Security Copilot 過去・現在・未来（予想）

#なんでも Copilot 2026 年7月22 日（水） Security Copilot 過去・現在・未来（予想） 田口 大智 @HirotomoTaguchi Microsoft MVP 1

サマリー • 2024 年にGAした Security Copilot は費用体系がとても扱いずらく、 それを跳ね返すだけのユースケースが薄い（筆者主観）と感じて おりました。 • 一方、最近は Microsoft 365 E5/E7 のライセンス数に応じて付与さ れることとなり、加えて Agent 機能などが拡充して良いものに なってきました。 • 今後は、大企業のセキュリティ運用で価値を発揮するのではない かと期待しています。 2

はじめに 趣旨と目的： • 謝罪：本当は本番環境で Security Copilot を常時ガンガン動かした経験を元に語りたかったの ですが、それはかないませんでした。 • Security Copilot はセキュリティ担当者を対象とした製品であることから、主にセキュリティ 担当者（特に事業会社）に向けて、 Security Copilot について筆者の観点で魅力と課題、期待 をお伝えし、 Security Copilot 展開の準備運動を始めていただくことを目的とします。 免責： • Security Copilot はセキュリティ担当者を対象とした製品であり、 等の製品の知識が前提に成り立ちます。 • Microsoft Defender XDR 途中、 Microsoft Defender XDR 等の解説を挟みながら挟むこともありますが、時間の都合上時 間が避けない場合がありますのでその点はご了承ください。 • 2026 年7月22 日（水）時点のマイクロソフト公式情報及び筆者の検証結果をベースに作成し ています。 3

田口 大智（ @HirotomoTaguchi ） 福岡大学附属大濠高校 明治大学（野球部） 2019.10 デジタルアーツコンサルティング株式会社 • ISO 27001, 27017, NIST SP800 -171, ISMAP のコンサルや監査 2021.8 株式会社クラウドネイティブ • ゼロトラストの概念に基づく業務インフラ刷新、セキュリティ製品導入・運用支援 • AIを使った業務改善（ Azure OpenAI 、 AI Search 、 Copilot 等々） 2024.11 日系製造業 • CSIRT（ SOCの検知ルール改善、海外グループ会社支援、インシデントレスポンス等） 趣味： ダンス、野球、 ゴルフ（引退） 、旅行 本日の登壇は所属会社とは切り離した個人の趣味としてのものであるため、 所属会社は非公開とさせていただきます。（少なくとも MS ではないです） 4

私 と Copilot （更新停滞中・・・） • Speaker Deck で公開して おり、 11 万PVを突破しま した。 研修 資料 Udemy 講座 研修資料： https://speakerdeck.com/hirotomotaguchi/copilot Udemy 講座： https://www.udemy.com/course/microsoft リンク • 内容はCopilot の進化に追 いつけていない。 • Speaker Deck で公開した 資料が伸びたこともあっ て、調子に乗って制作し たUdemy 研修動画。 • これも、 Copilot の進化に 追いついていない・・・ -for -microsoft -365 -yuzaxiang -keyan -xiu -zi-liao -365 -copilot -jp/?couponCode=A0757888C2E96255B210 5

• https://speakerdeck.com/hirotomotaguchi/copilot-for-microsoft-365-yuzaxiang-keyan-xiu-zi-liao
• https://www.udemy.com/course/microsoft-365-copilot-jp/?couponCode=A0757888C2E96255B210

アジェンダ 1 内外の課題と Security Copilot ざっくり概要 6 2 扱いが難しかった理由（過去）と転機（未来） 18 3 Security Copilot Agent 24 4 終わりに のデモ 29 6

外部の課題 国際情勢の悪化 犯罪のエコシステム化 （戦争等） （分業体制 /武器商人等） AI等による 攻撃の磨きこみ (ツール /ディープフェイク等 ) 脅威が高まっているという話は聞き飽きましたが、 サイバー攻撃はますます洗練化されており、厳しい状況であるように感じる ※ イラストは生成 AI（ Microsoft 365 Copilot Create ）で生成 7

