KKC_0115 | Security Copilots Grundkurs: SOC-Arbeit neu gedacht

Security Copilots versprechen Tempo im SOC, erzeugen aber auch neue Risiken: falsche Schlussfolgerungen, unklare Quellenlagen oder ungewollte Datenweitergabe. In diesem Seminar lernen Sie, wie Sie Copilot-gestützte Arbeit so aufsetzt, dass sie im täglichen Betrieb belastbar bleibt. Sie starten mit einer realistischen Einordnung: Welche Aufgaben profitieren wirklich von KI, welche Metriken zeigen den Effekt, und wo liegen typische Fehlerbilder wie Halluzinationen oder Bias.

Danach arbeiten Sie an konkreten SOC-Use-Cases mit Microsoft Security Copilot, zum Beispiel Incident-Zusammenfassungen, Handlungsempfehlungen, KQL-gestützte Abfragen und die Verdichtung von Threat-Intelligence-Informationen. Ein zentraler Teil ist Prompting für den Betrieb: Sie entwickeln Prompt-Templates, die Kontext sauber aufbauen, Scope und Zeitfenster präzisieren und Ergebnisse so anfordern, dass sie prüfbar bleiben. Sie üben Verifikationstechniken, um Aussagen mit Logquellen, Artefakten und reproduzierbaren Abfragen zu belegen.

Anschließend bringen Sie Copilot in bestehende Abläufe: Übergaben vom Chat in Cases, von Cases in Playbooks, inklusive Dokumentation für Audit und Schichtbetrieb. Zum Abschluss erstellen Sie ein Governance- und Operating-Model mit Policies, Logging, Zugriffskontrollen, Qualitätssicherung und einem 30-60-90-Tage-Plan, damit Sie Copilots verantwortungsvoll und messbar im SOC einführen können.

• Security Copilots und geeignete SOC-Use-Cases realistisch einordnen
• Metriken für Effekte, Qualität und Risiken definieren
• Microsoft Security Copilot für Incident-Zusammenfassungen und KQL-Abfragen nutzen
• Prompt-Templates für SOC-Kontext, Scope und Zeitfenster entwickeln
• Aussagen mit Logquellen, Artefakten und reproduzierbaren Abfragen verifizieren
• Copilot-Ergebnisse in Cases, Playbooks und Audit-Dokumentation überführen
• Operating Model mit Policies, Zugriffskontrollen, Qualitätssicherung und Rollout-Plan erstellen

Das Seminar richtet sich an SOC-Teams, Security Analyst/innen, Incident-Response-Teams, IT-Sicherheitsverantwortliche und Führungskräfte im Security-Betrieb.

Vorausgesetzt werden Grundkenntnisse in IT-Sicherheit oder SOC-Arbeit. Erfahrungen mit Microsoft-Security-Tools oder KQL sind hilfreich.

• Copilot-Realität im SOC
  • Einsatzfelder: Triage, Hunting, Reporting, Knowledge
  • Grenzen: Halluzinationen, Datenabfluss, Bias
  • Rollenmodell: Analyst, Engineer, Lead, CISO
  • Messgrößen: MTTD, MTTR, Alert-Fatigue
• Use Cases mit Microsoft Security Copilot
  • Incident-Zusammenfassungen und Next Steps
  • KQL-gestützte Abfragen und Hypothesen
  • Bedrohungsanalyse aus TI-Feeds
  • Automatisierte Executive- und Audit-Reports
• Prompting, das im Betrieb funktioniert
  • Prompt-Templates für Triage und Hunting
  • Kontextaufbau: Artefakte, Zeitfenster, Scope
  • Verifikation: Quellen, Belege, Reproduzierbarkeit
  • Fehlerbilder erkennen und abfangen
• Integration in SIEM, SOAR und Ticketing
  • Copilot in Workflows: Sentinel, Defender XDR
  • Handovers: Chat zu Case, Case zu Playbook
  • Runbooks, Automations und Genehmigungen
  • Dokumentation für Nachvollziehbarkeit
• Governance, Datenschutz und Risiko
  • Datenklassifizierung und Prompt-Redaction
  • Logging, Aufbewahrung, Zugriffskontrollen
  • Threat Modeling für Copilot-Workflows
  • Policy-Set: Do’s, Don’ts, Freigaben
• Operating Model und Enablement
  • Skill-Matrix und Trainingspfade im SOC
  • Qualitätssicherung: Review, Sampling, KPIs
  • Einführung in 30-60-90 Tagen
  • Business Case und Kostensteuerung