Die Sentinels

Phillipe und Andreas

Willkommen bei Die Sentinels – Microsoft Security aus der Praxis.

Wir bringen Microsoft Security direkt in die Praxis. Egal ob Microsoft Sentinel, die Defender-Suite oder der gesamte Security-Stack – wir liefern euch aktuelle News, technische Insights und echte Erfahrungsberichte.

Was euch hier erwartet:

🛡️ Video-Podcasts: Experten-Talks über aktuelle Bedrohungslagen und Lösungen.

💻 Hands-on Tutorials: Best Practices für Defender und Sentinel.

🛠️ Scripts & Open Source: Einblicke in unsere Projekte und Community-Engagement.

Play

Open in

12 episodes
monthly
Avg 39 min
German

Episodes 12

Newest Oldest Longest

All12 Unplayed12 In progress0 Played0

S1 · E11
Yesterday · 44 min
Episode 11 - ISOC viel gelesen wenig gesehen
Seit dem 23. September gibt es ISOC, das Integrated Security Operations Center im Microsoft Defender-Portal, als Public Preview. Viel gelesen haben wir darüber, gesehen haben wir noch wenig: Testen können aktuell nur Tenants mit Defender Suite, E5 oder E7, die keinen aktiven Sentinel-Workspace haben. Und das trifft auf unsere Kunden fast nie zu. Andreas und Phillipe sortieren, was bisher feststeht. ISOC ist kein neues Produkt, sondern ein Benefit: Defender-Daten sind direkt da, Cases, Workbooks und Automation laufen ohne Workspace, und ab dem 15. November sollen die Defender-Daten für berechtigte Kunden 90 statt 30 Tage vorgehalten werden. Für Nicht-Microsoft-Daten gibt es seit dem 1. Oktober ein eigenes Meter für 2,40 US-Dollar pro GB (US-Preis, regional abweichend). Dazu sprechen wir über Data Lake und Fabric, das Ende von Sentinel im Azure-Portal und darüber, wer jetzt was bekommt. Im zweiten Teil geht es um Project Perception: sechs Agents in einem roten, blauen und grünen Team, die nacheinander arbeiten. Würden wir Detection Rules, die ein Agent schreibt, einfach so live nehmen? Eher nicht. Warum Human in the Loop hier eingebaut ist, was Unified RBAC damit zu tun hat und was wir zu den Kosten wissen, steht in den Kapiteln „Human in the Loop“ und „Voraussetzungen und Kosten“. An ein paar Stellen waren wir im Gespräch ungenau. Bestehende Sentinel-Kunden bekommen ISOC zum Beispiel nicht automatisch, sie können ab dem 15. November wechseln, wenn die Lizenz passt. Die Einblendungen ordnen das mit der Microsoft-Doku ein. Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe. Kapitel 00:00 Intro 00:40 ISOC – ein Defender-SIEM? 05:55 Kein Produkt, ein Benefit 07:58 Zeitplan und 90 Tage Retention 11:51 Data Lake und Fabric 13:50 Wer bekommt was? 18:32 Ein Jahr Umbau 22:24 Project Perception: sechs Agents 27:33 Würdest du das live nehmen? 33:15 Human in the Loop 37:29 Voraussetzungen und Kosten 43:54 Das nehmen wir mit Links - ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview - Data ingestion and billing for ISOC: https://learn.microsoft.com/defender-xdr/integrated-security-operations-data-billing-retention - ISOC-Ankündigung und FAQ (Tech Community): https://techcommunity.microsoft.com/t5/microsoft-defender-xdr-blog/integrated-security-operations-center-in-microsoft-defender/ba-p/4559097 - Agent categories in Project Perception: https://learn.microsoft.com/security/agentic-security/agentic-security-agent-categories - Project Perception (Produktseite mit FAQ): https://www.microsoft.com/en-us/security/business/ai-powered-cybersecurity/project-perception-agentic-system Stand der Quellen: 30.10.2026.
- Transcript
S1 · E10
October 18 · 26 min
Episode 10 - Data Lake für alle - und jetzt?
Seit dem 23. September können Kunden den Data Lake in Microsoft Sentinel ohne eigenes Onboarding nutzen. Gemerkt haben wir das zuerst bei einem Kunden: Im Table Management stand auf einmal "Data Lake" als Tier zur Auswahl, obwohl dort nie jemand etwas aktiviert hatte. Kurz danach war es bei allen unseren Kunden so. Andreas zeigt im Defender-Portal, wie die neue Ansicht aussieht: Tier pro Tabelle, Lake-Tabellen direkt im Advanced Hunting und der Hinweis auf die Abfragekosten. Phillipe zeigt zum Vergleich einen Tenant, der vor dem 23.09. onboardet wurde, mit Data Lake Exploration. Dazu sprechen wir über die Retention-Lücke im Advanced Hunting, Fabric als Analyseschicht, die fehlenden KQL-Jobs und die Grenzen von Lake-Abfragen. Am Ende steht eine Checkliste für den Umstieg. Welche Tabellen dürfen in den Lake, welche Regeln brechen dabei, und was kostet es, wenn Analysten regelmäßig Lake-Tabellen abfragen? Wo wir im Gespräch etwas ungenau waren, ordnen die Einblendungen das mit der Microsoft-Doku ein. Ein Beispiel ist Germany West Central: Laut Learn gibt es dort aktuell keinen Data Lake. Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe. Kapitel 00:00 Intro 00:40 Plötzlich Data Lake 03:40 Die neue Ansicht 05:16 Retention & Search Jobs 07:25 Fabric als Analyseschicht 08:44 Lake bleibt kalt 10:58 Kosten und Grenzen 13:15 Die alte Ansicht 15:08 Checkliste 19:10 Tabellen sortieren 21:51 Fazit 26:16 Das nehmen wir mit Links - What's new in Microsoft Sentinel (September 2026): https://learn.microsoft.com/azure/sentinel/whats-new - Manage data tiers and retention: https://learn.microsoft.com/azure/sentinel/manage-data-overview - Advanced hunting with Microsoft Sentinel data (Known issues): https://learn.microsoft.com/defender-xdr/advanced-hunting-microsoft-defender - Run KQL queries on the Microsoft Sentinel data lake: https://learn.microsoft.com/azure/sentinel/datalake/kql-queries - Plan costs and understand Microsoft Sentinel pricing and billing: https://learn.microsoft.com/azure/sentinel/billing - Geographical availability and data residency: https://learn.microsoft.com/azure/sentinel/geographical-availability-data-residency - Transform data using filter and split: https://learn.microsoft.com/azure/sentinel/transformation-filter-split - ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview Aufgenommen am 12.10.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
- Transcript
S1 · E9
October 4 · 34 min
Episode 9 - Azure Portal: Abschied auf Raten
Microsoft Sentinel zieht ins Microsoft Defender-Portal, ab dem 1. April 2027 gibt es keinen Weg mehr zurück ins Azure-Portal. Für den Betrieb bedeutet das, Zugriffe und bestehende Abläufe neu zu prüfen. Wie kommt ihr als MSSP in die Kundenumgebung? Welche Rollen braucht ihr wirklich, und was passiert mit euren Automatisierungen? Andreas und Phillipe sprechen über ihre Erfahrungen mit dem Portalwechsel. Es geht um GDAP, Azure Lighthouse und B2B-Zugriffe, um Unified RBAC und die Frage, wie sich Berechtigungen möglichst gezielt vergeben lassen. Außerdem schauen wir auf Workspace-Abfragen, Playbooks und Integration Profiles sowie die Arbeit mit Tabellen und Data Collection Rules. Zum Schluss geht es um Governance und den Betrieb über mehrere Umgebungen hinweg: Wie passen GitHub oder Azure DevOps in den Ablauf, wo braucht es Reviews und Freigaben, und was solltet ihr vor dem Wechsel selbst testen? Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe. Kapitel 00:00 Intro 00:39 Der Portalwechsel 02:27 Erste Erfahrungen 05:46 Zugriff als MSSP 12:33 Unified RBAC 16:46 Workspace-Abfragen 18:07 Automatisierung 22:48 Daten & DCR 24:23 Governance 28:57 Zugriffsebenen 30:41 Unser Fazit 34:42 Das nehmen wir mit Links - Transition your Microsoft Sentinel environment to the Defender portal – https://learn.microsoft.com/azure/sentinel/move-to-defender - Connect Microsoft Sentinel to the Microsoft Defender portal – https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-onboard - Microsoft Defender unified RBAC – https://learn.microsoft.com/defender-xdr/manage-rbac - Microsoft Defender multitenant management – https://learn.microsoft.com/defender-xdr/mto-overview - Generate playbooks using AI in Microsoft Sentinel – https://learn.microsoft.com/azure/sentinel/automation/generate-playbook - Transform data using filter and split – https://learn.microsoft.com/azure/sentinel/transformation-filter-split - Manage content as code with Microsoft Sentinel repositories – https://learn.microsoft.com/azure/sentinel/ci-cd-custom-content - Configure Microsoft Sentinel scoping (row-level RBAC) – https://learn.microsoft.com/defender-xdr/scoping Aufgenommen am 07.08.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
- Transcript
S1 · E8
September 20 · 52 min
