Identity Incidents gehören für viele SOC-Teams zu den häufigsten und zeitkritischsten Sicherheitsereignissen. Ob verdächtiger Sign-in, auffälliger Benutzer oder Microsoft Defender Incident mit Identity-Bezug – die zentrale Frage ist dabei fast immer dieselbe:
War diese Anmeldung legitim, verdächtig oder kompromittiert?
Während die Antwort darauf eigentlich schnell möglich sein sollte, sieht die Praxis leider oft anders aus: Analysten wechseln zwischen Microsoft Defender, Entra ID Sign-in Logs, Entra Audit Logs, Conditional Access, Risky Users, Threat Intelligence, Mailbox-Telemetrie und URL Click Events. Tool-Hopping statt eigentlicher Analyse – mit dem Resultat, dass wertvolle Zeit verloren geht, bevor klar ist, was getan werden muss.
Denn bevor eine Entscheidung überhaupt möglich ist, müssen Analysten bei jedem Identity Incident zahlreiche Details prüfen, zum Beispiel:
Diese Arbeit ist notwendig – führt aber schnell bis zu 40 Minuten manueller Pivot-Arbeit. Selbst bei wenigen Identity Incidents pro Tag entsteht so trotzdem ein erheblicher operativer Aufwand.
Genau hier setzt unser Sign-In Investigator an: Statt manuell zwischen verschiedenen Microsoft-Sicherheitsquellen zu wechseln, liefert der Microsoft Security Copilot Agent einen strukturierten, evidenzbasierten Report. Darin enthalten sind:
Das Ergebnis: kein Black-Box-Urteil, sondern eine nachvollziehbare Entscheidungsvorlage.
Damit kann die Zeit, die für die Analyse eines Incidents benötigt wird, von durchschnittlich 20 bis 40 Minuten auf ca. 4 Minuten verkürzt werden. Was das in der Praxis bedeutet, hier mal anhand eines beispielhaften 20-Analysten-SOC mit 320 Identity Incidents pro Tag:
| Manuelle Tier-1-Triage pro Incident | ca. 20-40 Minuten |
| Triage mit Sign-In Investigator | ca. 4 Minuten |
| Zeitersparnis pro Incident | ca. 16-36 Minuten |
| Ersparnis bei 320 Incidents pro Tag | ca. 85-192 Analystenstunden |
| Jährlich freigesetzte Kapazität | ca. 31.000-70.000 Analystenstunden |
Der Vorteil: Analysten werden entlastet – und können ihre Zeit für Threat Hunting, Alert Tuning, komplexe Untersuchungen und Incident Response verwenden.
Sign-In Investigator akzeptiert entweder eine Microsoft Defender Incident ID oder einen User Principal Name. Anschließend läuft die Untersuchung in vier Schritten:
1. Incident-Kontext auflösen
Betroffene Benutzer, beteiligte IP-Adressen und relevante URLs werden extrahiert.
2. Sign-in-Aktivität rekonstruieren
Entra ID Sign-in Logs werden auf auffällige Muster geprüft, etwa neue Standorte, MFA-Status, Conditional Access, Device Posture oder Legacy Authentication.
3. Kontext anreichern
Der Agent ergänzt Identity-Kontext, Audit-Events, IP-Reputation sowie E-Mail- und URL-Telemetrie.
4. Report und Empfehlungen erstellen
Findings werden nach Risiko klassifiziert und in einem strukturierten Markdown-Report mit klaren Handlungsempfehlungen zusammengeführt.
Gut zu wissen: Unser KI-Agent ruft dabei keine APIs von Drittanbietern auf und keine Daten verlassen den Microsoft Tenant.
Auch wenn unser Agent konkrete Handlungsempfehlungen gibt – wie etwa ein Passwort-Reset, Session Revocation, Account Lock, MFA-Überprüfung oder weitere Investigation –, führt er niemals Containment-Maßnahmen automatisch aus. Entscheidung und Umsetzung bleiben immer bei den Analysten und bestehenden Freigabe-, Runbook- oder SOAR-Prozessen.
Im Ablauf eines Managed SOC sitzt der Agent damit genau zwischen Alert und Response: Er beschleunigt die Untersuchung, standardisiert die Bewertung und übergibt die Entscheidung dann kontrolliert an die jeweiligen Analysten.
Sign-In Investigator unterstützt SOC- und Identity-Teams in typischen Szenarien wie:
Für den read-only Einsatz ist mindestens die Rolle „Security Reader“ erforderlich, die Rolle „Security Operator“ oder höher, wenn auf der Grundlage der Empfehlungen des Agenten Containment-Maßnahmen (Passwortzurücksetzung, Sitzungswiderruf, Kontosperrung etc.) durchgeführt werden sollen.
Für die Nutzung von Sign-In Investigator werden außerdem die folgenden Microsoft Produkte benötigt:
Sign-In Investigator ist ab sofort im Microsoft Security Store verfügbar!