Microsoft Security Copilot und Chat in Microsoft Defender

Erste Schritte

Um die Defender-Chaterfahrung von überall im Defender-Portal zu öffnen, wählen Sie in der oberen Navigationsleiste die Schaltfläche Copilot aus. Der Chatbereich wird auf der rechten Seite des Bildschirms geöffnet und bleibt im Kontext, während Sie weiterarbeiten. Es wird ein Begrüßungsbildschirm mit einer Begrüßung und einem Eingabefeld angezeigt, das für Ihre erste Frage bereit ist.

Klicken Sie zum Schließen des Bereichs in der Kopfzeile auf Schließen , oder wählen Sie erneut die Schaltfläche Copilot aus. Ihre Unterhaltung bleibt erhalten, und Sie können den Bereich erneut öffnen und dort weiterziehen, wo Sie aufgehört haben.

Seitenkontexterkennung

Defender Chat antwortet basierend auf der Seite, die Sie derzeit im Defender-Portal anzeigen, und kann Fragen basierend auf diesem Kontext beantworten.

Wenn Sie eine Frage wie "Welche Benutzer sind an diesem Vorfall beteiligt?" stellen, versteht der Chat anhand Ihrer aktuellen Seite, auf welchen Incident, welche Warnung, welches Gerät oder welche Entität Sie verweisen, ohne IDs oder Namen angeben zu müssen.

Chatunterhaltungsfunktionen

Interaktive Unterhaltungen

Der Chat erinnert sich an den vollständigen Kontext Ihrer Unterhaltung, sodass Sie Folgefragen auf natürliche Weise stellen können. Sie können z. B. mit "Ereignisse mit hohem Schweregrad anzeigen" aus der letzten Woche beginnen und dann mit "Weitere Informationen zum ersten" nachverfolgen, und der Chat versteht, was Sie meinen.

Schritt-für-Schritt-Pläne

Bei komplexen oder mehrstufigen Anforderungen kann der Chat zunächst einen vorgeschlagenen Plan präsentieren, in dem die schritte beschrieben werden, die er ergreifen möchte. Sie können den Plan genehmigen oder ablehnen, bevor Maßnahmen ergriffen werden. Dadurch behalten Sie die Kontrolle, insbesondere bei Untersuchungen, die mehrere Datensuchvorgänge erfordern.

Zum Beispiel: Wenn Sie Vorfall 12345 untersuchen und die wichtigsten Ergebnisse zusammenfassen eingeben, schlägt der Chat möglicherweise den folgenden Plan vor:

1. Details zum Incident abrufen
2. Zugehörige Warnungen abrufen
3. Sammeln von Beweisen und betroffenen Entitäten
4. Zusammenfassen der Ergebnisse

Nachdem Sie den Plan genehmigt haben, führt der Chat jeden Schritt aus und zeigt seinen Fortschritt in Echtzeit an.

Klärende Fragen

Wenn Ihre Anfrage mehrdeutig ist, stellt der Chat möglicherweise eine klärende Frage und bietet Schnellauswahloptionen (bis zu vier Vorschläge), damit Sie schneller zur richtigen Antwort gelangen. Wählen Sie eine Option aus, oder geben Sie Ihre eigene Antwort ein.

Unterhaltungsverlauf

Ihre Unterhaltungen werden automatisch gespeichert. Verwenden Sie den Bereich Unterhaltungen auf der linken Seite des Chats für Folgendes:

• Fortsetzen einer vorherigen Unterhaltung
• Starten einer neuen Sitzung
• Löschen einer Unterhaltung
• Löschen aller Unterhaltungen

Arbeiten mit Antworten

Antworten werden zur Lesbarkeit mit strukturierten Tabellen, Aufzählungszeichen und Abschnittsüberschriften formatiert. Sie haben folgende Möglichkeiten:

• Kopieren einer Antwort: Wählen Sie das Kopiersymbol für eine beliebige Nachricht aus, um sie in die Zwischenablage zu kopieren.
• Exportieren von Tabellen: Wählen Sie Exportieren für eine beliebige Tabelle aus, um sie zur weiteren Analyse nach Excel zu exportieren.
• Generierung beenden: Wählen Sie Beenden aus, um eine Antwort zu unterbrechen, die zu lange dauert oder in die falsche Richtung geht.
• Wiederholen: Wenn ein Fehler auftritt, wählen Sie Wiederholen aus, um die Antwort erneut zu versuchen.