Episode 8 - Security Copilot: Die freien SCUs in der Praxis
Die SCUs aus der E5-Lizenz sind freigeschaltet, aber wie arbeitet man mit Security Copilot im Defender-Portal eigentlich? Phillipe zeigt den Threat Hunting Assistant im Advanced Hunting, lässt Copilot Query-Ergebnisse auswerten und arbeitet einen Incident durch: priorisierte Response-Schritte, Zusammenfassungen für Analyst, Lead und CISO und eine Schritt-für-Schritt-Erklärung für Junior-Analysten. Anschließend schaut er in den SCU-Verbrauch, wo ein einzelner Prompt deutlich teurer war als der Rest. Vorher geht es darum, warum man KI-Output immer prüfen muss, am Beispiel einer Copilot-Query, die an has statt contains gescheitert ist. Andreas übernimmt die Agents: den Phishing Triage Agent und seinen Nachfolger Security Alert Triage Agent mit Unified RBAC als Voraussetzung, dazu den Threat Intelligence Briefing Agent und den SIEM Migration Agent. Außerdem gibt es eine gute Nachricht zum Playbook Generator: Er zieht keine SCUs mehr. Kapitel 00:00 Intro: Demo-Folge und die freien SCUs 02:06 KI-Output prüfen, statt ungeprüft weiterzugeben 07:17 Praxisfall: has vs. contains in einer Copilot-Query 10:54 Threat Hunting Assistant im Advanced Hunting 15:56 Analyze with Copilot: Ergebnisse auswerten lassen ~23:00 Incidents: Guided Response und Incident Assistant 27:48 Security Copilot im Incident: priorisierte Response-Schritte ~32:00 Zusammenfassungen je Rolle und Hilfe für Junior-Analysten 36:01 SCU-Verbrauch nachvollziehen 39:10 Phishing Triage Agent und Security Alert Triage Agent ~45:00 Alert Tuning, Threat Intelligence Briefing Agent, SIEM Migration Agent ~48:30 Playbook Generator ohne SCU-Kosten 49:47 Outro und Ausblick auf die nächste Folge Links Security Alert Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts Interesse an einer Folge über KI-Skills? Schreibt es in die Kommentare. Feedback und Themenwünsche gerne an uns auf LinkedIn. https://www.linkedin.com/in/andreas-rogge-58a722180/ https://www.linkedin.com/in/phillipecdl/
- Transcript
S1 · E7
September 6 · 33 min
Episode 7 - Security Copilot: 400 SCUs, und jetzt?
Mit 1.000 E5-Lizenzen liegen jeden Monat 400 SCUs für Security Copilot ungenutzt im Tenant. Phillipe erzählt aus seiner neuen Abteilung Detection AIOps, wie er Bestandskunden gerade genau damit abholt: vom Prompting-Basics-Workshop über den Persona-Katalog bis zum ersten selbst gebauten Agent. Andreas hält die MSSP-Brille dagegen und erklärt, warum verstreute Copilot-Rollouts über viele Kundenumgebungen hinweg das eigentliche Problem im Managed SOC sind. Kapitel 00:00 Intro und neues Format 01:39 Detection AIOps und die freien SCUs mit E5 05:42 Security Triage Agent (ehemals Phishing Triage) und TI Agent 11:08 Agents aus MSSP-Sicht: Skalierung über Kundenumgebungen 16:16 Vertrauen, Governance und Shadow AI 18:48 Der Security-Copilot-Workshop: Prompting, Personas, Agent bauen 25:29 Halluzinationen und KQL-Stolperfallen 31:45 Ausblick: Onboardings in der nächsten Folge und die neue Videoreihe Links Security Copilot Standalone-Portal – https://securitycopilot.microsoft.com Security Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts Feedback und Themenwünsche gerne an uns – ihr findet uns auf LinkedIn.
- Transcript
S1 · E6
August 16 · 48 min
Episode 6 - AMA: Wenn keine Logs ankommen
Wer Third-Party-Quellen an Microsoft Sentinel anbinden will, landet fast immer beim Azure Monitor Agent. Andreas und Phillipe gehen den kompletten Weg einmal durch: die Architektur vom Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im Defender-Portal, das Deployment auf einer Linux-VM und was der Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen: rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache und die Metrik "Logs Rows Received per Min" an der DCR. Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel ins Defender-Portal steht an, wer sich jetzt damit beschäftigt, kann noch gefahrlos hin- und herwechseln. Kapitel 00:00 Intro: AMA und die MMA-Vorgeschichte 01:40 Architektur: vom Syslog-Daemon zum Workspace 04:00 Syslog vs. CEF und die Ziel-Tabellen 05:30 Einschub: Sentinel-Umzug ins Defender-Portal 11:24 Content Hub: die AMA-Connectoren 12:15 CEF-DCR anlegen und das Template verstehen 19:40 AMA aufs System bringen: DCR, Extension, Azure Arc 21:42 Was der Forwarder-Installer wirklich macht 26:00 Auf der Maschine: Status-Checks und rsyslog-Config 31:30 Installer ausführen und Testnachrichten senden 33:00 Advanced Hunting: die Events sind da 37:00 Troubleshooting: mdsd-Logs und QoS-Datei 38:50 DCR im Config Cache nachvollziehen 42:26 Lokales Caching des AMA 43:21 DCR-Metriken im Azure Portal 47:26 Phillipes Sentinel-Newsletter Links [Phillipes Sentinel-Newsletter auf LinkedIn] – https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114 [Azure Monitor Agent – Syslog und CEF sammeln (Microsoft Learn)] – https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single Feedback und Themenwünsche gerne an uns auf LinkedIn. https://www.linkedin.com/in/andreas-rogge-58a722180/ https://www.linkedin.com/in/phillipecdl/
- Transcript
S1 · E5
August 2 · 22 min
Episode 5 - Advanced Hunting Daten in Sentinel Workbooks
The podcast introduces a format change, focusing on workbook discussions, errors, custom connectors, advanced hunting, workbooks export feature, data sources, analytics, extensive workbook features, advanced hunting and data lake, workbook size and query output, advanced hunting retention limit, workbook quota and API limit, and concludes with feedback and future plans. Takeaways Workbook changes and features Advanced hunting and data sources Chapters 00:00 Introduction and Podcast Format Change 01:27 Discussion on Workbook Changes 02:25 Workbook Error and Resolution 03:16 Workbook Custom Connector 04:14 Advanced Hunting and Custom Connector 06:04 Workbooks Export Feature 08:58 Data Sources and Analytics 10:26 Extensive Workbook Features 11:06 Advanced Hunting and Data Lake 13:19 Workbook Size and Query Output 14:04 Advanced Hunting Retention Limit 25:14 Workbook Quota and API Limit 27:35 Conclusion and Feedback
- Transcript
S1 · E4
July 5 · 1 hr 11 min
Episode 4 - Data Lake, Workbooks & Berechtigungen: Die neuen Features im Defender Portal
Das Gespräch behandelt die Einführung neuer Funktionen im Defender Portal, darunter Filter-Rule und Split-Rule, Data-Lake-Exploration, Advanced-Hunting-Integration, Workbook-Integration und die Erweiterung des Defender Portals. Außerdem geht es um Berechtigungen und Datenverwaltung innerhalb des Portals. Die Diskussion umfasst eine detaillierte Betrachtung des Setzens von Berechtigungen, des Importierens von Rollen, delegierten Zugriffs, granularer delegierter Administratorrechte (GDAP), Row-Level-Scoping-Berechtigungen sowie Troubleshooting im Azure Portal und Microsoft Defender XDR. Die Hosts sprechen zudem über zukünftige Themen und wie wichtig es ist, bei neuen Features und Konfigurationen auf dem Laufenden zu bleiben. Takeaways Neue Funktionen im Defender Portal verbessern Datenverwaltung und -analyse Die Integration von Advanced Hunting in Workbooks vereinfacht Datenzugriff und -analyse Detaillierte Anleitung zum Setzen von Berechtigungen im Azure Portal Verständnis des Prozesses zum Importieren von Rollen in Microsoft Defender XDR Kapitel 00:00 Einführung in die neuen Defender-Portal-Features 05:51 Data-Lake-Exploration und Advanced-Hunting-Integration 24:02 Workbook-Integration und Datenverwaltung 50:40 Erweiterung des Defender Portals und Berechtigungen 55:35 Rollen-Import für Microsoft Sentinel 01:03:28 Granulare delegierte Administratorrechte (GDAP) 01:15:25 Row-Level-Scoping-Berechtigungen für Sentinel-Tabellen 01:22:17 Troubleshooting und Zugriffskontrolle 01:32:33 Fazit und zukünftige Themen
- Transcript
S1 · E3
June 7 · 57 min
Episode 3 - Agentic SOC
The conversation delves into the topics of Agentics Talk, Security Copilot, and Microsoft Foundry. It provides insights into the landscape of Agentics, the role of Security Copilot in enhancing security operations, and the exploration of Microsoft Foundry as a platform for creating and managing agents. The conversation delves into the comparison between the granularity of Foundry and the limitations of Security Copilot. It also explores the licensing aspects of Microsoft Foundry and Agent 365, providing insights into the considerations for customer adoption. Takeaways Agentics Talk Security Copilot Microsoft Foundry Granularity of Foundry Security Copilot limitations Chapters 00:00 Exploring Microsoft Foundry 41:47 Granularity of Foundry vs. Security Co-Pilot 55:57 Microsoft Foundry and Agent 365 Licensing
