Oturumu analistin soruları yönlendirir. Promptbook bir diziyi tekrarlar. Agent ise yapılandırılmış izinler ve tetikleyiciler altında sınırları belirli bir görevi sürdürebilir. Uyarıyı inceler, bilgilendirme taslağı hazırlar veya ilkeyi değerlendirir. Böylece ilk incelemeyi devretmek kolaylaşır. Desteklenmeyen bir sonuç da insan görmeden önce daha ileri gidebilir.
Bu derste dört kararı ele alacaksınız: sinyale hangi hazır agent'ın uyduğu, çıktının nasıl inceleneceği, özel agent'ın nasıl sınırlandırılacağı ve yönlendirmeli pratiğin SC-200 ya da SC-500 hazırlığıyla nasıl ilişkilendirileceği.
Güvenlik agent'ını nasıl seçersiniz?
Microsoft dört iş yükünde 15 güvenlik agent'ı sunar. Seçimi ad benzerliğine bakarak yapmayın. Sinyalden başlayıp şu beş adımla ilerleyin:
- Sinyal: İlgilenilmesi gereken uyarıyı, riski veya koşulu tanımlayın.
- Kapsam: İlgili kanıtın hangi iş yükü ve kayıtlarda bulunduğunu belirleyin.
- Agent: Belgelenmiş amacı bu sinyale uyan hazır özelliği bulun.
- Çıktı: Sınıflandırma, bilgilendirme, öneri veya risk değerlendirmesi gibi desteklenen sonuç türünü netleştirin.
- Kontrol: Ortamda bir şey değişmeden önce hangi insan incelemesi veya onayının gerektiğini yazın.
15 agent, kanıtın sahibi olan ürüne göre şöyle gruplanır:
Önce sinyali tanımlayın, ardından kanıtın bulunduğu iş yükünü adlandırın. Belgelenmiş amacı bu ikisine uyan agent'ı bulduktan sonra nasıl başlatılacağını düşünün. "Threat hunting", "security analyst" ve "dynamic threat detection" adlarının tümü tehdit çalışması çağrıştırır, ama belgelenmiş amaçları farklıdır. Yalnızca adına bakarak seçim yaptığınızda yanlış aracı yanlış soruna yönlendirebilirsiniz.
Kullanılabilirlik de seçimin parçasıdır
Senaryo tenant'ınızda yoksa amaç eşleşmesi tek başına yetmez. Durumu doğrulanmış iki agent, öğrenmek için daha sağlam bir başlangıç sunar. Security Alert Triage Agent, desteklenen uyarıları doğal dilde bir gerekçeyle sınıflandırır ve önceliklendirir. E-posta ve iş birliği senaryosu genel kullanıma sunulmuştur ve Defender for Office P2 gerektirir. Bulut ile kimlik senaryoları kendi ön koşullarıyla Preview durumundadır. Conditional Access Optimization Agent ise kullanıcıların, uygulamaların ve agent kimliklerinin Conditional Access ilkeleri kapsamında olup olmadığını değerlendirerek ilke inceleme raporları üretir. Agent genel kullanıma sunulmuştur. Etkinliğe dayalı çalıştırmalar ve ServiceNow bileti oluşturma ise Preview durumundadır.
Diğer agent'larda da Preview etiketiyle karşılaşırsınız. Threat Intelligence Briefing Agent Temmuz 2025'ten, Security Analyst Agent ise Nisan 2026'dan beri Public Preview durumundadır. Identity Risk Management Agent da Preview kapsamındadır. Bu etiket çıktının yanlış olduğunu göstermez. Senaryonun değişebileceğini ve hazırlık kontrolünüzde bunu hesaba katmanız gerektiğini belirtir. Elinizdeki kanıt agent'ın durumunu göstermiyorsa kayda "durum belirlenmemiştir" yazın. Genel kullanıma sunulduğunu varsaymayın. Kullanılabilirliği, ön koşulları ve Preview durumunu en baştan kararın parçası olarak ele alın.
Agent çıktısını nasıl denetlersiniz?
