Phillipe: Lange nicht gesehen. Und auf Wiederkant.

Andreas: Ja, hallo! Hallo und herzlich willkommen bei Die Sentinels, dem Microsoft Security Podcast aus der Praxis. Heute wollen wir nichts teilen, sondern uns einfach unterhalten und ein wenig über unsere Arbeit reden. Da wir den Podcast etwas aufteilen wollen auf eher praxisrelevante Teile. wo wir unseren Bildschirm teilen, wo man uns vor allem auf YouTube folgen sollte, reingucken sollte und der Teil, wo wir tatsächlich eher etwas mehr über den Security IT, Security Alltag besprechen wollen. Die meisten wissen ja wahrscheinlich, dadurch, wir sehr viel über Microsoft Sachen sprechen, dass das unser Hauptfokus ist und von daher Wenn wir neue Features binden, wird das eher in einer Videoreihe enden. Die wird zwar hier auch mitpublishen werden, aber unsere tägliche Arbeit, dachten wir, werden wir auch mal ein bisschen mehr beleuchten, weil die tatsächlich auch relativ spannend ist, womit wir uns auch immer wieder rumschlagen. ja, Philippe, wir wollten heute ja so ein bisschen mal auch unter anderem beleuchten was du aktuell so machst, womit du dich beschäftigst und magst du einfach mal anfangen.

Phillipe: gerne doch. Hallo zusammen, herzlich willkommen zurück zu unserem Podcast. ist nett, dass ihr wieder da seid. Seit jetzt glaube ich sechs Monaten haben wir auf der Arbeit eine neue Abteilung mehr oder weniger gegründet. Also es gab schon so inoffiziell, aber jetzt ist offiziell und zwar die AI-Abteilung. Und darunter bin ich gefallen, das heißt jetzt nämlich Detection AIOps, darunter ist Sentinel und das ganze Security for AI. So und was wir machen ist, oder was ich gerade mache, wir gehen mit unserer Bestandskunde einmal durch, alle haben ja mitbekommen, falls nicht, kriegt ihr das jetzt mit. Wer E45 ist, ich glaube sogar wir haben das in einer der Folgen erwähnt, mit der E5 Lizenz kriegt man jetzt bei 1000 E5 Lizenzen 400 SCUs für Secret Copilot zur Verfügung pro Monat, die man verwenden kann. Wichtig zu erwähnen ist, die SCUs werden aus dem ersten resettet, sonst habt ihr wieder 400 SCUs zur Verfügung. Was ist der Sinn dahinter? Der Sinn ist, je man hat, also unsere Kunden haben ja schon die SCUs bei sich liegen, dann wieso nicht nutzen? könnte man so sagen, Kostprobe von Microsoft, weil wir alle wissen der Anfang von Security Copilot war nicht so prickel. Also die SCU Kosten waren schon ziemlich teuer. Das hat der ein oder andere verschreckt, Security Copilot zu nutzen. Und jetzt halt mit dem kostenlosen SCU zu den E5 ist das natürlich ein sehr guter Souvenir, könnte man so sagen. Also man hat das ja da liegen in seinem Tenant, wieso auch nicht nutzen.

Andreas: Ja ich glaube auch, also vielleicht ganz kurz dazu, das ist ja halt wirklich der Punkt, den wir ja ganz oft immer hatten mit diesem Security Copilot. haben die Kunden sehr oft den Mehrwert nicht gesehen, was sie damit erreichen können, wo sie dann gesagt haben, na warum soll ich mir das kaufen? Und der Shift von Security Copilot, muss man ja auch sagen, da gab es ja doch eine Anpassung eher von diesem klassischen, du schreibst mit dem Copilot, hin zu Agenten, die Microsoft hat auch schon selber bereitgestellt. Und das ist halt auch, glaube ich, einer der Teile, wo man ganz anders die Kunden mit halt begeistern kann, wenn man halt sagt, du kannst ja nicht nur deine Sentinel Defender Daten direkt über eine generative AI befragen, sondern kannst halt auch Agenten da drauf werfen.

