Microsoft Security Copilot e Inteligencia Artificial para la Seguridad

radio_button_uncheckedshort_text1. Introducción: de la automatización basada en reglas a la IA generativa

La aplicación de la informática a la seguridad no comenzó con modelos generativos. Durante décadas, los sistemas de detección han trabajado con firmas, reglas, listas de reputación y correlaciones definidas por expertos. Posteriormente, las técnicas de aprendizaje automático comenzaron a identificar patrones anómalos en grandes volúmenes de telemetría. La transformación más reciente se ha producido con modelos lingüísticos a gran escala capaces de interpretar preguntas, resumir evidencia y producir explicaciones en lenguaje natural.

El 28 de marzo de 2023, Microsoft presentó el entonces Microsoft Security Copilot. El producto estuvo disponible de forma generalizada el 1 de abril de 2024 y evolucionó desde una experiencia centrada en el chat hasta una plataforma que combina prompts, experiencias integradas, promptbooks, plugins y agentes. Esta evolución no elimina herramientas como SIEM, XDR, controles de identidad o profesionales SOC; crea una capa de asistencia que ayuda a las personas a navegar y correlacionar datos de estas herramientas.

Para el lector, comprender este cambio significa aprender a utilizar la IA sin confundir la fluidez textual con la certeza técnica. Para la sociedad, herramientas de este tipo pueden reducir el tiempo de respuesta a los ataques, democratizar el conocimiento especializado y ayudar a las organizaciones más pequeñas a afrontar la escasez de profesionales. Sin embargo, el beneficio sólo aparece cuando la automatización va acompañada de gobernanza, privacidad, permisos adecuados y revisión humana.

Pregunta de la guía del capítulo

¿Cómo se utiliza la IA que produce respuestas rápidamente sin permitir que una respuesta convincente reemplace la evidencia, los controles de acceso y el juicio profesional?

1.1 Por qué la seguridad necesita asistencia a escala

Los entornos modernos generan alertas desde puntos finales, identidades, correos electrónicos, aplicaciones, redes y nubes. El problema no es sólo recopilar señales, sino transformarlas en un contexto procesable. Los analistas necesitan reconstruir cronogramas, identificar entidades afectadas, consultar la reputación de los indicadores, interpretar guiones, escribir consultas y comunicar conclusiones a diferentes audiencias. La IA generativa puede reducir el esfuerzo mecánico de estos pasos y liberar tiempo para decisiones de mayor valor.

1.2 El Copilot como amplificador, no como autoridad final

El término copiloto indica asistencia. El sistema puede sugerir, resumir, explicar y organizar, pero no tiene responsabilidad legal, conocimiento perfecto ni comprensión completa del negocio. Un profesional sigue siendo responsable de validar las evidencias, evaluar el impacto, respetar los procedimientos y autorizar acciones. Este límite entre la velocidad algorítmica y la responsabilidad humana se revisará a lo largo del capítulo.

radio_button_uncheckedshort_text2. Fundamentos de la inteligencia artificial para entender Security Copilot

2.1 Grounding: conectar el modelo a información relevante

Un modelo de lenguaje general no conoce automáticamente las alertas del inquilino, las políticas internas o el estado actual de un incidente. Grounding es el proceso de proporcionar contexto relevante en el momento de la solicitud. En Security Copilot, ese contexto puede provenir de plugins de productos Microsoft, servicios de terceros, inteligencia de amenazas, archivos cargados o bases de conocimiento organizacionales. En lugar de depender únicamente de lo que el modelo aprendió durante el entrenamiento, la respuesta se basa en datos recuperados para esa tarea.

2.2 Alucinación e incertidumbre

Alucinación es la producción de contenido plausible, pero incorrecto, no comprobado o inexistente. En seguridad, esto puede aparecer como un indicador inventado, una interpretación excesiva de un script o una recomendación que ignora dependencias del entorno. La fundamentación reduce este riesgo, pero no lo elimina. Por eso, las respuestas deben indicar fuentes, evidencias, limitaciones y, cuando sea posible, nivel de confianza.

