Erkunden des Microsoft Sentinel-Datensees mit Datenerkundungssammlung

Die Datenexplorationstools im Microsoft Sentinel Model Context Protocol (MCP)-Server ermöglichen es Ihnen, nach Tabellen zu suchen und Daten aus Ihrem Data Lake in natürlicher Sprache zu ziehen. Diese Tools enthalten auch Graphenfunktionen, die Ihnen helfen, über Microsoft Sentinel-Graphen zu argumentieren, wie zum Beispiel Exposure-, Hunting- und Datenrisikographen.

Voraussetzungen

Für den Zugriff auf die Sammlung des Datenuntersuchungstools benötigen Sie die folgenden Voraussetzungen:

• Microsoft Sentinel Data Lake und Graph
• Microsoft Sentinel Data Lake im Defender-Portal integriert (für Graphtools erforderlich)
• Alle unterstützten KI-gestützten Code-Editoren und Agent-Erstellungsplattformen:
  • Microsoft Security Copilot
  • Microsoft Copilot Studio
  • Microsoft Foundry
  • Visual Studio Code

Um auf die Graphendaten im Defender-Portal zuzugreifen, ist mindestens ein Schreibzugriff in Microsoft Security Exposure Management erforderlich.

Sammlung für die Datenexploration hinzufügen

Zuerst richten Sie den Microsoft Sentinel MCP-Server ein. Dann befolge die Einrichtungsschritte für deinen Code-Editor oder die Agenten-Building-Plattform.

Die Sammlung zur Datenerkundung ist unter https://sentinel.microsoft.com/mcp/data-exploration verfügbar.

Tools in der Datenuntersuchungssammlung

Die Datenuntersuchungssammlung umfasst die folgenden Tools:

• Semantische Suche im Tabellenkatalog: Entdecken Sie relevante Data-Lake-Tabellen und deren Schemata.
• Ausführen einer KQL-Abfrage: Ausführen von KQL-Abfragen für einen Microsoft Sentinel Data Lake-Arbeitsbereich.
• Arbeitsbereiche auflisten: Alle verfügbaren Microsoft Sentinel Data-Lake-Arbeitsbereiche auflisten.
• Entity Analyzer: Analysieren Sie Benutzer und URLs mit KI-gesteuerten Risikobewertungen und Erkenntnissen.
• Graph-Tools (Vorschau): Ursache für Expositions-, Hunting‑ und Datenrisikographen.

Semantische Suche im Tabellenkatalog (search_tables)

Das search_tables Tool ermittelt Datenseetabellen, die für eine bestimmte Eingabe natürlicher Sprache relevant sind, und gibt Schemadefinitionen zurück, um die Erstellung von Abfragen zu unterstützen. Verwenden Sie dieses Tool, um Tabellen zu ermitteln, ein Schema zu verstehen oder gültige KQL-Abfragen (Kusto-Abfragesprache) für einen Microsoft Sentinel Arbeitsbereich zu erstellen. Sie können es auch verwenden, um unbekannte Datenquellen zu untersuchen oder relevante Tabellen für eine bestimmte Untersuchungs- oder Analyseaufgabe zu identifizieren.

Unterstützte Tabellen

Das search_tables Tool unterstützt standardmäßig nahezu alle bekannten Standard- und Partner-Content Hub-Tabellen, einschließlich nach Kategorien geordneter Azure Monitor Log Analytics-Tabellen und der meisten Microsoft Sentinel-Tabellen und zugehörigen Konnektoren.

Die folgenden Microsoft Sentinel Tabellen werden nicht unterstützt:

Ausführen einer KQL-Abfrage (Kusto-Abfragesprache) für Microsoft Sentinel Data Lake (query_lake)

Das query_lake-Tool führt eine einzelne KQL-Abfrage für einen angegebenen Microsoft Sentinel Data-Lake-Arbeitsbereich aus und gibt die rohe Ergebnismenge zurück. Es ist für fokussierte Ermittlungen oder analytische Abrufe und nicht für den Massenexport konzipiert. Verwenden Sie dieses Tool, um einen Untersuchungs- oder Analyseworkflow voranzutreiben und Sicherheitsereignis-, Warnungs-, Ressourcen-, Identitäts-, Geräte- oder Anreicherungsdaten abzurufen. Sie können es auch zusammen mit dem search_tables Tool verwenden, um relevante Tabellenschemas zu identifizieren und gültige KQL-Abfragen zu erstellen.

