AI-Driven Guided Response for Security Operation Centers with Microsoft Copilot for Security

安全运营中心需要应对不断涌现的安全事件，从简单到高度复杂不等。为了解决这个问题，我们开发了Copilot Guided Response (CGR)，这是一个行业规模的机器学习架构，指导安全分析师完成三个关键任务——(1)调查，通过识别相似的事件提供必要的历史背景;(2)分类，确定事件的性质——是真正的阳性、误报还是良性阳性;(3)修复，推荐量身定制的遏制措施。CGR已经集成到Microsoft Defender XDR产品中，并在全球范围内部署，为数千个客户生成了数百万条建议。我们进行了广泛的评估，包括内部评估、与安全专家的合作和客户反馈，证明CGR在所有三个任务中都提供了高质量的建议。我们提供了CGR架构的全面概述，成为第一个公开讨论这些能力的网络安全公司的先例。此外，我们还推出了GUIDE，这是一个公开的最大实际安全事件集合，涵盖了1300万个证据和100万个注释事件。通过让研究人员和从业人员在真实数据上进行研究，GUIDE推进了网络安全的发展，并支持下一代机器学习系统的发展。

本篇论文旨在解决安全运营中心面临的安全事件处理问题，提出了一种基于机器学习的 Copilot Guided Response (CGR) 架构，用于引导安全分析师完成调查、分类和应对等关键任务。

CGR 架构通过识别相似事件提供历史背景信息，通过分类确定事件的性质，以及推荐个性化的应对措施，从而引导安全分析师处理安全事件。该架构已经集成到 Microsoft Defender XDR 产品中，并在全球范围内部署，通过内部评估、与安全专家的合作和客户反馈等多种方式得到了验证。

本论文的亮点包括：介绍了 Copilot Guided Response (CGR) 架构，为业界首次公开讨论该架构的详细功能；提供 GUIDE 数据集，包含 13M 个证据和 1M 个已注释的安全事件，为研究人员和从业者提供了真实世界数据进行研究；通过多种评估方式验证了 CGR 架构在调查、分类和应对等任务上的高质量推荐。

近期在该领域的相关研究包括：《Machine Learning for Cyber Security: A Review》、《A Survey of Machine Learning for Big Data Processing》等。