Triagem e investigação de incidentes com respostas guiadas do Microsoft Copilot no Microsoft Defender

Microsoft Security Copilot no portal do Microsoft Defender suporta as equipas de resposta a incidentes na resolução imediata de incidentes com respostas guiadas. O Copilot no Defender usa recursos de IA e aprendizado de máquina para contextualizar um incidente e aprender com as investigações anteriores a gerar ações de resposta apropriadas.

Este guia descreve como acessar o recurso de resposta guiada, incluindo informações sobre como fornecer feedback das respostas.

Antes de começar

Se não estiver familiarizado com Security Copilot, deve familiarizar-se com o mesmo ao ler os seguintes artigos:

• O que é Security Copilot?
• experiências de Security Copilot
• Primeiros passos com o Copilot de Segurança
• Compreender a autenticação no Security Copilot
• Criação de prompts no Security Copilot

A resposta a incidentes no portal do Defender geralmente requer familiaridade com as ações disponíveis no portal para deter os ataques. Além disso, os novos respondentes de incidentes podem ter ideias diferentes sobre onde e como começar a responder. O recurso de resposta guiada do Copilot no Defender permite que as equipes de resposta a incidentes em todos os níveis apliquem ações de resposta com confiança e rapidez para resolver os incidentes com facilidade.

integração do Security Copilot no Microsoft Defender

As respostas guiadas estão disponíveis no portal do Microsoft Defender para clientes que tenham acesso a Security Copilot.

As respostas guiadas também estão disponíveis na experiência autónoma Security Copilot através do plug-in Microsoft Defender XDR. Saiba mais sobre plug-ins pré-instalados no Security Copilot.

Principais recursos

As respostas guiadas recomendam ações nas seguintes categorias:

• Triagem – inclui uma recomendação para classificar incidentes como informativo, verdadeiro positivo ou falso positivo
• Contenção – inclui ações recomendadas para conter um incidente
• Investigação – inclui ações recomendadas para investigação adicional
• Correção – inclui ações de resposta recomendadas para serem aplicadas a entidades específicas envolvidas em um incidente

Cada cartão contém informações sobre a ação recomendada, incluindo a entidade em que a ação precisa ser aplicada e por que essa ação é recomendada. Os cartões também enfatizam quando uma ação recomendada foi feita por uma investigação automatizada, como uma interrupção de ataque ou uma resposta de investigação automatizada.

Os cartões de resposta guiada podem ser classificados com base no status disponível para cada cartão. Você pode selecionar um status específico ao ver as respostas guiadas clicando em Status e selecionando o status apropriado que você quer ver. Todos os cartões de resposta guiada, independentemente do status, são mostrados por padrão.

Para usar as respostas guiadas, execute as seguintes etapas:

1. Abra uma página de incidentes. O Copilot gera respostas guiadas automaticamente quando você abre uma página de incidentes. O painel do Copilot aparece no lado direito da página de incidentes, mostrando os cartões de resposta guiada.

   

2. Reveja cada cartão antes de aplicar as recomendações. Selecione as reticências de Mais ações (...) na parte superior do cartão de resposta para ver as opções disponíveis para cada recomendação. Aqui estão alguns exemplos.

   

   

3. Para aplicar uma ação, selecione a ação desejada encontrada em cada cartão. A ação de resposta guiada em cada cartão é adaptada ao tipo de incidente e à entidade específica envolvida.

   

4. Você pode fornecer um feedback de cada cartão de resposta para aprimorar continuamente as respostas futuras do Copilot. Para fornecer feedback, selecione o ícone de feedback encontrados na parte inferior direita de cada card.

O Copilot ajuda a acelerar as tarefas de investigação dos analistas. Quando um incidente requer uma investigação mais aprofundada sobre uma atividade de utilizador, a Copilot sugere texto que os analistas podem utilizar para comunicar com um utilizador. O cartão de resposta guiada inclui uma ação Contatar o usuário no Teams ou Copiar para a área de transferência, que copia o texto sugerido para a área de transferência. Em seguida, os analistas podem colar o texto num e-mail ou noutra ferramenta de comunicação. O analista também pode obter mais contexto sobre o utilizador através da ação Ver utilizador .

O Copilot também suporta equipas de resposta a incidentes ao permitir que os analistas obtenham mais contexto sobre as ações de resposta com informações adicionais. Para respostas de correção, as equipes de resposta a incidentes podem visualizar informações adicionais com opções como Exibir incidentes semelhantes ou Exibir emails semelhantes.

A ação Exibir incidentes semelhantes fica disponível quando há outros incidentes dentro da organização semelhantes ao incidente atual. A guia Incidentes Semelhantes lista incidentes semelhantes que você pode examinar. O Microsoft Defender identifica automaticamente os incidentes semelhantes dentro da organização por meio do aprendizado de máquina. As equipes de resposta a incidentes podem usar as informações desses incidentes semelhantes para classificar incidentes e examinar ainda mais as ações realizadas nos semelhantes.

A ação Exibir emails semelhantes, que é específica para incidentes de phishing, leva você para a página de busca avançada de ameaças, onde uma consulta KQL para listar emails semelhantes dentro da organização é gerada automaticamente. Essa geração de consulta automática relacionada a um incidente ajuda as equipes de resposta a incidentes a investigar ainda mais outros emails que possam estar relacionados. É possível examinar a consulta e modificá-la conforme necessário.

Prompt de exemplo para respostas guiadas

No portal autônomo do Security Copilot, você pode usar o seguinte prompt para gerar respostas guiadas:

• Gerar respostas guiadas e recomendações para o incidente do Defender {incident ID}.

Faça comentários

A Microsoft incentiva-o vivamente a fornecer feedback à Copilot, uma vez que é crucial para a melhoria contínua de uma capacidade. Para fornecer feedback, vá até a parte inferior do painel lateral do Copilot e selecione o ícone de feedback .

Confira também

• Saiba mais sobre outras experiências integradas do Security Copilot
• Privacidade e segurança de dados no Security Copilot
• Carregar diretrizes específicas da organização para a resposta guiada do Microsoft Security Copilot