高度なハンティングでの Microsoft Security Copilot

  • 適用対象: Microsoft Defender, Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

重要

この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。

Microsoft DefenderのMicrosoft Security Copilotは、高度なハンティングにおける脅威ハンティングアシスタントを提供し、脅威ハンティングとセキュリティ分析を強化します。 Threat Hunting Assistantは、どれだけ助けを求めるかによって2つのモードのいずれかで動作します。

以下の表は、各機能、使用する場所、そして期待される出力を説明しています。

Mode 説明 出力 エクスペリエンス
豊かな洞察
脅威ハンティングアシスタント		 AI搭載の会話型脅威ハンティング体験で、完全な調査、多段階のハンティング、探索的分析、そして直接的な回答を得るのに最適です 会話形式の回答、Kustoクエリ言語 (KQL) によるクエリ、結果、分析情報、推奨事項 調査重視
クエリのみ
クエリ アシスタント		 クエリの生成に最適な KQL クエリ生成に対する自然言語 KQL クエリと説明 クエリに重点を置いた

Threat Hunting AssistantとQuery Assistantは、KQLクエリを書くことなく、より速く、より正確かつ自信を持って脅威を追跡できるようにします。

高度な狩猟でSecurity Copilotへのアクセスを得よう

Security Copilotにアクセスできるユーザーは、高度なハンティングでこれらの機能を使用できます。

一度に一つのモードを使えます。 リッチインサイトが デフォルトのモードです。 アクティブモードはSecurity Copilotサイドペインの上部にあるThreat Hunting Assistantの隣にバッジとして表示されます。

モードを変更するには、Security Copilotサイドペインの三点メニュー(「より多くのアクション」)を選択し、「Threat hunting assistant」モードを指し、「Rich insights」または「Queryのみ」を選択してください。

Security Copilot側ペインのThreat Hunting Assistantモードサブメニューのスクリーンショットで、「Rich insights」が選択され、「Queryのみ」が利用可能になっています。

代わりにSecurity Analyst Agentを使用するには、同じメニューから 「Switch to Security Analyst Agent 」を選択してください。

注:

  • モード選択は非プライマリワークスペースでは利用できません。
  • モードを切り替えると新しいチャットが始まり、現在の会話が消去されます。 切り替えが行われる前に確認を求められます。

クエリ アシスタント モードに切り替えるには、Security Copilot側ウィンドウで 3 ドット メニューを選択し、[脅威ハンティング エージェント] スイッチをオフに切り替えます。

Threat Hunting Agent モードが有効になっていることを示す、高度な追求機能における Security Copilot のスクリーンショット。

高度なハンティングでの Security Copilot の適用範囲

ユースケース対応

Threat Hunting Assistantは、単純なフィルターや集約から複数のテーブルにまたがるクエリまで、さまざまな質問を処理します。 質問が複数のテーブルからデータを必要とする場合、アシスタントは関連するテーブルを選択してそれらを結合します。

AI生成コンテンツと同様に、実行する前に生成されたクエリとその結果を必ず確認してください。 不適切なクエリや応答の例を使用して、Microsoft DefenderのSecurity Copilotに関するフィードバックを提供することで、改善に役立ちます。

ベスト プラクティス

脅威ハンティングアシスタントやクエリアシスタントにプロンプトする際は、以下のベストプラクティスを活用してください:

  • 明確にしてください。 明確な件名で質問します。 たとえば、"logins" は、デバイス ログインやクラウド ログインを意味する可能性があります。
  • 一度に 1 つの質問をします。 一度に 1 つのタスクまたは情報の種類を要求します。 AI モデルが一度に関連しないタスクをいくつか実行することを想定しないでください。 関連のない質問を 1 つのプロンプトに組み合わせる代わりに、常にフォローアップの質問を行うことができます。
  • 具体的に指定します。 探しているデータについて何か知っている場合は、その情報を質問に入力してください。

アシスタントがあなたのデータを見つける方法

Threat Hunting Assistantは、固定されたテーブルリストを使うのではなく、環境内で利用可能なデータをリアルタイムで発見します。 各問題に対して、次の通りです:

  1. アクセスできるテーブルを一覧にします。
  2. 関連しそうなテーブルのスキーマを調べます。
  3. 問題に答えるために必要なテーブルを選択し、複数必要な場合はそれらを結合します。

これにはMicrosoft Sentinel workspace内のカスタムテーブルも含まれます。

ディスカバリーはあなたの許可に従うため、アシスタントは高度なハンティングで既に照会可能なデータにしかアクセスしません。 読み取り専用クエリを実行し、データや設定を変更するコマンドは実行できません。

  • Last updated on