Hauptmerkmale

• Eingebettete Chatfunktion, die Unterhaltung und Steuerung ermöglicht
• Kontextbezogene Antworten für Incidents, Warnungen, Identitäten, Geräte, IP-Adressen und Beweise
• Anschlussfragen zur Klärung

Untersuchen und reagieren Sie auf Vorfälle wie ein Experte

Diese KI-Tools ermöglichen es Sicherheitsteams, Angriffsuntersuchungen zeitnah und einfach und präzise anzugehen. Sie können Angriffe sofort verstehen, verdächtige Dateien und Skripts schnell analysieren und sofort bewerten und geeignete Maßnahmen anwenden, um Angriffe zu stoppen und einzudämmen.

Schnelles Zusammenfassen von Incidents

Die Untersuchung von Vorfällen mit mehreren Warnmeldungen kann eine große Herausforderung sein. Um einen Vorfall sofort zu verstehen, können Sie auf Copilot tippen, um einen Vorfall zusammenzufassen. Copilot erstellt einen Überblick über den Angriff. Die Übersicht enthält wesentliche Informationen, damit Sie verstehen, was sich bei dem Angriff ereignet hat, welche Assets betroffen sind und wie der zeitliche Ablauf des Angriffs war. Copilot erstellt automatisch eine Zusammenfassung, wenn Sie zur Seite eines Incidents navigieren. Es hilft Ihnen auch, die beteiligten Ressourcen und die Vorgehensweise zu verstehen, indem Sie Aufforderungen zu verwandten Identitäten, Geräten, IP-Adressen usw. vorschlagen.

Ergreifen von Maßnahmen bei Vorfällen durch geführte Reaktionen

Um Incidents zu beheben, müssen Analysten einen Angriff verstehen, um zu wissen, welche Lösungen geeignet sind. Copilot empfiehlt Lösungen durch geführte Antworten , die für jeden Vorfall spezifisch sind.

Einfaches Ausführen der Skriptanalyse

Die meisten Angreifer verlassen sich beim Starten von Angriffen auf hochentwickelte Malware, um einer Erkennung und Analyse zu entgehen. Diese Schadsoftware wird in der Regel verschleiert und kann in Form von Skripts oder Befehlszeilen in PowerShell vorliegen. Copilot kann Skripts schnell analysieren und so die Zeit für die Untersuchung verkürzen.

Generieren von Gerätezusammenfassungen

Die Untersuchung von Geräten, die an Vorfällen beteiligt sind, kann kompliziert sein. Um ein Gerät schnell zu bewerten, kann Copilot die Informationen eines Geräts zusammenfassen, einschließlich des Sicherheitsstatus des Geräts, ungewöhnlichen Verhaltensweisen, einer Liste anfälliger Software und relevanter Microsoft Intune-Informationen.

Sofortiges Analysieren von Dateien

Copilot unterstützt Sicherheitsteams dabei, verdächtige Dateien mithilfe der Dateianalyse schnell zu bewerten und zu verstehen. Copilot stellt die Zusammenfassung einer Datei bereit, einschließlich Erkennungsinformationen, zugehörige Dateizertifikate, eine Liste von API-Aufrufen und Zeichenfolgen, die in der Datei gefunden wurden.

