Die Sentinels

Seit dem 23. September gibt es ISOC, das Integrated Security Operations Center im Microsoft Defender-Portal, als Public Preview. Viel gelesen haben wir darüber, gesehen haben wir noch wenig: Testen können aktuell nur Tenants mit Defender Suite, E5 oder E7, die keinen aktiven Sentinel-Workspace haben. Und das trifft auf unsere Kunden fast nie zu.

Andreas und Phillipe sortieren, was bisher feststeht. ISOC ist kein neues Produkt, sondern ein Benefit: Defender-Daten sind direkt da, Cases, Workbooks und Automation laufen ohne Workspace, und ab dem 15. November sollen die Defender-Daten für berechtigte Kunden 90 statt 30 Tage vorgehalten werden. Für Nicht-Microsoft-Daten gibt es seit dem 1. Oktober ein eigenes Meter für 2,40 US-Dollar pro GB (US-Preis, regional abweichend). Dazu sprechen wir über Data Lake und Fabric, das Ende von Sentinel im Azure-Portal und darüber, wer jetzt was bekommt.

Im zweiten Teil geht es um Project Perception: sechs Agents in einem roten, blauen und grünen Team, die nacheinander arbeiten. Würden wir Detection Rules, die ein Agent schreibt, einfach so live nehmen? Eher nicht. Warum Human in the Loop hier eingebaut ist, was Unified RBAC damit zu tun hat und was wir zu den Kosten wissen, steht in den Kapiteln „Human in the Loop“ und „Voraussetzungen und Kosten“.

An ein paar Stellen waren wir im Gespräch ungenau. Bestehende Sentinel-Kunden bekommen ISOC zum Beispiel nicht automatisch, sie können ab dem 15. November wechseln, wenn die Lizenz passt. Die Einblendungen ordnen das mit der Microsoft-Doku ein.

Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.

Kapitel

00:00 Intro

00:40 ISOC – ein Defender-SIEM?

05:55 Kein Produkt, ein Benefit

07:58 Zeitplan und 90 Tage Retention

11:51 Data Lake und Fabric

13:50 Wer bekommt was?

18:32 Ein Jahr Umbau

22:24 Project Perception: sechs Agents

27:33 Würdest du das live nehmen?

33:15 Human in the Loop

37:29 Voraussetzungen und Kosten

43:54 Das nehmen wir mit

Links

- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview

- Data ingestion and billing for ISOC: https://learn.microsoft.com/defender-xdr/integrated-security-operations-data-billing-retention

- ISOC-Ankündigung und FAQ (Tech Community): https://techcommunity.microsoft.com/t5/microsoft-defender-xdr-blog/integrated-security-operations-center-in-microsoft-defender/ba-p/4559097

- Agent categories in Project Perception: https://learn.microsoft.com/security/agentic-security/agentic-security-agent-categories

- Project Perception (Produktseite mit FAQ): https://www.microsoft.com/en-us/security/business/ai-powered-cybersecurity/project-perception-agentic-system

Stand der Quellen: 30.10.2026.

Seit dem 23. September können Kunden den Data Lake in Microsoft Sentinel ohne eigenes Onboarding nutzen. Gemerkt haben wir das zuerst bei einem Kunden: Im Table Management stand auf einmal "Data Lake" als Tier zur Auswahl, obwohl dort nie jemand etwas aktiviert hatte. Kurz danach war es bei allen unseren Kunden so.

Andreas zeigt im Defender-Portal, wie die neue Ansicht aussieht: Tier pro Tabelle, Lake-Tabellen direkt im Advanced Hunting und der Hinweis auf die Abfragekosten. Phillipe zeigt zum Vergleich einen Tenant, der vor dem 23.09. onboardet wurde, mit Data Lake Exploration. Dazu sprechen wir über die Retention-Lücke im Advanced Hunting, Fabric als Analyseschicht, die fehlenden KQL-Jobs und die Grenzen von Lake-Abfragen.

Am Ende steht eine Checkliste für den Umstieg. Welche Tabellen dürfen in den Lake, welche Regeln brechen dabei, und was kostet es, wenn Analysten regelmäßig Lake-Tabellen abfragen? Wo wir im Gespräch etwas ungenau waren, ordnen die Einblendungen das mit der Microsoft-Doku ein. Ein Beispiel ist Germany West Central: Laut Learn gibt es dort aktuell keinen Data Lake.

Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.