Arbeitsbereiche auflisten (list_sentinel_workspaces)

Das list_sentinel_workspaces-Tool listet alle für Sie verfügbaren Name-ID-Paare von Microsoft Sentinel Data Lake-Arbeitsbereichen auf. Das Einschließen des Arbeitsbereichsnamens bietet Ihnen hilfreichen Kontext, um zu verstehen, welcher Arbeitsbereich verwendet wird. Führen Sie dieses Tool aus, bevor Sie andere Microsoft Sentinel Tools verwenden, da diese Tools ein Argument für die Arbeitsbereichs-ID benötigen, um ordnungsgemäß zu funktionieren.

Entitätsanalysator

Die analyze_user_entity und analyze_url_entity Entitätsanalysetools verwenden KI, um die Daten Ihrer Organisation im Microsoft Sentinel Data Lake zu analysieren. Sie bieten eine Bewertung und detaillierte Einblicke in URLs, Domänen und Benutzerentitäten. Diese Entitätsanalysetools tragen dazu bei, die Notwendigkeit manueller Datenerfassung und komplexer Integrationen zu vermeiden, die in der Regel zum Anreichern und Untersuchen von Entitäten erforderlich sind.

Zum Beispiel analysiert analyze_user_entity die Authentifizierungsmuster des Benutzers, Verhaltensanomalien, Aktivitäten innerhalb Ihrer Organisation und mehr, um eine Bewertung und Analyse bereitzustellen. Das analyze_url_entity Tool analysiert Microsoft Threat Intelligence, Ihre benutzerdefinierten Threat-Intelligence-Daten in der Microsoft Sentinel Threat Intelligence-Plattform (TIP) und URL-Aktivitäten innerhalb Ihrer Organisation. Es überprüft auch Microsoft Sentinel Watchlists, um ein Urteil und eine Analyse bereitzustellen.

Entitätsanalysetools erfordern möglicherweise einige Minuten, um Ergebnisse zu generieren. Verwenden Sie also das analyze_user_entity Tool, analyze_url_entity um die Analyse für jede Entität und das get_entity_analysis Tool zu starten, um die Analyseergebnisse abzufragen.

Analyse starten (analyze_user_entity und analyze_url_entity)

Verwenden Sie die folgenden Parameter, um einen Benutzer- oder URL-Entitätsanalyseauftrag zu starten.

Die Tools analyze_user_entity und analyze_url_entity geben einen Kennungswert zurück, den Sie als Eingabe an das Tool get_entity_analysis übergeben können.

Analyse abrufen (get_entity_analysis)

Verwenden Sie das get_entity_analysis Tool, um die Ergebnisse eines zuvor gestarteten Entitätsanalyseauftrags abzurufen.

Während das get_entity_analysis Tool einige Minuten lang automatisch abruft, bis Ergebnisse bereit sind, reicht das interne Timeout des Tools möglicherweise nicht für lange Analysevorgänge aus. Möglicherweise müssen Sie get_entity_analysis mehrmals ausführen, um Ergebnisse zu erhalten.

Weitere Informationen

Beachten Sie bei der Verwendung der Entitätsanalysetools die folgenden Grenzwerte und Datenanforderungen.

• analyze_user_entity unterstützt ein maximales Zeitfenster von sieben Tagen, um die Genauigkeit der Ergebnisse zu maximieren.

• analyze_user_entityfunktioniert nur für Benutzer mit einer Microsoft Entra Objekt-ID (Benutzer). Benutzer, die nur in der lokalen Active Directory vorhanden sind, werden für die Benutzeranalyse nicht unterstützt.

• analyze_user_entity erfordert, dass die folgenden Tabellen im Data Lake vorhanden sind, um die Genauigkeit der Analyse sicherzustellen:

  • AlertEvidence

  • SigninLogs

  • CloudAppEvents

  • IdentityInfo (nur für Mandanten mit Microsoft Defender for Identity-, Microsoft Defender for Cloud Apps- oder Microsoft Defender for Endpoint P2-Lizenzierung verfügbar)

    Wenn Sie keine dieser erforderlichen Tabellen haben, generiert analyze_user_entity eine Fehlermeldung, in der die Tabellen aufgeführt sind, die Sie nicht eingebunden haben, sowie Links zur zugehörigen Onboardingdokumentation.

