進階搜捕中的 Microsoft Copilot for Security

適用於：

• Microsoft Defender
• Microsoft Defender XDR

進階搜捕中的 Copilot for Security

Microsoft Defender 中的 Microsoft Copilot for Security 隨附進階搜捕的查詢 助理 功能。

威脅搜捕者或尚未熟悉或尚未了解 KQL 的安全性分析師，可以提出要求或以自然語言提出問題 (例如，取得所有涉及使用者 admin123 的警示)。 Copilot for Security 然後使用進階搜捕數據架構產生對應至要求的 KQL 查詢。

這項功能可減少從頭開始撰寫搜捕查詢所需的時間，讓威脅搜捕人員和安全性分析師可以專注在搜捕和調查威脅上。

具有 Copilot for Security 存取權的使用者可在進階搜捕中存取這項功能。

注意事項

進階搜捕功能也可透過 Microsoft Defender 全面偵測回應 外掛程式在 Copilot for Security 獨立體驗中使用。 深入瞭解 Copilot for Security 中預安裝的外掛程式。

嘗試您的第一個查詢

1. 從 Microsoft Defender 全面偵測回應 中的導覽列開啟進階搜捕頁面。 適用於進階搜捕的 Copilot for Security 側窗格會出現在右側。

   

   您也可以選取查詢編輯器頂端的 Copilot，以重新開啟 Copilot 。

2. 在 Copilot 提示列中，詢問您要執行的任何威脅搜捕查詢，然後按 或 輸入 。

   

3. Copilot 會從文字指令或問題產生 KQL 查詢。 當 Copilot 產生時，您可以選取 [ 停止產生] 來取消查詢產生。

   

4. 檢視產生的查詢。 然後，您可以選取 [ 新增並執行]，選擇執行查詢。

   

   產生的查詢接著會顯示為查詢編輯器中的最後一個查詢，並自動執行。

   如果您需要做進一步的調整，請選取 [新增至編輯器]。

   

   產生的查詢會在查詢編輯器中顯示為最後一個查詢，此處您可以在執行之前，在查詢編輯器上方使用標準 執行查詢 來進行編輯。

5. 您可以選取意見反應圖示意見反應 ，然後選擇 [ 確認]、 [偏離目標] 或 [ 可能有害]，以提供所產生回應的意見反應。

提示

提供意見反應是讓 Copilot for Security 小組知道查詢 助理 能夠協助產生有用 KQL 查詢的重要方式。 您可以隨意闡述可能讓查詢變更好的事項、在執行產生的 KQL 查詢之前進行了哪些調整，或分享您最終使用的 KQL 查詢。

查詢工作階段

您可以在進階搜捕的 [Copilot] 側邊窗格中詢問問題，隨時開始您的第一個會話。 您的工作模式包含使用您的使用者帳戶所提出的要求。 關閉側邊窗格或重新整理進階搜捕頁面並不會捨棄工作階段。 您仍然可以在需要時存取產生的查詢。

選取 [ 新增聊天) (聊天泡泡圖示，以捨棄目前的會話。

修改設定

選取 [Copilot] 側邊窗格中的省略號，以選擇是否要在進階搜捕中自動新增和執行產生的查詢。

取消選取 [自動執行 產生的查詢 ] 設定可讓您選擇 (新增和 執行) 自動執行產生的查詢，或將產生的查詢新增至查詢編輯器，以供進一步修改 ([ 新增至編輯 器]) 。