はじめに

筆者は、Microsoft 主催のセキュリティセミナーに参加し「AI を活用した SOC 自動化」について多くの示唆を得ました。
本記事では、そこで得た学びを Microsoft 公式ドキュメントの一次情報で裏付けながら、チャットベースとコードベースという 2 つのアプローチを 一連の運用フロー として繋げた未来像を整理します。

対象読者: Microsoft Sentinel / Defender XDR を触ったことのある SOC・SRE の中級者
扱うこと: SOC 自動化の最新潮流、チャット × コードの統合運用イメージ、運用提案への示唆
扱わないこと: 具体的な実装ハンズオン（概念レベルにとどめます）

この記事の要点（4 行まとめ）

SOC の現場では、ポータルを行き来するだけで時間が溶ける――この摩擦を AI が解消します
AI を中継役にすることで、Teams 上のチャットだけでアラート分析〜対処承認まで完結できます
さらに GitHub Copilot のクラウドエージェント + MCP で、運用ナレッジを コードとして資産化 できます
この 2 つを繋げると、「チャットで判断 → コードで記録・改善」という 学習し続ける SOC が見えてきます

背景：SOC は「検知 → 分析 → 対処」の繰り返し

SOC の基本フローは「検知 → 分析 → 対処」です。
Sentinel の 自動化ルール + プレイブック (Logic Apps ベース) によって、検知と対処の自動化は以前から実現できました（Microsoft Sentinel での自動化 (SOAR)）。

しかし、現場では次のような声を耳にします。

承認のためだけに Azure / Defender ポータルを開くのが手間
アラートのコンテキストを「人間に分かる言葉」に翻訳する一次分析に時間がかかる
人出での調査がすごく大変
せっかくの対応知見がチケットに散在し、ナレッジ化されない

この摩擦を AI で解消するのが今回の主題です。

アプローチ①：チャットベース ― AI を「中継役」にする

セミナーで紹介されていたのは、Teams をフロントにした SOC オペレーションでした。
公式チュートリアル侵害される可能性のあるユーザーを停止するでも、Teams/Slack 通知 → 承認ボタンで対処というパターンが解説されており、ここに Security Copilot (Microsoft Security Copilot とは) によるインシデント要約を組み込むイメージです。