Microsoft Security Copilotとは？ SOC運用での活用例と導入前の確認ポイント

サイバー攻撃は、スピードと巧妙さを増しています。企業のセキュリティ担当者は、増加するアラートや膨大なログの分析・調査に、多くの時間を要するケースが増えています。
Microsoft Security Copilot（以下、Security Copilot）は、こうした業務を自然言語と生成AIで支援するセキュリティソリューションです。情報の要約、調査観点の整理、KQLの作成、レポート作成などを支援し、担当者が分析と判断に集中しやすい環境を整えます。

本コラムでは、Security Copilotの位置付けと主な利用方法、SOCでの具体的な活用例、導入前に確認しておきたい事項を紹介します。

Security Copilotとは？

Security Copilotは、Microsoftが提供するセキュリティ特化型の生成AIです。
単なるチャットAIではなく、以下と連携することで価値を発揮します。
-Microsoft Defender XDR
-Microsoft Sentinel
-Microsoft Purview
-Microsoft Entra ID
-Microsoft Intune
-その他Microsoft Security製品群、3rd Party製品

Security Copilotは、連携した製品から必要な情報を取得し、自然言語のプロンプトに応答します。
つまり、組織のセキュリティデータを理解し、分析支援を行うAIアナリストと捉えると分かりやすいかと思います。

Security Copilotの主な利用方法

Security Copilotは、主に「製品内で使う」「専用ポータルで使う」という2つのエクスペリエンスを提供します。
加えて、Azure Logic AppsやPower Automateから呼び出し、定型的な処理をワークフローに組み込むこともできます。

それぞれを詳しく見ていきましょう。

製品内で使う（埋め込みエクスペリエンス）

Microsoft Defender XDRやMicrosoft Entra IDなど、普段利用している製品ポータル内でSecurity Copilotを利用する方法です。たとえば、インシデントの要約や関連情報の整理など、製品ごとの支援機能を利用できます。
普段から使い慣れている製品ポータル内で自然に利用できるため、既存の調査フローへ取り入れやすい点が特長です。

Microsoftセキュリティ　資料一覧を見る　＞＞

お問い合わせはこちら

専用ポータルで使う（スタンドアロン エクスペリエンス）

専用ポータルでは、Security Copilotの専用ポータルを利用しSecurity Copilotの各種設定や、対話型形式による柔軟な調査が可能です。
利用可能なプラグインを通じて、複数のデータソースを横断して情報を整理できます。

プロンプトブックと呼ばれる機能を利用すると、複数のプロンプトを一連の手順として実行できます。脆弱性の影響確認やユーザー調査など、繰り返し発生する調査の手順をそろえる際に役立ちます。
経験の浅い担当者でも一定の手順に沿って調査を進められるため、調査品質の標準化にもつながりチーム全体の作業品質を高めることが期待されます。

ワークフローから呼び出す（Logic Apps／Power Automate連携）

Azure Logic AppsのSecurity Copilotコネクタを利用すると、ワークフローからプロンプトやプロンプトブックを実行できます。Power AutomateでもSecurity Copilotのコネクタが用意されています。

たとえば、Logic Appsではインシデントの発生をきっかけに要約を生成し、担当者へ通知する流れを構成できます。
これにより、インシデント発生時の初動調査、要約生成、結果通知といった定型業務を自動化できます。

SOC運用での活用ユースケース

それではここから実際の運用シーンに沿ってユースケースを一部ご紹介したいと思います。

インシデント初動の情報整理

重大なインシデントが発生すると、SOC担当者はアラートの確認、ログ調査、攻撃経路の整理、影響範囲の特定、報告書作成を進めます。複数のアラートが関連する場合、全体像の把握だけでも時間がかかります。
Security Copilotは、インシデントの要約、攻撃チェーンの説明、MITRE ATT&CKへの対応付け、影響範囲や対応内容の整理を支援します。
これにより、担当者は情報収集にかかる時間を抑え、ネクストアクションの優先順位の判断と対応に集中できるようになります。

KQL作成・ログ分析のハードルが下がる

Microsoft SentinelやMicrosoft Defender XDRでの調査では、KQL（Kusto Query Language）が必要になる場面が多々あります。

Security Copilotは、「直近30日間で不審なPowerShell実行を検出するクエリを作成して」といったような自然言語からKQLを作成してくれます。
さらにクエリの意味の説明や条件追加観点の提案を受けることも可能です。

これにより、経験の浅いアナリストでもログ分析においてKQLを用いたハンティングに挑戦しやすくなります。

レポーティングの効率化

日次、週次、月次のレポート作成では、アラートやインシデントの情報を読み直し、対象読者に合わせて表現を整える作業が発生します。
Security Copilotは、インシデント概要の要約、重要事項の整理、経営層向けの表現への書き換えを支援します。

