مراقبة الأمان باستخدام Copilot مع Microsoft Sentinel: الدليل الكامل

By Mirko Peters · 2026-04-17 · Updated 2026-04-18

يُحدث Microsoft Copilot تحولاً في عمل فرق الأمان، إذ يجلب المراقبة والاستجابة المدعومتين بالذكاء الاصطناعي مباشرةً إلى Microsoft Sentinel. يأخذك هذا الدليل خلال تفاصيل دمج Copilot مع Sentinel، بدءاً من فهم التنبيهات الكثيرة وصولاً إلى تخصيص سير العمل والحفاظ على الأمان…

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot Security Monitoring With Microsoft Sentinel: Complete Guide

يُحدث Microsoft Copilot تحولاً في عمل فرق الأمان، إذ يجلب المراقبة والاستجابة المدعومتين بالذكاء الاصطناعي مباشرةً إلى Microsoft Sentinel. يأخذك هذا الدليل خلال التفاصيل العملية لدمج Copilot مع Sentinel، بدءاً من فهم التنبيهات الكثيفة وصولاً إلى تخصيص سير العمل والحفاظ على الأمان. ستجد شروحاً واضحة لكيفية رفع Copilot لدقة الاكتشاف وسرعة الاستجابة ومستوى خبرة الفريق.

سنتناول كل شيء بدءاً من الإعداد الأولي وصولاً إلى بناء فرز مدعوم بالذكاء الاصطناعي قادر على مواكبة أحجام التنبيهات الضخمة. وإن كنت تبحث عن المرونة، فسترى كيف يمكن ضبط Copilot وفق قطاع عملك، وكيف تضمن بقاء بياناتك وضوابط الوصول محكمة طوال الطريق. وفي النهاية، ستدرك لماذا يحدد هذا المزيج مستقبل مراقبة التهديدات المتقدمة والاستجابة لها.

شرح تكامل Microsoft Copilot مع Microsoft Sentinel

يعمل Microsoft Copilot وMicrosoft Sentinel معاً لترقية مركز العمليات الأمنية (SOC) لديك بشكل حقيقي. يتصل Copilot مباشرةً بنظام SIEM السحابي الأصلي في Sentinel، ويعمل كمساعد مدعوم بالذكاء الاصطناعي يساعد على مراقبة التهديدات وتحليلها وتصعيدها بسرعة أكبر من الأدوات التقليدية وحدها. ويستخدم Copilot معلومات Microsoft الاستخباراتية عن التهديدات وتقنيات التعلم العميق لفرز مليارات الإشارات، محولاً الضجيج الهائل إلى رؤى مستهدفة.

يعمل التكامل عبر موصل بيانات يربط بشكل آمن سجلات Sentinel وبيانات القياس عن الأحداث ضمن بيئة Copilot. ثم يعالج Copilot هذه البيانات الموحدة بحثاً عن أنماط تدل على التهديدات أو السلوكيات الخطرة أو الاختراقات المحتملة. وهو لا يحل محل تحليلات Sentinel، بل يمكن اعتباره طبقة إضافية تُبرز ما يحتاجه المحللون أكثر من غيره، في اللحظة التي يحتاجونه فيها.

من الناحية المعمارية، يعمل Copilot كطبقة ذكاء اصطناعي فوق Sentinel. ويستفيد من البيانات القادمة من المصادر المتصلة (Azure وMicrosoft 365 والسجلات المخصصة) ومن منصات الأمان الأخرى في Microsoft مثل Defender وPurview. والنتيجة مراقبة محكمة على مدار الساعة، وفرز مدعوم بالذكاء الاصطناعي، وتوصيات أذكى. تنطبق بعض القيود، إذ يعتمد Copilot على جودة البيانات وتغطيتها، ويُعد إدارة الأذونات بعناية أمراً أساسياً. لكن هذا التكامل يمثل قفزة إلى الأمام في أتمتة عمليات الأمان وتوسيع نطاقها.

استخدام موصل بيانات Copilot في Microsoft Sentinel

يمثل موصل بيانات Copilot البوابة التي تنقل القياسات الغنية في Sentinel إلى محرك الذكاء الاصطناعي في Copilot. ويتضمن الإعداد تسجيل الموصل في مساحة عمل Sentinel الخاصة بك، ومنح الأذونات المناسبة لاستيعاب البيانات. وعادةً ما تستخدم Microsoft Entra ID للتحكم الدقيق في الوصول، بما يحافظ على الأمان والامتثال.

الإعداد مباشر وبسيط: اختر مصادر السجلات التي تريد تضمينها، مثل نشاط Azure وأحداث Office 365 وسجلات Cloud Application Security وغيرها. ويدعم الموصل مجموعة واسعة من أحداث الأمان الشائعة، لكي يرى Copilot الصورة الكاملة عبر بيئتك. وبعد الإعداد، تتدفق البيانات باستمرار إلى Copilot، لتدعم التنبيه والتحليل في الوقت الفعلي.

