Explora el lago de datos de Microsoft Sentinel con la colección de exploración de datos

Las herramientas de exploración de datos en el servidor Microsoft Sentinel Model Context Protocol (MCP) te permiten buscar tablas y extraer datos de tu data lake con lenguaje natural. Estas herramientas también incluyen funciones de gráficos que te ayudan a razonar sobre los gráficos de Microsoft Sentinel, como exposición, búsqueda y gráficos de riesgo de datos.

Requisitos previos

Para acceder a la colección de herramientas de exploración de datos, necesita los siguientes requisitos previos:

• Lago de datos y grafo de Microsoft Sentinel
• Microsoft Sentinel data lake incorporado al portal de Defender (necesario para las herramientas de grafos)
• Cualquiera de los editores de código compatibles con inteligencia artificial y las plataformas de creación de agentes:
  • Microsoft Security Copilot
  • Microsoft Copilot Studio
  • Microsoft Foundry
  • Visual Studio Code

Para acceder a los datos de los grafos en el portal de Defender, al menos se requiere acceso de solo lectura en Seguridad de Microsoft Exposure Management.

Añadir la colección de exploración de datos

Primero, configura el servidor MCP de Microsoft Sentinel. Luego sigue los pasos de configuración de tu editor de código o plataforma de creación de agentes.

La colección de exploración de datos se hospeda en https://sentinel.microsoft.com/mcp/data-exploration.

Herramientas de la colección de exploración de datos

La colección de exploración de datos incluye las siguientes herramientas:

• Búsqueda semántica en el catálogo de tablas: descubra las tablas de lago de datos pertinentes y sus esquemas.
• Ejecutar consulta KQL: ejecute consultas KQL en un espacio de trabajo del lago de datos de Microsoft Sentinel.
• Enumerar espacios de trabajo: enumera todos los espacios de trabajo disponibles del lago de datos de Microsoft Sentinel.
• Analizador de entidades: analice usuarios y URLs con veredictos de riesgo e información basados en IA.
• Herramientas de grafos (versión preliminar): analiza grafos de exposición, búsqueda y riesgo de datos

Búsqueda semántica en el catálogo de tablas (search_tables)

La search_tables herramienta detecta tablas de lago de datos relevantes para una entrada de lenguaje natural determinada y devuelve definiciones de esquema para admitir la creación de consultas. Use esta herramienta para detectar tablas, comprender un esquema o crear consultas de Lenguaje de consulta Kusto (KQL) válidas para un área de trabajo de Microsoft Sentinel. También puede usarlo para explorar orígenes de datos desconocidos o identificar tablas pertinentes para una tarea de investigación o analítica específica.

Tablas compatibles

La search_tables herramienta admite casi todas las tablas estándar y conocidas del centro de contenido de asociados, incluidas las tablas de Azure Monitor Log Analytics organizadas por categorías y la mayoría de las tablas Microsoft Sentinel y los conectores asociados.

No se admiten las siguientes tablas de Microsoft Sentinel:

Ejecutar una consulta KQL (Lenguaje de consulta Kusto) en el lago de datos de Microsoft Sentinel (query_lake)

La herramienta query_lake ejecuta una única consulta KQL en un área de trabajo especificada del lago de datos de Microsoft Sentinel y devuelve el conjunto de resultados sin procesar. Está diseñado para la recuperación analítica o de investigación centrada y no para la exportación masiva. Use esta herramienta para avanzar en una investigación o un flujo de trabajo analítico y recuperar un evento de seguridad, una alerta, un recurso, una identidad, un dispositivo o datos de enriquecimiento. También puede usarlo junto con la search_tables herramienta para identificar los esquemas de tabla pertinentes y crear consultas KQL válidas.

Enumerar áreas de trabajo (list_sentinel_workspaces)

La herramienta list_sentinel_workspaces muestra todos los pares de nombre e ID de área de trabajo del lago de datos de Microsoft Sentinel que tiene disponibles. Incluir el nombre del área de trabajo proporciona un contexto útil para comprender qué área de trabajo se usa. Ejecute esta herramienta antes de usar cualquier otra herramienta de Microsoft Sentinel porque esas herramientas necesitan un argumento de identificador de área de trabajo para funcionar correctamente.

Analizador de entidades

Las herramientas de análisis de entidades analyze_user_entity y analyze_url_entity usan inteligencia artificial para analizar los datos de su organización en el lago de datos de Microsoft Sentinel. Proporcionan un veredicto e información detallada sobre direcciones URL, dominios y entidades de usuario. Estas herramientas de análisis de entidades ayudan a eliminar la necesidad de recopilación manual de datos y integraciones complejas que normalmente son necesarias para enriquecer e investigar entidades.

