Episode 8 - Security Copilot: Die freien SCUs in der Praxis
Episode von Die Sentinels von Phillipe und Andreas · 20. September 2026 · 53 min
Die SCUs aus der E5-Lizenz sind freigeschaltet, aber wie arbeitet man mit Security Copilot im Defender-Portal eigentlich? Phillipe zeigt den Threat Hunting Assistant im Advanced Hunting, lässt Copilot Query-Ergebnisse auswerten und arbeitet einen Incident durch: priorisierte Response-Schritte, Zusammenfassungen für Analyst, Lead und CISO und eine Schritt-für-Schritt-Erklärung für Junior-Analysten. Anschließend schaut er in den SCU-Verbrauch, wo ein einzelner Prompt deutlich teurer war als der Rest. Vorher geht es darum, warum man KI-Output immer prüfen muss, am Beispiel einer Copilot-Query, die an has statt contains gescheitert ist.
Andreas übernimmt die Agents: den Phishing Triage Agent und seinen Nachfolger Security Alert Triage Agent mit Unified RBAC als Voraussetzung, dazu den Threat Intelligence Briefing Agent und den SIEM Migration Agent. Außerdem gibt es eine gute Nachricht zum Playbook Generator: Er zieht keine SCUs mehr.
Kapitel
00:00 Intro: Demo-Folge und die freien SCUs
02:06 KI-Output prüfen, statt ungeprüft weiterzugeben
07:17 Praxisfall: has vs. contains in einer Copilot-Query
10:54 Threat Hunting Assistant im Advanced Hunting
15:56 Analyze with Copilot: Ergebnisse auswerten lassen
~23:00 Incidents: Guided Response und Incident Assistant
27:48 Security Copilot im Incident: priorisierte Response-Schritte
~32:00 Zusammenfassungen je Rolle und Hilfe für Junior-Analysten
36:01 SCU-Verbrauch nachvollziehen
39:10 Phishing Triage Agent und Security Alert Triage Agent
~45:00 Alert Tuning, Threat Intelligence Briefing Agent, SIEM Migration Agent
~48:30 Playbook Generator ohne SCU-Kosten
49:47 Outro und Ausblick auf die nächste Folge
Links
Security Alert Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts
Interesse an einer Folge über KI-Skills? Schreibt es in die Kommentare. Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/
Weitere Episoden von „Die Sentinels“
- Episode 10 - Data Lake für alle - und jetzt? 18. Oktober 2026
- Episode 9 - Azure Portal: Abschied auf Raten 4. Oktober 2026
- Episode 7 - Security Copilot: 400 SCUs, und jetzt? 6. September 2026
- Episode 6 - AMA: Wenn keine Logs ankommen 16. August 2026
- Episode 5 - Advanced Hunting Daten in Sentinel Workbooks 2. August 2026
- Episode 4 - Data Lake, Workbooks & Berechtigungen: Die neuen Features im Defender Portal 5. Juli 2026
- Episode 3 - Agentic SOC 7. Juni 2026
- Episode 2 - M365 E7: Neue Lizenz, neue Möglichkeiten 3. Mai 2026
- Episode 1 - MCP, Microsoft, Menschlichkeit 5. April 2026
- Trailer 1. März 2026