تتمثل الفائدة الحقيقية في البيانات الموحدة: مكان واحد لربط الإشارات ورصد الاتجاهات واكتشاف التهديدات المتقدمة التي قد تفوتها الأدوات المعزولة. راجع إعداد الموصل بانتظام لتجنب فجوات البيانات، وللحفاظ على عمل كل شيء بسلاسة من أجل الحصول على أدق الرؤى المدعومة بالذكاء الاصطناعي. وإذا كنت في مرحلة المعاينة العامة، فستتيح لك هذه العملية البدء بالمراقبة الموحدة بسرعة، قبل التوسع في النشر على نطاق واسع.

كيف يساعد Copilot فرق الأمان على الاستجابة بشكل أسرع

يسرّع Copilot الاستجابة الأمنية في Sentinel من خلال أتمتة التحليل المتكرر وإبراز التفاصيل الأهم أثناء الحادثة. فبدلاً من أن يضطر المحللون إلى تصفح سجلات لا نهاية لها أو تجميع السياق يدوياً، يلخص Copilot المؤشرات الرئيسية، ويسرد الأسباب المحتملة، ويقترح خطوات التحقيق في الوقت الفعلي.

يقلل هذا الفرز المدعوم بالذكاء الاصطناعي بشكل كبير متوسط زمن الاستجابة (MTTR). يتولى Copilot الأعمال الروتينية الشاقة، مثل جمع الأدلة وربط الأنشطة المشبوهة، وحتى صياغة توصيات الاحتواء. وعندما يتدخل الإنسان، يكون على اطلاع كامل وجاهز للتصرف. وينتقل العمل من Copilot إلى المحلل بسلاسة، مع وضوح السياق في المقدمة.

تشمل السيناريوهات التي تُبرز فيها سرعة Copilot قيمتها هجمات القوة الغاشمة على الحسابات، وانتشار البرمجيات الخبيثة، ومحاولات التصيّد الاحتيالي الجماعية. وفي مثل هذه المواقف عالية الضغط، فإن الوصول إلى السبب الجذري بسرعة أكبر بضع دقائق قد يوقف الضرر قبل أن ينتشر. كما أن فريقك يقضي وقتاً أقل في فرز التنبيهات الحميدة، ويقضي وقتاً أطول في التهديدات التي تتطلب خبرة عملية مباشرة.

استخدام الذكاء الاصطناعي لرصد ما يفوته الآخرون

في حين قد تكتفي قواعد SIEM التقليدية برصد التهديدات المعروفة أو الحالات الشاذة البسيطة، يذهب ذكاء Copilot الاصطناعي إلى أبعد من ذلك. فهو يطبّق نماذج متقدمة للتعلم الآلي، ويستفيد من استخبارات التهديدات العالمية لدى Microsoft، للكشف عن أنماط الهجوم الخفية، وتصعيد الصلاحيات الدقيق، وسلاسل الاستغلال التي لم تُرصد من قبل.

وهذا يعني أن فريق الأمن لديك يستطيع اكتشاف المخاطر الخفية، مثل الحركة الجانبية داخل الشبكة، ومحاولات القوة الغاشمة البطيئة والمتدرجة، وسوء استخدام موارد السحابة المُقنَّع بإحكام، وهي أمور قد تفوت حتى أفضل القواعد اليدوية. ومن خلال الجمع بين تحليل البيانات الضخمة والاستدلال المدعوم بالذكاء الاصطناعي، يوسّع Copilot نطاق تغطية Sentinel بما يتجاوز أساليب الرصد التقليدية بكثير.

تعزيز الخبرة بإرشادات Copilot الذكية

لا يكتفي Copilot بالأتمتة، بل يعلّم أيضاً. تخيّل أن لديك محلل خبيراً يرافقك في كل تنبيه أو حادثة. وبالنسبة إلى محللي مراكز العمليات الأمنية المبتدئين أو لمن يعملون مع Microsoft Sentinel للمرة الأولى، يشرح Copilot التنبيهات بلغة واضحة، ويستعرض خطوات الاستدلال، ويحدد الإجراءات الموصى بها استناداً إلى أفضل الممارسات العالمية لدى Microsoft.

وأثناء الفرز الأولي، يقدّم Copilot بحثاً فورياً ومخصصاً للسياق: معلومات أساسية عن التهديدات ذات الصلة، وربطاً بالتكتيكات والتقنيات المعنية، وتوضيحاً لأسباب الحاجة إلى تصعيد الحادثة من عدمه. ويساعد هذا السياق المحللين على اتخاذ قرارات واثقة، حتى وإن لم تكن لديهم سنوات طويلة من الخبرة. إنه أشبه بمرشد متاح عند الطلب يشرح الأسباب الكامنة وراء كل خطوة.

