用途：Microsoft Security Copilot 是生成式 AI 安全平台，帮助安全与 IT 团队用自然语言调查事件、狩猎威胁、汇总发现并响应，结果基于你的安全数据和微软威胁情报。本技能用于加速 SOC 调查、报告与分析师生产力，覆盖微软及第三方安全数据。不适用于配置自主分诊/修复智能体（用 security-copilot-agents）、构建 SIEM 分析规则（用 sentinel）、配置 Defender XDR 调查或操作（用 defender-xdr）。
主要能力与用法：按任务选择体验——跨产品多步调查用独立门户（跨插件推理、提示手册）；汇总特定事件用 Defender XDR 内嵌；解释或翻译 KQL 查询用 Sentinel 内嵌；解释条件访问策略用 Entra 内嵌；可重复调查模式用提示手册。经验法则：单产品问题从内嵌开始，需关联两个及以上产品时切换到独立门户，重复两次以上的操作做成提示手册。
配置步骤：在 Azure 中设置安全计算单元（SCU）预配容量，指定订阅、资源组、区域并配置超额设置；在 Entra 中分配 Security Copilot 所有者和贡献者角色，遵循最小权限，设置默认环境与数据共享开关；启用所需微软插件（Defender XDR、Sentinel、Intune、Entra、威胁情报、Purview、Defender for Cloud）并添加第三方或自定义插件，Copilot 遵循调用用户的产品 RBAC，不会提权；为前 5 个可重复工作流构建带参数的提示手册；监控 SCU 消耗、审计活动并设置利用率超 80% 的告警；跟踪首次回答时间、分析师满意度和每解决事件 SCU 来衡量价值。
限制与护栏：AI 输出仅作辅助，分析师须在行动前验证，底层产品才是事实来源；插件访问遵循最小权限；监控 SCU 控制成本；数据驻留区域在创建容量时设定，之后更改需重建；提示历史视为审计相关，勿粘贴凭据、客户 PII 或未净化原始数据；提示手册应版本控制。常见反模式包括盲目购买 SCU 并全员开放、跳过提示手册、把 Copilot 当事实来源、在内嵌已有数据时仍粘贴原始事件数据、不设 SCU 利用率告警。
官方文档：https://learn.microsoft.com/security-copilot/microsoft-security-copilot