Microsoft Security Copilot 2026: SCU Fiyat Modeli + Defender Entegrasyonu + SOC Verimliliği

Security Copilot Nedir? — Ne Değildir

Microsoft Security Copilot, SOC analistlerini hızlandıran üretken AI asistanıdır. Çalışan verimliliği için tasarlanan M365 Copilot'tan farklı: tek hedefi güvenlik vakalarının çözüm süresini (MTTR) kısaltmaktır.

Ne yapar:

• Defender'da düşen alert'i Türkçe özetler, eylem önerir.
• Doğal dilden KQL sorgusu üretir ("son 7 gün eşkin başarısız PowerShell çalıştırılan cihazları listele").
• Sentinel incident'inin kök neden analizini yapar, MITRE ATT&CK eşleştirmesi sunar.
• Phishing örneklerini satır satır analiz eder — URL itibarı, başlık anomalisi, dil ipucu.
• Vulnerability triage: kritik CVE'leri etki+olasılık matrisine yerleştirir, hangisini önce ele alacağınızı söyler.
• Post-incident executive raporu üretir — pazartesi sabah yönetime sunulabilir hazırda.

Ne değildir:

• SIEM yerine geçmez — Sentinel'in üzerinde çalışır.
• EDR yerine geçmez — Defender'ın üzerinde çalışır.
• SOC ekibini eğitmiş bir analiste denk değildir — junior analiste senior asistandır.
• Tek başına satın alınmaz — en az bir Microsoft güvenlik ürünü (Defender / Sentinel / Entra) gerekir.

SCU Fiyat Modeli — Nasıl Hesaplanır

Security Copilot fiyatı, M365 Copilot'tan farklı olarak kullanıcı başına değil işlem kapasitesi üzerinden hesaplanır. Birim: SCU (Security Compute Unit).

1 SCU ne anlama gelir?

• Liste fiyat: 1 SCU ≈ $4/saat (provisioned model).
• Aylık ekstrapolasyon: 1 SCU 7/24 ≈ $2.920/ay (saatlik × 730 saat). Gerçekte SCU sabit ayrılır; faturalama saatlik bazlı.
• Ne kadar iş yapar: 1 SCU paralel ~3-5 analistin aynı anda kullandığı tipik yükü kaldırır. Heavy KQL/threat hunting yoğunluğunda 1 SCU 1-2 analiste hizmet eder.

İki satın alma modeli

Model	Provisioned (Sabit)	Pay-as-you-go
Faturalama	Aylık sabit (rezerve edilmiş SCU sayısı kadar)	Saatlik — kullanılan SCU kadar
Avantaj	Tahmin edilebilir bütçe; sürekli kapasite	Düşük kullanım → düşük fatura
Dezavantaj	Atıl kapasitede de ödersiniz	Peak'lerde tahmin zor; aylık yüksek fark
Uygun:	7/24 SOC, ürünleşmiş süreç	Pilot, mesai-içi SOC, sezonsal yoğunluk

Tipik 3 Kurum Profili

• KOBİ — 100-300 kullanıcı, mesai-içi SOC: 1-2 SCU (pay-as-you-go) yeterli. Aylık ~$2.000 - $5.000 fatura.
• Orta segment — 500-2.000 kullanıcı, 1 SOC analisti + MSSP destek: 2-3 SCU provisioned. Aylık ~$5.800 - $8.700.
• Kurumsal — 3.000+ kullanıcı, 24/7 SOC: 4-8 SCU provisioned + pay-as-you-go peak. Aylık $11.500+.

Net teklif ve provisioned/PAYG kombinasyon planlaması için teklif talep edebilirsiniz.

Defender + Sentinel + Entra Entegrasyonu

Security Copilot tek başına anlam ifade etmez — arkasında veri kaynağı ister. Microsoft güvenlik ailesinin tamamıyla embed çalışır:

Defender XDR Entegrasyonu

• Embedded experience — Defender portalı içinde "Copilot" paneli açılır. Tıkladığınız incident'in özetini, ilgili cihazları, MITRE tekniklerini hazır getirir.
• Senaryo: Defender'da bir endpoint'te suspicious PowerShell alert'i. Copilot → "Bu cihazda son 24 saat ne oldu?" → otomatik timeline.
• Plug-in: Defender for Cloud Apps, Defender for Office 365, Defender for Identity — hepsi tek pencereden sorgulanır.

