Scheda dell'applicazione: server MCP di Microsoft Sentinel

Che cos'è una scheda applicazione o piattaforma?

Le schede microsoft per applicazioni e piattaforme sono progettate per aiutarti a comprendere come funziona la nostra tecnologia di intelligenza artificiale, le scelte che i proprietari delle applicazioni possono fare che influenzano le prestazioni e il comportamento dell'applicazione e l'importanza di considerare l'intera applicazione, inclusa la tecnologia, le persone e l'ambiente. Le schede applicazione vengono create per le applicazioni di intelligenza artificiale e le schede della piattaforma vengono create per i servizi della piattaforma di intelligenza artificiale. Queste risorse possono supportare lo sviluppo o la distribuzione di applicazioni personalizzate e possono essere condivise con utenti o stakeholder interessati.

Come parte del suo impegno per l'IA responsabile, Microsoft rispetta sei principi fondamentali: equità, affidabilità e sicurezza, privacy e sicurezza, inclusività, trasparenza e responsabilità. Questi principi sono incorporati in Responsible AI Standard, che guida i team nella progettazione, compilazione e test di applicazioni di intelligenza artificiale. Le schede delle applicazioni e della piattaforma svolgono un ruolo fondamentale nell'operazionalizzazione di questi principi offrendo trasparenza sulle funzionalità, gli usi previsti e le limitazioni. Per ulteriori informazioni, i lettori sono invitati a esplorare il Report sulla trasparenza responsabile dell'intelligenza artificiale di Microsoft e il Codice di condotta di Microsoft Enterprise AI Services (per le organizzazioni) o la sezione Codice di condotta del Contratto di servizi Microsoft (per i singoli utenti), entrambi che illustrano come interagire con l'IA in modo responsabile.

Panoramica

Microsoft Sentinel server MCP è un'applicazione lato server basata sul protocollo MCP (Model Context Protocol). MCP è un protocollo aperto che gestisce il modo in cui i modelli di linguaggio di intelligenza artificiale interagiscono con strumenti esterni, memoria e contesto in modo sicuro, strutturato e con stato. Microsoft Sentinel server MCP offre un'interfaccia ospitata unificata che consente ai team di sicurezza di inserire l'intelligenza artificiale nelle operazioni di sicurezza quotidiane. Connette i modelli di intelligenza artificiale con dati di sicurezza strutturati nel data lake Microsoft Sentinel e Microsoft Defender. Gli analisti possono eseguire query, analizzare e agire sui dati di sicurezza usando il linguaggio naturale anziché scrivere manualmente query complesse. Questo approccio rimuove le barriere alla ricerca delle minacce, alla valutazione degli eventi imprevisti e alle indagini sulla sicurezza consentendo agli agenti di intelligenza artificiale di individuare i dati rilevanti, analizzare le entità e creare flussi di lavoro di automazione per conto degli operatori della sicurezza.

L'applicazione è progettata per i team di sicurezza aziendali, tra cui analisti della sicurezza, ricercatori di sicurezza, cacciatori di minacce e tecnici del Centro operativo di sicurezza (SOC). Questi professionisti possono connettere client compatibili basati su intelligenza artificiale, ad esempio Visual Studio Code, Microsoft Security Copilot, Microsoft Copilot Studio, Microsoft Foundry, ChatGPT e Claude, al server MCP Microsoft Sentinel. Possono usare richieste di linguaggio naturale per interagire con i dati di sicurezza. Questo approccio elimina la necessità di un'integrazione code-first, di comprendere schemi di dati complessi o di scrivere query nel Linguaggio di query Kusto (KQL) ben formulate.

Per altre informazioni, vedere Informazioni sul supporto di Microsoft Sentinel per MCP e Introduzione a Microsoft Sentinel server MCP.

Termini chiave

Nella tabella seguente viene fornito un glossario dei termini chiave relativi a Microsoft Sentinel server MCP.

Funzionalità o funzionalità principali

Le caratteristiche e le funzionalità principali descritte qui illustrano ciò che Microsoft Sentinel MCP server è progettato per fare e come opera nell'ambito delle attività supportate.