• analyze_user_entity funktioniert am besten, wenn die folgenden Tabellen auch im Data Lake vorhanden sind, aber weiterhin funktionieren und risiken bewertet werden, auch wenn diese Tabellen nicht verfügbar sind:

  • AADNonInteractiveUserSignInLogs
  • BehaviorAnalytics

• analyze_url_entity funktioniert am besten, wenn die folgenden Tabellen im Data Lake vorhanden sind, aber weiterhin funktionieren und risiken bewertet werden, auch wenn diese Tabellen nicht verfügbar sind:

  • EmailUrlInfo

  • UrlClickEvents

  • ThreatIntelIndicators

  • Watchlist

  • DeviceNetworkEvents

    Wenn Sie über keine dieser Tabellen verfügen, analyze_url_entity generiert eine Antwort mit einem Haftungsausschluss, der die Tabellen auflistet, die Sie nicht integriert haben, sowie Links zu der entsprechenden Onboardingdokumentation.

• Das gleichzeitige Ausführen mehrerer Instanzen des Entity Analyzers kann die Latenz für jede Ausführung erhöhen. Um Timeouts zu vermeiden und das Erreichen der Vorschauschwellenwerte des Entity Analyzers zu vermeiden, beginnen Sie damit, maximal fünf Analysen gleichzeitig durchzuführen und passen Sie diese dann entsprechend der Häufigkeit der Logikanwendung in Ihrer Organisation an.

Graphtools (Vorschau)

Mit den Tools für Graphen können Sie Schlussfolgerungen aus mehreren Microsoft Sentinel-Graphen ziehen, darunter Expositions-, Hunting- und Blast-Radius-Graphen. Mithilfe dieser Tools können Sie Erkenntnisse gewinnen und datengesteuerte Entscheidungen treffen, während Sie Abfragen in natürlicher Sprache durchführen.

Auswirkungsbereich-Finder (find_blastradius)

Das Tool bewertet den Explosionsradius eines Knotens, indem es find_blastradius Ausbreitungspfade zu den kritischen Vermögenswerten einer Organisation untersucht. Sie beschreibt die Pfade, die bei der von Ihnen bereitgestellten Entität beginnen, bewertet das Risiko und gibt Empfehlungen zur Reduzierung dieses Risikos an.

Verbindungs- und Pfadermittlung (find_walkable_paths)

Dieses Tool listet die Verbindungen zwischen allen angegebenen Paaren von Quellen und Zielen auf. Es analysiert die Art der Verbindungen und entscheidet dann, ob sie für seitliche Bewegungen durchlaufen werden können.

Belichtungsperimeteranalyse (find_exposure_perimeter)

Dieses Tool listet die eingehenden Verbindungen von anderen Entitäten mit der angegebenen Entität auf. Es hilft Ihnen, das Risiko zu bestimmen, dem die Entität gegenübersteht. Das Tool gibt möglicherweise priorisierte Empfehlungen basierend auf den Ergebnissen zurück.

Pfad zwischen zwei Entitäten (find_connected_nodes)

Das find_connected_nodes Tool listet durchlaufbare Pfade zwischen zwei Entitäten auf, die einem Kriterium oder Merkmal entsprechen, das diese Entitäten beschreibt.

Knoten stimmen überein (find_nodes)

Das find_nodes Werkzeug findet und vergleicht Entitäten, die der Graph als Knoten darstellt, basierend auf gegebenen Kriterien oder Eigenschaften. Es wird eine Liste von Knoten zurückgegeben, die den definierten Kriterien entsprechen.

Allgemeine Informationen und Kontext zum Graphen (get_graph_context)

Das get_graph_context Tool liefert Kontext für die Parameter und dient als Referenz, um zu verstehen, welche Werkzeuge, Funktionen oder Parameter du verwenden kannst. Verwenden Sie es als Hilfsprogramm, um den Graphkontext abzurufen, damit Sie die anderen Graph-MCP-Tools in der Sammlung besser verwenden können.