وأكثر ما يستفيد من هذه الميزات هي التحقيقات المعقدة، وتغيّر الأدوار، أو تأهيل أعضاء جدد في الفريق بسرعة. ومع مرور الوقت، تساعد ميزات الذكاء الاصطناعي المساندة حتى المحترفين ذوي الخبرة على صقل حكمهم المهني، وسد الفجوات في المهارات، وضمان قدرة الفريق بأكمله على العمل بمستوى مرتفع ومتسق يوماً بعد يوم.

أتمتة المهام الأمنية باستخدام الذكاء المدمج في Sentinel

مع تضمين Copilot في Sentinel الآن، لم تكن أتمتة المهام الأمنية الروتينية أسهل من ذلك. يتولى الذكاء الاصطناعي فرز التنبيهات وإثراءها وخطوات الاستجابة الأولية، وهي خطوات كانت تستنزف وقت المحللين. فعلى سبيل المثال، يستطيع Copilot أن يربط الإشارات الخطرة تلقائياً، وأن يجلب السجلات ذات الصلة أو سجل المستخدم، وأن يبدأ إجراءات استجابة أساسية مثل قفل الحسابات أو إنشاء التذاكر.

وهذا لا يسرّع العمل فحسب، بل يقلل أيضاً من الأخطاء الناتجة عن الإرهاق أو كثرة المهام. ومن خلال تولّي الأعمال المتكررة، يتيح Copilot للمحللين البشر التركيز على ما تكون فيه حدسهم ذا قيمة، مثل تتبع التهديدات المتقدمة، والتحقيق في المجهول، أو معالجة الحوادث الحساسة التي تتطلب لمسة إنسانية.

وللحفاظ على الأمان والامتثال، من الضروري بناء الحوكمة ضمن هذه سير العمل المؤتمتة. للاطلاع على إرشادات حول فرض الوصول، وإدارة الأدوار، وتأمين البيانات الحساسة عند استخدام Copilot، يمكنكم الاطلاع على مصادر مثل دليل نهج حوكمة Copilot هذا. فالحوكمة الجيدة تضمن أن تجعل الأتمتة الفريق أقوى لا أكثر تهوراً.

بناء سير عمل للفرز الأولي مدعوم بـ Copilot

يُعد ارتفاع أحجام التنبيهات واقعاً ملازماً لعمليات الأمن الحديثة، وهنا تحديداً يبرز دور سير عمل الفرز الأولي المدعوم بـ Copilot. والهدف هو توجيه نقاط قوة Copilot القائمة على الذكاء الاصطناعي نحو فرز التنبيهات الواردة وتحديد سياقها وترتيب أولوياتها بسرعة، مما يقلل من إرهاق المحللين ويساعد فريقك على التركيز على الأهم.

يبدأ تصميم سير عمل فعّال بتحديد أنواع التنبيهات التي يمكن أن يتولاها Copilot في الخط الأول بأمان، وتلك التي ما زالت تتطلب اهتمام محلل بشري ذي خبرة. والمفتاح هو تقسيم المهام بكفاءة، باستخدام Copilot كمضاعف للقوة يوسّع طاقة الفريق ويرفع جودة عمله في الوقت نفسه.

وبالإطار الصحيح، يمكنك إثراء كل استنتاج يولّده Copilot ببيانات السياق من Sentinel، وتسليم الحوادث المحلولة بسلاسة، وإعداد آليات لتغذية راجعة من المحللين. وكما سترون في الخطوات التالية، تتكامل أفضل الممارسات هذه لتشكّل سير عمل ذكياً ومتكيفاً ينمو مع مركز العمليات الأمنية لديكم ويواكب التهديدات المتطورة.

فرز المرشحين ذوي الأحجام العالية باستخدام Copilot

ارتفاع حملات التصيد الاحتيالي: يمكن لـ Copilot مراجعة تقارير المستخدمين المتكررة، وأسطر الموضوع المتشابهة، والسمعة المرسلة بكفاءة، لتحديد الارتفاعات المفاجئة وتجميع الأحداث ذات الصلة للتحقيق بالدفعات.
إخفاقات تسجيل الدخول الجماعية: عندما تُسجّل الحسابات محاولات تسجيل دخول فاشلة متعددة عبر مناطق أو أجهزة مختلفة، يرصد Copilot الأنماط، ويعطي الأولوية للتجمعات المشبوهة، ويستبعد الإنذارات الكاذبة.
مؤشرات هجمات القوة الغاشمة: في حالات محاولات كلمات المرور المفرطة أو الارتفاعات المفاجئة في حركة المصادقة، يربط Copilot بين التوقيت وعناوين IP المصدر ومعدلات النجاح، للتمييز بين الهجمات والخطأ البشري الاعتيادي للمستخدمين.
تصعيدات الامتيازات غير المعتادة: يمكن لـ Copilot فرز كميات كبيرة من منح الوصول أو الأنشطة الإدارية تلقائياً، ولا يعرض سوى الحالات التي تحمل مؤشرات على الحركة الجانبية أو انتهاكات النهج.
أفضل الممارسات: ابدأ باستخدام الفرز بالذكاء الاصطناعي للتنبيهات ذات الحجم الكبير وشدة المنخفضة، ودع Copilot يصفّي الضجيج بينما يركز المحللون على التهديدات المتقدمة أو الغامضة.