Phillipe: Also das ist ja das. Man hat ja die STUs liegen da. wo liegen die? Klar fällt mir gerade ein. Wenn ich sage die STUs liegen da, wo meine ich die liegen da? Es gibt ja die standalone Vision. Also wir sehen alle, wenn wir in irgendwelche Microsoft Produkte unterwegs sind. Sei es hier in Entra, Defender oder auch Teams. sehen ja immer Co-Pilot, Co-Pilot überall stehen. Man muss natürlich hier unterscheiden. Wir haben einmal den Security Co-Pilot und den normalen Co-Pilot für den Alltag. Und das Security Copilot, der ist immer da, wo wir auch die Security Lösung haben, zum Beispiel in Defender Portal in Azure. Und wenn ich sage, dass wir ausliegen, da meine ich genau da, wo Security Copilot auch liest. Es gibt auch die Send-Alohn-Version. Was heißt Send-Alohn? Das ist ja in der Webseite, also in dem Portal securitycopilot.microsoft.com. Und wie Andreas schon sagt, wenn ihr da reingeht, ihr, dann habt ihr die Möglichkeit, auch Agents dort zu aktivieren. Den empfehlenswert ist einmal den Fischentriage Agent, der performt gerade ziemlich gut in allen Munden. Ich höre nur Gutes von ihm. Dann hätten wir ja...

Andreas: der sich jetzt auch heroben benannt hat und jetzt der Security Triage Agent heißt und tatsächlich seine Features erweitert, dass man auch Cloud und Identity basierte Alerts jetzt mit überprüfen lassen kann. Wobei das war letztens, als ich bei uns geschaut habe, noch nicht aktiv im Tenant. Die Preview ist zwar bekannt dafür, also gibt auch schon der Docs Artikel, wo die überarbeitet. aber war bei uns noch nicht aktiv, dass wir es nutzen konnten. Ist aber auf jeden Fall einer der spannendsten Agents, die man sich anschauen kann. Und ich glaube auch da wo tatsächlich die meisten Kunden, also sei es jetzt bei uns im Managed SOC oder im Consulting Bereich, glaube ich auch die meisten mit angefixt werden können sozusagen, weil der Hauptschmerz, man hier hatte, waren einfach Mailalerts und das wird damit natürlich gleich bekämpft.

Phillipe: Und wie du schon sagst, ist der wirklich, wo wir auch sehen, die Kunden am meisten den Mehrwert sehen. Weil der Output einfach sehr gut ist. was unsere Kunden sagen und auch was du selber und unser SOK das auch bestätigen können. Daher, es gibt aber auch den TI Agent, der soll auch ziemlich gut TI Reports generieren. Also der TI Agent, von dem höre ich aus sehr guten Feedback von einzelnen Kunden. Ich habe einen Kunden, wo der immer zum ersten des Monats den TI Agent einmal laufen lässt. Und einen seiner Mitarbeiter, ein Talk Analyst, der geht einmal über das Reporting rüber und dann wird das auch intern weitergeteilt als TI Report. Also... Ja, das ist so gerade ziemlich, na kann man sagen, ziemlich in der Agent, den ganzen Agent, weil die liegen ja da, die Ressourcen, die sind von Microsoft aus zur Verfügung gestellt und das sage ich auch immer, wenn wir diese Ressourcen haben, dann nutze es einfach. Kostet uns ja nichts mehr. Und wenn die, wenn man auf die 400 SEOs angekommen sind, dann ist es halt so. Dann kann man auch selber einen Feelead dafür kriegen, weil Wie vorhin schon gesagt, also es ist nicht nur, dass die SCUs da sind, sondern wir haben die Möglichkeit mit den SCUs nicht, es ist nur nicht dafür Security Copier, also den Shedbot, sondern auch den Agent an sich. Also man kann auch selber dann Agents bauen, die dann auch für einen einen Task erledigen. Daher haben wir diese ganze Agent-Thematik gerade bei unseren Kunden. Wie ist es denn bei dir, Andreas? Ist es bei dir auch so der Fall, dass jetzt ihr umsorgt mehr mit dem Agent, weil du hast auch gerade gesagt, Der Fischentriage Agent heißt ja nun anders. Das wusste ich zum Beispiel nicht. Also geh mal davon aus, dass du den einen oder anderen Agent schonmal angefasst hast oder dich ja auseinandergesetzt hast.

