Die promptbasierten Agenten sind überall und kaum ein Softwareprodukt kommt umhin, KI-Funktionen einzubauen und als möglichst hilfreich zu positionieren. Für Microsofts Security-Produkte ist der Security Copilot seit einigen Monaten auf dem Vormarsch, mit dem Bestreben, SOC-Analysten, Sicherheitsspezialisten und IT-Admins zu entlasten. Gleichzeitig will Redmond ein einheitliches Prompt-Tool über die verschiedenen Produktportale legen.

Copilot ist dabei ein LLM, das Prompts in Aktionen übersetzt, die dann automatisiert ablaufen. Der Fokus liegt hierbei auf der Informationsbeschaffung aus verschiedenen Quellen, der Korrelierung von Daten und dem Zusammenfassen existierender Informationen. Das soll Zeit sparen und Spezialisten helfen, mehr Fokus für relevante Aktivitäten zu erhalten, indem sich bekannte Informationen schneller interpretieren und falsche Fährten früher ausschließen lassen.

Das Copilot-System ist modular und lässt sich über Erweiterungen mit neuen Fähigkeiten ausstatten. Im Kern realisiert das System diese Fähigkeiten als API-Verbindungen zu weiteren Systemen und Datenquellen. Für das eigene Produktportfolio erweitert Microsoft Security Copilot ebenfalls weiter – zuletzt mit Funktionen für Entra ID.

Im ersten Schritt galt es, Security Copilot zu aktivieren. Das System wird gesamtheitlich aktiviert, anschließend ist es möglich, Erweiterungen, die nicht zum Microsoft-Produktumfang gehören, zusätzlich einzuschalten. Der Prozess gestaltete sich recht einfach, denn da die Funktionen für Entra ID in Copilot for Security integriert sind, mussten wir nur Copilot selbst starten, um die neuen Funktionen freizuschalten. Wer Copilot schon in Betrieb hat, kann also gleich loslegen. In unserem Fall konnten wir via "securitycopilot.microsoft.com" und erfolgreicher Anmeldung als Tenant-Admin die Aktivierung vornehmen.

Die Abrechnung der Funktion erfolgt über ein Azure-Abonnement, da die Rechenkapazitäten dafür von dort kommen. Der Aktivierungsprozess verlangte deshalb die Auswahl des Abonnements, einer Ressourcengruppe und einen eindeutigen Namen für den Copiloten. Abschließend galt es, die Größe des Deployments festzulegen – dies steuert auch, wie viele Anfragen in einem definierten Zeitraum bearbeitet werden können.

Für IT-Verantwortliche, die Azure bereits produktiv nutzen, führt ein alternativer Weg über das Azure-Portal. Als Azure-Admin lässt sich dort eine neue Ressourcengruppe anlegen und der Workload "Copilot for Security" hinzufügen. Über das Azure-RBAC-Modell erhalten Security-Admins dann Zugriff auf das Deployment. Damit findet das Copilot-Portal das Deployment und erlaubt die Nutzung ohne erweiterte Azure-Rechte auf Subskriptionen oder vollständige Ressourcengruppen.

Nach einigen Sekunden Bearbeitungszeit war der Assistent für Anfragen bereit – und begrüßte uns mit einer Übersichtsseite mit Beispielen. Die Integration für Entra ID in Copilot ist über zwei Wege erreichbar: die Übersichtsseite sowie über den "Copilot"-Knopf im Entra-Portal, der nach einem Klick auf der rechten Bildschirmseite eine neue Spalte für Copilot-Interaktionen öffnet.

Immer dann, wenn die Entra-ID-Erweiterung zum Einsatz kam, um Prompts zu übersetzen und Microsoft Graph für Daten anzuzapfen, funktionierte Copilot besonders gut: Anfragen zu Details eines Benutzerkontos wie Jobtitel, letzte Anmeldungen, Anmeldeoptionen oder Unternehmenshierarchie löste das LLM sehr gut auf. Auch gezielte Prompts hinsichtlich einer Liste von Benutzern klappt schnell und effizient: "Zeig mir den Accountstatus und die letzte Anmeldung der Benutzer Nadine Müller, Peter Stolz und Anne Gross" führte zum richtigen Ergebnis. Dies gelingt deutlich schneller als mit einem PowerShell-Skript oder mit einer Graph-Anfrage, sofern das Skript nicht schon geschrieben und das Terminal bereits geladen und verbunden ist.

Auch ein Mix aus vollständigen Namen und Accountnamen machte dem System nichts aus: Die Auflösung der Namen – das galt im Test auch für Gerätenamen – funktionierte problemlos. Ist sich das System nicht sicher, listet es die möglichen Benutzer auf und bittet um Aufklärung, welcher der Benutzer gemeint war. Im Test fand das System aber alle Benutzer, unabhängig davon, ob wir nach vollständigem Namen, UPN, sAMAccountname oder ObjektID im Prompt fragten. Das hilft bei unterschiedlichen Anwendungsfällen – so gehen Analysten mehrheitlich mit Objekt-IDs um, während Kollegen aus der Microsoft-365-Welt mit UPNs arbeiten. Auch erweiterte Informationen, wie verfügbare Credentials oder letzte Anmeldungen, führte das System korrekt auf. Auch etwas komplexere mit "und" verknüpfte Anfragen beantwortet der Copilot richtig, so beispielsweise "In welchen Gruppen ist nadinep Mitglied und wer ist ihr Manager?".

Anfragen zu Anmeldeereignissen und Audit-Einträgen funktionierten ebenso effizient und weitestgehend problemlos wie zeitliche Eingrenzungen für gewünschte Ereignisse im Prompt. Für einzelne Änderungen brauchte das System allerdings etwas Hilfe: So verstand der Copilot "Zeig mir alle Änderungen an Conditional Access Policies in den letzten 24 Stunden" partout nicht. Fragten wir das System nach Änderungsereignissen der letzten 24 Stunden für die Kategorie "Policy", klappte der Informationsfluss besser.

Ähnliches ist uns im Test bei den Credentials für Service Principals passiert: Fragten wir das System nach ": Update application" und "Certificates and Secrets Management"-Events, verstand der Copilot die Anfrage. Bei der Suche nach "Zeig mir alle Updates zu Application-Objekten an", erhielten wir jedoch keine Hilfe. Der Kontext zu Feldnamen und deren tatsächlicher Bedeutung im Securityumfeld kann noch etwas Schärfe vertragen. Gleiches gilt für den Kontext zu den systemeigenen Funktionen, damit "Conditional Access Policies" und "Named Locations" keine Fremdworte bleiben.

Anfragen, die Copilot um Formatierungs- und Exportfunktionen bitten, etwa um Mitarbeiter rauszusuchen und diese dann als CSV-Datei zu exportieren, scheiterten. Während die Antwort meist richtig war, wollte das LLM Übersichten zu den Ergebnissen nicht formatieren. Für die Anfrage "Generiere eine Liste aller Benutzer mit Anmeldeereignissen in den letzten 4 Stunden" gab das System die Liste der gewünschten Benutzer korrekt aus und stellte die Ergebnisse als Liste dar. Der Export war aber nicht einfach möglich – außer mit Copy und Paste.

Anders sah es da bei Anmeldeereignissen aus, denn das Sign-in-Log von Entra ID ist anders angebunden. Das LLM weigerte sich aber vehement, die Anfrageergebnisse in eine CSV-Datei oder anderes Format zu überführen, das dann an anderer Stelle hätte weiterverwendet werden können. Die Option wäre schön, nicht zuletzt, um Zwischenberichte zu dokumentieren, wenn der Copilot für eine Vorfallsanalyse herangezogen wird.

Im Test zeigte sich, dass die Fähigkeiten des Copiloten für das jeweilig genutzte Benutzerinterface optimiert sind. Wir konnten den Copiloten für Entra über das Security-Copilot-Portal nutzen, das via "securitycopilot.microsoft.com" erreichbar ist – oder über den "Copilot"-Knopf im Entra-Portal, wonach sich ein Chat am rechten Bildschirmrand öffnet. Die Security-Copilot-Seite ist für Prompts ausgelegt, die mehrere Skills nutzen, um verschiedene Daten zu korrelieren – etwa um Benutzer, deren Geräte und deren Gesundheitszustand zu erfassen.

