Erstellen und Verwenden von benutzerdefinierten Microsoft Sentinel MCP-Tools (Vorschau)

Sicherheits-Agenten, die mit Microsoft Sentinels Sammlung von Model Context Protocol (MCP)-Tools erstellt wurden, können Daten in Microsoft Sentinel effektiv analysieren und daraus Schlussfolgerungen ziehen. Sie können benutzerdefinierte Sentinel MCP-Tools erstellen, um präzise Kontrolle über die Daten zu erhalten, auf die Ihre Sicherheits-Agents zugreifen können, und deterministische agentische Workflows zu erstellen.

In diesem Artikel wird gezeigt, wie Sie Agenten durch das Erstellen benutzerdefinierter MCP-Tools in die Lage versetzen, Wissen aus Ihrer Bibliothek mit gespeicherten Abfragen in der Kusto Query Language (KQL) in advanced hunting und im Sentinel Data Lake abzurufen und darüber Schlussfolgerungen zu ziehen.

Voraussetzungen

Um benutzerdefinierte Microsoft Sentinel MCP-Tools zu erstellen, benötigen Sie die folgenden Voraussetzungen:

• Microsoft Sentinel Data Lake- und Microsoft Defender-Lizenzen
• Sicherheitsoperator, Sicherheits-Admin oder Globale Admin Rolle zum Erstellen, Aktualisieren oder Löschen benutzerdefinierter Tools
• Rolle "Sicherheitsleser " oder "Globaler Leser " zum Auflisten und Aufrufen von benutzerdefinierten Tools

Erstellen benutzerdefinierter Tools mit KQL-Abfragen

Verwenden Sie erweiterte Huntingabfragen in Microsoft Defender Portal und KQL-Abfragen in Microsoft Sentinel Data Lake, um Sicherheitsdaten zu finden und zu ermitteln, die Sie in agentischen Workflows verwenden können. Mit diesem Ansatz können Sie die Art und Menge der Informationen steuern, anhand derer Ihre Agenten Schlussfolgerungen ziehen können. Wenn Sie überprüfen, ob eine Abfrage die Daten abruft, mit denen Ihr Agent ermitteln soll, speichern Sie sie als benutzerdefiniertes MCP-Tool.

Führen Sie die folgenden Schritte aus, um eine KQL-Abfrage als MCP-Tool zu speichern:

1. Suchen Sie auf der Seite Erweiterte Suche in Microsoft Defender die Sicherheitsdaten, die Sie in Ihren agentic-Flows verwenden möchten, aus Ihren manuell erstellten KQL-Abfragen oder ihrer Bibliothek gespeicherter Abfragen, und öffnen Sie sie dann im Abfragefenster.

2. Wählen Sie in einer der folgenden Defender-Portaloberflächen die Option Als Tool speichern aus:

   • Kontextmenü einer Abfrage

     

   • KQL-Abfragefeldmenü einer Abfrage

     

3. Geben Sie in dem daraufhin angezeigten Tool speichern-Flyout-Bereich die folgenden Details ein:

   • Namen: Ein auffindbarer Name für Ihr Tool, mit dem KI-Modelle das Tool für bestimmte Aufgaben richtig identifizieren und auswählen können.

   • Beschreibung: Die Beschreibung des Tools. Weitere Informationen finden Sie unter Bewährte Methoden zum Erstellen von Toolbeschreibungen.

   • Auflistung: Wählen Sie aus, ob Sie das Tool einer vorhandenen Toolsammlung hinzufügen oder eine neue erstellen möchten, indem Sie Neue Sammlung erstellen auswählen.

   • Standardarbeitsbereich: Der Standardarbeitsbereich, den Ihr Agent als Hinweis verwenden soll, wenn eine Eingabeaufforderung keine Arbeitsbereiche angibt.

   • Parameter (optional): Die anpassbaren Eingaben, die das Tool unterstützt. Sie können einige der Werte in Ihrer KQL-Abfrage in Parameter konvertieren, die dem {ParamaterName} Format folgen, und dann deren Parametername und Beschreibung hinzufügen, damit der Agent ein gutes Verständnis dafür hat, wie sie basierend auf dem verfügbaren Konversationskontext aufgefüllt werden.

   

   

4. Klicken Sie auf Speichern.

Anzeigen gespeicherter benutzerdefinierter MCP-Tools

Um die benutzerdefinierten MCP-Tools anzuzeigen, die Sie aus erweiterten Huntingabfragen gespeichert haben, wechseln Sie auf der Seite Erweiterte Suche zur Registerkarte Tools.

Bewährte Methoden zum Erstellen von Toolbeschreibungen

Wenn Sie Ihr benutzerdefiniertes Tool speichern, sind der Name und, was noch wichtiger ist, seine Beschreibung entscheidend für die Identifizierung und Auswahl für bestimmte Aufgaben. Die folgenden bewährten Methoden und Überlegungen können bei der Beschreibung Ihres Tools hilfreich sein:

• Halten Sie es kurz und handlungsorientiert. Verwenden Sie ein bis zwei Sätze, die mit einem klaren Verb und einer eindeutigen Ressource beginnen (z. B. "Ruft Überwachungsprotokolldaten für einen bestimmten Benutzer ab"). Vermeiden Sie Jargon oder zu technische Ausdrücke.

• Konzentrieren Sie sich auf den Zweck, nicht auf Parameter. Beschreiben sie die Funktionsweise des Tools und seinen primären Anwendungsfall. Belassen Sie Parameterdetails für das Schema, nicht für die Beschreibung.

• Fügen Sie Workflowhinweise nur ein, wenn sie kritisch sind. Wenn ein Tool einen vorbereitenden Schritt voraussetzt (z. B. „risky_users_tool zuerst aufrufen“), erwähnen Sie dies kurz, um eine falsche Verwendung zu vermeiden.

• Optimieren Sie die Auffindbarkeit und Übersichtlichkeit. Verwenden Sie konsistente Benennungen, vermeiden Sie mehrdeutige Begriffe, und stellen Sie sicher, dass KI-Modelle und Benutzer mithilfe von Beschreibungen schnell das richtige Tool auswählen können.

Verwenden von benutzerdefinierten Tools in benutzerdefinierten Agents und Codierungsplattformen

Weitere Informationen zur Verwendung Ihrer benutzerdefinierten Toolsammlung in Ihren Sicherheits-Agents finden Sie in den Artikeln für die folgenden KI-gestützten Code-Editoren und Plattformen zum Erstellen von Agents:

• Microsoft Security Copilot
• Microsoft Copilot Studio
• Microsoft Foundry
• Visual Studio Code

Verwandte Inhalte

• Erste Schritte mit Microsoft Sentinel MCP-Server
• Toolsammlung auf Microsoft Sentinel MCP-Server