

Чтобы закрыть панель, нажмите кнопку Закрыть в заголовке или снова нажмите кнопку Copilot. Ваш разговор сохраняется, и вы можете вновь открыть панель и продолжить с того места, где вы остановились.

Осведомленность о контексте страницы

Чат Defender отвечает на основе страницы, которую вы просматриваете на портале Defender, и может отвечать на вопросы в зависимости от этого контекста.

Если задать вопрос, например "Какие пользователи участвуют в этом инциденте?", чат понимает, на какой инцидент, оповещение, устройство или сущность вы ссылаетесь на текущей странице, не указывая идентификаторы или имена.

Возможности беседы в чате

Интерактивные беседы

Чат запоминает полный контекст вашей беседы, поэтому вы можете естественно задавать дальнейшие вопросы. Например, вы можете начать с покажи мне инциденты с высоким уровнем серьезности за последнюю неделю, а затем уточнить: расскажи подробнее о первом инциденте, и чат поймет, о чем идет речь.

Пошаговые планы

Для сложных или многоэтапных запросов чат может сначала представить предлагаемый план с указанием действий, которые он планирует предпринять. Вы можете утвердить или отклонить план перед выполнением каких-либо действий. Это позволяет вам сохранять контроль, особенно при расследованиях, требующих многократного поиска данных.

Например: если вы попросите Расследуйте инцидент 12345 и кратко изложите основные выводы, чат может предложить следующий план:

1. Получение сведений об инциденте
2. Получить связанные оповещения
3. Сбор доказательств и затронутых сущностей
4. Суммирование результатов

После утверждения плана чат выполняет каждый шаг и отображает ход выполнения в режиме реального времени.

Уточняющие вопросы

Если ваш запрос неоднозначный, чат может задать уточняющий вопрос и предложить варианты быстрого выбора (до четырех предложений), чтобы помочь вам быстрее получить правильный ответ. Выберите параметр или введите собственный ответ.

История разговоров

Беседы сохраняются автоматически. Используйте панель Беседы в левой части чата, чтобы:

• Возобновление предыдущей беседы
• Запуск нового сеанса
• Удаление беседы
• Очистка всех бесед

Работа с ответами

Ответы форматируются со структурированными таблицами, маркерами и заголовками разделов для удобства чтения. Вы можете:

• Копирование ответа: щелкните значок копирования в любом сообщении, чтобы скопировать его в буфер обмена.
• Экспорт таблиц. Выберите Экспорт для любой таблицы, чтобы экспортировать ее в Excel для дальнейшего анализа.
• Создание остановки: выберите Остановить , чтобы прервать ответ, который занимает слишком много времени или направляется в неправильном направлении.
• Повтор. Если что-то пойдет не так, выберите Повторить , чтобы повторить попытку ответа.

Основные возможности

• Встроенная функция чата, обеспечивающая общение и управление
• Ответы с учетом контекста по инцидентам, оповещениям, пользователям, устройствам, IP-адресам и свидетельствам
• Уточняющие вопросы

Расследование инцидентов и реагирование на них на профессиональном уровне

Эти средства ИИ позволяют группам безопасности своевременно решать расследования атак с легкостью и точностью. Они могут немедленно понимать атаки, быстро анализировать подозрительные файлы и скрипты, а также быстро оценивать и применять соответствующие меры для предотвращения и сдерживания атак.

Быстрое создание сводки инцидентов

Исследование инцидентов с несколькими оповещениями может быть сложной задачей. Чтобы сразу разобраться в инциденте, можно создать сводку инцидента с помощью Copilot. Copilot создает обзор атаки. Обзор содержит важную информацию, чтобы понять, что произошло в результате атаки, какие ресурсы участвуют, а также временная шкала атаки. Copilot автоматически создает сводку при переходе на страницу инцидента. Это также помогает понять, какие объекты задействованы и как действовать, предлагая подсказки, связанные с идентификаторами, устройствами, IP-адресами и т. д.

Реагируйте на инциденты с помощью пошаговых мер реагирования

Разрешение инцидентов требует, чтобы аналитики понимали атаку, чтобы знать, какие решения подходят. Copilot предлагает решения с помощью управляемых ответов по каждому конкретному инциденту.

Запускайте анализ скриптов без труда

Большинство злоумышленников при проведении атак полагаются на сложные вредоносные программы, чтобы избежать обнаружения и анализа. Эта вредоносная программа обычно скрыта и может быть в виде скриптов или командных строк в PowerShell. Copilot может быстро анализировать сценарии, благодаря чему ускоряются исследования.

Создание сводок по устройствам

Исследование устройств, участвующих в инцидентах, может быть сложным. Чтобы быстро оценить состояние устройства, Copilot может создать сводку сведений об устройстве, которая будет включать состояние безопасности устройства, необычное поведение, список уязвимых программ и соответствующие сведения Microsoft Intune.

Быстрый анализ файлов

Copilot помогает командам безопасности быстро оценивать и изучать подозрительные файлы с использованием анализа файлов. Copilot предоставляет сводку о файлах. Эта сводка содержит сведения об обнаружении, связанные сертификаты файлов, список вызовов API и строки, обнаруженные в файле.

Немедленно проверить учетные записи

Быстро оцените риск пользователя, создав сводку удостоверений с помощью Copilot. Определяйте, когда учетная запись находится под угрозой или вызывает подозрения, на основе контекстной информации о роли пользователя и ее изменениях, особенностях входа, устройствах, на которых выполнен вход, и соответствующих контактных данных.