Zusätzliche Informationen zu Graphtools

Behalte die folgenden Nutzungshinweise im Hinterkopf, wenn du mit Graphwerkzeugen arbeitest:

• Fügen Sie in my graph zu Eingabeaufforderungen hinzu, um Ergebnisse nur auf das Diagramm zu beschränken.
• Das Abfragen von Identitäten unterstützt keine Benutzerprinzipalnamen (UPNs).
• Wenn Sie den Typ der Entität angeben, verwenden Sie ihn vor dem Namen.
• Das Installieren und Konfigurieren der Graphtoolsammlung ist kostenlos. Jedoch rufen Sie den Graphzähler auf, wenn Sie die Tools zum Abfragen eines Microsoft-Sentinel-Graphen verwenden. Weitere Informationen finden Sie unter: Kosten planen und die Preise und Abrechnung für Microsoft Sentinel verstehen.

Beispieleingabeaufforderungen

Die folgenden Beispielaufforderungen veranschaulichen, was Sie mit der Datenuntersuchungssammlung tun können:

• Suchen Sie die drei am häufigsten gefährdeten Benutzer, und erklären Sie, warum sie gefährdet sind.
• Finden Sie Anmeldefehler in den letzten 24 Stunden, und geben Sie mir eine kurze Zusammenfassung der wichtigsten Ergebnisse.
• Identifizieren Sie Geräte, die eine auffallend hohe Anzahl ausgehender Netzwerkverbindungen aufwiesen.
• Helfen Sie mir zu verstehen, ob der Benutzer <Microsoft Entra Objekt-ID> kompromittiert ist.
• Untersuchen Sie Benutzer mit einer Kennwortspray-Warnung in den letzten sieben Tagen, und teilen Sie mir mit, ob einer von ihnen kompromittiert ist.
• Suchen Sie alle URL-IOCs aus <dem Bericht> zur Bedrohungsanalyse, und analysieren Sie sie, um mir alles zu sagen, was Microsoft darüber weiß.
• Was ist der Strahlradius von Knoten X , wenn er kompromittiert ist?
• Listet alle Pfade von Benutzer X zu kritischen Ressourcen auf.
• Was ist der Expositionsperimeter meiner kritischen SQL-Server?

Wie Microsoft Sentinel MCP-Tools zusammen mit Ihrem Agent funktionieren

Das folgende Beispiel zeigt, wie ein Agent einen Prompt beantwortet, indem er die Tools zur Datenexploration dynamisch orchestriert.

Beispieleingabeaufforderung:Find the top three users that are at risk and explain why they're at risk.

Typische Antwort (GitHub Copilot mit Claude Sonnet 4):

Erklärung:

• Wenn der Agent die Eingabeaufforderung empfängt, sucht er nach relevanten Tabellen, die Benutzerrisiko- und Sicherheitsinformationen enthalten. Zunächst wird die Eingabeaufforderung in Suchbegriffe dekonstruiert, um die Tabellen zu finden.

  Ausgehend von der Beispielaufforderung identifiziert die Suche vier relevante Tabellen aus der Menge der Tabellen, auf die der Benutzer Zugriff hat:

  • AADNonInteractiveUserSignInLogs– Nicht interaktive Microsoft Entra ID Anmeldeereignisse
  • BehaviorAnalytics – UEBA-Daten (User and Entity Behavior Analytics)
  • SigninLogs– Interaktive Microsoft Entra ID Anmeldeereignisse
  • AADUserRiskEvents – Identity Protection-Risikoerkennungen

  

• Der Agent führt eine breitere Suche mit dem semantischen Suchwerkzeug im Tabellenkatalog (search_tables) durch. Dieser Schritt findet weitere Tabellen, um seine Argumentation zu formen.

  

• Nachdem die richtigen Tabellen gefunden wurden, verwendet der Agent die Abfrage Execute KQL (Kusto Query Language) im Microsoft Sentinel Data Lake (query_lake) Tool, um die drei gefährdeten Nutzer zu ermitteln. Die erste Abfrage schlägt aufgrund eines semantischen Fehlers fehl.

  

• Der Agent korrigiert die KQL-Abfrage selbst und ruft erfolgreich Daten aus Microsoft Sentinel Data Lake ab, wobei die riskanten Benutzer gefunden werden.

  

• Der Agent führt eine weitere Abfrage aus, um detaillierte Informationen zu den risikobehafteten Benutzern zu erhalten, um einen besseren Kontext dazu bereitzustellen, warum sie gefährdet sind.

  

• Der Agent antwortet dem Benutzer mit seiner umfassenden Analyse.

Verwandte Inhalte

• Welche Unterstützung gibt es von Microsoft Sentinel für das Modellkontextprotokoll (Model Context Protocol, MCP)?
• Erste Schritte mit Microsoft Sentinel MCP-Server