Création de graphiques personnalisés assistés par l’IA dans Microsoft Sentinel (préversion)

Utilisez GitHub Copilot dans Visual Studio Code avec Microsoft Sentinel pour créer, modifier et interroger des graphiques de sécurité personnalisés à l’aide de notebooks Jupyter. Décrivez ce que vous souhaitez créer en langage naturel, passez en revue le notebook généré et affinez-le si nécessaire.

Utilisez Copilot pour diverses tâches de création de graphiques, notamment :

• Créer un bloc-notes de création de graphique complet à partir d’une description
• Modifier ou déboguer un graphique existant
• Comprendre le code de graphe généré
• Écrire et exécuter des requêtes graphiques

Fonctionnement de l’assistance IA pour les graphiques personnalisés

Lorsque vous travaillez dans un notebook Jupyter connecté à Microsoft Sentinel, GitHub Copilot peut vous aider à effectuer des tâches de création de graphes grâce à des invites en langage naturel.

Utilisez le workflow suivant pour interagir avec Copilot pour la création de graphiques :

1. Décrivez le graphique ou la modification que vous souhaitez apporter.
2. Copilot génère ou met à jour le code lié au graphique.
3. Vous examinez, exécutez et affinez les résultats par itérations.

Pour les scénarios spécifiques au graphique, Microsoft Sentinel fournit des assistances facultatives qui donnent à Copilot un contexte supplémentaire sur les API de graphe, les schémas et votre espace de travail. Ces assistances améliorent la précision et la cohérence, mais ne sont pas nécessaires pour utiliser l’assistance Copilot.

Prérequis

Avant de commencer, vérifiez que vous disposez des points suivants :

• Extension Microsoft Sentinel pour Visual Studio Code installée et connectée. Pour plus d’informations, consultez Exécuter des notebooks sur le lac de données Microsoft Sentinel.
• L’extension Jupyter pour Visual Studio Code installée. Téléchargez à partir de la Place de marché des extensions VS Code.
• GitHub Copilot installé et activé. Pour plus d’informations, consultez extension GitHub Copilot.
• GitHub Copilot Business ou Copilot Enterprise, consultez plans GitHub Copilot
• Un lac de données Microsoft Sentinel configuré avec les autorisations appropriées. Pour plus d’informations, consultez Intégration au lac de données Microsoft Sentinel.

Créer et modifier un graphe personnalisé avec Copilot

Procédez comme suit pour créer un graphe ou modifier un graphique existant à l’aide de GitHub Copilot :

1. Ouvrez un notebook Jupyter existant (.ipynb) ou autorisez Copilot à en créer un.

2. Ouvrez GitHub Copilot Conversation (Ctrl+Maj+I sur Windows, Cmd+Maj+I sur macOS).

3. Décrivez le graphique que vous souhaitez générer.

Pour obtenir les meilleurs résultats lors de la création ou de la modification d’un graphe complet, utilisez l’assistant de création de graphes Sentinel en incluant @sentinel /graph-authoring dans votre invite. Cela fournit à Copilot un contexte supplémentaire sur les API de graphe, les schémas et les meilleures pratiques.

@sentinel /graph-authoring Create a graph that maps email senders to recipients and URLs using EmailEvents

L’assistant génère un carnet complet qui suit le cycle de vie standard de création de graphes :

Affiner le graphe

Une fois le graphique créé, vous pouvez continuer la conversation pour l’affiner, par exemple :

@sentinel Add an edge from User to IPAddress

@sentinel Filter the data to show only failed sign-ins

Modifier ou déboguer un graphique existant

Demandez à Copilot de mettre à jour ou de corriger des parties spécifiques de votre notebook. Par exemple, vous pouvez modifier des filtres, ajuster des colonnes ou résoudre les erreurs de génération :

@sentinel Change the time range to the last 7 days

L’instruction suivante demande à Copilot de modifier une cellule spécifique du bloc-notes en ajoutant un champ dans la sortie :

@sentinel Update cell 3 to include the Subject column

L’instruction suivante demande à Copilot de diagnostiquer et de corriger une défaillance dans l’étape de génération du graphe :

@sentinel Fix the error in the graph build step

Seules les cellules affectées sont mises à jour. Les autres cellules restent inchangées.

Comprendre le code et les requêtes de graphe

Posez des questions sur le code généré sans modifier le notebook. Par exemple, l’invite suivante demande à Copilot d’expliquer l’objectif d’une méthode utilitaire précise de l’API Graph :

@sentinel What does show_schema() do?

L’invite suivante demande à Copilot de clarifier la façon dont les clés d’arête sont modélisées dans les schémas de graphes Sentinel :

@sentinel Explain how edge keys are defined

L’invite suivante demande à Copilot d’expliquer la logique d’une requête de graphe étape par étape :

@sentinel How does this graph query work?

Rechercher des API de graphes et des exemples

Si vous souhaitez obtenir de l’aide sur les API de graphe Sentinel, les paramètres de méthode ou les exemples de requêtes, vous pouvez demander des explications à Copilot. Pour obtenir des réponses plus précises et spécifiques à Sentinel, incluez l’assistant de référence #Sentinel dans votre prompt. Par exemple, l’invite suivante demande à Copilot des informations de référence sur la signature de la méthode build_graph_with_data() :

What parameters does build_graph_with_data() accept? #sentinel

L’exemple suivant demande à Copilot de générer une requête de parcours de graphe entre deux types d’entités :

Write a graph query to find all paths between User and IPAddress #sentinel

Cette assistance fournit à Copilot une documentation faisant autorité sur l’API Sentinel graph. L’outil #sentinel de référence ne modifie pas votre bloc-notes.

Choisir comment interagir avec Copilot

Utilisez le tableau suivant pour choisir la meilleure façon d’interagir avec Copilot en fonction de votre objectif :

Concepts clés

Les concepts suivants sont importants à comprendre lors de l’utilisation de la création de graphiques assistées par l’IA.

Disponibilité de l’espace de travail et de la table

L’assistance IA utilise les tables visibles dans votre lac de données Sentinel. Seules les tables à laquelle vous avez accès sont utilisées dans le code généré.

Modifications du bloc-notes

Lors de la modification d’un notebook, seules les cellules qui doivent être modifiées sont mises à jour. Vous pouvez annuler les modifications à l’aide des commandes d’annulation de l’éditeur standard.

Résolution des problèmes

Le tableau suivant répertorie les problèmes courants et explique comment les résoudre.

Contenu connexe

• Intégration au data lake de Microsoft Sentinel
• Informations de référence sur la classe Microsoft Sentinel Provider
• Exemples de carnets pour le lac de données Microsoft Sentinel
• Exécuter des notebooks sur le lac de données Microsoft Sentinel
• Qu’est-ce que le graphe Microsoft Sentinel ?