Microsoft Security Copilot e Chat no Microsoft Defender

Este artigo fornece uma descrição geral dos Microsoft Security Copilot no Microsoft Defender, incluindo as principais capacidades, passos de acesso e ligações para orientações detalhadas.

Nota

Microsoft Defender XDR fornece uma experiência XDR unificada para Microsoft Defender para Endpoint, Microsoft Defender para Identidade Microsoft Defender para Office 365, Microsoft Defender for Cloud Apps e Microsoft Defender para a Gestão de Vulnerabilidades. Saiba mais sobre este conjunto de defesa pré e pós-violação em O que é Microsoft Defender XDR?

pré-requisitos do Security Copilot

Se não estiver familiarizado com Security Copilot, deve familiarizar-se com o mesmo ao ler os seguintes artigos:

• O que é Security Copilot?
• experiências de Security Copilot
• Introdução ao Security Copilot
• Compreender a autenticação no Security Copilot
• Pedir em Security Copilot
• Cartão de aplicação para Microsoft Copilot no Microsoft Defender

integração do Microsoft Security Copilot no Microsoft Defender

Microsoft Security Copilot reúne o poder da IA e dos conhecimentos humanos para ajudar as equipas de segurança a responder a ataques de forma mais rápida e eficaz. O Copilot no Defender está disponível para utilizadores que tenham acesso a Security Copilot. Pode aceder ao Copilot de duas formas:

• Security Copilot está incorporado no portal do Microsoft Defender para ajudar a fornecer às equipas de segurança capacidades melhoradas para investigar e responder a incidentes, investigar ameaças e proteger a sua organização com informações sobre ameaças relevantes.
• A experiência do Defender Chat (pré-visualização) é um assistente de chat com pedidos abertos integrado no Microsoft Defender. Ajuda os analistas do SOC a investigar ameaças, a explorar incidentes e a responder a perguntas de segurança em linguagem simples, sem ter de navegar em vários ecrãs ou escrever consultas complexas.

O Copilot no Defender funciona com os princípios de IA da Microsoft. Para obter mais informações, veja o Cartão de aplicação para Microsoft Copilot no Microsoft Defender.

Experiência de Chat do Defender (pré-visualização)

Introdução

Para abrir a experiência de chat do Defender em qualquer lugar no portal do Defender, selecione o botão Copilot na barra de navegação superior. O painel de chat abre-se deslizando no lado direito do ecrã e mantém-se no contexto enquanto continua a trabalhar. É apresentado um ecrã de boas-vindas com uma saudação e um campo de entrada pronto para a sua primeira pergunta.

Para fechar o painel, selecione Fechar no cabeçalho ou selecione novamente o botão Copilot. A sua conversa fica guardada e pode reabrir o painel e retomar a partir de onde ficou.

Reconhecimento do contexto da página

O Chat do Defender responde com base na página que está atualmente a ver no portal do Defender e pode responder a perguntas com base nesse contexto.

Se fizer uma pergunta como "Que utilizadores estão envolvidos neste incidente?", o chat compreende a que incidente, alerta, dispositivo ou entidade se está a referir com base na sua página atual sem ter de fornecer IDs ou nomes.

Capacidades de conversação de chat

Conversações interativas

O chat lembra-se do contexto completo da sua conversa, para que possa fazer perguntas de seguimento naturalmente. Por exemplo, pode começar por Mostrar-me incidentes de alta gravidade da semana passada e, em seguida, dar-me mais informações sobre o primeiro e a conversa compreender o que quer dizer.

Planos passo a passo

Para pedidos complexos ou de vários passos, o chat pode apresentar primeiro um plano proposto que descreve os passos que pretende seguir. Pode Aprovar ou Rejeitar o plano antes de quaisquer ações serem executadas. Isto mantém-no no controlo, especialmente para investigações que requerem múltiplas pesquisas de dados.

