描述 Microsoft Copilot for Security

组织面临的主要安全挑战包括：

• 攻击的数量和复杂性增加。
• 人才短缺推动了对安全工具自动化、集成和整合的需求。
• 安全、隐私、合规性和治理的可见性。

组织需要迅速采取行动来解决他们面临的所有安全挑战，但即使不存在人才短缺，以人类的速度工作也是不够的。组织需要以机器的速度工作。

Microsoft Copilot for Security 是一款基于人工智能、基于云的安全分析工具，使分析师能够快速响应威胁、以机器速度处理信号，并比其他方式更快地评估风险暴露。

用例

Microsoft Copilot for Security 支持许多用例，包括：

• 安全态势管理。 Copilot 提供有关可能使组织面临已知威胁的任何信息。然后，它为分析师提供有关如何防范这些潜在漏洞的规范性指导。
• 事件响应。副驾驶可以快速发现事件。对于浮出水面的事件，Copilot 可以利用其他数据源的上下文来丰富它，评估其规模和影响，并提供有关来源的信息。然后，Copilot 可以通过指导性建议指导分析师完成响应和补救步骤。 Copilot 通过从 Defender XDR 和 Sentinel 等其他来源提取数据，然后将所有数据关联起来并进行分析，从而提供单一可视性界面。
• 安全报告。 Copilot 可以提供易于共享且易于使用的可定制报告，使分析师能够更多地关注与保护组织安全相关的高价值任务。

这些用例仅代表 Copilot 提供的部分功能，有助于提高分析师的工作效率并提升他们的水平。

独立和嵌入式体验

您可以通过专用网站体验 Copilot，也称为独立体验。用户通过提示栏与 Copilot 交互。在提示栏中，用户以自然语言发出请求并接收文本、图像或文档形式的响应输出。

此外，一些 Microsoft 安全产品将 Copilot 功能直接嵌入到产品的用户界面中。这种体验被称为嵌入式体验。例如，Microsoft Defender XDR 支持 Copilot 功能，包括总结事件、分析脚本、生成 KQL 查询等。

有关独立和嵌入式体验的更多信息将在后续模块中介绍。本模块其余部分显示的图像均基于独立体验。

自然语言处理（NLP）

Copilot 使用 Azure OpenAI 服务构建，旨在与现有安全工具和流程集成，使组织能够更轻松地改善其整体安全状况。 Azure OpenAI 服务提供对 OpenAI 强大的大型语言模型 (LLM) 进行自然语言处理 (NLP) 的 REST API 访问，同时提供 Microsoft Azure 的安全功能。

通过访问强大的 NLP 法学硕士，Copilot 能够阅读、破译和理解人类语言，使用户能够使用自然语言安全地与之交互。尽管法学硕士接受了大量信息的培训，赋予副驾驶广泛的常识和解决问题的能力，但这还不够。安全分析师希望他们的副驾驶接受安全方面的培训，这就是与现有安全工具和流程的集成发挥作用的地方。

与安全特定源集成

Copilot 将强大的法学硕士与 Microsoft 的特定安全模型相结合。这种特定于安全的模型以 Microsoft 独特的全球威胁情报、超过 65 万亿个每日信号为基础，并使用插件和知识库连接来整合来自越来越多的特定于安全的来源的信息。通过插件，Copilot 可以与 Microsoft 自己的安全产品、非 Microsoft 产品和开源情报源集成。与组织知识库的连接为 Copilot 提供了更多背景信息，从而产生更相关、更具体和针对用户定制的响应。通过先进通用模型和安全特定源的强大组合，Copilot 能够以机器速度学习，帮助分析师识别和响应新出现的威胁。

您向 Copilot 提供的信息只有您的组织才能访问。您的数据就是您的数据，它受到全面的企业合规性和安全控制的保护。您的数据不会用于训练基础 AI 模型。

Microsoft Copilot for Security 是首款使防御者能够以人工智能的速度和规模行动的安全产品。

描述 Microsoft Copilot for Security 术语

在本单元中，我们向您介绍一些基本术语。

术语

以下术语对于理解 Copilot 的工作方式非常重要：

• 会话 – Copilot 内的特定对话。 Copilot 维护会话中的上下文。
• 提示——会话中的特定陈述或问题。用户在提示栏中输入提示。
• 能力/技能 – Copilot 用于解决部分问题的功能
• 插件/技能集 – 特定资源的技能集合
• Orchestrator – Copilot 的系统，用于将功能（技能）组合在一起以回答用户的提示

提示栏和会话

Microsoft Copilot for Security 的中心是提示栏。您可以使用提示栏告诉 Copilot 您希望从安全数据中获得哪些见解，这称为提示。换句话说，提示是您在提示栏中提供的基于文本的自然语言输入，指示 Copilot 生成响应。尽管您使用自然语言与 Copilot 交互，但在您提供的提示（具体问题或陈述）中具体化会很有帮助。对于那些刚刚接触安全分析师角色并接触人工智能的人来说，有效的提示可能需要一些练习。为此，Copilot 提供了提示手册，其中提供了一系列预选的提示和提示建议（后续模块中将对此进行详细介绍）。