内部の課題 システム 社内 システム以外 DC 組織 クラウド ポリシ ー (ex. 開発ルール ) PC （ OS・アプリ） プリンタ オンプレアプリ クラウドアプリ （自社開発 /SaaS ） IoT 業務 (ex. 開発プロセス ) スマホ （ OS・アプリ） NW 機器 オンプレサーバ /DB （ OS） VM（ OS） / VNet NW 機器 人 VPN リモート環境 プリンタ スマホ （ OS・アプリ） PC （ OS・アプリ） 攻撃側は無作為に攻撃してくるが、防御側のカバー範囲は広い おまけにスキルあるセキュリティ人材が足りていないらしい ※ ISC2、 2025 年版「サイバーセキュリティ人材調査」の結果を発表 物理 ルーター | ISC2, Inc. のプレスリリース ※ 8

• https://prtimes.jp/main/html/rd/p/000000024.000103584.html

AI で全ての問題は解決できないけど 一部は何とかできないか？ 9

主な対象業務 Source :https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2025/j5u9nn0000007mis -att/j5u9nn000000g1od.png 10

Security Copilot とは？ Microsoft Security Copilot リジェンス・クラウド基盤と は、 Microsoft 独自のセキュリティ知見・脅威インテ AIを 組み合わせたセキュリティ製品です。 UI プラグインでの 連携先 Security Copilot スタンドアロン ユーザー （ IT 管理者/セキュリティ担当） Security Copilot プラグイン Microsoft Defender XDR MS製品 • • • Microsoft Entra ID • Defender XDR Microsoft Entra ID Microsoft Intune Microsoft Purview サードパーティ製品 Microsoft Intune Microsoft Purview キーユース ケース 大規模 言語モデル • • Tanium Netskope 等々 セキュリティ運用（特にアラート対応）の領域のアシスタント Source : https://learn.microsoft.com/en -us/copilot/security/microsoft -security -copilot 11

• https://learn.microsoft.com/en-us/copilot/security/microsoft-security-copilot

Security Copilot のタイムライン Security Copilot は2023 年3月に発表され、徐々に進化をしてきました。 今日の主題 発表*1 (2023 年3月) 2023 GA *3 (2024 年4月1日) 2024 E5 に組み込まれることが発表 (2025 年11 月) 2025 *5 2026 今日の主題 早期アクセス *2 (2023 年10 月) エージェント *4 (2025 年3月) *1. Introducing Microsoft Security Copilot: Empowering defenders at the speed of AI - The Official Microsoft Blog *2. https://www.techrepublic.com/article/microsoft -security -copilot -experience -center/ *3. https://www.microsoft.com/en -us/security/blog/2024/03/13/microsoft -copilot -for -security -is-generally -available -on -april -1-2024 -w ith -new -capabilities/ *4. https://www.microsoft.com/en -us/security/blog/2025/03/24/microsoft -unveils -microsoft -security -copilot -agents -and -new -protections -for -ai/ *5. https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/microsoft -ignite -2025 -transforming -phishing -response -with -agentic innovation/4470791 12

• https://blogs.microsoft.com/blog/2023/03/28/introducing-microsoft-security-copilot-empowering-defenders-at-the-speed-of-ai/
• https://www.techrepublic.com/article/microsoft-security-copilot-experience-center/
• https://www.microsoft.com/en-us/security/blog/2024/03/13/microsoft-copilot-for-security-is-generally-available-on-april-1-2024-with-new-capabilities/
• https://www.microsoft.com/en-us/security/blog/2025/03/24/microsoft-unveils-microsoft-security-copilot-agents-and-new-protections-for-ai/
• https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/microsoft-ignite-2025-transforming-phishing-response-with-agentic-innovation/4470791

百聞は一見に如かず 早速デモ 13

デモ前の前提知識（ Defender XDR について） Defender XDR では脅威検出アクティビティに起因するシグナルをアラートと呼 び、関連するアラートを束ね、ひとつの「インシデント」として表示します。 インシデント アラート 初期侵入（例：フィッシング・ ID侵害） アラート 権限昇格・永続化（例： RMM のインストール） アラート 探索・横展開（例：強権限ユーザの発見 /搾取） アラート 目的の実行（例：データ持ち出し・暗号化） 参考： Microsoft Defender ポータルでのインシデントとアラート - Microsoft Defender XDR | Microsoft Learn 14