Diese Anfragen interpretierte das System richtig, beschrieb jedoch nur die ersten Ergebnisse ausführlich mit dem Hinweis, dass weitere Ergebnisse existierten und auf der Detailseite zu finden wären. Klickten wir die vordefinierten Beispielprompts an, kopierte das Dashboard den Prompt für uns in die Chatbox. Wo Variablen gefordert waren, etwa der UPN, Gerätenamen oder Zeitspannen, bekamen wir Auswahlfelder angezeigt, die wir einfach ausfüllten, bevor das Prompt bereit zum Abschicken war.

Im Test lief das mit dem Copilot-Chat im Entra-Portal etwas anders. Anfragen, die mehrere Ergebnisse zutage förderten, wurden auch in aller Länge und Vollständigkeit beantwortet. Dies ergab ausführliche und lange Chats, wenn wir Details zu einigen Benutzerkonten oder eine breite Spanne von Sign-in-Informationen anfragten. Der Chat auf der rechten Seite im Entra-Portal blieb geöffnet und die Chathistorie bestehen, selbst wenn wir zwischen verschiedenen Portalseiten navigierten. Das ist hilfreich, wenn Admins einige Daten manuell verifizieren wollen oder nach weiteren Informationen suchen, zu denen sie Copilot befragen wollen.

Eine der Kontroversen agentengestützter Änderungen an Dokumenten und Systemen ist, dass Missverständnisse und Unschärfe in Prompts zu ungewollten Anpassungen führen, die der Benutzer gar nicht ausführen wollte. Vermutlich um dies zu minimieren, zeigte der Security Copilot als Teil der Antwort an, wie er den Prompt interpretiert hat und gab also im Bestfall zurück, was er verstanden und entsprechend ausgeführt hat.

Das sorgte für mehr Vertrauen, half aber auch beim Lernen potenziell alternativer Prompt-Varianten, falls die gewünschten Ergebnisse nicht eintraten. Es ist also anzunehmen, dass Microsoft hier aus der Not eine Tugend macht und das System bei Verständnisunschärfen die Interpretation des Prompts noch einmal wiedergeben lässt.

Zur Transparenz trägt auch bei, dass der Security Copilot die Skills, die er zur Verarbeitung der Prompts nutzte, anzeigt. Enthält die Anfrage mehrere Teile, die von verschiedenen Komponenten zu verarbeiten sind, sahen wir das als Verarbeitungsschritte aufgeführt, zum Beispiel "Wählte Microsoft Entra" und "Wählte Microsoft Intune". Im Test konnten wir Copilot nicht dazu bewegen, Änderungen an Objekten für uns durchzuführen. Aufgaben wie Accountdeaktivierung, Anpassung von Attributen wie Jobtitel oder Organisation oder Zurücksetzen der MFA-Methoden wies das System konsequent ab.

Zum Testzeitpunkt unterstützte Copilot lange nicht alle Entra-ID-Funktionen. Dies dokumentiert Microsoft zwar ordentlich, es bleiben aber trotzdem Wünsche offen. Gleichzeitig weckt dies Hoffnung auf sinnvolle Weiterentwicklungen wie die Integration der Conditional Access Engine, um das teilweise komplexe Regelwerk mit den richtigen Fragen entwirren zu können. Zudem könnte das RBAC-System eine LLM-Integration vertragen, um verschachtelte Gruppenmitgliedschaften und Berechtigungen, sowie Just-in-Time Rollenzuweisungen zu überprüfen und Fragen wie "Hat Johannes die Möglichkeit, Global Admin zu werden?" oder "Über welche Pfade kann Katharina Exchange Service Admin werden?" zu beantworten.

Die Integration in Entra ID darf sich gerne noch weiterentwickeln, dennoch sind die ersten Testergebnisse für diese Preview-Version des Dienstes schon vielversprechend. Gerade Sicherheitsanalysten, die den Status von Benutzer- und Gerätekonten überprüfen wollen und andernfalls mit dem Portal oder mühselig via Skript oder direkter Graph-Anfrage arbeiten müssten, kann Copilot Zeit sparen. Das Zusammenfassen von Anmeldeereignissen und Audit-Details funktionierte mühelos, was durchaus zu Zeitersparnissen gegenüber manueller Filterung und Erstabschätzung von Fährten bei der Forensik führte. Gerade das Gesamtzusammenspiel mit den anderen Integrationen des Security Copilot macht das System interessant. Entra ID allein rechtfertig aktuell den Mehrwert – auch angesichts der Bepreisung für die Rechenzyklen – vermutlich nicht.