تعزيز رؤى KQL السياقية باستخدام Copilot

الخطوة 1: توليد الرؤية الأولية للتنبيه. يراجع Copilot التنبيه الخام ويقدم السياق، أي المستخدمين المتأثرين والإطار الزمني وأنماط الهجوم المعتادة.
الخطوة 2: تشغيل استعلامات KQL مستهدفة. استخدم Copilot لاقتراح عمليات بحث KQL أو أتمتتها ضمن سجلات Sentinel، مثل تتبع مواقع تسجيل الدخول الأخيرة، وتغييرات الأجهزة، ومعرّفات الحوادث ذات الصلة.
الخطوة 3: دمج البيانات للتحليل. يعرض Copilot نتائج تكميلية، تشمل سجل المستخدم وتفاصيل جرد الأجهزة ونتائج الحوادث السابقة.
الخطوة 4: التصور والربط. ادمج رؤى Copilot مع لوحات معلومات Sentinel لتحقيق تحقيق أغنى وتسليم أسهل بين أعضاء الفريق.

تطبيق حلقات التغذية الراجعة لتحسين Copilot مع الوقت

1. جمع ملاحظات المحللين: عند إغلاق عملية الفرز، اطلب من المستخدمين تقييم توصيات Copilot (مثل: مفيدة، غير ذات صلة، مكررة) وإضافة تعليقات.
2. تحسين نماذج الكشف: اجمع الملاحظات لضبط منطق التنبيهات، وتعديل عتبات الإنذارات الكاذبة، وإعادة تدريب Copilot مع تغيّر أنماط التهديدات.
3. مشاركة الخبرات المكتسبة: انشر منطق Copilot المحسّن على جميع المحللين، ووثّق النتائج للتدريب المستقبلي والتأهيل.
4. التحسين المستمر: أنشئ جلسات مراجعة دورية يحلل فيها قادة مركز العمليات الأمنية (SOC) بيانات استخدام Copilot، ويوائمون سير العمل مع الأولويات التجارية الحالية والتهديدات المتطورة.

هندسة Copilot في Microsoft Sentinel: كيف تترابط المكونات

في جوهره، يستخدم Microsoft Sentinel قوة Copilot لربط جميع أجزاء مكدس الأمان لديك في منصة مركز عمليات أمنية موحدة مدعومة بالذكاء الاصطناعي. فـ Sentinel هو المحرك الداخلي لنظام SIEM لديك، إذ يجمع البيانات الوصفية للقياس عن بُعد ويربطها من تطبيقات السحابة ونقاط النهاية ومزودي الهوية والمصادر المخصصة.

يعمل Copilot كطبقة ذكاء فوقها، ويتكامل مع Sentinel عبر موصل البيانات. فبدلاً من الاعتماد على التحليلات الثابتة وحدها، يوفر Copilot معلومات مستمرة عن التهديدات، وربطاً بالذكاء الاصطناعي، وتنسيقاً لسير العمل. يستوعب هذا الإعداد البيانات الأصلية من Microsoft (Defender وEntra ID وPurview) والمصادر المخصصة لتحقيق أقصى قدر من الرؤية.

تشمل المكونات الداعمة ضوابط الوصول المستندة إلى الأدوار، وكتيبات الأتمتة (Logic Apps)، ولوحات المعلومات المتكاملة التي تجمع البيانات من Sentinel وأدوات Microsoft 365 E5 الأخرى. والنتيجة: تجربة موحدة في واجهة واحدة، لا يكتفي فيها Copilot بإخبارك عن التهديدات، بل يساعدك على التصرف حيالها، من إثراء الحوادث وتصعيدها، بل وحلها على نطاق واسع عبر بيئات المستأجر.

السيناريو: كشف السفر المستحيل على نطاق واسع

دعنا نأخذ الذكاء الاصطناعي إلى الواقع. تخيّل مستخدماً يسجّل الدخول من نيويورك، ثم بعد خمس دقائق من طوكيو، وهو سيناريو مستحيل وفق أي معيار سفر عادي. يرصد Sentinel هذا الحدث، لكن Copilot يحوّله إلى إجراء ذي أثر كبير.

