Compartir a través de

Investigación de incidentes de Microsoft Sentinel en Microsoft Copilot para seguridad

  • Artículo
  • Se aplica a:
    Microsoft Sentinel, Copilot for Security

Microsoft Copilot para seguridad es una plataforma que le ayuda a defender su organización a velocidad y escala de la máquina. Microsoft Sentinel proporciona un complemento para Copilot para ayudar a analizar incidentes y generar consultas de búsqueda.

Junto con los indicaciones iterativas que usan otras fuentes sofisticadas de Copilot para seguridad que usted habilite, sus incidentes y datos de Microsoft Sentinel proporcionan una visibilidad más amplia de las amenazas y su contexto para su organización.

Para obtener más información sobre Copilot para seguridad, consulte los artículos siguientes:

Integración de Microsoft Sentinel con Copilot para seguridad

Microsoft Sentinel proporciona dos complementos para integrarse con Copilot para seguridad:

  • Microsoft Sentinel (versión preliminar)
  • Lenguaje natural a KQL para Microsoft Sentinel (versión preliminar).

Importante

Los complementos "Microsoft Sentinel" y "Lenguaje natural a KQL para Microsoft Sentinel" están actualmente en VERSIÓN PRELIMINAR. En la página Términos de uso complementarios para las Versiones preliminares de Microsoft Azure se incluyen términos legales adicionales que se aplican a las características de Azure que se encuentran en versión beta, versión preliminar o que todavía no se han publicado para su disponibilidad general.

Configuración de un área de trabajo predeterminada de Microsoft Sentinel

Aumente la precisión del mensaje mediante la configuración de un área de trabajo de Microsoft Sentinel como valor predeterminado.

  1. Vaya a Copilot para seguridad en https://securitycopilot.microsoft.com/.

  2. Abra Orígenes en la barra de indicaciones.

  3. En la página Administrar complementos, establezca el botón de alternancia en Encendido

  4. Seleccione el icono de engranaje en el complemento Microsoft Sentinel (versión preliminar).

    Recorte de pantalla del icono de engranaje de selección de personalización para el complemento de Microsoft Sentinel.

  5. Configure el nombre del área de trabajo predeterminada.

    Recorte de pantalla de las opciones de personalización del complemento para el complemento de Microsoft Sentinel.

Sugerencia

Especifique el área de trabajo en el símbolo del sistema cuando no coincida con el valor predeterminado configurado.

Ejemplo: What are the top 5 high priority Sentinel incidents in workspace "soc-sentinel-workspace"?

Integración de Microsoft Sentinel con Copilot en Defender

Use la plataforma de operaciones de seguridad unificadas con los datos de Microsoft Sentinel para una experiencia de Copilot para seguridad insertada. Los incidentes unificados de Microsoft Sentinel en el portal de Defender permiten a Copilot en Defender usar sus funcionalidades con datos de Microsoft Sentinel.

Por ejemplo:

Recorte de pantalla del incidente de Microsoft Sentinel desde el portal de Defender con la experiencia insertada de Copilot.

Para obtener más información, consulte los siguientes recursos:

Integración de Microsoft Sentinel con Copilot para seguridad en la búsqueda avanzada

El complemento Lenguaje natural a KQL para Microsoft Sentinel (versión preliminar) genera y ejecuta consultas de búsqueda de KQL mediante datos de Microsoft Sentinel. Esta funcionalidad está disponible en la experiencia independiente y en la sección búsqueda avanzada del portal de Microsoft Defender.

Nota:

En el portal unificado de Microsoft Defender, puede solicitar a Copilot para seguridad que genere consultas de búsqueda avanzadas para las tablas de Defender XDR y Microsoft Sentinel. Actualmente no se admiten todas las tablas de Microsoft Sentinel, pero es de esperar que lo sean en el futuro.

Para obtener más información, consulte Copilot para seguridad en la búsqueda avanzada.

Mejora de las solicitudes de Microsoft Sentinel

Considere la secuencia de consultas Investigación de incidentes de Microsoft Sentinel como punto de partida para crear mensajes efectivos. Esta secuencia de consultas proporciona un informe sobre un incidente específico, junto con alertas relacionadas, puntuaciones de reputación, usuarios y dispositivos.

Guía Prompt
Ayude a Copilot a proporcionar información legible para el ser humano en lugar de responder con id. de objetos. Show me Sentinel incidents that were closed as a false positive. Supply the Incident number, Incident Title, and the time they were created.
Copilot sabe quién es usted. Use el pronunciamiento "yo" para encontrar incidentes relacionados con usted. El siguiente mensaje tiene como destino los incidentes asignados. What Sentinel incidents created in the last 24 hours are assigned to me? List them with highest priority incidents at the top.
Cuando se reduce una respuesta rápida a un único incidente, Copilot conoce el contexto. Tell me about the entities associated with that incident.
A Copilot se le da bien resumir. Describa una audiencia específica para la que desea que se resuma la solicitud y las respuestas. Write an executive report summarizing this investigation. It should be suited for a nontechnical audience.

Para obtener más instrucciones y ejemplos de solicitud, consulte los siguientes recursos: