Microsoft Security Copilot: Eine Revolution für Unternehmen und SOC-Analysen

Revolution für Unternehmen

Microsoft Security Copilot ist eine KI-gestützte Lösung, die Effizienz und Genauigkeit von Security-Teams verbessert. Für Analysten bietet sie eine assistierende Copilot-Erfahrung, unterstützt End-to-End-Sicherheitsszenarien und lässt sich nahtlos in bestehende Microsoft-Sicherheitsprodukte integrieren. Copilot nutzt die neuesten Fortschritte der KI-Technologie, um Sicherheitsanalysen zu automatisieren und zu beschleunigen, was letztlich zu besseren Sicherheitsergebnissen führt.

Zusammengefasst ist es ein leistungsstarkes Werkzeug, das Security-Teams hilft, effizienter und effektiver zu arbeiten.

Aber was ändert sich?

Die Security-Branche ist ein sich ständig weiterentwickelndes Feld, das immer auf der Suche nach neuen und wirksameren Methoden ist, um die Sicherheit von Systemen und Daten zu gewährleisten.

Mit der allgemeinen Verfügbarkeit von Microsoft Security Copilot am 1. April 2024 hielt generative KI Einzug in den Mainstream der Security Operations und der SOC-Workflows.

Microsoft-Studien zeigten messbare Produktivitätsgewinne. Erfahrene Analysten erledigten Aufgaben 22 % schneller und erzielten eine höhere Genauigkeit, während 97 % angaben, Security Copilot wieder nutzen zu wollen.

Insgesamt trägt Microsoft Security Copilot dazu bei, die Security-Branche zu verändern, indem es Effizienz und Genauigkeit von Security-Teams verbessert und zugleich Lernen und berufliche Weiterentwicklung fördert.

Wie kann ich ein Bewusstsein für KI schaffen?

Leider ist die Antwort nicht ganz so einfach, aber es gibt einige Leitprinzipien, die einen Ausgangspunkt bieten können:

• Aus- und Weiterbildung: Mitarbeitende in den Grundlagen der KI und ihrer Anwendung in der Security-Branche zu schulen, schafft eine wesentliche Basis. Das sollte sowohl theoretisches Wissen als auch praktische Anwendungen umfassen.
• Workshops und Seminare: Workshops und Seminare sind ein wertvoller Weg, um Ängsten oder Unsicherheit zu begegnen. Das hilft außerdem, Akzeptanz aufzubauen und das Vertrauen in die Technologie zu stärken.
• Ressourcen bereitstellen: Wer in die Cloud wechselt, steht immer vor der Herausforderung, das eigene Know-how aufzubauen. Ein zentraler Punkt ist hier die Bereitstellung von Ressourcen. Das ist bereits in der Grundarchitektur des Enterprise Scale Framework verankert und spiegelt sich in Sandbox-Landing-Zones wider.
• Kontinuierliche Unterstützung: Ebenso wichtig ist es, dass Unternehmen kontinuierliche Unterstützung bieten, damit Mitarbeitende KI in der Security-Branche erfolgreich einsetzen.
• Eine Kultur der Akzeptanz fördern: Unternehmen sollten eine Kultur pflegen, die die Akzeptanz und Nutzung von KI fördert.

Zusammengefasst müssen Akzeptanz und praktische Erfahrung grundsätzlich geschaffen werden, um KI später in interne Systeme zu integrieren. Dieser Schritt ist essenziell und eine der wichtigsten Phasen auf der KI-Reise.

Copilot for Security: Standalone oder eingebettet?

In der Standalone-Erfahrung von Copilot for Security wird eine eigene Anwendung verwendet. Nutzer greifen direkt auf die Copilot-Plattform zu, um Sicherheitsanalysen durchzuführen.

Seit 2025 geht Security Copilot über die klassischen Copilot-Erfahrungen hinaus und umfasst nun KI-Agenten, die Security Operations in Microsoft Defender, Entra, Intune und Purview unterstützen oder teilweise automatisieren können.

Diese Integration ermöglicht es Nutzern, Copilot zu verwenden, ohne ihre gewohnte Arbeitsumgebung verlassen zu müssen.

Wie funktioniert Copilot for Security also?

Security Copilot nutzt fortschrittliche OpenAI-Foundation-Modelle, hauptsächlich aus der GPT-4-Familie (einschließlich GPT-4o), kombiniert mit Microsofts eigenem Security-Modell und globaler Threat Intelligence.

Dieses Modell wird durch die umfassende Security-Expertise von Microsoft Security und die globale Threat Intelligence gespeist. Durch die Integration weiterer Microsoft- und Drittanbieter-Dienste erhöht es die Wirksamkeit und Effizienz von Security-Fachleuten.

Funktionen wie die Skriptanalyse ermöglichen es Kunden beispielsweise, Hunderte Zeilen Code innerhalb von Minuten zu analysieren und in natürlicher Sprache zu interpretieren.

Der Prozessablauf ist im Allgemeinen sehr einfach und beruht auf den folgenden Merkmalen.