Identitäten sofort überprüfen

Bewerten Sie schnell das Risiko eines Benutzers, indem Sie eine Identitätszusammenfassung mit Copilot erstellen. Identifizieren Sie, wenn eine Identität gefährdet oder verdächtig ist, mit kontextbezogenen Informationen über die Rolle und Rollenänderungen eines Benutzers, Anmeldeverhalten, bei angemeldeten Geräten und relevanten Kontaktinformationen.

E-Mails auf der Seite der E-Mail-Entität zusammenfassen

Öffnen Sie bei E-Mail-Untersuchungen in Defender for Office 365 den Bereich „Security Copilot“ auf der E-Mail-Entitätsseite, um eine KI-generierte Zusammenfassung der ausgewählten Nachricht zu erstellen. Die Zusammenfassung fasst E-Mail-Metadaten, Zeitachsenereignisse, URLs und Anhänge zu einer Übersicht mit Ereigniszeitachse und Aufschlüsselung der Indikatoren zusammen. Die Funktion wird vom Benutzer im Copilot-Bereich ausgelöst und steht Benutzern mit Security Copilot-Zugriff zur Verfügung.

Effizientes Schreiben von Incidentberichten

Sicherheitsteams schreiben in der Regel Berichte, um wichtige Informationen aufzuzeichnen. Diese Berichte enthalten ausgeführte Reaktionsaktionen, deren Ergebnisse, die beteiligten Teammitglieder und andere Informationen zur Unterstützung zukünftiger Sicherheitsentscheidungen. Das Dokumentieren von Vorfällen kann zeitaufwändig sein, da ein effektiver Vorfallsbericht die Vorfallzusammenfassung, die ausgeführten Aktionen und die Personen enthalten muss, die wann welche Aktionen ergriffen haben. Copilot generiert einen Incidentbericht , indem er die Vorfallzusammenfassung, die Reaktionsaktionen und die Teambeteiligung konsolidiert.

Verwalten von Incidents in einer einheitlichen Umgebung

Die Registerkarte Copilot konsolidiert incidentbezogene Aktionen in einer einzigen, einheitlichen Chaterfahrung, sodass kein Wechsel zwischen mehreren Bereichen oder Ebenen erforderlich ist.

Wählen Sie auf der Incidentseite die Registerkarte Copilot aus, um die Incidentzusammenfassung anzuzeigen, Empfehlungen zu erhalten oder einen Bericht zu generieren.

Wählen Sie Zusammenfassen aus, um die Zusammenfassung des Incidents zu erstellen, oder zeigen Sie sie an, wenn sie bereits vorhanden ist. Im selben Bereich können Sie Zusammenfassungen anzeigen und mit all Ihren Ereignissen und zugehörigen Eingabeaufforderungen interagieren.

Sie können mehrere Sammelanforderungen parallel für verschiedene Entitäten (z. B. Benutzer und Geräte) ausführen, und die Ergebnisse werden zwischengespeichert, sofern sie nicht erneut generiert werden.

Wenn Sie ein Zusammenfassungsfenster schließen, wird der Zusammenfassungsvorgang beendet.

Incidentchats bleiben incidentübergreifend erhalten. Wenn Sie zu einem anderen Incident wechseln, wird der Chat automatisch geschlossen, aber wenn Sie das Copilot-Panel erneut öffnen, wird der Chatverlauf angezeigt. Auf diese Weise können Sie Zusammenfassungen verschiedener Vorfälle vergleichen und zu relevanten Berichten navigieren.

Sie können auch Empfehlungen auswählen, um KI-gestützte Empfehlungen für die nächsten Schritte zur Untersuchung und Behebung des Incidents zu erhalten, oder Bericht auswählen, um einen umfassenden Bericht über den Vorfall zu generieren, der die Zusammenfassung, Zeitpläne, beteiligten Entitäten und mehr enthält.

Jagen wie ein Profi

Copilot in Defender unterstützt Sicherheitsteams bei der proaktiven Suche nach Bedrohungen in ihrem Netzwerk, indem schnell geeignete KQL-Abfragen erstellt werden.