Andreas: Ja, tatsächlich kann man ja nicht so viel bei den Agents machen, außer sie meistens aktivieren. Vielleicht noch eine Identity dahinter packen. Beim TI Agent ist es ja auch nur, dass man sagen kann, in welchem Bereich ist mein Unternehmen tätig, etwas genauere TI Reports zu bekommen. Im Endeffekt ist glaube ich bei uns eher das Spannende, wie arbeiten wir im SOC denn mit den Agents zusammen, weil das ist ja das, wo dieser Shift gerade entsteht, dass wir jetzt gerade dabei sind, lernen zu müssen. Wir haben nicht nur Alerts, reinkommen, sondern wir haben vielleicht auch Agents, die in Kundenumgebungen laufen und irgendwo schon Dinge tun oder getan haben. das ist natürlich, muss man ganz klar sagen, auch immer schwierig, wenn man unterschiedliche Kundenumgebungen hat. das alles unter einen Hut zu bekommen, wo kann man sich, wo drauf, also bei welcher Umgebung kann man sich wo drauf verlassen, dass zum Beispiel schon irgendwas lief, macht es uns nicht gerade einfach, dass halt diese Verteilung des Security-Copilots so verstreut ist. Wir reden ja über mehrere Monate, wo das bei den Kunden rauskommt. und wo die Kunden das verwenden können, das ist natürlich etwas problematisch, weil das dann einfach bedeutet, wir haben unterschiedliche Prozesse. Deshalb schauen natürlich auch bei uns, was wir implementieren zu vereinheitlichen, auch überall eine gleichbleibende, gute Qualität zu liefern. Unabhängig auch von der Lizenzanzahl der Kunden. Weil man muss ja immer noch sagen, was machst du jetzt mit Kunden, keine E5 haben? sondern halt nur eine E3 oder noch niedriger unterwegs sind, die vielleicht auch aufgrund ihrer Größe nicht brauchen oder im Business-Premium-Segment unterwegs sind. Da muss man natürlich auch oder wollen wir natürlich auch als Provider Möglichkeiten bereitstellen, dass da schon gewisse Automatismen mitlaufen können, die Unabhängig von unseren Logic Apps, die wir haben, natürlich irgendwie eine Beurteilung machen, wo der Analyst dann nur noch drüber gucken muss oder sei es eine Empfehlung zu geben, dass irgendwas getan wird oder doch im Fubar Tanting noch weiter zu unterstützen. der Security Copilot ist der 1-0-1-Piller, den wir ja immer betrachten. Die Foundry ist ein anderer. Wahrscheinlich. sehr viele Stockanbieter jetzt auch schon ein Auge drauf werfen und auch hier anfangen zu schauen, die eigene Agents bereitstellen können, die dann halt einfach in den Kundenumgebungen integriert werden können und dort halt mit die Agentaufgaben abzulösen, die vielleicht durch den Security Co-Pilot bekommen. Da entsteht glaube ich gerade so bisschen dieser Lernprozess, wir alle haben, welcher Lösung funktioniert jetzt wirklich in meinem Bereich gut, wo kann ich mich darauf verlassen und was klappt vielleicht auch gar nicht, was funktioniert vielleicht gar nicht in meiner Umgebung. meine vielleicht lag der ein oder andere Foundry bringt überhaupt nichts bei viel zu viel Aufwand und wir verlassen uns ja auf den Security Copilot, das reicht vollkommen aus und das ist auch vollkommen legitim. Als MSSP müssen wir halt bloß skalieren können, wir müssen auf unterschiedlichste Umgebungen reagieren können und deshalb müssen wir auch natürlich sehr flexibel sein was das angeht.

Phillipe: Das ist so etwas Gutes gesagt, Flexibilität, ist so etwas, was ich auch merke. anderen Kunden sind dafür offen und sind auch bereit, uns diesen Schritt zu gehen. Und die auch sagen, ja gerne, probieren wir aus. Aber dann haben wir auch Kunden, die sagen, ne lieber nicht.