Regla práctica

Un texto bien escrito no es evidencia. Confirme los datos en la alerta, incidente, registro, activo, consulta o fuente de inteligencia antes de actuar.

radio_button_uncheckedshort_text3. ¿Qué es el Microsoft Security Copilot?

Microsoft Security Copilot es una solución de seguridad y TI basada en IA generativa. Su propuesta es aumentar la eficiencia y la capacidad de los defensores al combinar lenguaje natural, modelos de lenguaje, conocimiento especializado en seguridad, inteligencia global de amenazas y datos autorizados de la organización. Ofrece una experiencia autónoma y experiencias integradas en productos del portafolio de Microsoft.

El servicio combina modelos de lenguaje de gran tamaño ofrecidos por Azure OpenAI Service con orquestación específica de seguridad de Microsoft, complementos, conexiones de conocimiento e inteligencia global de amenazas basada en más de 65 billones de señales diarias. En el portal independiente, la persona envía solicitudes en lenguaje natural mediante la barra de avisos y puede recibir texto, imágenes o documentos; las experiencias insertadas llevan funcionalidades seleccionadas directamente a productos como Microsoft Defender XDR. La información del cliente permanece limitada a la organización, protegida por controles empresariales de seguridad y cumplimiento, y no se usa para entrenar los modelos fundacionales.

3.1 Qué busca hacer la solución

• Reducir el tiempo dedicado a leer, correlacionar y resumir grandes volúmenes de señales.
• Ayudar a profesionales menos experimentados a realizar tareas técnicas con orientación y contexto.
• Permitir que los especialistas transformen procedimientos repetitivos en prompts, libros de prompts o agentes.
• Facilitar la colaboración mediante resúmenes, sesiones compartibles e informes adaptados al público.
• Conectar investigación, identidad, dispositivos, datos e inteligencia de amenazas en una experiencia asistida.

3.2 Qué la solución no es

• No reemplaza Microsoft Defender XDR, Microsoft Sentinel, Microsoft Entra, Intune o Purview; utiliza estos productos como fuentes y superficies de trabajo.
• No concede automáticamente acceso a datos que el usuario no podría consultar en el producto de origen.
• No garantiza que toda respuesta sea correcta, completa o actualizada.
• No transfiere la responsabilidad por contención, comunicación, conformidad o impacto operacional a la IA.
• No conviertas todo incidente en un proceso totalmente autónomo; las acciones críticas requieren controles y supervisión.

Actualización de producto

En experiencias más recientes, los agentes pueden ser la puerta de entrada principal; el chat sigue disponible para exploración interactiva. Para el SC-900, concéntrese en la propuesta, terminología, procesamiento de prompts, integraciones y uso responsable.

radio_button_uncheckedshort_text4. Cómo el Security Copilot procesa una solicitud

Aunque la implementación interna sea sofisticada, el flujo conceptual puede entenderse en siete etapas. Esta visión ayuda a responder preguntas del examen y, principalmente, evita imaginar que el modelo consulta todos los datos sin control.

1. El usuario envía un aviso. 2. El orquestador lo interpreta, establece el contexto inicial, selecciona funcionalidades disponibles y crea un plan. 3. Copilot ejecuta el plan para reunir el contexto necesario. 4. Los complementos y orígenes habilitados se analizan para aportar evidencias e información específica de seguridad. 5. El modelo de lenguaje combina las evidencias y redacta un resultado comprensible. 6. La plataforma da formato y comprueba la salida conforme a las protecciones de IA responsable de Microsoft. 7. El usuario recibe y valida la respuesta. Un registro del proceso visible identifica funcionalidades y orígenes usados, detalles de procesamiento y comprobaciones de seguridad completadas para evaluar la procedencia.

4.1 Los permisos siguen siendo la frontera

Los plugins de Microsoft utilizan autenticación en nombre del usuario, conocida como on-behalf-of. Esto significa que la plataforma consulta datos usando la identidad y los permisos del profesional conectado. Tener acceso a Security Copilot no equivale a recibir acceso irrestricto a Defender, Sentinel, Entra, Intune o Purview. Para obtener resultados, el usuario necesita un rol de Security Copilot y los permisos necesarios en la fuente de datos.