- Transcript
S1 · E2
May 3 · 40 min
Episode 2 - M365 E7: Neue Lizenz, neue Möglichkeiten
Das Gespräch beschäftigt sich mit der Einführung und Weiterentwicklung der Microsoft E7-Lizenz. Im Fokus stehen Preisgestaltung, Funktionsumfang und der Vergleich mit der E5-Lizenz. Außerdem wird beleuchtet, welchen Einfluss E7 auf Lizenzstrategien, KI und Sicherheitsherausforderungen hat sowie die Kundenadoption von Agent 365. Darüber hinaus geht es um die Microsoft-Landschaft rund um Agenten und KI sowie die damit verbundenen Herausforderungen beim Management dieser Agenten. Ein weiterer Teil der Diskussion behandelt die Schwierigkeiten bei der Definition einer Agent Entry-ID, die Auswirkungen der Agentennutzung auf SOC-Detection und Analytics Rules in Microsoft Sentinel sowie den Aufbau eigener Detection-Logiken für Agenten. Abschließend werden wichtige Überlegungen zur Einführung und Implementierung von E7 diskutiert. Wichtige Erkenntnisse Microsoft hat die E7-Lizenz angekündigt E7 bringt neue KI-Funktionalitäten mit Preis und Funktionsumfang im Vergleich zu E5 sind zentral zu bewerten E7 ist eine bedeutende Erweiterung im Microsoft-Portfolio Vor dem Kauf von E7 ist eine strategische Planung entscheidend Kapitel 00:00 Herausforderungen beim Agenten-Management 25:35 Überlegungen zur Einführung und Implementierung von E7
- Transcript
S1 · E1
April 5 · 44 min
Episode 1 - MCP, Microsoft, Menschlichkeit
Die Diskussion umfasst die Rolle von KI in der SOC-Technik, Datenschutz und Virtual Tools in Deutschland, die Implementierung von KI und MCP-Servern, die kritische Rolle des Menschen bei der KI-Nutzung, die Herausforderungen der KI-Nutzung in der Security und die Veränderung der Position von KI-Nutzern und Nicht-Nutzern. KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt, während Datenschutz und die Verwendung von Virtual Tools in Deutschland ein großes Problem darstellen. Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen, und die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern. The conversation covers topics related to data integrity, AI adoption, Microsoft Foundry, ethical considerations, integration of third-party solutions, and recommendations for enterprise security and AI usage. It emphasizes the importance of data integrity in security and the cautious approach to AI usage, especially with sensitive data. The discussion also highlights the continuous improvement and optimization of AI, as well as the human interaction with AI in the context of security. Takeaways KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt Datenschutz und die Verwendung von Virtual Tools sind in Deutschland ein großes Problem Unterschiedliche Grundlagen und Hemmungen im Security-Kontext in Bezug auf KI und personenbezogene Daten KI ermöglicht schnelleres Arbeiten in verschiedenen Bereichen wie Detection Engineering und Dokumentation MCP-Server als zentrale Anlaufstelle für die Verbindung mit verschiedenen APIs Die Verwendung von KI erfordert eine kritische Evaluation und Kontrolle durch den Menschen Die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen Data integrity is crucial in the context of security, and the use of AI can simplify this process. The use of AI should be approached with caution, especially when dealing with sensitive data. Chapters 00:00 Die Veränderung der Position von KI-Nutzern und Nicht-Nutzern 23:10 Data Integrity and AI in Security 29:15 Continuous Improvement and Optimization of AI 35:41 Integration of Third-Party Solutions and Use Cases in Sentinel
- Transcript
March 1 · 2 min
Trailer
Andreas und Phillipe stellen sich vor und diskutieren die Perspektiven in der Security-Branche, die Herausforderungen im SOC Engineering und den Blick in die Zukunft mit KI und neuen Tools.
- Transcript

Showing 1–12 of 12 episodes