Andreas: Man muss aber auch hier ganz klar differenzieren. Die Kunden, vielleicht sagen, nee, lieber nicht, sind vielleicht Kunden, sich eher denken, vielleicht... Also entweder vertrauen sie der KI dahinter nicht oder vielleicht sind es auch wirklich eher Kunden, die sich Gedanken darüber machen, wie sieht die Governance von meinen Agents aus, wie kann ich die Sicherheit gewährleisten, weil wir hatten jetzt auch einen Fall, wo... agents deployed wurden und der defender hat dann halt ein alert darauf geworfen dass hier versucht wurde in prompt injection zu starten was halt geblockt wurde aber man hat halt gemerkt das unternehmen hat dann sehr stark eingelenkt in richtung okay wir müssen Wir müssen uns jetzt, am besten halt gestern eigentlich, Gedanken darüber machen, was bedeutet es, wenn ich Agents in mein Unternehmen hole. da fängt die ganze Leier wieder an, die wir schon in unseren anderen Podcasts mit hatten. Agent Identity, Guardrails, die ganze Governance davon, wer ist dafür verantwortlich für welchen Agent, darf ich Agents einfach abschalten, was geht kaputt, wenn ich den abschalte, das muss alles klar sein. Und vor allem das muss halt auch irgendwo so gut dokumentiert sein, dass jemand 3 Uhr morgens die Entscheidung treffen kann, ich schalte den Agent jetzt ab. Und es muss auch klar sein, wie das funktioniert, weil so funktioniert halt das SOC. Man witzelt jetzt halt immer rum, dass der Agent halt 3 Uhr morgens ohne Kaffee noch gut weiterarbeiten kann und die Inzidenz analysiert, aber... Wer muss denn den Agent stoppen, wenn es drauf ankommt? Das ist dann halt wieder der Mensch. Und das ist glaube ich auch immer ganz wichtig, dass wir da alle die Awareness haben. Anzufangen, dass das der erste Schritt ist, der getan werden sollte. Wir kommen nur wieder in Teufels Küche, wie mit den Applikationen. Shadow IT war eines der größten Probleme, die wir hatten. Und das ist auch teilweise immer noch ein Riesenproblem. Jetzt mit Shadow AI wird's nicht besser. Von daher... Plan, Plan.

Phillipe: Ja, nur so bekommen wir noch die Erfahrungshalte. Dann muss man den Workshop zurück. Also unser Workshop basiert so, erste Session ist halt nur eine Prompting Session. Da gehen wir ganz wirklich vom Grund auf, was ist Prompting, wie sieht denn so ein angemessener Prompt aus oder wie soll ich prompten, denn am Ende verbrauchen wir immer noch unsere SEUs.

Andreas: Aber wie kommt das bei den Kunden an? ich meine, wir haben jetzt schon seit ein paar Jahren, dass wir Zugang zu generativer AI haben, Chatbots, und da unsere Prompting-Skills ja schon etwas verbessern konnten, sag ich mal, also wenn ich überlege, wie ich damals halt gepromptet habe und wie ich heute prompten kann, ist die Frage... ist das immer noch ein großes Problem, dass man dort...