Sentinel Entegrasyonu

• KQL yardımı — analist Türkçe sorar, Copilot KQL döner. "Son 7 gün dış IP'den RDP başarılı login" → kullanıma hazır sorgu.
• Incident enrichment — Sentinel incident'i Copilot tarafından otomatik özetlenir, kök neden hipotezi sunulur.
• Workbook generator — sorgudan workbook (görsel rapor) üretebilir.

Entra (Azure AD) Entegrasyonu

• Identity Protection — riskli kullanıcılar Copilot tarafından özetlenir; recommended action önerilir.
• Sign-in log analizi — "X kullanıcısı son 30 günde nereden login oldu" doğal dilden çekilir.

Intune + Purview Entegrasyonu

• Intune'da uyumsuz cihaz envanteri Copilot tarafından sorgulanır; düzeltme adımları önerilir.
• Purview DLP olayları Copilot ile sınıflandırılır — hangisi gerçek sızıntı, hangisi false positive.

Microsoft güvenlik ailesini birlikte planlıyorsanız Defender hizmet sayfamız ve M365 E7 Frontier Suite yazımız başlangıç noktasıdır.

7 Somut SOC Vakası

1. Phishing Email Analizi

SOC inbox'a düşen şüpheli e-postayı Copilot'a yapıştır: gönderen reputation, URL kategori, davranış kalıbı, payload analizi tek paragrafta. 15 dakikalık manuel analiz → 1 dakika.

2. Incident Özetleme (Pazartesi Sabahı Yığını)

Hafta sonu biriken 40 alert. Copilot → "kritiklik+olasılık matrisine yerleştir, hangisini önce çözmeliyim". Triage süresi %60-70 düşer.

3. KQL Sorgu Üretme

Junior analiste KQL eğitmek 3-6 ay. Copilot ile junior 1. günden doğal dilden sorgu yazar. Sorgu hatalı çıkarsa Copilot debug yardımı verir.

4. Threat Hunting Hipotez Geliştirme

"Lateral movement ile ilgili son 30 gün anomalileri ne olabilir" → Copilot MITRE ATT&CK katalogundan ilgili teknikleri çıkarır, her biri için Sentinel sorgusu önerir.

5. Vulnerability Triage

Defender Vulnerability Management'tan 200 CVE çıktı. Hangisi önce? Copilot CVSS + exploit availability + tenant exposure birleştirip top-20'yi sıralı verir.

6. Post-Incident Yönetim Raporu

İncident kapandı. Copilot → executive summary, technical narrative, mitigation timeline, lessons learned bir Word dokümanında. Manuel hazırlık 4-8 saat → 15 dakika.

7. Compliance Soru-Cevap

"KVKK Madde 12 için Microsoft 365'te hangi log'ları tutmalıyım, ne süre". Copilot Purview + ilgili Defender modülünden cevap döner — kayıt saklama politikası, audit log query.

Türkçe Destek Durumu

2026 itibariyle Security Copilot Türkçe arayüze ve Türkçe çıktıya sahiptir. Pratik gözlemler:

• Türkçe soru → Türkçe cevap: Çalışır. Çıktı kalitesi İngilizce'ye göre %10-15 daha düşük (uzun teknik özetlerde dil çevirisi anomaliler içerebilir).
• KQL sorgu üretimi: Türkçe doğal dilden iyi çevirir. Çıktı KQL'i daima İngilizce alan adlarındadır (Azure log şeması zaten İngilizce).
• Threat intel: CVE açıklamaları, MITRE teknikleri Türkçe özetlenir. Bazı niş tehdit aktörü isimleri (Türkçe kaynaklı APT) için İngilizce daha doğru cevap üretir.
• Öneri: Junior analistlerin Türkçe çalışmasına izin verin (öğrenme eğrisi düşer). Senior analistler kompleks hunting için İngilizce'yi tercih edebilir.