4.2 Proceso iterativo

Una sesión no necesita terminar en la primera respuesta. El analista puede pedir detalles, restringir el período, cambiar el formato, seleccionar otra fuente o solicitar comparación con una hipótesis. Esta interacción progresiva es importante porque las investigaciones reales rara vez caben en una sola pregunta.

radio_button_uncheckedshort_text5. Terminología esencial del Microsoft Security Copilot

Trampa común de examen

El plugin no es solo una extensión visual. Proporciona datos y/o capacidades que permiten fundamentar y ampliar lo que el Copilot puede hacer.

radio_button_uncheckedshort_text6. Cómo escribir prompts eficaces

La calidad del prompt influye directamente en la utilidad de la respuesta. La documentación de Microsoft organiza un buen prompt en cuatro elementos: meta, contexto, expectativas y fuente. No toda pregunta necesita mencionar los cuatro explícitamente, pero este modelo es especialmente útil cuando la tarea es crítica o compleja.

6.1 Meta

Declare el resultado deseado. Verbos como resumir, comparar, explicar, identificar, priorizar, generar y validar reducen la ambigüedad. 'Analice este incidente' es genérico; 'resuma la línea de tiempo, identifique las tres entidades más afectadas y proponga los próximos pasos' es más preciso.

6.2 Contexto

Informe período, objetivo de negocio, fase de la investigación y público. El mismo incidente puede requerir una explicación técnica para el SOC, un resumen ejecutivo para el liderazgo y una cronología para auditoría.

6.3 Expectativas

Defina formato, nivel de detalle, restricciones y criterios. Ejemplos: tabla, lista numerada, lenguaje para público no técnico, separación entre hechos e hipótesis, inclusión de nivel de confianza y citación de evidencias.

6.4 Fuente

Indique plugins, productos, archivos o bases de conocimiento relevantes. La fuente orienta el grounding y reduce respuestas basadas únicamente en conocimiento general.

6.5 Ejemplos de prompts: de lo vago a lo verificable

6.6 Buenas prácticas de prompting

• Comience con un objetivo y refine en etapas, en lugar de intentar resolver toda la investigación en un solo aviso.
• Use identificadores concretos: número del incidente, usuario, dispositivo, dominio, dirección IP, CVE e intervalo de tiempo.
• Pida separación entre evidencia observada, inferencia y recomendación.
• Solicite citas de fuentes o la indicación de los datos utilizados cuando el escenario lo permita.
• Especifique el público y el formato de salida.
• Evite ingresar secretos, credenciales o datos personales innecesarios en el prompt.
• No acepte automáticamente comandos, scripts o consultas generadas; revise sintaxis, alcance e impacto.
• Proporcione retroalimentación y reformule cuando la respuesta no cumpla con el objetivo.

6.7 Promptbooks y estandarización

Los promptbooks agrupan prompts en una secuencia orientada a una tarea, como investigación de phishing, análisis de vulnerabilidad o preparación de informe. Ayudan a codificar procedimientos del equipo, reducir pasos olvidados y crear consistencia. Sin embargo, un promptbook debe ser revisado cuando cambian productos, amenazas o procesos internos.

Ejemplo de promptbook

1) resumir incidente; 2) extraer entidades e indicadores; 3) consultar reputación; 4) generar hipótesis; 5) listar brechas; 6) proponer acciones; 7) producir informe para el público elegido.

radio_button_uncheckedshort_text7. Plugins, fuentes de datos y conocimiento organizacional

Los plugins son el mecanismo que amplía el Copilot más allá del modelo de lenguaje. Pueden proporcionar contexto, consultar servicios, buscar inteligencia o exponer herramientas especializadas. La organización puede activar o desactivar plugins, aplicar filtros y, en algunos casos, personalizar configuraciones como el espacio de trabajo predeterminado de Microsoft Sentinel.