• Gebt einen Prompt in die Prompt-Leiste ein. Das ist die Interaktion der Mitarbeitenden mit Copilot.
• Copilot for Security sendet diese Informationen an das Backend. Dort erfolgt auch die erste Datenverarbeitung, anschließend wird anhand der verfügbaren Fähigkeiten, den sogenannten Skills, ein Plan erstellt.
• Sobald ein Plan definiert und erstellt wurde, führt Copilot ihn aus, um den notwendigen Datenkontext zur Beantwortung des Prompts zu erhalten.
• Während der Ausführung des Plans analysiert Copilot alle Daten und Muster, um intelligente Erkenntnisse zu liefern.
• Copilot kombiniert alle Daten und Kontexte und nutzt die Leistungsfähigkeit seiner fortschrittlichen LLMs, also Large Language Models, um eine Antwort in verständlicher Sprache zu formulieren.
• Bevor die Antwort an den Nutzer zurückgesendet werden kann, formatiert und prüft Copilot sie im Rahmen von Microsofts Verpflichtung zu verantwortungsvoller KI. Diese basiert auf den folgenden Prinzipien:
• Fairness
• Zuverlässigkeit und Sicherheit
• Datenschutz und Sicherheit
• Inklusivität
• Transparenz
• Schließlich wird die geprüfte Antwort an den Nutzer zurückgesendet, der damit weiterarbeiten kann.

In Punkt sechs wurde das Thema verantwortungsvolle KI und Microsofts Verpflichtung kurz angesprochen. Hier möchte ich etwas genauer auf Datenschutz und Sicherheit eingehen.

Ein zentraler und wichtiger Aspekt ist hier: „Deine Daten sind deine Daten, geschützt durch umfassende Compliance- und Sicherheitskontrollen.“ Außerdem werden deine Daten nicht zum Trainieren von KI-Modellen verwendet.

Damit Daten nur der Organisation zur Verfügung stehen, werden die folgenden Maßnahmen angewendet:

• Verschlüsselung: Daten werden sowohl im Ruhezustand als auch bei der Übertragung verschlüsselt, um unbefugten Zugriff zu verhindern.
• Zugriffskontrollen: Nur autorisierte Personen haben Zugriff auf sensible Informationen. Dies wird durch rollenbasierte Zugriffskontrollen und die Zuweisung von Berechtigungen sichergestellt.
• Einstellungen zur Datenfreigabe: Die Freigabe von Kundendaten ist standardmäßig aktiviert, kann aber von den Copilot-Verantwortlichen bei der ersten Nutzung und jederzeit danach angepasst werden.
• Regelmäßige Überwachung und Protokollierung: Systemgenerierte Logs werden kontinuierlich erstellt, um die Systemaktivität zu überwachen und sicherzustellen, dass die Systeme wie erwartet funktionieren.
• Einhaltung von Datenschutzvorschriften: Microsoft Security Copilot erfüllt bestehende Datenschutz-, Sicherheits- und Compliance-Verpflichtungen, darunter die Datenschutz-Grundverordnung (DSGVO) und den EU Data Act.

Analysten können keine Daten oder Informationen einsehen, auf die sie keinen Zugriff haben. Benötigt ein Security-Analyst beispielsweise Informationen aus Microsoft Sentinel, muss er auch über die notwendigen Berechtigungen verfügen, um die Daten zu erhalten.

Hier eine Liste der wichtigsten Microsoft-Datenquellen, bzw. Skills, die mit Copilot for Security verbunden oder dafür aktiviert werden können.

• Microsoft Defender XDR
• Microsoft Sentinel
• Microsoft InTune
• Microsoft Defender Threat Intelligence
• Microsoft Entra
• Microsoft Purview
• Microsoft Defender External Attack Surface Management
• Microsoft Defender for Cloud

Darüber hinaus kann Copilot for Security mit Plugins von Drittanbietern und benutzerdefinierten Integrationen erweitert werden.

Lizenzierung

Lizenzierungs- und Berechtigungsmodelle haben sich seit der ersten Veröffentlichung weiterentwickelt. Security-Copilot-Funktionen sind nun für berechtigte Microsoft-365-E5- und -E7-Kunden über stufenweise Rollouts und enthaltene Kontingente an Security Compute Units verfügbar.

Fazit

Zusammenfassend stellt Copilot for Security eine Revolution im Security-Bereich dar, die für alle verfügbar ist und dabei umfangreiche Compliance- und Sicherheitsmaßnahmen berücksichtigt und deren Einhaltung gewährleistet. Diese Funktionalität basiert auf dem aktuellen Stand der Entwicklung künstlicher Intelligenz und wird in den hochskalierbaren Cloud-Rechenzentren von Microsoft betrieben.

Aus Anwendersicht wird sich die Angriffserkennung deutlich verbessern und auch die Incident Response beschleunigt werden, was angesichts der immer schnelleren Anforderungen des Geschäfts ein absolutes Muss ist.