Por exemplo: se perguntar Investigar incidente 12345 e resumir as principais conclusões, o chat poderá propor o seguinte plano:

1. Obter detalhes do incidente
2. Obter alertas associados
3. Recolher provas e entidades afetadas
4. Resumir conclusões

Depois de aprovar o plano, o chat executa cada passo e mostra o respetivo progresso em tempo real.

Perguntas mais esclarecedoras

Se o seu pedido for ambíguo, o chat pode fazer uma pergunta esclarecedora e oferecer opções de seleção rápida (até quatro sugestões) para o ajudar a obter a resposta certa mais rapidamente. Selecione uma opção ou escreva a sua própria resposta.

Histórico de conversações

As suas conversações são guardadas automaticamente. Utilize o painel Conversações no lado esquerdo da conversa para:

• Retomar uma conversação anterior
• Iniciar uma nova sessão
• Eliminar uma conversação
• Limpar todas as conversas

Nota

• As conversações não são sincronizadas entre dispositivos ou partilhadas com outros utilizadores. As últimas dez conversações são armazenadas localmente no seu browser.

Trabalhar com respostas

As respostas são formatadas com tabelas estruturadas, marcas de lista e cabeçalhos de secção para legibilidade. Pode:

• Copiar uma resposta: Selecione o ícone copiar em qualquer mensagem para a copiar para a área de transferência
• Exportar tabelas: selecione Exportar em qualquer tabela para exportá-la para o Excel para análise adicional
• Parar geração: selecione Parar para interromper uma resposta que está a demorar demasiado tempo ou a ir na direção errada
• Tentar novamente: se algo correr mal, selecione Tentar novamente para tentar a resposta novamente

Copilot no Defender: competências integradas

Funcionalidades principais

• Capacidade de chat incorporada que permite a conversação e a direção
• Respostas com deteção de contexto em incidentes, alertas, identidades, dispositivos, IPs e provas
• Perguntas de seguimento para esclarecimentos

Investigar e responder a incidentes como um especialista

Estas ferramentas de IA permitem que as equipas de segurança abordem as investigações de ataques em tempo útil, com facilidade e precisão. Podem compreender os ataques imediatamente, analisar rapidamente ficheiros e scripts suspeitos e avaliar e aplicar a mitigação adequada para parar e conter ataques.

Resumir incidentes rapidamente

Investigar incidentes com vários alertas pode ser uma tarefa assustadora. Para compreender imediatamente um incidente, pode tocar no Copilot para resumir um incidente para si. O Copilot cria uma descrição geral do ataque. A descrição geral contém informações essenciais para compreender o que se passou no ataque, que recursos estão envolvidos e a linha cronológica do ataque. O Copilot cria automaticamente um resumo quando navega para a página de um incidente. Também o ajuda a compreender os ativos envolvidos e a forma de agir, sugerindo indicações sobre identidades, dispositivos, IPs e outros elementos relacionados.

Tomar medidas sobre incidentes através de respostas guiadas

A resolução de incidentes requer que os analistas compreendam um ataque para saber que soluções são adequadas. O Copilot recomenda soluções através de respostas orientadas que são específicas para cada incidente.

Executar a análise de script com facilidade

A maioria dos atacantes depende de software maligno sofisticado quando inicia ataques para evitar a deteção e análise. Normalmente, este software maligno é ocultado e pode estar sob a forma de scripts ou linhas de comandos no PowerShell. O Copilot pode rapidamente analisar scripts, reduzindo o tempo de investigação.

Gerar resumos de dispositivos

Investigar dispositivos envolvidos em incidentes pode ser complicado. Para avaliar rapidamente um dispositivo, o Copilot pode resumir as informações de um dispositivo, incluindo a postura de segurança do dispositivo, quaisquer comportamentos invulgares, uma lista de software vulnerável e informações relevantes do Microsoft Intune.