7.1 Categorías de plugins

7.2 Conocimiento organizacional

Políticas internas, manuales de respuesta, procedimientos, bibliotecas KQL y registros históricos representan contexto que un modelo general no posee. El Security Copilot puede usar archivos o conexiones con bases de conocimiento para referirse a este material. La calidad depende de contenido actualizado, bien organizado y autorizado para el usuario.

7.3 Autenticación en nombre del usuario

En los plugins de Microsoft, el modelo on-behalf-of preserva el contexto de identidad: la consulta se realiza en nombre del usuario conectado. Así, el Copilot no debe ser tratado como un atajo para eludir RBAC. El usuario puede tener el rol de Colaborador en el Copilot y, aun así, no poder leer un incidente específico si no posee permiso en el producto que contiene los datos.

Principio de seguridad

Conectar más fuentes aumenta el contexto y también amplía la superficie de gobernanza. Active solo integraciones necesarias, aplique el menor privilegio y revise los datos que pueden aparecer en las respuestas.

radio_button_uncheckedshort_text8. Experiencia autónoma y experiencias incorporadas

El Security Copilot puede ser usado en un portal autónomo y dentro de productos Microsoft. La experiencia autónoma favorece investigaciones amplias, sesiones de chat, uso combinado de plugins, promptbooks y colaboración. Las experiencias incorporadas presentan capacidades en el contexto del trabajo que ya se está realizando, reduciendo el cambio de herramientas.

8.1 Contexto no significa confianza automática

Una experiencia incorporada puede completar automáticamente información del incidente, alerta o política abierta. Esto mejora la relevancia, pero el profesional aún debe verificar el alcance. Un resumen de incidente puede omitir eventos, y una consulta generada puede buscar un período diferente al necesario.

8.2 Agentes

Los agentes ejecutan tareas orientadas a objetivos, estructuradas y repetibles. En las versiones actuales de la plataforma, pueden ser el punto inicial recomendado. Conceptualmente, un agente combina instrucciones, identidad, permisos, plugins, disparadores y límites operativos. Cuanto mayor sea la autonomía, mayor será la necesidad de auditoría, aprobaciones y revisión de los resultados.

radio_button_uncheckedshort_text9. Casos de uso en operaciones de seguridad

9.1 Investigación y resumen de incidentes

El Copilot puede consolidar alertas, entidades, activos, horarios y técnicas observadas en una narrativa. Este resumen ayuda en la clasificación y en el traspaso de turno, pero debe compararse con la página del incidente y los alertas originales. El valor principal es reducir el tiempo de lectura inicial y destacar relaciones que merecen investigación.

9.2 Inteligencia de amenazas

Los plugins de inteligencia permiten consultar perfiles de agentes de amenaza, infraestructura maliciosa, informes de análisis y publicaciones de vulnerabilidades. El Copilot puede resumir contexto, relacionar indicadores y adaptar la explicación. El analista debe verificar la actualidad, atribución, confiabilidad de la fuente y relevancia para el entorno.

9.3 Análisis de scripts y archivos

Al recibir un script sospechoso, el Copilot puede explicar comandos, técnicas, persistencia, comunicación de red y posibles indicadores. Esta capacidad mejora la accesibilidad para quienes no dominan el lenguaje, pero no reemplaza el análisis estático, dinámico, sandbox, la telemetría del endpoint ni la revisión por un especialista.

9.4 Generación y explicación de consultas KQL

Kusto Query Language se usa en Microsoft Sentinel y en la caza avanzada de Defender. El Copilot puede transformar una pregunta en lenguaje natural en una consulta, explicar operadores, corregir sintaxis y sugerir variaciones. Antes de ejecutar, confirme tablas, nombres de campos, intervalo de tiempo, volumen consultado y si la consulta solo lee datos o integra un flujo con efectos posteriores.