当您提出请求并 Copilot 做出响应时，您可能会有一些后续请求。整个对话称为会话。 Copilot 维护会话中的上下文。

插件和功能

在上一单元中，我们提到 Copilot 通过插件与各种来源集成，包括 Microsoft 自有的安全产品（例如 Microsoft Sentinel、Microsoft Defender XDR 和 Microsoft Intune）、非 Microsoft 解决方案和开源情报源。该插件针对任何特定数据源启用的集成为 Copilot 提供了一系列功能（技能）。每个能力（技能）就像软件中的一个功能，它被设计为在数据源范围内执行专门的任务。例如，Microsoft Defender XDR 的插件包含一组仅由 Microsoft Defender XDR 使用的单独功能。这些包括：

• 总结事件的能力。
• 支持事件响应团队通过指导响应（一组基于特定事件的建议操作）解决事件。
• 分析脚本和代码的能力。
• 能够从自然语言输入生成 KQL 查询。
• 生成事件报告的能力。

Microsoft Sentinel 的插件可能具有类似的功能，但仅在 Microsoft Sentinel 的范围内运行。

Copilot 目前支持 Microsoft 服务和非 Microsoft 服务的插件，包括可以启用的网站和自定义插件。

某些插件需要设置和配置，如设置按钮或齿轮图标所示。对于 Microsoft 插件，可能需要在需要指定资源特定信息的地方进行设置。对于非 Microsoft 源，可能需要进行帐户身份验证设置。

协调者

协调器是 Copilot 的系统，用于将功能（技能）组合在一起以回答用户的提示。在描述 Copilot 如何处理提示请求的后续单元中将更详细地说明此功能。

描述 Microsoft Copilot for Security 如何处理提示请求

现在，您已经对插件、功能以及用户如何通过提示与 Microsoft Copilot for Security 进行交互有了基本的了解，值得深入了解一下这些组件如何组合在一起处理提示请求并为安全分析师提供帮助。

工艺流程

当用户提交提示时，Copilot 会处理该提示以生成最佳响应。下图说明了这些流程步骤，以提供对正在发生的情况以及响应如何产生的一般理解。

1. Copilot 将用户提示和已启用源（插件和知识库）的 Copilot 功能的完整列表捆绑在一起，然后将其发送到 Azure OpenAI，并请求制定满足用户请求的计划

2. Copilot 将用户提示和已启用源（插件和知识库）的 Copilot 功能的完整列表捆绑在一起，然后将其发送到 Azure OpenAI，并请求制定满足用户请求的计划

3. Azure OpenAI 运行高级 LLM，将提示与可用功能（技能）相匹配，并创建一个计划（一组步骤）来满足用户的请求。该计划被发送回协调器。

a.

1. 如果没有能力匹配，则使用常识LLM生成对用户提示的响应，并且过程跳转到步骤7。

b

1. 常识 LLM 擅长常识和问题解决，但并不唯一关注安全性，因此提供的响应更有可能不准确。因此，启用插件并连接到知识库以将一系列资源特定功能引入 Copilot 是有益的。

4.Copilot 的协调器通过运行所选插件/功能的代码并调用适当的应用程序编程接口 (API) 来收集信息并采取行动来执行计划。

5.第一方和第三方集成合作伙伴应用程序收集信息并根据 API 调用执行操作，并将响应发送回 Copilot。

6.协调器接收来自 API 调用的响应，但尚未准备好发送给用户。副驾驶重复该过程以确保最佳响应。在将最终响应发送给用户之前，编排器会将该响应与原始提示捆绑在一起，并将其发送回 Azure OpenAI。

7.Azure OpenAI 利用其高级 LLM 的强大功能，使用对人类有意义的语言来撰写响应。

8.该响应会发送回 Copilot，供 Microsoft 负责的 AI 模型进行审查，该模型会查找任何恶意、仇恨言论等内容。

a.如果一切看起来都不错，那么响应就会发送给用户

b.如果检测到恶意或不当内容，则会生成错误消息，而不是将信息发送给用户。

9.用户收到副驾驶的响应。

进程日志

在此过程中，Copilot 会生成用户可见的进程日志。用户可以看到使用什么能力（技能）来生成响应。这很重要，因为它使用户能够确定响应是否是从可信来源生成的。在下面的屏幕截图中，进程日志显示 Copilot 选择了 Microsoft Sentinel 插件并列出了所选功能（技能）。流程日志还显示，最终输出经过了安全检查，这是微软对负责任的人工智能承诺的一部分。

描述有效提示的要素