報告業務の負荷軽減は、アナリストを“分析”に集中させるための重要な要素です。
また、Logic AppsやPower Automateと組み合わせれば、週次の脆弱性報告レポートやアラートサマリレポートの作成を自動化することも可能です。
これにより、アナリストは定型的な報告作業ではなく、分析や判断により多くの時間を割けるようになります。

導入前に確認したい4つのポイント

ここまで、Security Copilotの主な使い方をご紹介しました。
一方で、Security Copilotを効果的に活用するためには、機能を理解するだけでなく、導入前にコストや運用権限、連携対象などを整理しておく必要があります。
ここからは、導入にあたって押さえておきたい4つのポイントをご紹介します。

1. 容量モデルとコスト

まず前提として、Security CopilotはAzureサブスクリプションの従量課金制です。
SCU（セキュリティ・コンピューティング・ユニット）と呼ばれる Security Copilotが分析や生成を行うための計算リソース単位で利用量が管理されます。
インシデント要約やKQL生成などの処理を実行すると、このSCUが消費される形になります。

Security Copilotは大きく次の2つの容量で動作します。
プロビジョニングSCU：常時確保しておく計算リソース (1SCUあたり $4/時間)
超過SCU（Overage）：想定以上の利用が発生した場合に追加で使用されるリソース (1SCUあたり $6)
プロビジョニングSCUは時間単位で課金され、超過SCUは実際の使用量に応じて課金されます。

プロビジョニングSCUは1時間単位で確保し、超過SCUは利用量に応じて課金されます。
利用開始後は使用状況ダッシュボードを定期的に確認し、想定したユースケースとSCU消費量を比較し最適値をチューニングしていく形となります。

2. Microsoft 365 E5／E7の包含容量

ここまで見ると、「Security Copilotは従量課金なのでコストが心配」と感じる方もいるかもしれません。
実は、Microsoft 365 E5またはE7ライセンスをご利用の場合、Security Copilotを追加費用なしで利用できる特典が提供されています。
具体的には、保有ライセンス数に応じてテナントごとに一定量のSCUが毎月付与^(※)されるため、インシデントの要約やKQL生成、レポート作成などの基本的なユースケースであれば、追加課金なしでSecurity Copilotを体験することが可能です。
ライセンスをお持ちのお客様は、まずはこの特典を活用し、自社のSOC運用でどのような効果が得られるかを検証し、本格導入時に必要なSCU数を見積もることをおすすめします。

(※)ユーザーライセンス1,000件あたり月400 SCUが付与。

3. プラグインによるアクセス

Security Copilotは、Microsoft Defender XDRやMicrosoft Sentinelだけでなく、Microsoft EntraやIntuneなど、さまざまなデータソースと連携できます。

また、Microsoftが提供するプラグインに加え、独自プラグインを作成することで、自社システムや他社製品との連携も可能です。
そのため、Security Copilotにどの情報を参照させたいのか、どの製品と連携させるのか、外部システムとの連携要否といった観点で整理しておくことが重要です。

4. ロールとアクセス権限

Security Copilotは、利用者がアクセスできる情報の範囲内で回答を生成します。
たとえば、Sentinelワークスペースへの権限がない場合は、その情報を利用した回答は得られません。
一方で、必要以上に権限を付与すると、不要な情報まで参照できてしまう可能性があります。
そのため、SOCアナリスト、SOCリーダー、管理者などの役割ごとに、必要な業務だけを実行できるよう、最小権限の原則で設計します。

TISIのセキュリティ対策サービス紹介

今回は、Security Copilotの概要や活用方法、導入時に考慮すべきポイントをご紹介しました。

TISIでは今回ご紹介したSecurity Copilotの評価・導入のご支援に加え、Microsoft Defender XDR、Microsoft Sentinel、Microsoft Entra ID、Microsoft Intune、Microsoft Purviewといったセキュリティ基盤の設計・運用を支援しています。
クラウド導入・運用で国内トップクラスの実績を誇るTISIなら、20年以上のセキュリティ事業展開で培った経験を活かし、Microsoft 365の安全かつ確実な導入・運用の支援が可能です。

Security Copilotに関心をお持ちの方や、Microsoftセキュリティ製品の導入・運用にお悩みの方は、ぜひお気軽にご相談ください。

Microsoft Security Copilot 導入支援サービス　詳細はこちら＞＞

お問い合わせはこちら

著者

ＩＴ基盤技術第１事業本部　ＩＴ基盤サービス事業部　セキュリティソリューション部　大貫　ちひろ