• https://learn.microsoft.com/ja-jp/defender-xdr/incidents-overview

デモ Security Copilot の対話型基本機能（非 Agent ） Security Copilot は2023 年3月に発表され、徐々に進化をしてきました。 対話型ＡＩに質問 01 コネクターで接続されたサービス（例： Defender XDR 等）のデータを参照する AIに対して、対話型で質問 できる。 Security 版 Work IQ のようなものと思ったらわかりやすい。 （注：筆者イメージ） インシデント 02 の要約 アラート・関連資産・不審タイムラインを統合し 2〜 3文サマリー や詳細解説を 実施してくれる 。 設定でオン にすれば、 インシデントページを開くたびに自動生成 してくれる。 スクリプト難読化解除・リバースエンジニアリング 03 意図的に難読化された PowerShell/Bash/ コマンドラインスクリプトを AIが分析し、意図・実行アクションを 平易な言語で説明する 。 悪意あるスクリプトを特定 するのを助ける 。 KQL 作成（ 自然言語による脅威ハンティング 04 ） 「 先週USBドライブへ大量コピーした非管理対象デバイスをリストアップして」などの自然言語入力から最 適なKQLを自動生成 してくれる 。 複雑な KQLの構文を暗記・手書きする必要がなくなる 。 ※Security Copilot の対話型機能のすべてを網羅しているわけではありません。 15

デモ 16

【 参考】 Logic Apps によるプレイブックへの組み込み Security Copilot はLogic Apps でも利用できるため、 イブックの一部として利用できます。 Logic Apps で作成したプレ 17

アジェンダ 1 内外の課題と Security Copilot ざっくり概要 6 2 扱いが難しかった理由（過去）と転機（未来） 18 3 Security Copilot Agent 24 4 終わりに のデモ 29 18

費用体系がとても扱いずらく 加えて、それを跳ね返すだけの ユースケースが薄い ※過去の話になりつつある 19

扱いが難しかった理由（過去） ※筆者主観 Security Copilot は Microsoft 365 Copilot Premium とは違い、 SCUという単位 での従量課金で小規模だとコスパが良くない。加えてユースケースも弱かった。 SCU 4 超過容量の上限 （ポータルで設定） 超過上限に達した場合は Security Copilot はストップする 3 超過した分に対しては、 $6( 時間)課金される。 4.0 3.2 プロビジョニングされた容量に対しては利用の有無に 関わらず課金され続ける。 1 SCU($4 ≒￥160) ×24 時間×365 日=約500 万円超！？ 2.2 2 1 プロビジョニングされた容量 0.6 0 2.9 0.8 0.8 0.3 6:00 0.6 0.8 0.3 7:00 8:00 9:00 10:00 11:00 12:00 Source : https://learn.microsoft.com/en -us/copilot/security/security -compute -units -capacity ※ SCUは複数ユーザーで利用できるので、大規模組織だと効率よく利用できます。 13:00 14:00 15:00 16:00 17:00 20

• https://learn.microsoft.com/en-us/copilot/security/security-compute-units-capacity

転機 – Copilot が E5/E7 ライセンスの中に！！（ 注意：筆者の観測範囲において、本展開は遅れているように見えています。（公式情報なし） Source ： https://admin.cloud.microsoft/?ref=MessageCenter/:/messages/MC1261596 1/2） 21

転機 – Copilot が E5/E7 ライセンスの中に！！（ E5ライセンスのボリューム事に利用できる 2/2） SCUの数は以下の通りです。 • E5ライセンス 5： 2 SCU/月 ←試せるのかも分からないぐらい • E5ライセンス 233 ： 93 SCU /月 ←使える ライン (常時3 SCU) • E5ライセンス 1,000 ： 400 SCU /月 • E5ライセンス 10,000 ： 4,000 SCU ←使いきる方が難しそう • E5ライセンス 25,000 以上： 10,000 SCU Source ： 対象となる Microsoft 365 E5 と E7 のお客様に対して Security Copilot が自動プロビジョニングされる方法を理解する | Microsoft Learn 22

• https://learn.microsoft.com/ja-jp/copilot/security/auto-provisioning-security-copilot