إليك كيف تتكشف الأحداث: يستوعب Copilot تسجيلات دخول المستخدمين، وبصمات الأجهزة، وبيانات الجلسة السحابية الوصفية. يكشف منطقه القائم على الذكاء الاصطناعي الانتقال الجغرافي المستحيل، ويستعين بمعلومات التهديدات للتحقق مما إذا ظهرت بيانات الاعتماد المتأثرة في تسريبات معروفة.

يقوم Copilot بعد ذلك بإثراء التنبيه تلقائياً: الوقت الذي وقعت فيه عمليات تسجيل الدخول، والموارد التي جرى الوصول إليها، وما إذا كانت سلوكيات مشابهة قد حدثت في جميع أنحاء المؤسسة. وبحسب إعداد الأتمتة لديكم، يمكنه بدء خطوات الاستجابة، مثل حظر مؤقت لمخاطر تسجيل الدخول، وإرسال إشعارات للمستخدمين، وإنشاء تذاكر في SIEM، مباشرةً من التنبيه. يضمن الذكاء الاصطناعي عدم اضطرار المحللين إلى تجميع أجزاء اللغز أو إغفال مهاجم متقدم يتسلل عبر جلسة مشروعة. هذا المستوى من الكشف والاستجابة، على نطاق عالمي، يُبرز بوضوح ما يجعل Copilot في Sentinel نقلة نوعية حقيقية.

تخصيص مطالبات Copilot وآلية استدلاله في Sentinel

على الرغم من أن Copilot يقدم قيمة قوية منذ التثبيت الأولي، تسعى فرق كثيرة إلى تجربة مصممة خصيصاً تتوافق مع أدوارها وكتيبات إجراءاتها والتهديدات الخاصة بقطاعها. يتيح لك تخصيص مطالبات Copilot وقواعد استدلاله داخل Sentinel تجاوز مخرجات الذكاء الاصطناعي العامة، ما يعزز جودة الكشف وملاءمته للعمليات التشغيلية.

يكتسب هذا التخصيص أهمية خاصة للفرق الأمنية المتنوعة ذات مستويات المحللين المختلفة (من فرز المستوى الأول إلى صائدي التهديدات المتقدمين)، أو للبيئات الخاضعة للتنظيم وفق أطر صارمة مثل HIPAA أو PCI. من خلال هندسة المطالبات وضبط سير العمل، يمكنك تكييف لغة Copilot ومنطقه بما يتناسب مع احتياجاتك الفريدة.

سنستعرض كيفية إعداد قوالب مطالبات قائمة على الأدوار، بحيث تُقدَّم السياق المناسب في المستوى المناسب من مهارة المحلل، وكيفية مواءمة مسارات استدلال Copilot مع نماذج التهديدات الخاصة بكل قطاع، لتحقيق امتثال تنظيمي أفضل ودقة قابلة للتنفيذ.

تصميم قوالب المطالبات القائمة على الأدوار لمحللي SOC

فرز سريع من المستوى الأول: استخدم مطالبات تلخص التنبيهات، وتُبرز الأسباب الجذرية، وتقدم توصيات خطوة بخطوة للمعالجة السريعة.
تحقيق من المستوى الثاني: يمكن للقوالب أن تطلب من Copilot التعمق أكثر، من خلال ربط الأحداث المرتبطة، واكتشاف الحركة الجانبية، واقتراح استعلامات إثراء إضافية.
صيد التهديدات من المستوى الثالث: تركز المطالبات المتقدمة على توجيه Copilot للبحث عن الأنماط عبر مجموعات البيانات، وربط الأنشطة المشبوهة بتقنيات MITRE ATT&CK، واقتراح استراتيجيات تخفيف طويلة الأمد.
مواءمة الأدوار: تُقلّص كل قالب التفاصيل أو تُضيفها بحسب نطاق المحلل وأذوناته، بما يضمن الملاءمة والوضوح.
تكامل كتيبات الإجراءات: يمكن ربط المطالبات بكتيبات إجراءات الاستجابة للحوادث، ما يوحّد إرشادات Copilot عبر العمليات.

