Microsoft DefenderでのMicrosoft Security Copilotとチャット

この記事では、主要な機能、アクセス手順、詳細なガイダンスへのリンクなど、Microsoft DefenderのMicrosoft Security Copilotの概要について説明します。

注:

Microsoft Defender XDR は、Microsoft Defender for Endpoint、Microsoft Defender for Identity、Microsoft Defender for Office 365、Microsoft Defender for Cloud Apps、Microsoft Defender for Vulnerability Management 向けに、統合された XDR エクスペリエンスを提供します。 この侵害前および侵害後の防御スイートの詳細については、「Microsoft Defender XDRとは」を参照してください。

Security Copilotの前提条件

Security Copilotを初めて使用する場合は、次の記事を読んで理解する必要があります。

• Security Copilot とは
• Security Copilot の使用体験
• Security Copilot の使用を開始する
• Security Copilotでの認証について
• Security Copilotでのプロンプト
• Microsoft DefenderでのMicrosoft Copilotのアプリケーション カード

Microsoft DefenderでのMicrosoft Security Copilot統合

Microsoft Security Copilotは、AI と人間の専門知識の力を組み合わせて、セキュリティ チームが攻撃に迅速かつ効果的に対応できるようにします。 Defender の Copilot は、Security Copilotへのアクセスをプロビジョニングしたユーザーが利用できます。 Copilot には、次の 2 つの方法でアクセスできます。

• Security Copilotは、Microsoft Defender ポータルに埋め込まれており、セキュリティ チームにインシデントの調査と対応、脅威の捜索、関連する脅威インテリジェンスによるorganizationの保護のための強化された機能を提供します。
• Defender チャット エクスペリエンス (プレビュー) は、Microsoft Defenderに組み込まれたオープン プロンプト チャット アシスタントです。 SOC アナリストは、複数の画面を移動したり複雑なクエリを記述したりする必要なく、脅威の調査、インシデントの調査、プレーンな言語でのセキュリティの質問への回答に役立ちます。

Defender の Copilot は 、Microsoft の AI 原則を使用して動作します。 詳細については、Microsoft Defenderの「アプリケーション カード for Microsoft Copilot」を参照してください。

Defender チャット エクスペリエンス (プレビュー)

概要

Defender ポータルのどこからでも Defender チャット エクスペリエンスを開くには、上部のナビゲーション バーの [Copilot ] ボタンを選択します。 チャットパネルは画面の右側からスライドして開き、作業を続けながらコンテキストを維持できます。 ようこそ画面が表示され、挨拶と最初の質問を入力するための入力欄が表示されます。

パネルを閉じるには、ヘッダーで [閉じる ] を選択するか、Copilot ボタンをもう一度選択します。 会話は保持され、パネルを再度開き、中断した場所を選択できます。

ページ コンテキストの認識

Defender チャットは、Defender ポータルで現在表示されているページに基づいて応答し、そのコンテキストに基づいて質問に回答できます。

" この インシデントに関与しているユーザーはどれですか" などの質問をした場合、チャットでは、ID や名前を指定することなく、現在のページに基づいて参照しているインシデント、アラート、デバイス、またはエンティティが理解されます。

チャット会話機能

双方向の会話

チャットは会話の完全なコンテキストを記憶しているため、フォローアップの質問を自然に行うことができます。 たとえば、まず 過去 1 週間の高重大度のインシデントを表示して と入力し、その後で 最初のものについて詳しく教えて と続けると、チャットはその意味を理解します。

ステップ バイ ステップ プラン

複雑な要求または複数ステップの要求の場合、チャットは最初に、実行する予定の手順を示す提案された計画を提示する可能性があります。 アクションを実行する前に、プランを承認または拒否できます。 これにより、特に複数のデータ参照を必要とする調査を制御できます。

