重要
本文中的某些信息与预发行的产品有关，该产品在商业发布之前可能有重大修改。 Microsoft 对此处所提供的信息不作任何明示或默示的保证。
Defender 中的安全分析师代理通过提供以下功能来帮助安全分析师快速识别、评估和确定风险的优先级：
灵活分析： 对安全数据执行随时可用的或自定义分析。 获取可操作且优先的见解、建议和报告，以发现最大的漏洞和风险。
数据集成：根据说明分析来自 Microsoft Defender XDR、Sentinel Log Analytics 或 Sentinel Data Lake 的数据。 还可以上传 CSV 文件以分析自定义数据集（目前仅在 Standalone 体验中可用，但很快也将在 Defender 中可用）
交互式探索： 可视化数据以更快地发现异常和风险。
对话协助： 与代理聊天、提出后续问题并执行相关分析以加深理解
若要执行模式分析、趋势分析、时序和可视化等基本分析任务，以及更复杂的分析任务（如异常检测、聚类分析、排名、风险评分和优先级、预测和预测建模），请使用安全分析师代理来发现隐藏的风险。 智能体生成按优先级排序的洞察，并附有完整证据支撑，以确保这些洞察具有可辩护性。 这是聊天首次体验中的 Python 支持的高级分析，无需编写任何代码或查询。
代理可以对大量数据执行单步或多步骤分析，并迭代原因并发现隐藏的风险，使用详细的证据线索和理由确定这些风险的优先级。
先决条件和设置要求
你必须有权访问 Security Copilot，以及 Defender XDR、Sentinel Log Analytics 或 Sentinel 数据湖，才能使用该智能体。
访问和设置要求
- 访问要求
必须对 Microsoft Defender XDR、Microsoft Sentinel Log Analytics 工作区或 Microsoft Sentinel Data Lake 具有读取访问权限，具体取决于所选的数据源。
- RBAC 和用户专属设置
配置代理时，它会与你的身份绑定，并且仅适用于你的用户实例。
- 多用户支持
同一租户中的其他用户也可以使用自己的标识配置代理，前提是他们对所选数据源具有所需的访问权限。
安全分析师代理使用的数据源
代理当前支持三个数据源：
| 数据源 | 说明 |
|---|---|
| Defender XDR (默认) | Microsoft Defender XDR 遥测 |
| Sentinel Log Analytics | Microsoft Sentinel 日志分析工作区 |
| Sentinel Data Lake（仅适用于 Sentinel Data Lake 的必需步骤） | Microsoft Sentinel Data Lake |
可通过两种方法指定数据源：
自然语言提示：将数据源添加到指令中。 例如：
Analyze if there are privilege escalation or role elevation activities that are followed by sensitive data access in my enterprise. Please use Sentinel Log Analytics for this.
在指令中指定数据源时，代理将从该源检索和分析安全日志。 如果有多个工作区，代理会要求你指定要使用的工作区。
在提示中配置后，数据源设置将保留整个会话，直到更改。 建议将给定会话中的数据源更改限制为 3，以提高性能。
代理设置：还可以通过编辑代理设置来指定数据源。
重要
代理始终遵循你的指示。 如果代理设置与提示指令之间存在冲突，则提示指令优先。
如果未使用任一方法指定数据源，则代理首先尝试从Defender XDR检索数据。 如果因数据不可用或权限问题而失败，智能体会改为通过 Sentinel Log Analytics 重试。
配置安全分析师代理 (可选)
可以直接在 Defender 中运行安全分析师代理，而无需完成设置。 提供代理设置以支持可选配置方案，例如定义代理标识或预配置数据源。 这不会影响你在 Defender 中运行代理的能力。
重要
配置数据源是可选的。 可以直接在提示符中指定数据源，代理在执行分析时优先考虑这些基于提示的说明。 如果未在提示符中指定数据源，则代理将使用在代理设置中配置的数据源。
登录到 Security Copilot (https://securitycopilot.microsoft.com) 。
选择主菜单图标。
转到“代理”。
在 “准备安装 ”部分中，选择“ 安全分析师代理”。
对于首次安装，请在 “准备安装 ”部分找到代理，然后选择“ 设置”。 如果已为至少一个用户配置了代理，请在“正在使用的代理”部分下搜索“安全分析师代理”，然后单击“转到代理”。
提供首选数据源详细信息以配置代理：
Defender XDR：将所有字段留空，并在指令末尾指定
Use Defender XDR。Sentinel Data Lake (强制) ：
- 在
SentinelDataLake字段中输入 。 - 在“Sentinel Data Lake 工作区名称”字段中输入工作区名称。
- 将剩余字段留空。
- 在
Sentinel Log Analytics 工作区：
- 在
SentinelLogAnalyticsWorkspace字段中输入 。 - 填写以下字段： Log Analytics 工作区名称。
- 将“Sentinel Data Lake 工作区名称”字段留空并保存设置。
- 在
选择顶部的“ 与代理聊天 ”以与代理交互。
可以启动新聊天进行新的分析、查看和访问历史聊天，以及查看任何代理会话中的代理设置详细信息。
使用安全分析师智能体
执行以下步骤以在 Microsoft Defender 中使用安全分析师代理。
转到Microsoft Defender门户，然后在“调查”和“响应”下选择“高级搜寻”。
打开 Copilot，然后选择“ 安全分析师代理”。
以自然语言输入安全分析提示，或选择建议的提示之一。
如果任务范围很广，请回答代理的澄清问题，以便代理可以缩小分析范围。
（可选）在提示符中指定数据源。 如果未提供数据源，则代理首先尝试Defender XDR，然后Sentinel Log Analytics 来识别和检索分析所需的数据。
查看响应，包括优先结果、支持证据和建议。
在以下示例中，代理总结了其发现结果以及证据，并提供有关后续步骤（更深入的调查或遏制）的上下文建议。 响应还包含一个建议的后续提示列表，用户可能会提出这些提示以继续交互。
在同一会话中继续使用后续提示词，或开始新会话以开展单独的调查。
注意
代理可能需要几分钟才能完成复杂的分析。
如果运行了 KQL 查询并想要分析结果以了解安全风险，请在查询的结果选项卡下选择“ 使用 copilot 分析 ”。 该智能体会对生成的结果进行推理，并提供需要紧急关注的、按优先级排序的洞察摘要。
使用回复中的反馈按钮，告知该回复是否有帮助。
解读报表
报告组织到以下部分，帮助你查看分析和支持证据。
执行摘要
执行摘要清楚地说明了如何执行分析、概述所执行的步骤和考虑的数据。 它以简单的语言解释了筛选条件、时间范围和应用的任何排名，以便读者可以轻松遵循该过程。
关键见解
在这里，你将找到分析中最重要的发现结果，这些发现以简洁而有意义的方式呈现。 每个见解都包含一个简要说明，说明为什么它很重要，并在相关的情况下引用了支持性证据。
可视 化
“可视化效果”部分包含图表或图形，可向报表添加深度和清晰度，帮助读者快速解释数据中的模式或关系。 仅当视觉对象为分析提供唯一值时，才会包含视觉对象。
Artifacts
项目是随报告附带的支持性文件，例如包含所有已分析实体的完整 CSV 文件，以及在适用情况下提供的详细证据文件。 这些资源允许读者浏览发现背后的完整数据集。 相关产出物包括：代理用于检索数据的 KQL 查询（请注意，代理仅使用 KQL 进行数据检索，分析则在 Python 中完成），以及为执行该任务而制定的完整计划。