＋ Security Copilot Agent （抜粋） 2025 年には Security Copilot Agent てきました。 が登場し、魅力的なユースケースが拡充し 対応製品 エージェント名 概要 Defender XDR セキュリティアラート・ト リアージエージェント （一番期待） • Defender XDR 脅威インテリジェンス・ブ リーフィング・エージェン ト 最新の脅威アクターの活動と、内部および外部の脆弱性情報に基 づいて、わずか数分で脅威インテリジェンスブリーフィングを生 成します。 Entra ID 条件付きアクセス最適化 エージェント テナント内の全 CA ポリシーを自律的に監査。ポリシーの抜け穴 （ギャップ）を割り出し、具体的な改善ポリシー構成をドラフト 生成する。 Intune 脆弱性修復エージェント Defender 監視のエンドポイント脆弱性テレメトリを常時モニタリ ング。 AI主動のリスク優先順位に基づき修復ポリシー適用（承認 待ち状態）を自律設定する。 ※試してない Purview DLP トリアージエージェン ト DLPアラートのデータ機密性・外部持ち出しリスク・ルール違反 の深刻度を多角評価し、優先度に自動分類する。 Source ： https://learn.microsoft.com/en • -us/copilot/security/agents -overview ユーザー報告フィッシングアラート等を分析し、誤検知 （ FP）を自動クローズ。（旧：フィッシング・トリアージ・ エージェント） 現在、メール /ID/クラウドの一部アラートに対応。 (拡大予定) 23

• https://learn.microsoft.com/en

アジェンダ 1 内外の課題と Security Copilot ざっくり概要 6 2 扱いが難しかった理由（過去）と転機（未来） 18 3 Security Copilot Agent 24 4 終わりに のデモ 29 24

デモ 2. セキュリティアラートトリアージエージェント ※従来は「フィッシングアラートトリアージエージェント」という名称でしたが、「セキュリティアラートトリアージエージェント」に名前が変わり、トリアージできる範囲 も一部（ ID・クラウド）広がりました。今後のロードマップではさらに広い範囲をトリアージできるようになることが示されています。 Source : https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/announcing -public -preview -phishing -triage -agent -in -microsoft -defender/4438301 25

デモ 26

価値と注意点 価値： • 設定すれば自動で動く →T1アナリストのトリアージ業務の巻き取り • Defender が止めてくれましたではなく、言語で説明する（透明性） • 経験の浅いアナリストの強化（学習） • 人に必要以上のデータを常時見せなくて良い 注意点： • 現在対応しているのは、メール・ ID ・クラウドの特定のアラートのみ 27

AIR vs トリアージエージェント？？ Microsoft Defender XDR で従来からあった「自動調査と対応 ングするように思えますが、カバー範囲が異なる。 参考： AIR での自動修復 - Microsoft Defender for Office 365 | Microsoft Learn (AIR) 」とバッティ 28

• https://learn.microsoft.com/ja-jp/defender-office-365/air-auto-remediation

アジェンダ 1 内外の課題と Security Copilot ざっくり概要 6 2 扱いが難しかった理由（過去）と転機（未来） 18 3 Security Copilot Agent 24 4 終わりに のデモ 29 29

Cowork / Open Clow / Microsoft Scout の衝撃 AI に対して質問ではなく、作業や役割を渡せるようになってきたこの頃。 ※ Microsoft Scout はまだ検証できていない 質 問 過去のAI 作 業 今のAI 役 割 未来のAI? 30

今後のビジョン（期待を込めて） スキルのある人を集めるのはますます厳しくなっていくので、セキュリティの 運用に関する業務をどんどん渡していくことが予期される。 検知ルール・ SOAR ・ ・ ・ Tier 1 チケット管理 SIEM Tier 2 Tier 3 い (CSIRT) ま ま で Tier 2 で き な か Tier 1 っ た トリアージ・自動応答 仕 事 検知ルール・ SOAR 対 話 型 ア シ ス タ ン ト 共通基盤 Security Copilot はまだ理想のものではないが、 MS は Defender XDR や Purview を持っており、少なくとも今後伸びる素地があるのは確か ・ ・ ・ 共通基盤 チケット管理 Tier 3 (CSIRT) ビジョン SIEM よくある大企業の運用体制 31

中小企業はどうしていくか？ 現在のSecurity Copilot は大企業のためのものであるのが否めないが、自作を駆 使して同様のことを実施することはできる。 でも欲を言えば中小企業向けにも使いやすくしてほしいところ。（ FBしよう） Sentinel MCP • Sentinel MCP だと 、エンタープライズ 企業でなくてもライセンス体系的に利 用しやすい。 1. https://learn.microsoft.com/ja -jp/azure/sentinel/datalake/sentinel -mcp -overview 2. Claude Code がSOC業務を全自動でやってくれるってさ - ZOZO TECH BLOG • ZOZOさんは中小企業ではないし、なん なら Splunk 使っているみたいだけど、 考え方は参考になると思う。 32

• https://techblog.zozo.com/entry/soc-claude-agent

おわりに 33