たとえば、 インシデント 12345 を調査し、重要な結果を要約すると、チャットで次のプランが提案される場合があります。

1. インシデントの詳細を取得する
2. 関連するアラートを取得する
3. 証拠と影響を受けたエンティティを収集する
4. 結果の要約

プランを承認すると、チャットは各ステップを実行し、その進行状況をリアルタイムで表示します。

質問の明確化

要求があいまいな場合、チャットは明確な質問をし、適切な回答をより速く得るのに役立つクイック選択オプション (最大 4 つの提案) を提供する可能性があります。 オプションを選択するか、独自の応答を入力します。

会話の履歴

会話は自動的に保存されます。 チャットの左側にある [会話] パネルを使用して、次の操作を行います。

• 前の会話を再開する
• 新しいセッションを開始する
• 会話を削除する
• すべての会話をクリアする

注:

• 会話は、デバイス間で同期されたり、他のユーザーと共有されたりすることはありません。 最後の 10 個の会話は、ブラウザーにローカルに保存されます。

レスポンスを扱う

応答は、読みやすくするために、構造化テーブル、箇条書き、セクション ヘッダーで書式設定されます。 次の操作を行うことができます:

• 応答をコピーする: 任意のメッセージの コピー アイコンを選択して、クリップボードにコピーします
• テーブルのエクスポート: 任意のテーブルで [エクスポート] を選択して Excel にエクスポートし、詳細な分析を行います
• 生成を停止する: 時間がかかりすぎている応答や意図しない方向に進んでいる応答を中断するには、Stop を選択します
• 再試行: 問題が発生した場合は、[ 再試行 ] を選択して応答を再試行します

Defender に埋め込まれた Copilot スキル

主な機能

• 会話とステアリングを可能にする埋め込みチャット機能
• インシデント、アラート、ID、デバイス、IP、証拠に関するコンテキスト対応の回答
• 明確化のためのフォローアップの質問

エキスパートのようにインシデントを調査して対応する

これらの AI ツールを使用すると、セキュリティ チームは迅速かつ正確に攻撃調査に対応できます。 攻撃をすぐに理解し、疑わしいファイルやスクリプトをすばやく分析し、攻撃を停止して封じ込めるための適切な軽減策を迅速に評価して適用できます。

インシデントをすばやく要約する

複数のアラートを含むインシデントの調査は、困難な作業になる可能性があります。 インシデントをすぐに理解するには、Copilot をタップしてインシデントを要約します。 Copilot は、攻撃の概要を作成します。 概要には、攻撃で発生した内容、関与する資産、攻撃のタイムラインを理解するための重要な情報が含まれています。 インシデントのページに移動すると、Copilot によって自動的に概要が作成されます。 また、関連するID、デバイス、IPアドレスなどに関するプロンプトを提案することで、関与している資産や、どのように対処すべきかを理解するのにも役立ちます。

ガイド付き対応を通じてインシデントに対するアクションを実行する

インシデントを解決するには、アナリストが攻撃を理解して、適切なソリューションを把握する必要があります。 Copilot は、各インシデントに固有のガイド付きの応答を通じたソリューションをおすすめします。

スクリプト分析を簡単に実行する

ほとんどの攻撃者は、検出と分析を回避するために、攻撃を開始するときに高度なマルウェアに依存しています。 このマルウェアは通常、難読化され、PowerShell のスクリプトまたはコマンド ラインの形式である可能性があります。 Copilot では、すばやくスクリプトを分析し、調査の時間を短縮できます。

デバイスの概要を生成する

インシデントに関連するデバイスの調査は複雑になる可能性があります。 デバイスをすばやく評価するために、Copilot は、デバイスのセキュリティ態勢、異常な動作、脆弱なソフトウェアのリスト、関連する Microsoft Intune 情報など、デバイスの情報を要約できます。

ファイルを迅速に分析する

Copilot は、ファイル分析を使用して、セキュリティ チームが疑わしいファイルをすばやく評価して理解する上で役立ちます。 Copilot は、検出情報、関連するファイル証明書、API 呼び出しのリスト、ファイル内の文字列などといった、ファイルの概要を提供します。