ضبط Copilot وفق نماذج التهديدات الخاصة بالقطاعات

قطاع المالية: خصص Copilot للإشارة إلى متطلبات الإبلاغ التنظيمي، وإعطاء الأولوية لاختراقات أنظمة الدفع، ومراقبة مؤشرات الاحتيال عبر التحويلات البنكية، استناداً إلى إرشادات FFIEC.
الرعاية الصحية: وافق تحليل Copilot مع قواعد HIPAA، بحيث يتم الإشارة إلى المعلومات الصحية المحمية (PHI)، والإشارة بوضوح إلى سجلات التدقيق عند احتمال حدوث خرق.
البنية التحتية الحرجة: برمج المطالبات لمراقبة الشذوذ في تقنيات التشغيل OT/ICS، وتصعيد حوادث التلاعب بالأصول وفق معايير NIST أو ISA/IEC.
التجزئة: اضبط Copilot للامتثال لمعيار PCI-DSS، مع التركيز على تعرض بيانات حاملي البطاقات، وأتمتة تصعيد التنبيهات لأنظمة نقاط البيع.
الشؤون القانونية والخصوصية: خصص المطالبات بحيث يضيف Copilot وثائق وقوائم تحقق للامتثال لكل تنبيه يتعلق ببيانات حساسة، وفق GDPR أو CCPA.

قياس فعالية Copilot وعائد الاستثمار في عمليات الأمن

إدخال Copilot إلى Sentinel ليس مجرد تقنية مثيرة للاهتمام، بل هو أيضاً نتائج أعمال قابلة للقياس. ولفهم قيمته فهماً حقيقياً، يحتاج قادة SOC إلى تتبع أثر Copilot على معدلات الكشف، وكفاءة المحللين، والوفورات التشغيلية الإجمالية في العمل اليومي.

يعني ذلك تجاوز الأدلة القصصية والاعتماد على أرقام دقيقة لقياس الأداء: هل يقلل Copilot فعلاً أوقات الاستجابة؟ وهل تكتشف تهديدات كانت قواعد SIEM القديمة تغفلها؟ وهل ينخفض عبء العمل على المحللين البشريين بشكل ملحوظ؟

تساعدك الأقسام التالية على تحديد مؤشرات أداء رئيسية واضحة للكشف المعزز بالذكاء الاصطناعي، وبناء نماذج تكلفة لإثبات العائد على الاستثمار. فمن خلال قياس كل شيء بدءاً من معدلات معالجة التنبيهات وصولاً إلى استهلاك SCU، ستحصل على الرؤى اللازمة لتبرير الاستثمار المستمر وتحسين الاستخدام بما يتناسب مع وضعك الأمني الفريد.

مؤشرات الأداء الرئيسية للكشف المعزز بالذكاء الاصطناعي

متوسط الوقت حتى الفرز (MTTT): قِس متوسط الوقت من إنشاء التنبيه حتى المراجعة الأولية من المحلل، لإظهار مقدار ما يقلله Copilot من الاختناقات.
تقليل الإنذارات الكاذبة: تتبّع انخفاض الضوضاء، أي قدرة Copilot على تصفية التنبيهات الحميدة وتقليص ساعات المحللين المهدورة.
مؤشر إرهاق التنبيهات: قِس الانخفاض في الحوادث المتكررة ذات القيمة المنخفضة التي تُسند إلى المحللين، بما يعكس تخفيف عبء العمل.
تحسين معدل الاكتشاف: قارن النتائج قبل استخدام Copilot وبعده لإبراز التهديدات الجديدة التي كشفها المنطق المدعوم بالذكاء الاصطناعي.
حجم التصعيد إلى المحللين: راقب التغيّر في عدد التنبيهات التي تتطلب تصعيدًا بشريًا، بما يدل على كفاءة الفرز.

احتساب توفير التكاليف من أتمتة Copilot

توفير عمالة الفرز اليدوي: احسب الانخفاض في ساعات الموظفين المكافئين بدوام كامل (FTE) المستغرقة في الفرز الأولي، مضروبًا في متوسط أجور المحللين بالساعة.
تحسين استخدام وحدة الحوسبة الأمنية (SCU): استخدم الأتمتة المدعومة بـ Copilot لخفض استهلاك الحوسبة الإجمالي، مقارنةً بتكاليف معالجة التنبيهات التقليدية.
مكاسب سرعة الاستجابة للحوادث: قدّر الأثر المالي للاحتواء الأسرع، أي انقطاعات أقل للأعمال وتكاليف أقل للاختراقات.
خفض تكاليف التأهيل والتدريب: احسب الوقت الموفَّر عندما يتعلم المحللون الجدد من Copilot بدلًا من التدريب الصفي الرسمي.
معادلة تبرير الاستثمار: الوفورات السنوية = (الساعات الموفَّرة × الأجر بالساعة) + (انخفاض الحوسبة × تكلفة وحدة SCU الشهرية) – (رسوم ترخيص Copilot).

تأمين تكامل Copilot مع Sentinel

قبل نشر Copilot مع Sentinel في بيئتك، من الضروري التأكد من أن التكامل محكم الإغلاق ومتوافق مع المتطلبات التنظيمية. ويتطلب ذلك فرض ضوابط قوية للهوية والوصول وخصوصية البيانات في كل مرحلة من مراحل خط المعالجة، بدءًا من إعداد الموصلات وصولًا إلى تخزين البيانات وإجراءات الأتمتة.