9.5 Informes y comunicación

La misma investigación necesita diferentes formatos. El Copilot puede crear un resumen ejecutivo, línea de tiempo técnica, lista de acciones, comunicación para usuarios o borrador de informe post-incidente. El profesional debe eliminar datos innecesarios, adaptar el tono, confirmar hechos y seguir el proceso formal de la organización.

9.6 Respuesta y remediación

El sistema puede sugerir contención, investigación adicional y correcciones. Los ejemplos incluyen aislar el dispositivo, restablecer credenciales, revocar sesión, bloquear indicador o ajustar política. La recomendación no debe ejecutarse sin verificar el impacto, la autoridad, las dependencias, la reversibilidad y la evidencia. En entornos críticos, los cambios requieren aprobación y un plan de retorno.

9.7 Operaciones de TI, directivas, ciclo de vida y apoyo a las partes interesadas

La misma capa de asistencia puede sintetizar evidencias técnicas para acelerar la solución de problemas de TI, comparar una directiva nueva con las existentes para detectar conflictos, guiar la creación de grupos y parámetros de acceso en flujos de ciclo de vida seguros y preparar informes concisos para las partes interesadas con el contexto del entorno, problemas abiertos y medidas de protección en el tono esperado por el público. Estas funcionalidades aumentan la productividad del analista, pero no eliminan a los responsables del servicio, revisores ni aprobaciones.

Estándar recomendado

Copilot propone -> analista valida -> responsable autoriza -> herramienta ejecuta -> equipo confirma resultado -> evidencia es registrada.

radio_button_uncheckedshort_text10. Activación, capacidad, funciones y permisos

La incorporación tiene cuatro partes: identificar la categoría del cliente, proporcionar capacidad cuando sea necesaria, configurar el entorno del área de trabajo predeterminada y asignar permisos. Los inquilinos elegibles de Microsoft 365 E5 y E7 reciben un aviso con siete días de antelación antes de que Microsoft realice el aprovisionamiento automático y obtienen capacidad incluida sin configurar Azure manualmente. Los demás clientes aprovisionan manualmente unidades de proceso de seguridad (SCU) y usan capacidad aprovisionada más uso por encima del límite. Las cantidades comerciales pueden cambiar; compruebe siempre la oferta vigente antes de implementar.

10.1 Security Compute Units

Las SCU miden la potencia de proceso usada por experiencias independientes e insertadas, secuencias de solicitudes, agentes de Microsoft o de asociados y otras funcionalidades. La capacidad aprovisionada se adquiere por adelantado y se factura por hora; el uso por encima del límite se consume y factura a petición, con un máximo o sin límite. En el modelo manual del módulo de origen se podían aprovisionar entre 1 y 100 SCU, con tres SCU y uso por encima del límite sin restricciones como sugerencia para una exploración inicial. La capacidad puede aumentarse o reducirse sin compromiso a largo plazo y las solicitudes pueden detenerse cuando se agota toda la capacidad.

10.2 Funciones del Security Copilot

10.3 Dos capas de autorización

6. Acceso a la plataforma: el usuario necesita una función adecuada en Security Copilot. 7. Acceso a los datos: el usuario necesita funciones y permisos en Defender, Sentinel, Entra, Intune, Purview o servicio externo.

10.4 Menor privilegio

Microsoft recomienda usar funciones con el menor conjunto de permisos. Las funciones globales altamente privilegiadas deben reservarse para situaciones en las que no exista una función específica. Es preferible asignar acceso por grupos, revisar los miembros periódicamente y separar la administración de la plataforma del trabajo diario de investigación.

10.5 Aprovisionamiento manual y supervisión de capacidad

La incorporación manual exige una suscripción de Azure, como mínimo Azure Owner o Azure Contributor en el grupo de recursos, y Security Administrator o un rol superior en el inquilino. Un Global Administrator de Microsoft Entra no recibe automáticamente permisos sobre recursos de Azure; cuando corresponda, puede elevar el acceso en Microsoft Azure Portal y después asignar el rol de Azure necesario. La capacidad puede crearse con el asistente de incorporación de Security Copilot o con el servicio Security Copilot en Microsoft Azure Portal. Ambos recorridos solicitan nombre del área de trabajo, suscripción, grupo de recursos, región, nombre de capacidad, cantidad de SCU y opción de uso por encima del límite; después implementan las SCU como recursos de Azure en el grupo elegido.