Usi previsti

Microsoft Sentinel server MCP può essere usato in più scenari in diversi settori. Alcuni esempi di casi d'uso includono:

• Esplorazione interattiva dei dati di sicurezza a lungo termine: Gli analisti della sicurezza e i cacciatori di minacce possono usare richieste in linguaggio naturale per cercare e recuperare i dati rilevanti dalle tabelle nel data lake Microsoft Sentinel senza dover memorizzare i nomi delle tabelle, comprendere gli schemi o scrivere query KQL. Ad esempio, un analista che analizza gli attacchi basati su identità può correlare l'attività dei file con le etichette di riservatezza per individuare segni di esfiltrazione dei dati, violazioni dei criteri o comportamenti sospetti degli utenti che potrebbero non essere stati rilevati durante una finestra di conservazione originale. Questo approccio interattivo accelera l'individuazione e l'analisi delle minacce, riducendo al tempo stesso la dipendenza dalla formulazione manuale delle query.

• Analisi automatizzata delle entità durante le indagini: I tecnici e gli analisti soc possono usare gli strumenti di analizzatore entità per analizzare e valutare entità come URL, utenti e domini in tutti i dati di sicurezza di un'organizzazione. Gli strumenti recuperano, elaborano e presentano in modo chiaro valutazioni e analisi esaustive, rendendo semplice automatizzare quella che tradizionalmente è un'attività manuale di raccolta di informazioni contestuali. Ciò riduce i tempi di risposta e può essere integrato nei playbook di App per la logica di Azure per l'arricchimento automatico degli incidenti.

• Creazione di agenti Security Copilot tramite il linguaggio naturale: i tecnici soc possono descrivere la finalità di automazione nel linguaggio naturale per creare rapidamente agenti Security Copilot con le istruzioni e gli strumenti del modello di intelligenza artificiale corretti che ragionano sui dati di sicurezza. Ad esempio, un ingegnere può creare un agente che genera un rapporto post-incidente completo a partire dagli incidenti di Microsoft Defender, Microsoft Purview e Microsoft Sentinel, aggregando riepiloghi, analisi, entità e avvisi con misure correttive attuabili.

• Valutazione rapida degli eventi imprevisti e ricerca delle minacce: I team di sicurezza devono assegnare priorità agli eventi imprevisti e cercare i dati dell'organizzazione senza preoccuparsi dell'interoperabilità tra piattaforme e strumenti. La raccolta di triage integra modelli di intelligenza artificiale con API per recuperare incidenti, avvisi, evidenze ed entità e per eseguire query di ricerca avanzate. Ciò riduce il tempo medio per la risoluzione, l'esposizione ai rischi e il tempo di attesa e consente ai team di usare l'intelligenza artificiale per un processo decisionale più rapido.

• Flussi di lavoro deterministici personalizzati per l'automazione della sicurezza: I team di sicurezza possono creare strumenti MCP personalizzati da query KQL salvate nella ricerca avanzata, consentendo agli agenti di recuperare e ragionare su dati specifici rilevanti per i processi dell'organizzazione. In questo modo, i team possono controllare in modo granulare i dati accessibili agli agenti di intelligenza artificiale e creare flussi di lavoro agenti prevedibili e ripetibili.

Modelli e dati di training

Microsoft Sentinel server MCP sfrutta un'ampia gamma di modelli di intelligenza artificiale per potenziare l'esperienza visualizzata dagli utenti. Il server stesso è indipendente dal modello e fornisce strumenti e accesso ai dati strutturati usati dai modelli di intelligenza artificiale tramite il protocollo MCP. Il modello di intelligenza artificiale usato dipende dall'applicazione client che si connette al server. Alcuni esempi includono GPT-4o e altri Azure modelli di servizio OpenAI, Claude Sonnet (se usato tramite Visual Studio Code con GitHub Copilot o il client Claude) e modelli disponibili tramite Microsoft Security Copilot. Per saperne di più sui dati utilizzati per addestrare i modelli fondamentali alla base del server MCP di Microsoft Sentinel, consulta le schede dei modelli collegate per trovare le schede dei dati pertinenti.