Phillipe: Ja, das ist kaum vorstellbar, wie schon sagst, es gibt schon seit eigener Zeit AI. Aber niemand hier auf die Füße treten zu wollen. Es gibt den noch, dass der ein oder andere, der sich nicht wirklich damit auseinandersetzt. Wie so auch immer. Also ich möchte niemand jetzt da wirklich so nachkommen und sagen. Man ist irgendwie, es gibt ja natürlich verschiedene Gründe. Manche Menschen sehen noch nicht den Need, dass vielleicht geschieht er so. für den Job zu machen, eher so privat. Und dennoch, kenne Menschen, prompten nicht so wie ich, aber ich weiß, wie du meinst, wie ich früher geprompt habe, mein Gott. Es gibt natürlich genug Beispiele dafür, ja bitte, bitte mach das so oder achte hier auf. Und immer diese, also ganz normale Reden, also wie man spricht, Natur-Language. Aber ja, wie gesagt, also wir haben, es kommt sehr gut an. Das ist glaube ich eine der Fächten wo es am meisten die die guten Feedback kommt. Den nicht ist es trotzdem so eine Art All Refresh, Also weil du Shetchibiti tagtäglich nutzt, muss ja nicht heißen, dass du Shetchibiti richtig nutzt. zurück zum Workshop. So, die erste ist dann diese Propting Session. Danach gehen wir die Personas durch. Also wir haben so einen Personakatalog, wo sich halt die Kunden so Personas raussuchen können. Zum Beispiel Zock Engineering, Zock Analyst, Identity, Admin oder auch Security Lead. Also die Personas erstellen sind halt Use Cases, wir uns selbst definiert haben, was im Alltag so passieren kann. und wo wir den Mehrwert von ProPilot sehen. heißt angenommen der Kunde nimmt jetzt den SOC Engineering, nehmen wir mal SOC Engineering, weil du das am besten reflektieren kannst und ich auch viel damit zu tun habe. Und das ist ja dann so, dass im SOC Engineering sehr viel Detection am Alltag steht, sowohl auch Anbindung von neuen Datenqueren in Sentinel oder Alert Tuning unter anderem und so weiter. Dann nutzen wir da einmal die Vision im Portal, die Amidit Version, denn wenn du in Advanced Hunting gehst, gibt es diesen Threat Assistant, Threat Hunting Assistant in Advanced Hunting von Secret Copilot und der ist sehr gut. das was der da gibt ist sehr gut und zwar auf so einer Ebene, dass die Daten die du gerade in Advanced Hunting gesucht hast, kannst du dein Auto gibt es jetzt eine Funktion du kannst dein Output sagen Analyze with Copilot also nimmt er dein Output was du gerade aus deiner Carry bekommen hast analysiert es doch mal gibt ihr so eine richtige große Zusammenfassung je nachdem was dein Output beinhaltet kann es sogar bis zum 9 Steps gehen das kostet ungefähr 10 SEUs oder 12 und du kannst auch noch den Output in deine Watches reinschmeißen und auf diesen Output kannst du weitere Fragen stellen Und damit kannst du halt mit ihm weiter analysieren. Manche response dauerte halt ein bisschen länger, weil je nachdem wie groß der Output jetzt ist, muss er auch das ganze versuchen zu verstehen. Und wie gesagt, also der arbeitet halt mit dem Daten, die du gerade in Advanced Hunting zur Verfügung hast. Was er halt nicht kann, sind Tabellen erstellen. Das kann aber die Standalone-Version, die so eine Excel-Tabelle erstellen, die du exportieren kannst. Er kann aber auch Files erstellen. Also ich habe gesehen, die haben das so eingefügt. Du kannst da schon ein Files erstellen und exportieren, aber der Export, du kannst nicht so wirklich Einfluss darauf nehmen wie bei der Standalone. Weil das musst du dir vorstellen, das ist ein Assistent, der unterstützt dich bei deiner Investigation, also bei deiner Untersuchung, Lockdown. Der ist dafür da, dir dabei zu helfen weiter voran zu kommen oder Sachen zu sehen, die du gerade nicht siehst und dir eine Recommendation zu geben und so weiter. Und den sollte man auch so betrachten. wir haben sehr viel Tools, ich vorhin gesagt Triage Agent oder Security Agent jetzt. Wir sollen nicht den Security Agent fragen, dass er auch für uns eine KI Bild erstellt. Also dass er bisschen missbraucht und der Output wäre natürlich nicht so toll. Als wenn wir einen Agent, der dafür trainiert wurde oder gebaut wurde. Und die letzte Session wird von PITs gemacht und das ist genau das, wo wir dann den Kunden sagen, hier könnt ihr jetzt wirklich euer SCU sinnvoll nutzen und zwar Agent bauen. Er geht mit mit den Kunden hin, macht einmal diesen Agent auf, die du wir gerade besprochen hat, aktiviert die erstmal, damit die Kunden erstmal zu sehen, ok, was ist jetzt Agent, wie funktioniert die Agent und wenn die Kunden sich dabei wohlfühlen, gehen wir dahin und bauen damit ihn selber in eine von denen definierte Use-Case, ein kleiner Agent, dass sie das bei sich auch laufen haben. Und das ist einer der Highlights, also von den ganzen Workshops.

Andreas: Und wie ist der Vertrauensfaktor gegenüber den Dingen, die die KI jetzt ausspuckt oder macht? Also habt ihr da irgendwie negative Erfahrungen gemacht oder ist es eher, dass das als Hilfe angesehen wird? und als Unterstützung für die tägliche Arbeit mit den Security-Produkten.

Phillipe: am Anfang sind alle sehr sehr sehr misstrauisch, weil jeder überall hört und sieht, die KI Halluciniert, die KI erfindet Sachen. Das ist immer noch so, also deswegen auch diesen drei Steps, damit wir den Kunden auch diese Angst oder diese Misstrauen entnehmen und sagen, guck mal, damit die KI nicht Halluciniert oder irgendwas von sich aus erfindet, musst du so prompten. Wenn du zum Beispiel in der Sendalone Version bist, sagt der KI nutze Defender für diesen Tast oder nutze Intune, also gebe der KI konkrete Anweisungen und frage nicht so wahllos einfach in der KI so rein, welcher User hat falsche, also hat oft die Passwörter falsch eingegeben. Klar kannst du machen. Aber dann die KI hin und sucht sich selbst oder sucht in jede Plugin Dann diese Information raus, was den SCU-Verbrauch natürlich steigert zum einen. Und zu anderen wird dein Output vielleicht nicht so toll, wie du es gerne hättest. Und da kommt halt dieses, ja, ist nicht gut. Daher

Andreas: Hmm.