Los propietarios de la capacidad pueden ajustar las SCU desde cualquiera de los portales y consultar hasta 90 días de consumo en el panel de supervisión, con dimensiones de área de trabajo, capacidad, complemento, sesión e iniciador. Los filtros y la exportación ayudan a analizar costes y planear capacidad. La capacidad incluida de Microsoft 365 E5/E7 sigue las condiciones vigentes; las capacidades aprovisionada y por encima del límite siguen sus modelos de facturación respectivos.

10.6 Entorno del área de trabajo y controles de datos

• Cada área de trabajo es un entorno vinculado al inquilino y necesita su propia capacidad. Las áreas de trabajo ayudan a asignar costes por equipo y presupuesto y a cumplir requisitos geográficos de almacenamiento.
• Durante la configuración se eligen la capacidad y la geografía de almacenamiento. El módulo de origen enumera centros de datos de Azure en el límite de datos de la Unión Europea, Reino Unido, Estados Unidos, Australia y Nueva Zelanda, Japón, Canadá y Sudamérica.
• Elija si los avisos se evaluarán solo en la geografía seleccionada o si podrán evaluarse en otras regiones cuando la disponibilidad lo requiera.
• La configuración del propietario para todo el inquilino puede permitir que Microsoft Purview procese y conserve acciones administrativas, acciones de usuario y respuestas de Copilot para auditoría. Las organizaciones sin Microsoft Purview deben completar la configuración limitada documentada.
• Los controles por área de trabajo determinan si Microsoft puede usar revisión humana para validar el rendimiento del producto o mejorar el modelo de IA de seguridad. Participar no autoriza a usar datos del cliente para entrenar modelos fundacionales.
• Los controles de complementos por área de trabajo definen quién puede agregar complementos personalizados propios o para toda la organización, cuáles están disponibles para todos o solo para propietarios y si Security Copilot puede acceder a servicios de Microsoft 365. El complemento de Microsoft Purview depende actualmente de ese permiso.

10.7 Herencia de roles y permisos en los productos de origen

Copilot Owner y Copilot Contributor son roles de plataforma, no roles de Microsoft Entra ID, y por sí solos no conceden acceso a datos de seguridad. Billing Administrator, Microsoft Entra Compliance Administrator, Global Administrator, Intune Administrator, Security Administrator, Purview Compliance Administrator, Purview Data Governance Administrator y Purview Organization Management heredan acceso de propietario para mantener cobertura administrativa. Global Administrators, Security Administrators y Copilot Owners pueden cambiar los miembros de los roles del área de trabajo. El grupo Recommended Microsoft Security roles permite agregar rápidamente como colaboradores a usuarios que ya tienen roles de seguridad aptos en Microsoft Entra.

El rol de plataforma tampoco sustituye los permisos del producto conectado. Por ejemplo, usar incidentes de Microsoft Sentinel puede exigir Microsoft Sentinel Reader, mientras que los datos de dispositivos, privilegios y directivas de Microsoft Intune pueden exigir Intune Endpoint Security Manager. Los complementos de Microsoft suelen usar el modelo en nombre de, por el que Copilot actúa con los derechos del usuario conectado; algunos complementos configurados usan parámetros de autenticación propios. La habilitación y configuración de complementos se realiza por área de trabajo.

Para memorizar en el SC-900

Licencia o capacidad habilita el servicio; la función de Copilot habilita el uso de la plataforma; la función en el producto de origen habilita el acceso al dato. Son controles relacionados, pero diferentes.

radio_button_uncheckedshort_text11. Privacidad, protección de datos e IA responsable

Los prompts, la información recuperada para generar respuestas, las respuestas, los elementos fijados y los archivos cargados pueden constituir datos del cliente. Además, el servicio crea registros generados por el sistema para operación, seguridad y rendimiento. Los administradores necesitan comprender dónde se procesan y almacenan los datos, qué opciones de compartición están habilitadas, cómo se configura la auditoría y qué políticas organizacionales se aplican.

