security-copilot

Microsoft Security Copilot

Microsoft Security Copilot は、セキュリティチームや IT チームが、セキュリティデータと Microsoft の脅威インテリジェンスに基づき、自然言語を使ってインシデントの調査、脅威のハンティング、調査結果の要約、マシンスピードでの対応を行えるよう支援する生成 AI セキュリティプラットフォームです。

使用する場面

Microsoft およびサードパーティのセキュリティデータを活用した自然言語のワークフローにより、SOC の調査、レポート作成、アナリストの生産性を向上させる場合に使用します。

次の用途ではこのスキルを使用しないでください。

• 自律型のトリアージ／修復エージェントを構成する場合（security-copilot-agents を使用してください）
• SIEM 分析ルールを作成する場合（sentinel を使用してください）
• Defender XDR の調査やアクションを構成する場合（defender-xdr を使用してください）

タスクに適したエクスペリエンスを選択する

タスク	使用するエクスペリエンス	理由
複数の製品にまたがる多段階の調査	スタンドアロンポータル	複数プラグインをまたぐ推論、プロンプトブック
特定のインシデントを要約する	Defender XDR に埋め込み	コンテキストがすでに読み込まれている
KQL クエリの説明または翻訳	Sentinel に埋め込み	クエリエディター内で直接利用できる
Conditional Access ポリシーの説明	Entra に埋め込み	ポリシーがすでに対象になっている
繰り返し利用できる調査パターン	プロンプトブック	保存、共有、パラメーター化が可能
日常的なアドホック分析の質問	スタンドアロンまたは埋め込み	どちらでも構いません。作業を始める場所に応じて選んでください

経験則：単一製品に関する質問では埋め込みから始め、2 つ以上の製品を相関させる必要が生じたら、すぐにスタンドアロンに切り替えてください。2 回以上行う作業は、すべてプロンプトブックにしてください。

進め方

1. キャパシティをプロビジョニングする - Azure で **Security Compute Units（SCU）**を設定します（プロビジョニング済みキャパシティモデル）。Azure サブスクリプションとリソースグループを割り当て、地域を選択し、超過分の設定を構成します。SCU が使用量の計量単位です。プロビジョニングが不足するとスロットリングが発生し、過剰にプロビジョニングするとコストが無駄になります。 確認：Security Copilot → Owner settings → Capacity に、予約済み SCU が表示され、地域がデータ所在地の要件と一致していることを確認します。
2. ロールを割り当てる - Entra で Security Copilot の所有者および共同作成者ロールを構成し、最小権限に合わせ、既定の環境を設定して、データ共有の切り替え（モデル改善へのオプトイン／オプトアウト）を決定します。 確認：所有者ではないテストアカウントで Copilot を使用できる一方、キャパシティ設定を変更できないことを確認します。
3. プラグインを有効にする - 必要な Microsoft プラグイン（Defender XDR、Sentinel、Intune、Entra、Threat Intelligence、Purview、Defender for Cloud）を有効にし、サードパーティのデータがある場合は Microsoft 以外のプラグインやカスタムプラグインを追加します。Copilot は呼び出し元ユーザーの基盤となる製品の RBACに従い、特権を昇格させることはありません。 確認：Sentinel にアクセスできないユーザーが Sentinel のデータを必要とするクエリを実行した場合、回答ではなくアクセス許可エラーが返ることを確認します。
4. ワークフローごとにエクスペリエンスを選択する - 製品をまたぐ多段階の調査にはスタンドアロンポータルを使用し、単一製品のコンテキストには Defender XDR、Sentinel、Intune、Entra、Purview 内の埋め込みエクスペリエンスを使用します。 確認：アナリストが、毎日の上位 5 つのタスクをどの画面から始めるか把握していることを確認します。
5. プロンプトブックを作成する - 繰り返し利用する上位 5 つのワークフロー（経営幹部向けインシデント要約、スクリプトのリバースエンジニアリング、KQL の説明、フィッシングメールのトリアージ、CA ポリシーの説明）を特定し、それぞれをパラメーター付きのプロンプトブックにします。 確認：各プロンプトブックが、手動編集なしでサンプル入力を最後まで処理できることを確認します。
6. 使用状況と消費量を管理する - ワークロードごとの SCU 消費量を監視し、Copilot のアクティビティを監査し、コストを抑えるために SCU 使用率が 80% を超えたときのアラートを設定します。プロンプトログを確認し、機密データが露出していないか調べます。 確認：使用状況ダッシュボードがあり、SCU が高水準に向かうとアラートが作動することを確認します。
7. 価値を測定する - 導入の前後で、最初の回答までの時間、アナリストの満足度、解決済みインシデントあたりの SCU を追跡します。指標に変化がなければ、問題はプラットフォームではなく、プロンプトブックかプラグインにあります。

ガードレール

• AI の出力は支援的なものとして扱ってください。アナリストは、対応する前に調査結果を検証する必要があります。Copilot は信頼できる唯一の情報源ではありません。信頼できる情報源は基盤となる製品です。
• 最小権限のプラグインアクセスを適用してください。Copilot はユーザーの製品 RBAC を継承するため、ユーザーに過剰な権限を付与すると、そのユーザーの Copilot にも過剰な権限が付与されます。
• コストを抑えるために SCU の消費量を監視してください。需要に応じて容量を調整し、使用率アラートを設定します。容量料金の予想外の増加は、プラットフォームではなく設定の問題です。
• データ所在地は容量の作成時に設定します。後からリージョンを変更するには再構築が必要です。規制の対象範囲に基づいて、事前に決定してください。
• **機密性の高いプロンプトもデータです。**プロンプト履歴は監査に関連するものとして扱い、認証情報、顧客の個人情報（PII）、または未加工でサニタイズされていないデータをプロンプトに貼り付けないでください。
• **プロンプトブックはコードです。**バージョン管理し、変更をレビューし、使われていないものは削除してください。

よくあるアンチパターン

• **「SCU を購入し、全員にアクセス権を付与して、様子を見る。」**予算を浪費し、測定可能な価値を生み出さず、アナリストが AI の出力を信頼しなくなる原因になります。
• **プロンプトブックを使わない。**プロンプトブックがないと、調査のたびに個別対応が必要になり、プラットフォームはワークフローではなくチャットボットのように感じられます。
• **Copilot を事実の情報源として扱う。**Copilot は製品のデータを統合します。データが間違っていれば、回答も間違っています。対応する際は、必ず情報源となる製品を確認してください。
• 埋め込み型のエクスペリエンスですでにインシデントデータを利用できるのに、**未加工のインシデントデータをスタンドアロンのプロンプトに貼り付ける。**SCU を浪費し、リスクを高めます。
• **SCU 使用率アラートを設定しない。**問題に気付く最初の機会が請求書になります。

プロンプトの例

• Set up Microsoft Security Copilot and provision SCUs.
• Use promptbooks to summarise an incident for a stakeholder.
• How do I use AI to speed up incident investigation in my SOC?
• Explain a KQL query with Security Copilot.
• Pick between standalone and embedded experiences for my analysts.

Microsoft Learn

• 概要：https://learn.microsoft.com/security-copilot/microsoft-security-copilot
• はじめに／SCU のプロビジョニング：https://learn.microsoft.com/security-copilot/get-started-security-copilot
• プラグイン：https://learn.microsoft.com/security-copilot/manage-plugins
• プロンプトブック：https://learn.microsoft.com/security-copilot/using-promptbooks
• 使用状況と容量の管理：https://learn.microsoft.com/security-copilot/manage-usage
• 認証とアクセス：https://learn.microsoft.com/security-copilot/authentication