Phillipe: sagen wir immer, fangen wir immer damit an und diese Vertrauen, nichtsdestotrotz gibt es natürlich kleine Ecken, also nichts ist perfekt. Das will ich auch nicht sagen, dass jetzt jeder hingeht und anfängt, nicht dass die Leute das hier hören und sagen, ja, aber ich habe so viele Probleme gehabt, ja. Es gibt das eine oder andere Probleme mit Co-Pilot Aber so wie wir Menschen ist die auch nicht perfekt Und zwar in Richtung KQL Aber hier muss ich auch dann Security Co-Pilot ein bisschen schützen Denn KQL ist natürlich je nachdem aufwendig Also man könnte sagen man kann die KI so bauen aber Ja Du weißt was ich meine also man muss erstmal wissen was möchte man und ich hab das wirklich getestet und wenn du keine Erfahrung in QQL hast und nicht weißt was du da suchst und der KI dann eine Anweisung gibt such mir zum Beispiel Azure Studio also such mir für die Software Microsoft Azure Studio die Visionierung raus und du schreibst Microsoft Leerzeichen Azure, Leerzeichen Studio, Leerzeichen Apps. Die wird dahingehen und das genauso übernehmen in ihre QQL-Carry, so wie du das geschrieben hast.

Andreas: Hm.

Phillipe: Aber in der LOX haben wir Azure unterstrich Studio unterstrich Apps, glaube ich. Also mit

Andreas: Hmm.

Phillipe: diesem Unterstrich. Und das weiß ich sicher nicht. Ich weiß nicht, ob das einfach eine Datenbankpflege ist, die Microsoft tun müsste. Aber das sind dann so diese Sachen und wie gesagt

Andreas: Was mir auch immer wieder auffällt, wenn wir immer mal in Agents reingucken, in Foundry zum Beispiel, fällt mir immer wieder auf, wie wichtig es ist, Beispiel wirklich gute Instructions zu haben. Und ich glaube, ist einer der, vor allem bei KQL fällt es mir auch immer wieder auf, umso genauer wir die Informationen mitgeben, wie du jetzt auch sagst, wir dürfen da nicht irgendwie irgendwas hinschreiben und hoffen, dass er das richtig interpretiert. sondern wir müssen da auch schon einfach darauf achten, dass die, dass der Prompt richtig ist oder auch die Instruction für den Agent soweit schon korrekt sind. Beispielsweise für KQL, dass da wirklich drin steht, wo kann er Tabellenschema, wo kann er das Tabellenschema zum Beispiel herbekommen, die Docs-Artikel beispielsweise hinter, hinterlegen, wo die sind, wo die geschrieben sind und so kann man ja auch weitere Informationen mit reingeben für wie wird KQL allgemein geschrieben best practice KQL zum Beispiel und auch Beispiele und wenn man Datensätze hat kann man die ja sogar auch theoretisch mit als als Reference angeben und als Reference Datasets die worauf er dann halt oder die dann halt analysiert werden können dann zu sagen okay weiß, wie er die bauen muss. Da sind wir immer wieder bei dem Punkt, wo man sagen muss, das bedeutet halt auch, ein Aufwand, den man halt reinstecken muss, halt wirklich eine gute Instruction, gute Query zu haben, Vorarbeit zu leisten. Einfach nur mal eben kurz was machen, kann dazu führen, dass die Ergebnisse nicht zufriedenstellend sind.

Phillipe: Genau das. Und deswegen auch diese Prompt-Inzession, das am Anfang. Weil das unterschätzt man wirklich. wie gesagt, dann kommen halt die KQL-Carries sind zum Teil richtig. Also, die sind nicht falsch. Sondern sind ein Kleinigkeitsfehler, weißt du. Und das sind so Kleinigkeits, wie jetzt erwähnt. Dann ist halt die, Software-Namen nicht wirklich richtig geschrieben. Und

Andreas: Mmh.

Phillipe: das kannst du auch sehr einfach fixen, indem du den einen Schlagzeichen machst. Damit das case-sensitive halt überschreibt bzw er achtet dann er sucht nach kleinem groß schreiben selber und nicht nach genau diese art geschrieben ist und ja wenn du halt sowas hast und sowas mitgibst dann hast du natürlich einen ganz anderen output

Andreas: Nein.