لا يقتصر الوضع الأمني السليم على مراجعات الوصول فحسب. فأنت بحاجة إلى إعداد نماذج الحد الأدنى من الامتيازات في Microsoft Entra ID، وتدقيق صلاحيات الموصلات ومراقبتها، والتحقق من أن Copilot لا يستوعب البيانات ويعالجها إلا حيث يُسمح بذلك. ولا تغفل عن خطر تراكم الامتيازات تدريجيًا أو الإخفاقات الصامتة التي قد تضخّم الأخطاء في سير العمل المدعوم بالذكاء الاصطناعي، فالحوكمة الفعلية أمر جوهري.

إذا كنت ترغب في التعمق في هذا الموضوع، فاطّلع على مصادر مثل هذا النقاش حول تأمين وكلاء الذكاء الاصطناعي عبر مستويات التحكم الصارمة وأفضل الممارسات من البودكاست حول حوكمة الهوية في Entra ID. وتقدم هذه المصادر استراتيجيات عملية لبناء بنية أمنية مرنة وقابلة للفرض للذكاء الاصطناعي.

تطبيق الوصول بأقل الامتيازات لموصلات Copilot

تحديد أدوار Entra ID بدقة: امنح الحد الأدنى فقط من الأذونات اللازمة لموصلات Copilot، باستخدام التحكم في الوصول القائم على الأدوار بدلًا من صلاحيات المسؤول الواسعة.
تقييد النطاق لكل موصل: اقصر وصول Copilot على مساحات عمل Sentinel وأنواع البيانات اللازمة فقط لمهام التحليل المحددة.
مراجعات الوصول المنتظمة: جدوِل عمليات تدقيق ربع سنوية لمراجعة امتيازات الموصلات، مع إزالة الأذونات القديمة أو غير الضرورية فورًا.
فرض المصادقة متعددة العوامل: اشترط تفعيل MFA على جميع حسابات المسؤولين التي تدير موصلات Copilot أو تكاملات Sentinel.
تسجيل النشاط والمراقبة: فعّل تسجيل التدقيق التفصيلي لجميع الإجراءات التي ينفذها Copilot أو موصلاته، لضمان المساءلة وتتبع المشكلات بسرعة.

إقامة البيانات وتشفيرها للسجلات التي يستوعبها Copilot

رسم خريطة تدفق البيانات: وثّق مكان تخزين السجلات التي يستوعبها Copilot، وتأكد من توافق ذلك مع مناطق إقامة البيانات في Sentinel.
التشفير أثناء التخزين وأثناء النقل: ينبغي تشفير جميع البيانات التي يعالجها Copilot، سواء في التخزين أو أثناء عمليات النقل عبر الشبكة.
الاستبقاء والحذف: اضبط نهج الاستبقاء الآلي للسجلات ونهج الحذف الآمن لمنع الوصول غير المصرح به، خاصةً في القطاعات الخاضعة للتنظيم.
مراجعة الامتثال: قيّم ضوابط خصوصية البيانات بانتظام للتأكد من الالتزام المستمر بالأطر التنظيمية (مثل HIPAA وGDPR وغيرها).

ابدأ مع Microsoft Copilot في Sentinel

يبدأ تشغيل Copilot في Microsoft Sentinel بالتحقق من بعض المتطلبات الأساسية. أولاً، تأكد من أن اشتراكك يشمل Microsoft 365 E5 المدعوم أو ما يعادله، وأن بيئة Sentinel تتضمن مساحة العمل أو مساحات العمل المطلوبة. كما ينبغي التحقق من أن سجلات الأمان وبيانات التطبيقات السحابية وأحداث الهوية تُدرج في Sentinel بشكل صحيح لتحقيق تحليل غني بالذكاء الاصطناعي.

بعد ذلك، عيّن الأدوار المناسبة: ينبغي أن يشرف المسؤولون العامون (Global Admins) على الإعداد، بينما يحصل قادة مراكز العمليات الأمنية ومحللو الأمان على أذونات تتناسب مع الاستخدام التشغيلي. سجّل موصل بيانات Copilot في Sentinel، وامنحه وصولاً محدداً النطاق عبر Microsoft Entra ID، مع مراعاة مبدأ أقل الامتيازات.

بعد الإعداد، تحقق من تدفق البيانات بين Sentinel وCopilot. اختبر سير العمل الأساسي، مثل فرز التنبيهات والإثراء المدعوم بالذكاء الاصطناعي، للتأكد من أن الرؤية وعمليات التسليم بين الفرق تعمل كما هو متوقع. وانتبه إلى المزالق الشائعة في النشر، مثل غياب مصادر السجلات أو منح الموصل أذونات أوسع من اللازم.