Prestazioni

Microsoft Sentinel server MCP è progettato per funzionare in modo affidabile se usato per flussi di lavoro incentrati sulla sicurezza che richiedono l'accesso a dati tabulari strutturati nel data lake Microsoft Sentinel e Microsoft Defender. Il server opera all'interno di un'architettura client-server in cui il modello di intelligenza artificiale (in esecuzione nel client connesso) invia richieste di linguaggio naturale e gli strumenti MCP recuperano, elaborano e restituiscono dati di sicurezza strutturati. Gli input previsti sono richieste di testo in linguaggio naturale che descrivono le richieste di indagine di sicurezza, le ricerche nelle tabelle, le attività di analisi delle entità o le istruzioni di creazione dell'agente. Gli output previsti sono risultati di dati strutturati, inclusi schemi tabellari, risultati di query KQL, verdetti e analisi delle entità, dettagli di eventi imprevisti e avvisi nonché YAML di configurazione agente.

Le prestazioni del server dipendono dalla corretta configurazione del client connesso, dall'onboarding corretto nel data lake Microsoft Sentinel e dai prodotti Microsoft Defender pertinenti e dalla disponibilità e dall'aggiornamento dei dati di sicurezza sottostanti. Ogni raccolta di strumenti ha prerequisiti specifici di prodotto; ad esempio, la raccolta di triage richiede Microsoft Defender XDR, Microsoft Defender per endpoint o Microsoft Sentinel configurato nel portale Defender, mentre la raccolta per la creazione dell'agente richiede Microsoft Security Copilot. Gli strumenti dell'analizzatore di entità potrebbero richiedere alcuni minuti per generare risultati e supportare una finestra di analisi massima di sette giorni per le entità utente per garantire l'accuratezza.

Microsoft Sentinel server MCP supporta solo richieste in lingua inglese. Per prestazioni ottimali, i clienti che si trovano nei paesi e nelle aree geografiche seguenti possono usare gli strumenti: Australia, Canada, Europa, India, Giappone, Norvegia, Asia sud-orientale, Svizzera, Regno Unito e Stati Uniti. Quote e limiti specifici si applicano a ogni raccolta di strumenti, inclusi un limite di streaming MCP di 120 secondi, una finestra di query di 800 caratteri per gli strumenti data lake e limiti di velocità effettiva per l'analizzatore di entità (200 esecuzioni all'ora, 500 esecuzioni al giorno per tenant). Le normali limitazioni di utilizzo dell'API e le quote di ricerca avanzata si applicano alla raccolta di strumenti di triage.

Limitazioni

Comprendere Microsoft Sentinel limitazioni del server MCP è fondamentale per determinare se viene usato entro limiti sicuri ed efficaci. Anche se incoraggiamo i clienti a usare Microsoft Sentinel server MCP nelle loro soluzioni o applicazioni innovative, è importante notare che Microsoft Sentinel server MCP non è stato progettato per ogni possibile scenario. Si consiglia agli utenti di fare riferimento al Codice di condotta di Microsoft Enterprise AI Services (per le organizzazioni) o alla sezione Codice di condotta nel Contratto di servizi Microsoft (per singoli utenti) e alle considerazioni seguenti quando si sceglie un caso d'uso:

• Ambito specifico del dominio: Microsoft Sentinel server MCP supporta solo query e operazioni correlate ai dati di sicurezza nel data lake Microsoft Sentinel e Microsoft Defender. Prompt all'esterno di questo dominio, ad esempio domande per utilizzo generico, analisi dei dati non di sicurezza o attività non correlate alla ricerca delle minacce e alla risposta agli eventi imprevisti, potrebbero generare risposte vuote, irrilevanti o imprecise. Gli utenti non devono basarsi su di esso come assistente di intelligenza artificiale per uso generico.

• Supporto solo in lingua inglese: Microsoft Sentinel server MCP è stato sviluppato e valutato solo per le richieste in lingua inglese. L'uso di richieste in altre lingue può comportare prestazioni ridotte, selezione degli strumenti imprecisa o risultati incompleti. Gli utenti devono prestare attenzione quando operano al di fuori dell'ambito linguistico previsto.