11.1 Controles esenciales

• Aplicar el menor privilegio y revisar las funciones del Security Copilot y de los productos integrados.
• Activar solo los plugins necesarios y verificar sus formas de autenticación.
• Evitar incluir secretos, credenciales o datos personales sin necesidad operacional.
• Definir quién puede cargar archivos y qué documentos son apropiados como fuentes.
• Monitorear capacidad, uso, sesiones, configuraciones y registros de auditoría.
• Conocer opciones de compartición de datos y retroalimentación del inquilino.
• Usar políticas de retención, clasificación y cumplimiento aplicables.
• Entrenar a los usuarios para verificar respuestas, fuentes e impacto de las acciones.

11.2 Principios de IA responsable

El uso responsable implica confiabilidad y seguridad, privacidad, inclusión, transparencia, responsabilidad y justicia. En la práctica, esto significa dejar claro que el contenido fue generado por IA, registrar decisiones humanas, probar el comportamiento en escenarios reales, limitar la autonomía, proteger los datos y ofrecer vías para impugnar o corregir resultados.

11.3 Limitaciones que el profesional debe reconocer

radio_button_uncheckedshort_text12. Escenario práctico integrado: investigación de cuenta comprometida

La empresa Contoso recibe un incidente que correlaciona la entrada de un lugar atípico, la creación de una regla de reenvío de correo electrónico y la ejecución de PowerShell en un dispositivo del usuario. El analista abre el incidente en Microsoft Defender XDR y utiliza la experiencia incorporada para obtener un primer resumen.

8. Resumen inicial: solicitar la línea de tiempo, entidades afectadas y alertas que sustentan la correlación. 9. Identidad: usar el plugin de Microsoft Entra para revisar entradas, riesgo, dispositivos y cambios relevantes. 10. Script: pedir explicación del PowerShell, extracción de indicadores y técnicas observadas. 11. Hunting: generar KQL para localizar ejecución similar en otros dispositivos y usuarios. 12. Inteligencia: consultar reputación de dominios, IPs y hashes encontrados. 13. Validación: comparar cada afirmación con alertas, registros, resultados de consulta y procedimientos internos. 14. Respuesta: proponer acciones priorizadas; obtener autorización para revocar sesiones, restablecer credenciales, aislar dispositivo y bloquear indicadores. 15. Comunicación: producir resumen ejecutivo y registro técnico, eliminando datos innecesarios e identificando hechos, hipótesis y lagunas.

Resultado esperado

El Copilot reduce el tiempo para organizar y explicar información. El analista preserva el control sobre evidencias, hipótesis, decisiones y ejecución de las acciones.

radio_button_uncheckedshort_text13. Revisión dirigida para el SC-900

13.1 Trampas conceptuales

• Pensar que el Copilot accede a todos los datos del tenant solo porque el usuario tiene un rol en la plataforma.
• Confundir respuesta fundamentada con respuesta garantizada correcta.
• Imaginar que el Security Copilot sustituye al SIEM o al XDR.
• Tratar plugin y promptbook como sinónimos.
• Considerar un prompt vago suficiente para una investigación crítica.
• Ejecutar script o consulta generada sin revisión.
• Olvidar que capacidad, licenciamiento, función del Copilot y permiso en la fuente son requisitos diferentes.
• Ignorar la privacidad y la clasificación porque la herramienta es corporativa.

radio_button_uncheckedshort_text14. Conclusión

Microsoft Security Copilot representa un cambio importante en la forma en que los profesionales interactúan con los datos de seguridad. Transforma el lenguaje natural en una interfaz para investigación, inteligencia, consultas, explicaciones e informes. Su valor nace de la combinación de modelos de lenguaje con grounding, plugins, fuentes autorizadas e integración al ecosistema Microsoft.