لدعم التبني والتعلم المستمر، يمكنك الاطلاع على موارد مثل Copilot Learning Center للحصول على تدريب مركزي ومحدّث وإرشادات حول الحوكمة.

فهم التراخيص ووحدات الحوسبة لـ Copilot

ترخيص Copilot ضمن Microsoft Sentinel بسيط، لكن التفاصيل مهمة عند تخطيط التكاليف والسعة. يُقدَّم Copilot عادةً كإضافة إلى Microsoft 365 E5 أو Defender for Cloud أو اشتراكات Sentinel على مستوى المؤسسات. ستسمع أيضاً عن وحدات الحوسبة الأمنية (Security Compute Units - SCUs)، وهي الوحدات الأساسية لقياس استهلاك Sentinel للتحليلات والأتمتة.

عند تفعيل وظائف Copilot، ضع في الحسبان كلاً من ترخيص Copilot لكل مستخدم والزيادة المتوقعة في SCUs الناتجة عن التحليل المدعوم بالذكاء الاصطناعي وسير عمل الأتمتة. ستجمع فاتورتك الشهرية الإجمالية بين رسوم Sentinel الأساسية وتجاوزات SCUs ورسوم إضافة Copilot، لذا خطط مسبقاً لحجم التنبيهات وتكرار الأتمتة.

يمنح ترخيص Copilot حقوقاً للميزات الأساسية، مثل الفرز المدعوم بالذكاء الاصطناعي وإثراء البيانات والتخصيص القائم على الأدوار. وقد تحتاج مراكز العمليات الأمنية الكبيرة إلى تخطيط دقيق لتوسيع السعة، خاصةً في البيئات عالية الحجم أو متعددة المستأجرين. راجع دائماً الوثائق الحالية لـ Microsoft، إذ إن الفرق بين الإصدار التجريبي العام ومنتجات الإنتاج قد يؤثر على الميزات والسعر لكل مقعد.

الأسئلة المتداولة حول Copilot وSentinel

ما مصادر البيانات التي يدعمها Copilot في Sentinel؟ يتكامل Copilot بشكل أصلي مع الموصلات المدعومة في Sentinel، بما في ذلك Azure وOffice 365 (المعروف الآن باسم Microsoft 365) وDefender ومصادر السجلات المخصصة للتحليل الموحد.
كيف تُدار إمكانيات الوصول والأذونات؟ تُدار الأذونات عبر Microsoft Entra ID، باستخدام التحكم في الوصول المستند إلى الأدوار ومبدأ أقل الامتيازات لتأمين موصلات البيانات وتقييد الإجراءات.
ما القيود الجغرافية والمتعلقة بالتراخيص حالياً؟ في الإصدار التجريبي العام، يقتصر توفر Copilot على مناطق Azure محددة والمستأجرين المرخصين بـ Microsoft 365 E5 أو ما يشابهه. تحقّق من موقع الخدمة قبل بدء النشر.
هل هناك قيود على هندسة الأوامر (Prompt Engineering) المخصصة؟ على الرغم من أن Copilot يدعم التخصيص القائم على الأدوار، فإن إعدادات الأوامر المتقدمة والضبط الدقيق لا تزال قيد الطرح التدريجي. راجع وثائق خارطة الطريق الحالية للاطلاع على الخيارات المتاحة.
ماذا عن خصوصية البيانات والامتثال؟ يرث Copilot ضوابط الخصوصية في Sentinel، بما في ذلك التشفير ونهج الاستبقاء وضمانات إقامة البيانات. تأكد من أن عملية النشر تتوافق مع لوائح البيانات المحلية ومتطلبات الامتثال.

التدريب والندوات عبر الويب والأوراق البيضاء القادمة لـ Security Copilot

ندوات Microsoft Copilot الرسمية عبر الويب: جلسات مباشرة وعند الطلب تشرح تكامل الذكاء الاصطناعي والفرز المتقدم وحالات الاستخدام العملية في مراكز العمليات الأمنية.
الأوراق البيضاء التقنية: تحليلات معمقة تنشرها Microsoft حول بنية Sentinel وتخصيص Copilot والإرشادات الخاصة بالقطاعات الصناعية.
مسارات التعلم (Microsoft Learn): وحدات إلكترونية خطوة بخطوة لإعداد Copilot وSentinel وإدارتهما وسيناريوهات الأتمتة.
الفعاليات المجتمعية: ندوات عبر الويب وحلقات نقاش لمجتمع الأمان في Microsoft لمشاركة النصائح الخبيرة وقصص التنفيذ.
بوابات المراجع: وثائق وأفضل الممارسات على بوابة Microsoft Purview ومواقع خارطة طريق Copilot للتعلم المستمر.