ID をすぐに調査する

Copilot で ID の概要 を生成することで、ユーザーのリスクをすばやく評価します。 ユーザーのロールとロールの変更、サインイン動作、サインイン先のデバイス、および関連する連絡先情報に関するコンテキスト化された情報で、ID が危険にさらされているか、疑わしい状況を特定します。

[電子メール エンティティ] ページで電子メールを要約する

Defender for Office 365電子メール調査の場合は、[電子メール エンティティ] ページの [Security Copilot] ウィンドウを開き、選択したメッセージの AI で作成された概要を生成します。 概要では、電子メール メタデータ、タイムライン イベント、URL、添付ファイルが概要、イベント タイムライン、インジケーターの内訳に統合されます。 エクスペリエンスは、Copilot ペインからユーザーによってトリガーされ、Security Copilot アクセス権を持つユーザーが使用できます。

インシデント レポートを効率的に作成する

セキュリティ運用チームは、通常、重要な情報を記録するレポートを作成します。 これらのレポートには、対応アクション、その結果、関係するチーム メンバー、および将来のセキュリティ上の決定に役立つその他の情報が含まれます。 効果的なインシデント レポートには、インシデントの概要、実行されたアクション、および誰がいつどのようなアクションを実行したかが含まれている必要があるため、インシデントの文書化には時間がかかる場合があります。 Copilot は、インシデントの 概要、対応アクション、チームの関与を統合することで、インシデント レポートを生成します。

統合されたエクスペリエンスでインシデントを管理する

[Copilot] タブでは、インシデント関連のアクションが 1 つの統合されたチャット エクスペリエンスに統合されるため、複数のパネルやレイヤーを切り替える必要がなくなります。

インシデント の概要を表示したり、推奨事項を取得したり、レポートを生成したりするには、インシデント ページの [ Copilot ] タブを選択します。

[ 概要] を選択してインシデントの概要を生成するか、既に存在する場合は表示します。 概要を表示し、すべてのイベントと関連するプロンプトを同じパネルで操作できます。

さまざまなエンティティ (ユーザーやデバイスなど) に対して複数のサマリー要求を並列で実行でき、再生成されない限り結果がキャッシュされます。

サマリー パネルを閉じると、概要プロセスは停止します。

インシデント チャットは、インシデント間で保持されます。 別のインシデントに切り替えると、チャットは自動的に閉じられますが、Copilot パネルを再度開くと、チャットの履歴が表示されます。 これにより、さまざまなインシデントの概要を比較し、関連するレポートに移動できます。

また、[ 推奨事項 ] を選択して、インシデントを調査して修復する方法の次の手順に関する AI を活用した推奨事項を取得したり、[ レポート ] を選択して、概要、タイムライン、関連エンティティなどを含むインシデントの包括的なレポートを生成することもできます。

プロのように追求する

Defender の Copilot は、セキュリティ チームが適切な KQL クエリを迅速に構築することで、ネットワーク内の脅威を積極的に探す上で役立ちます。

高度なハンティングを使用するセキュリティ チームは、自然言語の質問をすぐに実行できる KQL クエリに変換するクエリ アシスタントを使用できるようになりました。 クエリ アシスタントは、すぐに実行したり、アナリストのニーズに合わせて調整したりできる KQL クエリを生成することで、時間を節約できます。 詳細については、「クエリ アシスタント」を参照してください。

関連する脅威インテリジェンスで組織を保護する

セキュリティ組織が最新の脅威インテリジェンスを使用して、情報に基づいた意思決定を行えるようにします。 Copilot は脅威インテリジェンスを統合して要約し、セキュリティ チームが脅威に優先順位を付けて効果的に対応できるようにします。

