Şüpheli bir PowerShell komutu saat 09:14'te uyarı oluşturuyor. Bunun ne anlama geldiğine karar vermeden önce olay, kullanıcı, cihaz ve betiğin çalışıp çalışmadığını gösteren kayıtlar gerekiyor. Security Copilot ilk taslağı hızlıca hazırlayabilir. Sorun, bu taslak bulgu gibi okunduğunda başlar.
Bu ders modül boyunca kullanacağınız çalışma modelini kuruyor. Aracın araştırmadaki yerini belirleyecek, çevresindeki sınırları izleyecek ve kayıtlı kanıtı yorumdan ayıran prompt'lar yazacaksınız.
Security Copilot gerçekte ne yapar?
Microsoft Security Copilot, güvenlik operasyonları için AI destekli bir çalışma yüzeyidir. Bir betiği analiz etmesini, olayı özetlemesini veya tehdit aktörü profili hazırlamasını isteyebilirsiniz. Yapılandırılmış entegrasyonlar üzerinden erişebildiği güvenlik bilgilerini kullanır ve sonraki kontrolleri önerebilir. Kanıtın neyi gösterdiğine ve herhangi bir müdahalenin uygun olup olmadığına analist karar verir. Security Copilot bir hesabın ele geçirildiğine karar veremez veya cihaz yalıtma eylemine yetki veremez.
Plugin, Copilot'u bir güvenlik ürününün verilerine veya özelliklerine bağlar. Grounding, yanıtın modelin genel bilgisi yerine bu bağlı verilere dayanmasıdır. Düzenli ve kendinden emin bir yanıt yine de ilgili uyarıyı, kimlik kaydını veya tehdit bilgisi kaynağını kaçırmış olabilir. Bu yüzden iki ayrı kontrol yapın. Önce her önemli ifadenin dayandığı kanıtı bulun. Ardından o kanıtın iddianın söylenişini gerçekten destekleyip desteklemediğine bakın. Bu kontrollerden biri geçmiyorsa ifade vaka kaydına hazır değildir.
Bir araştırma hangi sınırları geçer?
Destekli bir araştırma tek adım değildir. Birbirinden ayrı sınırların oluşturduğu bir zincirdir. Zincirde nerede olduğunuzu bilirseniz neyin neden aksadığını daha kolay görürsünüz. Erişim kabaca şöyle ilerler: çalışma alanı erişimi ve ayarları, kullanılabilir işlem kapasitesi, oturumunuz ve sınırları belirlenmiş prompt'unuz, izin verilen plugin'ler ve veriler, oluşturulan zaman çizelgesi ve öneriler, temel üründe yaptığınız doğrulama, son olarak belgelenmiş sonuç veya onaylanmış eylem.
Her halka bağımsızdır. Oturum açabilmeniz ihtiyaç duyduğunuz olayın erişilebilir olduğunu kanıtlamaz. Veri izninizin olması, isteği işleyecek kapasitenin hazır olduğu anlamına gelmez. Bir hesabı devre dışı bırakma önerisi de hesabı gerçekten kapatma yetkisi vermez. Baskı altında en sık unutulan boşluk budur: teknik açıdan mantıklı bir eylem yine de kuruluşunuzun onay sürecinden geçmelidir.
Ekiplerin en çok unuttuğu sınır kapasitedir. Security Copilot, Security Compute Unit (SCU) ile çalışır. Uygun Microsoft 365 E5 ve E7 müşterileri, ücretli her 1.000 kullanıcı lisansı için ayda 400 SCU alır. Aylık üst sınır 10.000 SCU'dur. Ek kapasiteyi önceden sağlarsanız SCU başına ayda $4 ödersiniz. Kullandıkça öde aşımında ise tüketilen SCU başına $6 uygulanır.
Tek araştırmanın maliyetini hesaplamanız genelde gerekmez. Araca operasyonlarda güvenmeden önce kullanılabilir kapasitenin varlığını ve bunu kimin izlediğini bilmelisiniz. Hesaplanan kullanım hakkını, yöneticinin tahminini ve tenant'ın ölçülen tüketimini ayrı kaydedin. Tahmin, gerçek kullanım kanıtı değildir.
Bağımsız mı gömülü mü: nereden başlamalısınız?