Analisar ficheiros rapidamente

O Copilot ajuda as equipas de segurança a avaliar e compreender rapidamente os ficheiros suspeitos com a análise de ficheiros. O Copilot fornece um resumo do ficheiro, incluindo informações de deteção, certificados de ficheiro relacionados, uma lista de chamadas de API e cadeias encontradas no ficheiro.

Investigar identidades imediatamente

Avalie rapidamente o risco de um utilizador ao gerar um resumo de identidade com o Copilot. Identifique quando uma identidade está em risco ou é suspeita com informações contextualizadas sobre a função de um utilizador e as respetivas alterações, comportamentos de início de sessão, dispositivos nos quais iniciou sessão e informações de contacto relevantes.

Resuma os emails na página da entidade de Email

Para investigações de email do Defender para Office 365, abra o painel Security Copilot na página da entidade de Email para gerar um resumo criado por IA da mensagem selecionada. O resumo consolida metadados de email, eventos da linha temporal, URLs e anexos numa visão geral, linha temporal do evento e divisão dos indicadores. A experiência é ativada pelo utilizador a partir do painel do Copilot e está disponível para utilizadores com acesso ao Security Copilot.

Escrever relatórios de incidentes de forma eficiente

Normalmente, as equipas de operações de segurança escrevem relatórios para registar informações importantes. Estes relatórios incluem ações de resposta tomadas, os seus resultados, os membros da equipa envolvidos e outras informações para ajudar futuras decisões de segurança. Documentar incidentes pode ser demorado porque um relatório de incidentes eficaz tem de conter o resumo do incidente, as ações tomadas e quem tomou as ações e quando. O Copilot gera um relatório de incidentes ao consolidar o resumo do incidente, as ações de resposta e o envolvimento da equipa.

Gerir incidentes numa experiência unificada

O separador Copilot consolida as ações relacionadas com incidentes numa única experiência de chat unificada, eliminando a necessidade de alternar entre vários painéis ou camadas.

Selecione o separador Copilot na página do incidente para ver o resumo do incidente, obter recomendações ou gerar um relatório.

Selecione Resumir para gerar o resumo do incidente ou visualizá-lo se já existir. Pode ver resumos e interagir com todos os seus eventos e respetivos pedidos no mesmo painel.

Pode executar vários pedidos de resumo em paralelo para diferentes entidades (como utilizadores e dispositivos) e os resultados são colocados em cache, a menos que sejam regenerados.

Quando fecha um painel de resumo, o processo de resumo para.

As conversas de incidentes mantêm-se de incidente para incidente. Quando muda para um incidente diferente, o chat é fechado automaticamente, mas quando reabrir o painel Copilot, verá o histórico de conversas. Isto permite-lhe comparar resumos de incidentes diferentes e navegar para relatórios relevantes.

Também pode selecionar Recomendações para obter recomendações com tecnologia de IA para os próximos passos sobre como investigar e remediar o incidente ou selecionar Relatório para gerar um relatório abrangente do incidente que inclui o resumo, linhas cronológicas, entidades envolvidas e muito mais.

Pesquise como um profissional

O Copilot no Defender ajuda as equipas de segurança a investigar proativamente ameaças na sua rede, ao criar rapidamente consultas KQL adequadas.

As equipas de segurança que utilizam investigação avançada podem agora usar um assistente de consultas que converte perguntas em linguagem natural em consultas KQL prontas a executar. A consulta assistente poupa tempo ao gerar uma consulta KQL que pode ser executada imediatamente ou ajustada de acordo com as necessidades do analista. Leia mais sobre assistente de Consulta.

Proteja a sua organização com informações sobre ameaças relevantes

Capacite a sua organização de segurança para tomar decisões informadas com as informações sobre ameaças mais recentes. O Copilot consolida e resume as informações sobre ameaças para ajudar as equipas de segurança a priorizar e responder a ameaças de forma eficaz.

