AI-Driven Guided Response for Security Operation Centers with Microsoft Copilot for Security

安全运营中心需要处理从简单到高度复杂的一系列安全事件。为此，我们开发了 Copilot Guided Response (CGR)，这是一个行业级别的机器学习架构，可指导安全分析师完成三项关键任务：（1）调查，通过识别类似事件提供必要的历史背景；（2）分类，确定事件的性质——是真实的阳性、误报的阳性还是良性的阳性；（3）纠正，推荐量身定制的遏制措施。CGR已集成到Microsoft Defender XDR产品中，并在全球范围内部署，为数千个客户生成数百万条建议。我们的广泛评估包括内部评估、与安全专家的合作和客户反馈，证明CGR在所有三个任务中都提供高质量的建议。我们提供了CGR架构的全面概述，成为第一个公开深入讨论这些能力的网络安全公司的先例。此外，我们还提供了GUIDE，这是最大的公共实际安全事件收集，涵盖了100万个注释事件的1300万个证据。通过让研究人员和实践者对实际数据进行研究，GUIDE推动了网络安全的发展，并支持下一代机器学习系统的开发。

本文旨在解决安全运营中心面临的安全事件处理问题，提出了Copilot Guided Response (CGR)的解决方案，并介绍了GUIDE数据集。

CGR是一个基于机器学习的架构，引导安全分析师完成调查、分级和纠正三个关键任务，已经集成到微软Defender XDR产品中，并在全球范围内部署。GUIDE是一个公共的真实世界安全事件集合，支持研究人员和从业者进行研究。

论文介绍了CGR的架构和GUIDE数据集，并提供了对CGR的全面评估，包括内部评估、与安全专家的协作和客户反馈。实验设计合理，使用了大量真实数据，还开放了数据集和代码，对推进机器学习在安全领域的应用具有积极意义。

最近的相关研究包括《A Survey of Machine Learning for Big Code and Naturalness》、《Machine Learning and Data Mining for Computer Security》等。