Por ejemplo, analyze_user_entity razones sobre los patrones de autenticación del usuario, las anomalías de comportamiento, la actividad dentro de su organización y mucho más para proporcionar un veredicto y un análisis. La herramienta analyze_url_entity analiza la inteligencia de amenazas de Microsoft, su inteligencia de amenazas personalizada en la plataforma de inteligencia sobre amenazas (TIP) de Microsoft Sentinel y la actividad de direcciones URL dentro de su organización. También comprueba las listas de seguimiento de Microsoft Sentinel para proporcionar un veredicto y un análisis.

Las herramientas de análisis de entidades pueden requerir unos minutos para generar resultados, por lo que use la analyze_user_entity herramienta o analyze_url_entity para iniciar el análisis de cada entidad y la get_entity_analysis herramienta para sondear los resultados del análisis.

Iniciar análisis (analyze_user_entity y analyze_url_entity)

Use los parámetros siguientes para iniciar un trabajo de análisis de entidades de usuario o dirección URL.

Las herramientas analyze_user_entity y analyze_url_entity devuelven un valor de identificador que puede proporcionar como entrada a la herramienta get_entity_analysis.

Recuperar el análisis (get_entity_analysis)

Use la get_entity_analysis herramienta para recuperar los resultados de un trabajo de análisis de entidades iniciado anteriormente.

Aunque la get_entity_analysis herramienta sondea automáticamente durante unos minutos hasta que los resultados estén listos, es posible que el tiempo de espera interno de la herramienta no sea suficiente para las operaciones de análisis prolongadas. Es posible que tenga que ejecutar get_entity_analysis varias veces para obtener resultados.

Información adicional

Tenga en cuenta los siguientes límites y requisitos de datos al usar las herramientas del analizador de entidades.

• analyze_user_entity admite un período de tiempo máximo de siete días para maximizar la precisión de los resultados.

• analyze_user_entity solo funciona para usuarios con un identificador de objeto de Microsoft Entra (usuarios). Los usuarios únicamente de Active Directory local no son compatibles con el análisis de usuarios.

• analyze_user_entity requiere que las tablas siguientes estén presentes en el lago de datos para garantizar la precisión del análisis:

  • AlertEvidence

  • SigninLogs

  • CloudAppEvents

  • IdentityInfo (solo disponible para inquilinos con licencias de Microsoft Defender for Identity, Microsoft Defender for Cloud Apps o Microsoft Defender para punto de conexión P2)

    Si no tiene ninguna de estas tablas necesarias, analyze_user_entity genera un mensaje de error que muestra las tablas que no ha incorporado, junto con vínculos a su documentación de incorporación correspondiente.

• analyze_user_entity funciona mejor cuando las tablas siguientes también están presentes en el lago de datos, pero sigue funcionando y evaluando el riesgo, incluso si estas tablas no están disponibles:

  • AADNonInteractiveUserSignInLogs
  • BehaviorAnalytics

• analyze_url_entity funciona mejor cuando las tablas siguientes están presentes en el lago de datos, pero sigue funcionando y evaluando el riesgo, incluso si estas tablas no están disponibles:

  • EmailUrlInfo

  • UrlClickEvents

  • ThreatIntelIndicators

  • Lista de seguimiento

  • DeviceNetworkEvents

    Si no tiene ninguna de estas tablas, analyze_url_entity genera una respuesta con una declinación de responsabilidades que enumera las tablas que no ha incorporado, junto con vínculos a su documentación de incorporación correspondiente.

• La ejecución de varias instancias del analizador de entidades al mismo tiempo puede aumentar la latencia de cada ejecución. Para evitar tiempos de espera y no alcanzar los umbrales de vista previa del analizador de entidades, empieza ejecutando un máximo de cinco análisis a la vez y luego ajusta según sea necesario según la frecuencia con la que se active la aplicación lógica en tu organización.

Herramientas de grafos (versión preliminar)

Las herramientas de grafos le permiten razonar sobre varios gráficos Microsoft Sentinel, incluidos los gráficos de exposición, búsqueda y radio de ráfaga. Con estas herramientas, puede recopilar información y tomar decisiones basadas en datos mientras realiza consultas en lenguaje natural.

Buscador del alcance del impacto (find_blastradius)

La find_blastradius herramienta evalúa el radio de explosión de un nodo explorando las rutas de propagación hacia los activos críticos de la organización. Detalla las rutas de acceso que comienzan en la entidad que proporciona, evalúa el riesgo y especifica recomendaciones para reducirlo.

Detección de conexiones y rutas de acceso (find_walkable_paths)

Esta herramienta enumera las conexiones entre cualquier par de orígenes y destinos determinados. Analiza la naturaleza de las conexiones y, a continuación, decide si se puede recorrer para el movimiento lateral.

Analizador perimetral de exposición (find_exposure_perimeter)

Esta herramienta enumera las conexiones entrantes de otras entidades a la entidad especificada. Ayuda a determinar el riesgo al que se enfrenta la entidad. La herramienta podría devolver recomendaciones con prioridad en función de los resultados.