Monitorizar informações sobre ameaças

Peça ao Copilot para resumir as ameaças relevantes que afetam o seu ambiente, para priorizar a resolução de ameaças com base nos seus níveis de exposição ou para encontrar agentes de ameaças que possam estar a visar a sua indústria. Leia mais sobre Security Copilot em informações de ameaças.

Aceder ao Copilot no Defender

Para garantir que tem acesso ao Copilot no Defender, veja as informações de compra e licenciamento do Security Copilot. Depois de ter acesso ao Security Copilot, as principais funcionalidades ficam disponíveis no portal do Microsoft Defender.

Pedidos de exemplo no Copilot

No portal do Microsoft Defender, pode encontrar prompts de exemplo que o ajudam a navegar e a usar algumas funcionalidades do Copilot. As instruções são concebidas para o ajudar a compreender estas capacidades e como utilizá-las eficazmente. Seguem-se alguns exemplos de instruções que poderá encontrar no portal:

Instruções de pesquisa avançada:

Pedidos de informações sobre ameaças:

Pode alargar a sua investigação no portal autónomo Security Copilot através de pedidos de linguagem natural. Seguem-se alguns exemplos de instruções que pode introduzir na barra de instruções para o ajudar a resumir um incidente com recomendações:

• Escreva Resuma o incidente {incident number} e conclua com um conjunto de recomendações para gerar o resumo do incidente e as recomendações.
• Escreva O que me pode dizer sobre a reputação dos indicadores no script? São maliciosos? Se sim, porquê? para analisar o script e gerar detalhes sobre o script.
• Escreva Resumir este email e liste os seus principais indicadores, incluindo URLs, remetentes e anexos , para gerar um resumo da entidade de email selecionada.

Pedir no Copilot ajuda-o a navegar e a utilizar as capacidades de forma eficaz. Também pode utilizar a barra de comandos para gerar consultas KQL, resumir incidentes e analisar ficheiros. Veja dicas para a criação eficaz de prompts. Também pode utilizar promptbooks pré-criados para começar a utilizar o Copilot. Para saber mais, veja Utilizar promptbooks pré-criados no Copilot.

Fornecer comentários

Todas as funcionalidades do Copilot no Defender têm uma opção para fornecer feedback. Rever e fornecer comentários ajuda a melhorar as respostas futuras. Para fornecer feedback, use os botões 👍 / 👎 em qualquer resposta.

Privacidade e segurança de dados

O Copilot evolui continuamente com dadosarmazenados, processados e partilhados , consoante as definições definidas pelo administrador. A Microsoft garante que os seus dados estão sempre protegidos e seguros ao utilizar o Copilot. Para saber mais sobre a privacidade e segurança dos dados no Copilot, consulte Privacidade e segurança de dados no Copilot.

Suplementos no Security Copilot

O Copilot utiliza plug-ins da Microsoft pré-instalados, como o Microsoft Defender, o Defender Threat Intelligence, o Natural Language to KQL e os plug-ins do Microsoft Sentinel e do Defender, para gerar informações relevantes, fornecer mais contexto sobre os incidentes e gerar resultados mais precisos. Certifique-se de que os plug-ins estão ativados no Copilot para permitir o acesso a dados relevantes e gerar conteúdo solicitado a partir de outros serviços Microsoft na sua organização.

Conteúdos relacionados

• Saiba como resumir incidentes
• Utilizar respostas guiadas ao responder a incidentes
• Executar uma análise de script
• Analisar ficheiros
• Gerar resumos de dispositivos
• Gerar resumos de identidade
• Gerar consultas KQL
• Criar relatórios de incidentes
• Utilizar informações sobre ameaças
• Introdução ao Security Copilot
• Privacidade e segurança de dados no Copilot
• Perguntas frequentes sobre IA Responsável do Security Copilot
• experiências incorporadas do Security Copilot

Sugestão

Quer saber mais? Interaja com a comunidade do Microsoft Security na nossa Tech Community: Microsoft Defender XDR Tech Community.