Security Copilot iki biçimde karşınıza çıkar. Doğru biçimi seçerseniz tanımlayıcıları elle taşımak zorunda kalmazsınız. Bağımsız deneyim, oturum açıp ortamınızın sunduğu veriler arasında araştırma yaptığınız özel yüzeydir. Belirli bir kayıt yerine geniş bir soruyla başlıyorsanız uygundur. Gömülü deneyim ise Copilot'u başka bir güvenlik ürününün içine yerleştirir. Defender XDR'da açık bir olay, Entra'da riskli bir kullanıcı veya Purview'de bir DLP uyarısı gibi mevcut ürün bağlamından başlarsınız. Microsoft, Defender XDR, Sentinel, Entra, Intune, Purview ve başka ürünlerde gömülü deneyimler sunar.
Pratik kural basit: elinizde açık kayıt yoksa ve bir soruyla başlıyorsanız bağımsız deneyimi kullanın. Kayıt önünüzdeyse ve ürünün doğal bağlamı önemliyse gömülü deneyimden başlayın. Giriş noktası, hazır gelen bağlamı değiştirir. Kanıtı doğrulama ve operasyonel eylemi onaya gönderme sorumluluğunuzu değiştirmez. Sonraki ders, Defender, Sentinel, Entra ve Purview'de Gömülü Deneyimler, tamamen bu ikinci biçime odaklanıyor.
Copilot'un boşlukları dolduramayacağı bir prompt nasıl yazılır?
"Bu uyarıya bak" gibi zayıf bir güvenlik prompt'u, akıcı bir tahmine davetiye çıkarır. Güçlü prompt ise Copilot'un hangi kanıtı kullanabileceğini ve ne döndürmesi gerektiğini sınırlar. Microsoft'un yaklaşımı Prompt Yazma 101'deki dört öğeyi araştırmalara uyarlar: Hedef eylemi ve teslimi, Bağlam kararı, hedef kitleyi ve zaman aralığını, Kaynak kullanılabilecek kesin kanıtı, Beklentiler ise formatı, belirsizlik yaklaşımını ve sonraki adımları belirler. İyi Bir Prompt'un Anatomisi dersindeki yapıyı biliyorsanız zor kısmı zaten öğrendiniz. Güvenlikte farklı olan, bulanık bir kaynak sınırının bedelidir.
Buradaki yeni alışkanlık belirsizliği etiketlemektir. Copilot'tan her ifadeyi OBSERVED (bir kayıt doğrudan destekliyor), INFERRED (henüz doğrulanmamış yorum), UNKNOWN (gerekli ancak mevcut değil) veya RECOMMENDED (önerilen kontrol, olayın gerçekleştiğine dair kanıt değil) diye sınıflandırmasını isteyin. Bu dört etiket, makul görünen yorumun vaka kaydına olgu diye kopyalanmasını önler. Eksik veri için de açık kural koyun: "İstenen değer kaynakta yoksa tahmin etmek yerine Not provided yaz." Böylece boşluklar kulağa doğru gelen tahminlerle doldurulmaz.
Oturum, promptbook ve agent arasındaki fark nedir?
Bu üç kavram, giderek artan tekrar edilebilirlik düzeylerini anlatır. Birbirine karıştırırsanız yanlış araca gidersiniz.
Security Copilot, her biri farklı girdi ve çıktı kullanan yedi yerleşik promptbook sunar: Harici tehdit makalesinin etkisini kontrol etme, Olay araştırması, Microsoft kullanıcı analizi, Şüpheli betik analizi, Tehdit aktörü profili, MDTI makalesine dayalı Threat Intelligence 360 raporu ve Güvenlik açığı etki değerlendirmesi. Seçimi hem gerekli girdiye hem de hedeflenen çıktıya göre yapın. Elinizde yalnızca bir uyarı var diye Olay araştırması promptbook'una gitmeyin. Bu promptbook, Sentinel veya Defender XDR olayından başlayıp teknik olmayan yönetici raporu üretmek için tasarlanmıştır.
Daha önce çalıştırdığınız prompt'lardan özel bir promptbook da oluşturabilirsiniz. Ad verin, <script> veya <incident> gibi yer tutucular ekleyin ve ikinci girdide test edin. Eski verinin yeni çalıştırmaya taşınmadığını doğrulayana kadar paylaşımı Just me olarak tutun. Agent'lar bu yapının daha ileri düzeyidir ve üçüncü dersin konusudur.