Ruta entre dos entidades (find_connected_nodes)

La find_connected_nodes herramienta lista rutas recorribles entre dos entidades que cumplen con un criterio o característica que describe esas entidades.

Los nodos coinciden (find_nodes)

La find_nodes herramienta encuentra y empareja las entidades que representa el grafo como nodos basándose en determinados criterios o características. Devuelve una lista de nodos que coinciden con los criterios definidos.

Información general y contexto para el gráfico (get_graph_context)

La get_graph_context herramienta proporciona contexto para los parámetros y sirve como referencia para ayudarte a entender qué herramientas, funcionalidades o parámetros puedes utilizar. Úselo como asistente para obtener el contexto del grafo, de modo que pueda usar mejor las otras herramientas de MCP de grafos de la colección.

Información adicional para las herramientas de grafos

Ten en cuenta las siguientes notas de uso al usar herramientas de gráficos:

• Para limitar los resultados únicamente al grafo, agregue in my graph a los prompts.
• Las consultas de identidades no admiten nombres principales de usuario (UPN).
• Cuando especifique el tipo de la entidad, úsela antes del nombre.
• La instalación y configuración de la colección de herramientas de grafos no conlleva ningún costo. Sin embargo, se invoca el medidor de grafos al empezar a usar las herramientas para consultar un gráfico Microsoft Sentinel. Para obtener más información, consulte: Planear costos y comprender Microsoft Sentinel precios y facturación.

Indicaciones de ejemplo

Las siguientes instrucciones de ejemplo muestran lo que puede hacer con la colección para la exploración de datos:

• Busque los tres usuarios principales que están en riesgo y explique por qué están en riesgo.
• Busque errores de inicio de sesión en las últimas 24 horas y proporcione un breve resumen de los resultados clave.
• Identifique los dispositivos que mostraron un número excepcional de conexiones de red salientes.
• Ayúdame a entender si el identificador de objeto de Microsoft Entra del usuario <Microsoft Entra object ID> se ha visto comprometido.
• Investigue a los usuarios con una alerta de difusión de contraseña en los últimos siete días y dígame si alguno de ellos está en peligro.
• Busque todos los IOC de URL del informe <de análisis de amenazas> y analícelos para decirme todo lo que Microsoft conoce sobre ellos.
• ¿Cuál es el radio de ráfaga del nodo X si está en peligro?
• Enumere todas las rutas de acceso del usuario X a los recursos críticos.
• ¿Cuál es el perímetro de exposición de mis servidores SQL Server críticos?

Cómo funcionan las herramientas Microsoft Sentinel MCP junto con el agente

En el ejemplo siguiente se muestra cómo un agente responde a una petición mediante la orquestación dinámica sobre las herramientas de exploración de datos.

Prompt de ejemplo:Find the top three users that are at risk and explain why they're at risk.

Respuesta típica (GitHub Copilot mediante Claude Sonnet 4):

Explicación:

• Cuando el agente recibe el aviso, busca tablas pertinentes que contienen información de seguridad y riesgo del usuario. Comienza descomponiendo la instrucción en palabras clave de búsqueda para encontrar las tablas.

  A partir de la instrucción de ejemplo, la búsqueda identifica cuatro tablas relevantes entre las tablas a las que el usuario tiene acceso:

  • AADNonInteractiveUserSignInLogs - Eventos no interactivos de inicio de sesión de Microsoft Entra ID
  • BehaviorAnalytics - Datos de análisis del comportamiento de usuarios y entidades (UEBA)
  • SigninLogs - Eventos interactivos de inicio de sesión de Microsoft Entra ID
  • AADUserRiskEvents - Detecciones de riesgos de protección de identidad

  

• El agente realiza una búsqueda más amplia con la herramienta de búsqueda semántica en catálogo de tabla (search_tables). Este paso encuentra más tablas para ayudar a moldear su razonamiento.

  

• Tras encontrar las tablas adecuadas, el agente utiliza la consulta Execute KQL (Kusto Query Language) en la herramienta Microsoft Sentinel data lake (query_lake) para buscar los tres usuarios con mayor riesgo. La primera consulta falla debido a un error semántico.

  

• El agente corrige la consulta KQL por sí solo y recupera correctamente los datos del lago de datos de Microsoft Sentinel, identificando a los usuarios de riesgo.

  

• El agente ejecuta una consulta más para obtener información detallada sobre los usuarios de riesgo para proporcionar un mejor contexto sobre por qué están en riesgo.

  

• El agente responde de nuevo al usuario con su análisis completo.

Contenido relacionado

• ¿Cuál es la compatibilidad de Microsoft Sentinel con el Protocolo de contexto de modelo (MCP)?
• Primeros pasos con el servidor MCP de Microsoft Sentinel