Сводка сообщений электронной почты на странице сущности электронной почты

Для расследований сообщений электронной почты в Defender для Office 365 откройте панель Security Copilot на странице сущности сообщения электронной почты, чтобы сгенерировать созданную ИИ сводку выбранного сообщения. Сводка объединяет метаданные электронной почты, события временной шкалы, URL-адреса и вложения в общие сведения, временную шкалу событий и разбивку индикаторов. Эта возможность запускается пользователем на панели Copilot и доступна пользователям, имеющим доступ к Security Copilot.

Эффективное написание отчетов об инцидентах

Группы по операциям безопасности обычно пишут отчеты для записи важных сведений. Эти отчеты включают предпринятые меры реагирования, их результаты, участвующих в команде и другую информацию, которая поможет в принятии будущих решений в области безопасности. Документирование инцидентов может занять много времени, так как эффективный отчет об инцидентах должен содержать сводку по инцидентам, предпринятые действия и кто принял какие действия и когда. Copilot создает отчет об инцидентах путем объединения сводки инцидентов, действий реагирования и участия команды.

Управление инцидентами в едином интерфейсе

Вкладка Copilot объединяет действия, связанные с инцидентами, в единый интерфейс чата, устраняя необходимость переключения между несколькими панелями или слоями.

Перейдите на вкладку Copilot на странице инцидента, чтобы просмотреть сводку по инцидентам, получить рекомендации или создать отчет.

Выберите Сводные данные , чтобы создать сводку по инцидентам или просмотреть ее, если она уже существует. Вы можете просматривать сводки и взаимодействовать со всеми событиями и связанными запросами на одной панели.

Вы можете параллельно выполнять несколько сводных запросов для разных сущностей (например, пользователей и устройств), а результаты кэшируются, если они не создаются повторно.

Когда вы закрываете панель сводных данных, процесс суммирования останавливается.

Чаты инцидентов сохраняются при переходе между инцидентами. При переключении на другой инцидент чат автоматически закрывается, но при повторном открытии панели Copilot отображается журнал чата. Это позволяет сравнивать сводки по различным инцидентам и переходить к соответствующим отчетам.

Вы также можете выбрать Рекомендации , чтобы получить рекомендации на основе ИИ для дальнейших действий по изучению и исправлению инцидента, или выбрать Отчет , чтобы создать исчерпывающий отчет об инциденте, включающий сводку, временные шкалы, задействованные сущности и многое другое.

Охотьтесь как профессионал

Copilot в Defender помогает командам ИБ проактивно выявлять угрозы в своей сети, быстро создавая подходящие запросы KQL.

Команды безопасности, использующие расширенный поиск, теперь могут использовать помощник по запросам, который преобразует запросы, сформулированные на естественном языке, в готовые к запуску запросы KQL. Помощник по созданию запросов экономит время, создавая KQL-запрос, который можно сразу выполнить или настроить в соответствии с потребностями аналитика. Подробнее о помощнике запросов.

Защита организации с помощью аналитики угроз

Аналитика современных угроз поможет организациям безопасности принимать взвешенные решения. Copilot объединяет аналитику угроз и создает сводки, чтобы помочь командам безопасности определить приоритет угроз и эффективно реагировать на них.

Мониторинг аналитики угроз

Попросите Copilot создать сводку угроз, влияющих на вашу среду, чтобы определить приоритет устранения угроз на основе уровня подверженности риску или чтобы найти злоумышленников, которые атаковали вашу отрасль. Дополнительные сведения о Security Copilot в аналитике угроз.

Доступ к Copilot в Defender

Чтобы убедиться, что у вас есть доступ к Copilot в Defender, ознакомьтесь с Security Copilot сведениями о покупке и лицензировании. После получения доступа к Security Copilot ключевые функции становятся доступны на портале Microsoft Defender.

Примеры запросов в Copilot

На портале Microsoft Defender вы можете найти примеры запросов, которые помогут вам ориентироваться и использовать некоторые возможности Copilot. Подсказки предназначены для того, чтобы помочь вам понять эти возможности и как их эффективно использовать. Ниже приведены некоторые примеры запросов, которые могут отображаться на портале:

Запросы для расширенного поиска:

Запросы данных об угрозах:

Вы можете расширить исследование на автономном портале Security Copilot с помощью запросов на естественном языке. Ниже приведены примеры запросов, которые можно ввести на панели запросов, чтобы свести итоги инцидента с рекомендациями.

• Введите Суммируйте инцидент {номер инцидента} и завершите, добавив набор рекомендаций, чтобы создать сводку по инциденту и рекомендации.
• Введите Что вы можете рассказать мне о репутации индикаторов в скрипте? Являются ли они вредоносными? Если да, то почему? для анализа скрипта и создания сведений о нем.
• Введите Суммируй это электронное письмо и перечисли его ключевые индикаторы, включая URL-адреса, отправителей и вложения, чтобы сгенерировать сводку выбранного письма.

Создание запросов в Copilot помогает эффективно ориентироваться и использовать его возможности. Вы также можете использовать панель командной строки для создания запросов KQL, суммирования инцидентов и анализа файлов. См. советы по созданию эффективных запросов. Вы также можете использовать готовые сборники запросов, чтобы начать работу с Copilot. Дополнительные сведения см. в статье Использование предварительно созданных модулей командной строки в Copilot.