Kapitel

00:00 Intro

00:40 Plötzlich Data Lake

03:40 Die neue Ansicht

05:16 Retention & Search Jobs

07:25 Fabric als Analyseschicht

08:44 Lake bleibt kalt

10:58 Kosten und Grenzen

13:15 Die alte Ansicht

15:08 Checkliste

19:10 Tabellen sortieren

21:51 Fazit

26:16 Das nehmen wir mit

Links

- What's new in Microsoft Sentinel (September 2026): https://learn.microsoft.com/azure/sentinel/whats-new

- Manage data tiers and retention: https://learn.microsoft.com/azure/sentinel/manage-data-overview

- Advanced hunting with Microsoft Sentinel data (Known issues): https://learn.microsoft.com/defender-xdr/advanced-hunting-microsoft-defender

- Run KQL queries on the Microsoft Sentinel data lake: https://learn.microsoft.com/azure/sentinel/datalake/kql-queries

- Plan costs and understand Microsoft Sentinel pricing and billing: https://learn.microsoft.com/azure/sentinel/billing

- Geographical availability and data residency: https://learn.microsoft.com/azure/sentinel/geographical-availability-data-residency

- Transform data using filter and split: https://learn.microsoft.com/azure/sentinel/transformation-filter-split

- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview

Aufgenommen am 12.10.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.

Microsoft Sentinel zieht ins Microsoft Defender-Portal, ab dem 1. April 2027 gibt es keinen Weg mehr zurück ins Azure-Portal. Für den Betrieb bedeutet das, Zugriffe und bestehende Abläufe neu zu prüfen. Wie kommt ihr als MSSP in die Kundenumgebung? Welche Rollen braucht ihr wirklich, und was passiert mit euren Automatisierungen?

Andreas und Phillipe sprechen über ihre Erfahrungen mit dem Portalwechsel. Es geht um GDAP, Azure Lighthouse und B2B-Zugriffe, um Unified RBAC und die Frage, wie sich Berechtigungen möglichst gezielt vergeben lassen. Außerdem schauen wir auf Workspace-Abfragen, Playbooks und Integration Profiles sowie die Arbeit mit Tabellen und Data Collection Rules.

Zum Schluss geht es um Governance und den Betrieb über mehrere Umgebungen hinweg: Wie passen GitHub oder Azure DevOps in den Ablauf, wo braucht es Reviews und Freigaben, und was solltet ihr vor dem Wechsel selbst testen?

Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.

Kapitel

00:00 Intro

00:39 Der Portalwechsel

02:27 Erste Erfahrungen

05:46 Zugriff als MSSP

12:33 Unified RBAC

16:46 Workspace-Abfragen

18:07 Automatisierung

22:48 Daten & DCR

24:23 Governance

28:57 Zugriffsebenen

30:41 Unser Fazit

34:42 Das nehmen wir mit

Links

- Transition your Microsoft Sentinel environment to the Defender portal – https://learn.microsoft.com/azure/sentinel/move-to-defender

- Connect Microsoft Sentinel to the Microsoft Defender portal – https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-onboard

- Microsoft Defender unified RBAC – https://learn.microsoft.com/defender-xdr/manage-rbac

- Microsoft Defender multitenant management – https://learn.microsoft.com/defender-xdr/mto-overview

- Generate playbooks using AI in Microsoft Sentinel – https://learn.microsoft.com/azure/sentinel/automation/generate-playbook

- Transform data using filter and split – https://learn.microsoft.com/azure/sentinel/transformation-filter-split

- Manage content as code with Microsoft Sentinel repositories – https://learn.microsoft.com/azure/sentinel/ci-cd-custom-content

- Configure Microsoft Sentinel scoping (row-level RBAC) – https://learn.microsoft.com/defender-xdr/scoping

Aufgenommen am 07.08.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.

Die SCUs aus der E5-Lizenz sind freigeschaltet, aber wie arbeitet man mit Security Copilot im Defender-Portal eigentlich? Phillipe zeigt den Threat Hunting Assistant im Advanced Hunting, lässt Copilot Query-Ergebnisse auswerten und arbeitet einen Incident durch: priorisierte Response-Schritte, Zusammenfassungen für Analyst, Lead und CISO und eine Schritt-für-Schritt-Erklärung für Junior-Analysten. Anschließend schaut er in den SCU-Verbrauch, wo ein einzelner Prompt deutlich teurer war als der Rest. Vorher geht es darum, warum man KI-Output immer prüfen muss, am Beispiel einer Copilot-Query, die an has statt contains gescheitert ist.

Andreas übernimmt die Agents: den Phishing Triage Agent und seinen Nachfolger Security Alert Triage Agent mit Unified RBAC als Voraussetzung, dazu den Threat Intelligence Briefing Agent und den SIEM Migration Agent. Außerdem gibt es eine gute Nachricht zum Playbook Generator: Er zieht keine SCUs mehr.