Sicherheitsteams, die die erweiterte Suche verwenden, können jetzt einen Abfrage-Assistenten nutzen, der Fragen in natürlicher Sprache in sofort ausführbare KQL-Abfragen umwandelt. Der Abfrage-Assistent spart Zeit, indem er eine KQL-Abfrage generiert, die sofort ausgeführt oder an die Bedürfnisse des Analysten angepasst werden kann. Weitere Informationen finden Sie unter Query Assistent.

Schützen Sie Ihre Organisation mit relevanter Threat Intelligence

Ermöglichen Sie Ihrer Sicherheitsorganisation, fundierte Entscheidungen mit den neuesten Funktionen zur Threat Intelligence zu treffen. Copilot konsolidiert und fasst Threat Intelligence zusammen, um Sicherheitsteams dabei zu unterstützen, Bedrohungen effektiv zu priorisieren und darauf zu reagieren.

Bedrohungsinformationen überwachen

Bitten Sie Copilot, die relevanten Bedrohungen, die sich auf Ihre Umgebung auswirken, zusammenzufassen, um die Beseitigung von Bedrohungen basierend auf Ihren Gefährdungsstufen zu priorisieren oder Bedrohungsakteure zu finden, die möglicherweise auf Ihre Branche abzielen. Erfahren Sie mehr über Security Copilot in Threat Intelligence.

Zugriff auf Copilot in Defender

Um sicherzustellen, dass Sie Zugriff auf Copilot in Defender haben, lesen Sie die Security Copilot Kauf- und Lizenzierungsinformationen. Nachdem Sie Zugriff auf Security Copilot haben, werden die wichtigsten Features im Microsoft Defender-Portal verfügbar.

Beispieleingabeaufforderungen in Copilot

Im Microsoft Defender-Portal finden Sie Beispieleingabeaufforderungen, mit denen Sie navigieren und einige Copilot-Funktionen verwenden können. Die Eingabeaufforderungen sollen Ihnen helfen, diese Funktionen zu verstehen und sie effektiv zu nutzen. Im Folgenden finden Sie einige Beispiele für Eingabeaufforderungen, die möglicherweise im Portal angezeigt werden:

Aufforderungen zur erweiterten Suche:

Threat Intelligence-Eingabeaufforderungen:

Sie können Ihre Untersuchung im Security Copilot eigenständigen Portal mithilfe von Eingabeaufforderungen in natürlicher Sprache erweitern. Im Folgenden finden Sie Beispieleingabeaufforderungen, die Sie in die Eingabeaufforderungsleiste eingeben können, um einen Incident mit Empfehlungen zusammenzufassen:

• Geben Sie Vorfall {incident number} zusammenfassen und mit einer Reihe von Empfehlungen abschließen ein, um die Vorfallszusammenfassung und Empfehlungen zu erstellen.
• Geben Sie Was können Sie mir über die Reputation der Indikatoren im Skript sagen? Sind sie bösartig? Wenn ja, warum? ein, um das Skript zu analysieren und Details zum Skript zu erstellen.
• Geben Sie diese E-Mail zusammen, und listen Sie die wichtigsten Indikatoren auf, einschließlich URLs, Absendern und Anlagen, um eine Zusammenfassung der ausgewählten E-Mail-Entität zu generieren.

Die Eingabeaufforderung in Copilot hilft Ihnen, die Funktionen effektiv zu navigieren und zu nutzen. Sie können auch die Eingabeaufforderungsleiste verwenden, um KQL-Abfragen zu generieren, Incidents zusammenzufassen und Dateien zu analysieren. Weitere Informationen finden Sie unter Tipps für effektive Eingabeaufforderungen. Sie können auch vordefinierte Promptbooks verwenden, um mit Copilot zu beginnen. Weitere Informationen finden Sie unter Verwenden vordefinierter Promptbooks in Copilot.