AI-Driven Guided Response for Security Operation Centers with Microsoft Copilot for Security

安全运营中心需要应对从简单到高度复杂的安全事件不断涌现。为此，我们开发了 Copilot Guided Response (CGR)，这是一个行业规模的机器学习架构，可以指导安全分析师完成三项关键任务：（1）调查，通过识别类似事件提供必要的历史背景；（2）分类，确定事件的性质，是真正的阳性、误报还是良性阳性；（3）修复，推荐量身定制的遏制措施。CGR已经集成到Microsoft Defender XDR产品中，并在全球范围内部署，为数千家客户生成数百万条建议。我们进行了全面的评估，包括内部评估、与安全专家的合作以及客户反馈，证明CGR在所有三个任务中提供了高质量的建议。我们提供了CGR架构的全面概述，成为第一家公开深入讨论这些能力的网络安全公司的先例。此外，我们还提供了GUIDE，这是最大的公共实际安全事件收集，涵盖了100万个注释事件中的1300万个证据。通过使研究人员和实践者能够在实际数据上进行研究，GUIDE推进了网络安全的发展，并支持下一代机器学习系统的开发。

论文旨在解决安全运营中心面临的安全事件处理问题，提出了 Copilot Guided Response (CGR) 的解决方案，并介绍了 GUIDE 数据集。

CGR 是一个基于机器学习的解决方案，通过引导安全分析人员进行调查、分类和治理三个关键任务，为全球数千家客户生成数百万个推荐结果。同时，GUIDE 数据集提供了一个公共的真实世界安全事件集合，为研究人员和从业者提供了研究真实数据的机会。

论文对 CGR 的架构进行了全面的介绍，并对其进行了内部评估、与安全专家的合作和客户反馈。实验结果表明，CGR 在三个任务上都提供了高质量的推荐结果。此外，GUIDE 数据集为研究人员和从业者提供了一个研究真实数据的机会，推动了机器学习系统的发展。

与此相关的研究包括其他安全事件处理解决方案的研究，如 IBM QRadar 和 Splunk Enterprise Security 等。