脅威インテリジェンスの監視

Copilot に、環境に影響を与える関連する脅威の要約、露出レベルに基づく脅威の解決の優先順位付け、または業界を対象にしている可能性のある脅威アクターの検索を依頼します。 脅威インテリジェンスのSecurity Copilotの詳細をご覧ください。

Defender の Copilot にアクセスする

Defender で Copilot に確実にアクセスできるようにするには、Security Copilot購入とライセンスに関する情報を参照してください。 Security Copilotにアクセスすると、主要な機能がMicrosoft Defender ポータルで使用できるようになります。

Copilot のサンプル プロンプト

Microsoft Defender ポータルには、いくつかの Copilot 機能を移動して使用するのに役立つサンプル プロンプトがあります。 プロンプトは、これらの機能とそれらを効果的に使用する方法を理解するのに役立つよう設計されています。 ポータルに表示されるプロンプトの例を次に示します。

高度なハンティング プロンプト:

脅威インテリジェンスのプロンプト:

自然言語プロンプトを使用して、Security Copilotスタンドアロン ポータルで調査を拡張できます。 次に示すのは、推奨事項を含むインシデントを要約するのに役立つプロンプト バーに入力できるサンプル プロンプトです。

• 「 Summarize incident {incident number}」と入力し、インシデントの概要と推奨事項を生成するための一連の推奨事項で終了 します。
• 「スクリプト 内のインジケーターの評判について何を教えてください」と入力します。悪意がありますか?もしそうなら、なぜ? スクリプトを分析し、スクリプトに関する詳細を生成します。
• 「 このメールの要約」と入力し、URL、送信者、添付ファイルなどの主要なインジケーターを一覧表示して、 選択した電子メール エンティティの概要を生成します。

Copilot でプロンプトを活用すると、その機能を効果的に使いこなせるようになります。 プロンプト バーを使用して、KQL クエリの生成、インシデントの要約、ファイルの分析を行うこともできます。 効果的なプロンプトのヒントを参照してください。 また、事前構築済みのプロンプトブックを使用して Copilot の使用を開始することもできます。 詳細については、「 Copilot で事前構築済みのプロンプトブックを使用する」を参照してください。

フィードバックの提供

Defender の Copilot のすべての機能には、フィードバックを提供するためのオプションが設けられています。 フィードバックの確認と 提供は、今後の 対応を改善するのに役立ちます。 フィードバックを提供するには、任意の応答の [ 👍 / 👎 ] ボタンを使用します。

プライバシーとデータ セキュリティ

Copilot は、管理者が定義した設定に応じてデータが保存、処理、共有されることで、継続的に進化します。 Microsoft は、Copilot を使用する際に、お客様のデータが常に保護され、安全であることを保証します。 Copilot のプライバシーとデータのセキュリティとの詳細については、「Copilot におけるプライバシーとデータのセキュリティ」をご覧ください。

Security Copilotのプラグイン

Copilot では、Microsoft Defender、Defender 脅威インテリジェンス、自然言語などのプレインストールされた Microsoft プラグインを KQL に使用して、Microsoft Sentinelプラグインと Defender プラグインを使用して関連情報を生成し、インシデントにより多くのコンテキストを提供し、より正確な結果を生成します。 Copilot でプラグインが有効になっていることを確認して、関連するデータへのアクセスを許可し、組織内の他の Microsoft サービスから要求されたコンテンツを生成します。

関連コンテンツ

• インシデントを要約する方法
• インシデントへの対応時にガイド付き応答を使用する
• スクリプト分析を実行する
• ファイルを分析する
• デバイスの概要を生成する
• ID の概要を生成する
• KQL クエリを生成する
• インシデント レポートを作成する
• 脅威インテリジェンスを使用する
• Security Copilot の使用を開始する
• Copilot のプライバシーとデータのセキュリティ
• Security Copilot の責任ある AI に関する FAQ
• Security Copilot の組み込みエクスペリエンス

ヒント

さらに詳しく知りたいですか？ Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。