security-copilot

Microsoft Security Copilot

Microsoft Security Copilot 是一个生成式 AI 安全平台，可帮助安全和 IT 团队调查事件、搜寻威胁、总结发现，并以机器速度响应。它支持自然语言，并以你的安全数据和 Microsoft 威胁情报为依据。

适用场景

借助自然语言工作流，基于 Microsoft 和第三方安全数据，加快 SOC 调查和报告，并提升分析师的工作效率。

以下场景请勿使用此技能：

• 配置自主分流／修复 Agent（使用 security-copilot-agents）
• 构建 SIEM 分析规则（使用 sentinel）
• 配置 Defender XDR 调查或操作（使用 defender-xdr）

为任务选择合适的体验

任务	使用此体验	原因
跨产品开展多步骤调查	独立门户	跨插件推理、提示词手册
总结特定事件	嵌入 Defender XDR	已加载相关上下文
解释或翻译 KQL 查询	嵌入 Sentinel	可在查询编辑器中内联使用
解释 Conditional Access 策略	嵌入 Entra	策略已在当前范围内
可重复的调查模式	提示词手册	可保存、共享并参数化
日常临时分析师问题	独立或嵌入式	两者均可；根据起始位置选择

经验法则：针对单一产品的问题，从嵌入式体验开始；一旦需要关联两个或更多产品的数据，就切换到独立门户。重复执行超过两次的操作，都应制作成提示词手册。

方法

1. 预配容量 - 在 Azure 中设置 Security Compute Units (SCU)（预配容量模式），分配 Azure 订阅和资源组，选择地理区域，并配置超额使用设置。SCU 用于计量用量；容量不足会导致限流，容量过多则会浪费开支。 验证：在 Security Copilot → Owner settings → Capacity 中，确认已预留 SCU，且区域符合你的数据驻留要求。
2. 分配角色 - 在 Entra 中配置 Security Copilot 的 所有者和参与者角色，遵循最小权限原则，设置默认环境，并决定是否启用数据共享选项（选择加入或退出模型改进）。 验证：非所有者测试帐户可以使用 Copilot，但无法更改容量设置。
3. 启用插件 - 启用所需的 Microsoft 插件（Defender XDR、Sentinel、Intune、Entra、Threat Intelligence、Purview、Defender for Cloud），并在存在第三方数据的情况下添加非 Microsoft 插件或自定义插件。Copilot 遵循调用用户在底层产品中的 RBAC，绝不会提升权限。 验证：没有 Sentinel 访问权限的用户查询需要 Sentinel 数据时，应返回权限错误，而非答案。
4. 根据工作流选择体验 - 使用独立门户开展跨产品的多步骤调查；对于单一产品上下文，则使用 Defender XDR、Sentinel、Intune、Entra 和 Purview 中的嵌入式体验。 验证：分析师知道针对日常最常执行的 5 项任务，应从哪个界面开始。
5. 构建提示词手册 - 找出最常执行的 5 项可重复工作流（面向高管的事件摘要、逆向分析脚本、KQL 解释、钓鱼邮件分流、CA 策略解释），并将每项工作流制作成带参数的提示词手册。 验证：每个提示词手册都能基于示例输入端到端运行，无需手动编辑。
6. 治理使用情况和消耗量 - 按工作负载监控 SCU 消耗量、审计 Copilot 活动，并在 SCU 利用率 > 80% 时设置警报以控制成本。查看提示词日志，检查是否泄露敏感数据。 验证：已有使用情况仪表板；SCU 使用量呈上升趋势时会触发警报。
7. 衡量价值 - 跟踪推出前后的首次获得答案所需时间、分析师满意度，以及每起已解决事件的 SCU 消耗量。如果指标没有改善，问题出在提示词手册或插件，而不是平台。*

防护措施

• 将 AI 输出视为辅助信息——分析人员必须先验证调查结果，再采取行动。Copilot 并非事实来源；底层产品才是。
• 为插件应用最小权限；Copilot 会继承用户的产品 RBAC，因此给用户授予过多权限，也会让该用户的 Copilot 获得过多权限。
• 监控 SCU 用量以控制成本；根据需求调整容量，并设置利用率警报。容量账单超出预期是配置问题，而非平台问题。
• 数据驻留区域在创建容量时设定——之后更改区域意味着必须重建。请根据法规适用范围提前决定。
• 敏感提示词仍属于数据。 请将提示词历史视为与审计相关的数据；不要在提示词中粘贴凭据、客户 PII 或未经清理的原始数据。
• 提示词手册就是代码。 对其进行版本控制、审查更改，并移除未使用的手册。

常见反模式

• “购买 SCU，让所有人都能访问，看看会发生什么。” 这会烧掉预算、无法产生可衡量的价值，还会让分析人员不再信任 AI 输出。
• 跳过提示词手册。 没有提示词手册，每次调查都各不相同，平台也会像聊天机器人，而非工作流。
• 把 Copilot 当作事实来源。 它会综合产品中的数据——如果数据有误，答案也会有误。采取行动前，务必转到源产品进行核实。
• 在独立提示词中粘贴原始事件数据，而嵌入式体验已经包含这些数据。这会浪费 SCU 并增加风险。
• 不设置 SCU 利用率警报。 问题出现的第一个信号就是账单。

示例提示词

• Set up Microsoft Security Copilot and provision SCUs.
• Use promptbooks to summarise an incident for a stakeholder.
• How do I use AI to speed up incident investigation in my SOC?
• Explain a KQL query with Security Copilot.
• Pick between standalone and embedded experiences for my analysts.

Microsoft Learn

• 概述：https://learn.microsoft.com/security-copilot/microsoft-security-copilot
• 入门 / 预配 SCU：https://learn.microsoft.com/security-copilot/get-started-security-copilot
• 插件：https://learn.microsoft.com/security-copilot/manage-plugins
• 提示词手册：https://learn.microsoft.com/security-copilot/using-promptbooks
• 管理用量和容量：https://learn.microsoft.com/security-copilot/manage-usage
• 身份验证和访问：https://learn.microsoft.com/security-copilot/authentication