En mi evaluación, la mayor contribución de la solución no es “automatizar al analista”, sino disminuir la distancia entre una señal técnica y una decisión comprensible. Esto puede elevar la productividad y el aprendizaje, siempre que la organización preserve el menor privilegio, la trazabilidad, la calidad de los datos y la validación humana. Cuanto más convincente se vuelva la IA, más importante es cultivar el hábito de preguntar: ¿qué evidencia sustenta esta respuesta?

radio_button_uncheckedshort_text15. Preguntas de repaso

1. ¿Qué alternativa describe mejor el papel de los plugins en Microsoft Security Copilot?

• A) Sustituir los permisos de los productos integrados.
• B) Conectar el Copilot a datos y capacidades especializadas usadas en el grounding y en la ejecución de tareas.
• C) Almacenar exclusivamente el historial de prompts.
• D) Convertir automáticamente cualquier recomendación en acción.

2. ¿Cuáles son los cuatro elementos recomendados para un prompt eficaz?

• A) Modelo, token, licencia y tenant.
• B) Usuario, contraseña, sesión y auditoría.
• C) Meta, contexto, expectativas y fuente.
• D) Alerta, incidente, evidencia y activo.

3. Un usuario posee la rol Security Copilot contributor, pero no puede consultar un incidente en Defender XDR. ¿Cuál es la explicación más probable?

• A) Contributor solo permite crear plugins.
• B) La función del Copilot permite usar la plataforma, pero el usuario también necesita permiso en el producto que contiene el incidente.
• C) Todo incidente requiere función de Administrador Global.
• D) El Security Copilot no se integra con el Defender XDR.

4. ¿Cuál es la conducta más segura ante una recomendación de contención generada por el Copilot?

• A) Ejecutarla inmediatamente porque fue fundamentada por plugins.
• B) Copiar la recomendación a un script y ejecutarla en todos los activos.
• C) Validar evidencias, impacto, autoridad, alcance y reversibilidad antes de autorizar la acción.
• D) Ignorar todas las recomendaciones generadas por IA.

Respuestas comentadas

1. B. Los plugins conectan el Copilot a fuentes y herramientas. No elevan automáticamente permisos ni hacen que la respuesta sea infalible.

2. C. Meta, contexto, expectativas y fuente ayudan al sistema a entender qué producir, por qué, en qué formato y con qué datos.

3. B. El acceso posee capas: rol en la plataforma y autorización en los productos de origen. El modelo on-behalf-of preserva los permisos del usuario.

4. C. Las recomendaciones deben confrontarse con evidencias y controles operativos. La validación humana es parte del uso responsable.

radio_button_uncheckedshort_text16. Glosario rápido

radio_button_uncheckedshort_text17. Referencias oficiales para profundización

• Microsoft Learn. Guía de estudio para el examen SC-900: Fundamentos de Seguridad, Cumplimiento e Identidad de Microsoft.
• Microsoft Learn. Describe Microsoft Security Copilot (módulo de entrenamiento).
• Microsoft Learn. ¿Qué es Microsoft Security Copilot?
• Microsoft Learn. Solicitar en Microsoft Security Copilot.
• Microsoft Learn. Crea prompts eficaces.
• Microsoft Learn. Usa plugins en Microsoft Security Copilot.
• Microsoft Learn. Comienza con Microsoft Security Copilot.
• Microsoft Learn. Unidades de Cómputo de Seguridad y capacidad.
• Microsoft Learn. Privacidad y seguridad de datos en Microsoft Security Copilot.
• Microsoft Learn. Comprende la autenticación en Microsoft Security Copilot.
• Blog de Seguridad de Microsoft. Presentando Microsoft Security Copilot, 28 mar. 2023.
• Blog de Seguridad de Microsoft. Microsoft Copilot para Seguridad estará generalmente disponible el 1 de abril de 2024.

Nota de actualización

Contenido revisado en agosto de 2026. Los recursos, interfaces, disponibilidad regional, licencias y capacidad pueden cambiar. Consulte la documentación oficial antes de tomar decisiones de implementación.