Kapitel
00:00 Intro: Demo-Folge und die freien SCUs
02:06 KI-Output prüfen, statt ungeprüft weiterzugeben
07:17 Praxisfall: has vs. contains in einer Copilot-Query
10:54 Threat Hunting Assistant im Advanced Hunting
15:56 Analyze with Copilot: Ergebnisse auswerten lassen
~23:00 Incidents: Guided Response und Incident Assistant
27:48 Security Copilot im Incident: priorisierte Response-Schritte
~32:00 Zusammenfassungen je Rolle und Hilfe für Junior-Analysten
36:01 SCU-Verbrauch nachvollziehen
39:10 Phishing Triage Agent und Security Alert Triage Agent
~45:00 Alert Tuning, Threat Intelligence Briefing Agent, SIEM Migration Agent
~48:30 Playbook Generator ohne SCU-Kosten
49:47 Outro und Ausblick auf die nächste Folge

Links

• Security Alert Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts

Interesse an einer Folge über KI-Skills? Schreibt es in die Kommentare. Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/

Mit 1.000 E5-Lizenzen liegen jeden Monat 400 SCUs für Security Copilot ungenutzt im Tenant. Phillipe erzählt aus seiner neuen Abteilung Detection AIOps, wie er Bestandskunden gerade genau damit abholt: vom Prompting-Basics-Workshop über den Persona-Katalog bis zum ersten selbst gebauten Agent. Andreas hält die MSSP-Brille dagegen und erklärt, warum verstreute Copilot-Rollouts über viele Kundenumgebungen hinweg das eigentliche Problem im Managed SOC sind.

Kapitel
00:00 Intro und neues Format
01:39 Detection AIOps und die freien SCUs mit E5
05:42 Security Triage Agent (ehemals Phishing Triage) und TI Agent
11:08 Agents aus MSSP-Sicht: Skalierung über Kundenumgebungen
16:16 Vertrauen, Governance und Shadow AI
18:48 Der Security-Copilot-Workshop: Prompting, Personas, Agent bauen
25:29 Halluzinationen und KQL-Stolperfallen
31:45 Ausblick: Onboardings in der nächsten Folge und die neue Videoreihe

Links

• Security Copilot Standalone-Portal – https://securitycopilot.microsoft.com
• Security Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts

Feedback und Themenwünsche gerne an uns – ihr findet uns auf LinkedIn.

Wer Third-Party-Quellen an Microsoft Sentinel anbinden will, landet fast immer beim Azure Monitor Agent. Andreas und Phillipe gehen den kompletten Weg einmal durch: die Architektur vom Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im Defender-Portal, das Deployment auf einer Linux-VM und was der Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen: rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache und die Metrik "Logs Rows Received per Min" an der DCR. Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel ins Defender-Portal steht an, wer sich jetzt damit beschäftigt, kann noch gefahrlos hin- und herwechseln.

Kapitel
00:00 Intro: AMA und die MMA-Vorgeschichte
01:40 Architektur: vom Syslog-Daemon zum Workspace
04:00 Syslog vs. CEF und die Ziel-Tabellen
05:30 Einschub: Sentinel-Umzug ins Defender-Portal
11:24 Content Hub: die AMA-Connectoren
12:15 CEF-DCR anlegen und das Template verstehen
19:40 AMA aufs System bringen: DCR, Extension, Azure Arc
21:42 Was der Forwarder-Installer wirklich macht
26:00 Auf der Maschine: Status-Checks und rsyslog-Config
31:30 Installer ausführen und Testnachrichten senden
33:00 Advanced Hunting: die Events sind da
37:00 Troubleshooting: mdsd-Logs und QoS-Datei
38:50 DCR im Config Cache nachvollziehen
42:26 Lokales Caching des AMA
43:21 DCR-Metriken im Azure Portal
47:26 Phillipes Sentinel-Newsletter

Links

• [Phillipes Sentinel-Newsletter auf LinkedIn] – https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114
• [Azure Monitor Agent – Syslog und CEF sammeln (Microsoft Learn)] – https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single

Feedback und Themenwünsche gerne an uns auf LinkedIn.

https://www.linkedin.com/in/andreas-rogge-58a722180/

https://www.linkedin.com/in/phillipecdl/

The podcast introduces a format change, focusing on workbook discussions, errors, custom connectors, advanced hunting, workbooks export feature, data sources, analytics, extensive workbook features, advanced hunting and data lake, workbook size and query output, advanced hunting retention limit, workbook quota and API limit, and concludes with feedback and future plans.

