Aunque Microsoft había presentado recientemente Copilot, un chatbot basado en OpenAI para Office, Microsoft rápidamente siguió con Security Copilot.
Al igual que su contraparte de Office, Security Copilot es principalmente un chatbot. Sin embargo, mientras que el lanzamiento inicial de Copilot se enfoca en Office, Security Copilot tiene que ver con la seguridad empresarial. Security Copilot ingiere datos de varias herramientas de seguridad y tiene como objetivo ayudar a los profesionales de la seguridad a comprender lo que sucede en un entorno empresarial.
Puede utilizar la sencilla interfaz de chat de Security Copilot para hacer preguntas como las siguientes:
- ¿Cuáles son algunas amenazas comunes?
- ¿Cómo puedo mejorar mi situación de seguridad?
- ¿Qué alertas se activan más?
- ¿Cuáles son los incidentes de seguridad no resueltos?
- ¿Me puede dar un resumen de la vulnerabilidad en Log4J?
Si bien es útil utilizar consultas en lenguaje natural para escanear la seguridad de su organización, Security Copilot proporciona características adicionales que pueden ser más valiosas.
La función de importación del copiloto de seguridad simplifica la identificación de incidentes
Una de estas características es la capacidad de importar datos. Aunque la interfaz de Security Copilot es básicamente un cuadro de texto, puede arrastrar y soltar archivos en el cuadro de texto, lo que permite que Security Copilot analice el archivo.
Por cierto, no está limitado a trabajar solo con archivos. También puede proporcionar a Security Copilot URL y fragmentos de código.
Para darle un ejemplo más concreto de por qué esta característica es útil, considere la La última demostración de Microsoft. En la demostración, el presentador extrajo un archivo de registro basado en JSON en la interfaz de Security Copilot y luego preguntó si el archivo contenía alguna actividad maliciosa relacionada con un evento de inicio de sesión sospechoso detectado por Microsoft Sentinel.
Puede ver una captura de pantalla de la demostración en la Figura 1.
Figura 1. Puede arrastrar y soltar archivos en Security Copilot.
Algunas personas pueden pensar que esta función no es más que un análisis de registros. Sin embargo, cuando analiza un registro de seguridad para identificar un incidente, generalmente debe saber qué buscar (identificadores de eventos relacionados, etc.). Security Copilot lo hace para que no necesite tener una comprensión detallada de los eventos dentro del archivo de registro. Simplemente puede decirle a Security Copilot qué buscar y luego seleccionará los elementos relevantes dentro del archivo.
Aunque Microsoft usó un archivo de registro en su demostración de Security Copilot, se supone que puede hacer preguntas a Security Copilot sobre una variedad de tipos de archivos.
Cómo Quickbooks ayuda a automatizar la respuesta a incidentes
Otra característica atractiva es el libro instantáneo. Un libro de puntos es esencialmente un conjunto de pasos o automatizaciones que se pueden realizar desde dentro de Security Copilot.
Por ejemplo, en la demostración de Microsoft mencionada anteriormente, se creó un libro dirigido a la ingeniería inversa de un script malicioso de PowerShell. Debido a que los pasos requeridos se guardan en un cuaderno de instrucciones, Microsoft puede hacer que esta funcionalidad esté disponible para que cualquiera la use, incluso si no tienen experiencia en código de ingeniería inversa.
En la Figura 2 puede ver el libro instantáneo que se muestra en la demostración. El Instant Book fue diseñado para aplicar ingeniería inversa al guión, explicar las capacidades del guión y producir una imagen que explicaría todo el incidente que rodea al guión.
Figura 2. Este escritor instantáneo aplica ingeniería inversa al guión y produce una imagen visual que identifica el incidente que rodea al guión.
La figura 3 muestra el primer paso que se realiza al implementar este libro instantáneo. Como puede ver, Security Copilot analizó el script y descubrió que está diseñado para descargar un archivo ejecutable llamado DoorBreach.exe.
Figura 3. Security Copilot analizó el guión en cuestión.
Luego, este libro instantáneo genera un diagrama de flujo que muestra el progreso completo del exploit. Muestra qué usuario activó el exploit y desde dónde. La Figura 4 muestra a un usuario llamado Devon Torres que trabajaba desde Workstation8, usó OneNote y abrió un archivo llamado SalesLeads(1).onepkg. Este paquete lanzó WSScript.exe, que a su vez lanzó PowerShell e invocó el script malicioso. Este script luego lanzó un archivo ejecutable que estableció una conexión con un servidor remoto y un controlador de dominio.
Figura 4. El copiloto de seguridad creó una imagen del accidente.
Dado que Security Copilot es nuevo, es difícil saber con certeza qué tan bien funcionará en el mundo real. Sin embargo, una demostración reciente de Security Copilot de Microsoft parece muy prometedora.
Sobre el Autor
Brien Posey es autor de superventas en tecnología, orador y 21x MVP de Microsoft. Además de su trabajo continuo en tecnología de la información, Busey se formó como astronauta comercial como preparación para volar en una misión para estudiar las nubes polares de la atmósfera desde el espacio.