Agent çıktısı incelendikten sonra karara girebilecek bir iddiadır. Kanıtın sahibi olan iş yükünde kalmış mı, seçtiğiniz amacı yerine getirmiş mi ve sınıflandırma, bilgilendirme veya öneri gibi desteklenen bir sonuç mu döndürmüş, bunlara bakın. Gözlemlenen olguları doğrulanmamış sonuçlardan ayırması, eskalasyon, kapatma ve düzeltme kararını insanda bırakması, kullanılabilirlik ile ön koşulları doğru kaydetmesi de gerekir.
Defender for Office P2 kullanan bir kuruluşta makro içeren ekli dosyayla ilgili kimlik avı bildirimi geldiğini düşünün. Bu sinyal Security Alert Triage Agent'a gider ve beklenen çıktı gerekçeli bir uyarı sınıflandırmasıdır. Analist gerekçeyi e-posta kanıtıyla karşılaştırır ve sonraki adımı seçer. Agent yalnızca makro bulunduğu için göndereni kötü amaçlı ilan ederse kanıt incelemesini geçemez. Düzeltmenin tamamlandığını söylerse insan kontrolü sınırını aşar. İki durumda da sonuç iş akışına girmeden düzeltilir veya reddedilir.
Kendi agent'ınızı oluşturabilir misiniz?
Hazır agent'lardan hiçbiri uymuyorsa özel agent'ı test edilebilir bir sözleşme olarak tanımlayın. Dar görevini, kullanabileceği kanıtı, döndürmesi gereken çıktıyı, yasaklanan iddia ve eylemleri, yayımlanacağı kapsamı yazın. "Başarısız oturum açmaları araştır" çok fazla alanı açık bırakır. Kullanılabilir bir sözleşme, sağlanan oturum açma kanıtlarını özetlemesini, girdi olgularıyla araç olgularını ayırmasını, tam üç takip sorusu sormasını, belirsizliği etiketlemesini, analist incelemesi istemesini ve ele geçirilme çıkarımı ya da düzeltme yapmamasını şart koşabilir.
Burada dört oluşturma yolu var. NL2Agent, doğal dil açıklamasından taslak üretir. Doğrudan YAML, doğrudan incelenebilen kaynak sağlar. MCP, onaylı harici aracı bağlar. Böylece aracın veri erişimi ve izinleri agent sınırının parçası olur. Aracın ne sunduğunu envantere alın, erişimi görevi aşıyorsa kullanmayın. Logic Apps, analizi olay odaklı iş akışına yerleştirir. Kullanıcı kapsamında, salt okunur davranışla başlayın. Her yanıt girdi kanıtını, araç kanıtını ve çıkarımı ayırmalıdır. Araç veya Copilot çağrısı başarısızsa sonuç analizin eksik olduğunu söylemelidir.
Nerede pratik yapıp sertifika alabilirsiniz?
Bu alışkanlıkları lisanslı tenant olmadan çalışabilirsiniz. Microsoft'un Experience Security Copilot through guided simulations modülü, sahip ayarları, prompt'lar ve promptbook'lar, özel promptbook'lar, Purview ile Defender XDR araştırmaları ve Conditional Access Optimization dahil agent'ları kapsayan 11 birimlik sabit bir tıklama deneyimidir. Serbest prompt kabul etmez. Her birim için yalnızca gerçekten gösterilenleri kaydedin.
SC-200 ile SC-500 farklı işlere yönelir. SC-200, güvenlik operasyonları ortamını yönetme, olaylara müdahale ve tehdit avcılığını kapsar. Security Copilot olay müdahalesi içinde yer alır. Defender XDR olaylarını araştıran ve Sentinel'da tehdit avlayan analistlere uygundur. SC-500, 2026 ortası itibarıyla beta durumundaki Cloud and AI Security Engineer Associate sertifikasıdır. Security Copilot dahil güvenliği dağıtma ve işletmeye daha fazla odaklanır. Güncel alanları resmî çalışma kılavuzundan kontrol edin.
Öğrenme yolunu tamamlamak, konuyla çalıştığınızı gösterir. Hazırlık için güncel sınav kapsamına göre ürettiğiniz ve kontrol ettiğiniz bir çıktı gerekir. Kanıtla bilinmeyenleri ayıran olay incelemesi veya tablo ve alanları doğrulanmış tehdit avcılığı sorgu çalışma sayfası buna örnektir. Çalıştırılmamış, oluşturulmuş bir sorgu beceriyi göstermez.