Takeaways

• Workbook changes and features
• Advanced hunting and data sources

Chapters

• 00:00 Introduction and Podcast Format Change
• 01:27 Discussion on Workbook Changes
• 02:25 Workbook Error and Resolution
• 03:16 Workbook Custom Connector
• 04:14 Advanced Hunting and Custom Connector
• 06:04 Workbooks Export Feature
• 08:58 Data Sources and Analytics
• 10:26 Extensive Workbook Features
• 11:06 Advanced Hunting and Data Lake
• 13:19 Workbook Size and Query Output
• 14:04 Advanced Hunting Retention Limit
• 25:14 Workbook Quota and API Limit
• 27:35 Conclusion and Feedback

Das Gespräch behandelt die Einführung neuer Funktionen im Defender Portal, darunter Filter-Rule und Split-Rule, Data-Lake-Exploration, Advanced-Hunting-Integration, Workbook-Integration und die Erweiterung des Defender Portals. Außerdem geht es um Berechtigungen und Datenverwaltung innerhalb des Portals. Die Diskussion umfasst eine detaillierte Betrachtung des Setzens von Berechtigungen, des Importierens von Rollen, delegierten Zugriffs, granularer delegierter Administratorrechte (GDAP), Row-Level-Scoping-Berechtigungen sowie Troubleshooting im Azure Portal und Microsoft Defender XDR. Die Hosts sprechen zudem über zukünftige Themen und wie wichtig es ist, bei neuen Features und Konfigurationen auf dem Laufenden zu bleiben.

Takeaways

• Neue Funktionen im Defender Portal verbessern Datenverwaltung und -analyse
• Die Integration von Advanced Hunting in Workbooks vereinfacht Datenzugriff und -analyse
• Detaillierte Anleitung zum Setzen von Berechtigungen im Azure Portal
• Verständnis des Prozesses zum Importieren von Rollen in Microsoft Defender XDR

Kapitel

• 00:00 Einführung in die neuen Defender-Portal-Features
• 05:51 Data-Lake-Exploration und Advanced-Hunting-Integration
• 24:02 Workbook-Integration und Datenverwaltung
• 50:40 Erweiterung des Defender Portals und Berechtigungen
• 55:35 Rollen-Import für Microsoft Sentinel
• 01:03:28 Granulare delegierte Administratorrechte (GDAP)
• 01:15:25 Row-Level-Scoping-Berechtigungen für Sentinel-Tabellen
• 01:22:17 Troubleshooting und Zugriffskontrolle
• 01:32:33 Fazit und zukünftige Themen

The conversation delves into the topics of Agentics Talk, Security Copilot, and Microsoft Foundry. It provides insights into the landscape of Agentics, the role of Security Copilot in enhancing security operations, and the exploration of Microsoft Foundry as a platform for creating and managing agents. The conversation delves into the comparison between the granularity of Foundry and the limitations of Security Copilot. It also explores the licensing aspects of Microsoft Foundry and Agent 365, providing insights into the considerations for customer adoption.

Takeaways

• Agentics Talk
• Security Copilot
• Microsoft Foundry Granularity of Foundry
• Security Copilot limitations

Chapters

• 00:00 Exploring Microsoft Foundry
• 41:47 Granularity of Foundry vs. Security Co-Pilot
• 55:57 Microsoft Foundry and Agent 365 Licensing

Das Gespräch beschäftigt sich mit der Einführung und Weiterentwicklung der Microsoft E7-Lizenz. Im Fokus stehen Preisgestaltung, Funktionsumfang und der Vergleich mit der E5-Lizenz. Außerdem wird beleuchtet, welchen Einfluss E7 auf Lizenzstrategien, KI und Sicherheitsherausforderungen hat sowie die Kundenadoption von Agent 365.

Darüber hinaus geht es um die Microsoft-Landschaft rund um Agenten und KI sowie die damit verbundenen Herausforderungen beim Management dieser Agenten. Ein weiterer Teil der Diskussion behandelt die Schwierigkeiten bei der Definition einer Agent Entry-ID, die Auswirkungen der Agentennutzung auf SOC-Detection und Analytics Rules in Microsoft Sentinel sowie den Aufbau eigener Detection-Logiken für Agenten. Abschließend werden wichtige Überlegungen zur Einführung und Implementierung von E7 diskutiert.

Wichtige Erkenntnisse

• Microsoft hat die E7-Lizenz angekündigt
• E7 bringt neue KI-Funktionalitäten mit
• Preis und Funktionsumfang im Vergleich zu E5 sind zentral zu bewerten
• E7 ist eine bedeutende Erweiterung im Microsoft-Portfolio
• Vor dem Kauf von E7 ist eine strategische Planung entscheidend

Kapitel

00:00 Herausforderungen beim Agenten-Management
25:35 Überlegungen zur Einführung und Implementierung von E7