KVKK + Veri İkamesi

Security Copilot Microsoft 365 ve Azure altyapısında çalışır — EU Data Boundary kapsamındadır. Log'ları işler ama log'lar tenant'ınızda kalır. Önemli noktalar:

• Security Copilot prompt'larınızı model eğitimi için kullanmaz. Tenant izolasyonu Microsoft 365 Copilot ile aynı çerçevededir.
• Prompt geçmişi Microsoft Purview'da audit edilebilir — VKED bildirimi için kanıt vardır.
• KVKK Madde 9 yurt dışı veri aktarımı: EU Data Boundary kapsamı içinde işleme olduğu için aktarım YOK kabul edilir; ancak Microsoft'un transparent global support modeli (operatör erişimi) için kurum içi politika notu eklenir.
• Sensitivity Label'lı içerik Copilot yanıtlarında otomatik filtrelenir.

Detay: Copilot KVKK Uyumu Rehberi (M365 Copilot için yazıldı; Security Copilot da aynı altyapıda işler).

Lisanslama Planlaması — Önce Ne Almalıyım?

Security Copilot tek başına işe yaramaz; doğru sıra:

1. Temel: Microsoft 365 E3 veya E5 (kimlik + cihaz tabanı). E5 zaten Defender for Endpoint P2 ve Entra ID P2 içerir.
2. Genişletme: Defender for Cloud Apps + Defender for Office 365 + Defender for Identity. Bu olmadan Security Copilot'un kapsadığı veri sınırlıdır.
3. Logging katmanı: Microsoft Sentinel (Azure içinde). Log retention en az 90 gün — Security Copilot tarihsel analizler için sorgular.
4. En son: Security Copilot (SCU bazlı). Önce 1-2 SCU PAYG ile pilot, 90 günde ihtiyaca göre provisioned'a geç.

E5 yerine E7 Frontier Suite alıyorsanız Security Copilot lisansı paket içinde dahil gelir — detay: M365 E7 Frontier Suite yazımız. Karşılaştırmalı analiz için M365 plan karşılaştırma sayfası.

Sık Sorulan Sorular

Security Copilot M365 Copilot ile aynı şey mi?

Hayır. M365 Copilot çalışan verimliliği için Word/Excel/Outlook/Teams içinde çalışır ($30/kullanıcı/ay). Security Copilot SOC analistleri için Defender/Sentinel/Entra içinde çalışır (SCU bazlı). Aynı şirket farklı ürünler.

1 SCU ile kaç kullanıcı çalışabilir?

Kapasite mesaj/sorgu sayısına bağlı. Tipik mesai-içi 1 SCU 3-5 analistin paralel kullanımına yetiyor. Threat hunting / KQL yoğun ortamda 1 SCU 1-2 analiste düşer. Provisioned planlarken büyüme +%30 marjı bırakın.

Security Copilot CSP partneri üzerinden alınabilir mi?

Evet. Microsoft Cloud Solution Provider modelinde provisioned SCU lisansı satın alınır. PAYG modeli Azure subscription tüketimi olarak çıkar — Azure faturanıza dahil. Türkiye'de TL faturalama için CSP yolu tercih edilir.

Hangi log retention süresi gerekli?

Security Copilot anlık sorgulara o anki state ile cevap verir; tarihsel analiz için Sentinel/Defender log retention'ı ne kadarsa onu görür. KVKK + SOC pratiği için minimum 90 gün, ideal 1 yıl önerilir.

Senior SOC analistim yerine geçer mi?

Hayır. Security Copilot senior'u hızlandırır, yerine geçmez. Junior'u senior'a yaklaştırır (3-6 aylık öğrenme zamanı kısalır). Karar verici hala analisttir; AI öneri sunar, doğrulama ekibe aittir.

Pilot için minimum süre ne?

30 gün PAYG ile başlayın. 1-2 SCU rezerve edin, 3-5 senaryoya odaklanın (phishing analizi + KQL üretimi + executive raporlama). Ay sonunda fatura + MTTR delta + analist memnuniyet metrikleri ile karar verin: provisioned'a geçmek mı, terk etmek mi.

Türkçe çıktıda yanlış terminoloji geliyor, ne yapabilirim?

Microsoft prompt geliştirmeleri ile bu sürekli iyileşiyor. Pratik workaround: KQL/teknik adlar İngilizce kalmalı (zaten öyle), ama executive özet Türkçe istenmeli. Şirket içi terminoloji sözlüğünü Copilot Studio entegrasyonu üzerinden tanıtmak (Lookup plug-in) daha temiz cevap verir.