Phillipe: aber das sind dann auch sachen die du vielleicht in der instruction wie du schon sagst mitgeben kannst von wegen hör mal ich weiß nicht wirklich wie das heißt aber mein letzter stand dass ich so vergewissert ich ich dass es so wirklich ist Dann weiß er auch, okay, das ist nicht so geschrieben, dann würde er das auch in seinen QQL berücksichtigen. also gesagt, ist die letzte Zeit alle, also die meisten Workshops, jetzt durchkommen. Alle Kunden machen das natürlich auch durch den Benefit, den wir jetzt haben durch den E5-Listens, aber das soll ich sagen, es machen gerade die Kunden, diese E5, die SEOs zur Verfügung haben.

Andreas: Ja. was nicht bedeutet, dass man sich nicht trotzdem allgemein mit dem Thema beschäftigen sollte. Und hier ist es glaube ich auch irrelevant mit was genau, denn im Endeffekt muss man halt schauen, jeder der irgendwo, sehr viele Unternehmen brauchen einen SoC, für Securitydaten, agents oder k.i. zu verwenden ist halt relativ gut, Voranalysen zu machen, weil man muss einfach sagen, die Angriffe werden immer mehr, werden immer ausgefeilter. Der Gegner sozusagen scheut sich nicht, halt k.i. zu verwenden, der hat damit keine Probleme und

Phillipe: Hmm.

Andreas: so muss man halt auch anfangen, dass man halt dass man die ganzen Signale, die mehr kommen, auch irgendwie automatisierter prüfen können und darauf basierend Empfehlungen geben können. Sei es jetzt, dass man sagt, ich baue mir jetzt meinen ersten Agent im Security Copilot oder ich aktiviere einen oder ich will für mein Unternehmen halt automatische Intelligenz Informationen bekommen. dann kann ich mir auch im CoPilot Studio beispielsweise einen Agent zusammenklicken. Oder wenn es wirklich socklastig ist, kann man auch schauen, ist das jetzt in der Foundry? Oder es gibt auch spezielle Tooling-Schuhen, die man auch sehr schnell im Internet findet, man die man irgendwo dazwischen schalten kann. Ich glaube in Zukunft wird es auch richtig die Frage stellen. Inwiefern würde es noch ein Sirm geben, so wie wir es jetzt kennen. Aber das würde jetzt glaube ich auch bisschen zu weit führen. Das würde aber tatsächlich halt irgendwann mit MCP-Servern und so weiter sich die Frage stellen. Wie kommen wir an Daten? Wie bewerten wir Daten? Wie werden wir Daten aus? Ich glaube aber, das hat uns mal einen ganz guten Überblick noch mal gegeben, was so im Consulting eigentlich los ist. Wir kommen von KI nicht weg. Er will uns nicht davon weglassen. Ich würde sagen, das nächste Mal kommen wir etwas mehr an Stock Engineering rein. Gehen wir vielleicht mal ein bisschen darauf ein, wie Onboardings aktuell noch laufen bei Kunden mit Sentinel, Defender und so. hast du ja auch genug mit zu tun in POX vor allem auch bei Kunden und ich glaube für heute sind wir schon weit durch mit einer Session.

Phillipe: Ja, genau. Ja, und wie ihr merkt, die Session war heute kurz und knapp, denn ich mache jetzt kurz Werbung. Wir zwischen ein bisschen unser Format. Also wir werden weiterhin unser Podcast so halten. Aber jetzt mit kürzeren Geschichten aus dem Alltag und aus auch anderen Themen, denn wir werden jetzt heute haben wir schon die erste Aufnahme gemacht. Die sollte bald auch online gehen auf YouTube. Wir werden jetzt nämlich auch jetzt Praxisnah Videos aufnehmen. Heute war das Thema Workbook, denn es ist neuen Features dazu gekommen. zwar Advanced Hunting, kann man auch nun in Workbook nutzen, also unser Sentinel Dashboard. Was natürlich jetzt uns sogar mehr Möglichkeiten gibt, mit dem Workbooks weitere Daten visualisiert darzustellen. Was ziemlich cool ist und wie gesagt, bleibt also, rutscht auf YouTube, abonniert uns und dann verpasst die Folge nicht.

Andreas: Genau und damit vielen Dank fürs reinhören oder zuschauen und bis zum nächsten Mal. Tschau!

Phillipe: Auf Wiedersehen!