• Dipendenza dall'aggiornamento dei dati: I risultati degli strumenti MCP dipendono dallo stato corrente dei dati nel data lake Microsoft Sentinel. Se i dati sono obsoleti, incompleti o non ancora inseriti, le risposte potrebbero essere limitate o imprecise. Gli utenti devono assicurarsi che i connettori dati siano configurati correttamente e che l'inserimento dei dati sia corrente prima di basarsi sui risultati per decisioni di sicurezza critiche.

• Dipendenza di configurazione di plug-in e client: Gli strumenti che usano il server MCP devono essere configurati correttamente per accedere ai plug-in, alle origini dati e alle aree di lavoro corretti. La configurazione errata, ad esempio l'uso di un ID dell'area di lavoro non valido, la connessione con una versione client incompatibile o la mancanza del ruolo di lettore di sicurezza richiesto, possono causare chiamate di strumenti non riuscite o risultati mancanti. Gli utenti devono seguire le indicazioni documentate per la configurazione e la risoluzione dei problemi.

• Vincoli dell'analizzatore di entità: L'analizzatore di entità utente (analyze_user_entity) supporta solo gli utenti con fattore di forma ID oggetto di Microsoft Entra. Gli utenti locali solo di Active Directory non sono supportati. Inoltre, l'analizzatore utente richiede la presenza di tabelle specifiche (AlertEvidence, SigninLogs, CloudAppEvents, IdentityInfo) nel data lake. Le tabelle mancanti riducono l'accuratezza dell'analisi o generano errori. L'analizzatore di entità ha anche limiti di concorrenza e scadenza dei risultati (un'ora), che richiedono nuove query dopo la scadenza.

• Disponibilità a livello di area: Microsoft Sentinel server MCP è ottimizzato per i clienti in aree specifiche (Australia, Canada, Europa, India, Giappone, Norvegia, Asia sud-orientale, Svizzera, Regno Unito e Stati Uniti). Le prestazioni al di fuori di queste aree potrebbero non soddisfare le aspettative.

• Qualità dell'output dipendente dal modello: Poiché Microsoft Sentinel server MCP è indipendente dal modello, la qualità e l'accuratezza dell'output finale dipendono dal modello di intelligenza artificiale usato nel client connesso. Alcuni modelli potrebbero non ragionare in modo efficace su una combinazione di strumenti di grandi dimensioni o produrre query KQL meno accurate. Gli utenti devono selezionare modelli di ragionamento più recenti per ottenere prestazioni ottimali.

• Stato preliminare di alcune funzionalità: Alcune raccolte di strumenti , ad esempio strumenti personalizzati e di valutazione, sono in anteprima. Queste funzionalità potrebbero essere modificate in modo sostanziale prima della disponibilità generale. Microsoft non fornisce alcuna garanzia, espressa o implicita, per quanto riguarda le informazioni preliminari.

Valutazioni

Microsoft Sentinel MCP viene valutato tramite controlli automatizzati integrati nel processo di distribuzione di Microsoft Security Graph. Queste valutazioni vengono eseguite come parte di ogni distribuzione per valutare l'affidabilità, la correttezza e la sicurezza del servizio prima dell'implementazione.

Come parte di questo processo, Microsoft Sentinel MCP viene sottoposto a valutazioni statiche automatizzate che fungono da gate di distribuzione. Queste valutazioni convalidano il corretto funzionamento degli strumenti MCP e della logica di orchestrazione, incluse chiamate di strumenti e output eseguibili, per rilevare regressioni che potrebbero influire sui flussi di lavoro di analisi della sicurezza supportati.

Microsoft Sentinel MCP viene convalidato anche in base a scenari di analisi della sicurezza rappresentativi per garantire un comportamento end-to-end corretto tra flussi di lavoro comuni basati su strumenti, ad esempio l'individuazione di tabelle semantiche, l'esecuzione di query e l'orchestrazione di strumenti multipassaggio.

Le valutazioni sono completamente automatizzate e applicate in modo coerente tra le distribuzioni. Microsoft Sentinel MCP non si basa su processi di valutazione manuali autonomi o di valutazione ad hoc. La sicurezza e la qualità vengono applicate principalmente tramite valutazioni automatizzate, messa a terra degli strumenti, controllo degli accessi in base al ruolo e procedure di distribuzione monitorate.

Componenti di sicurezza e mitigazioni

• Microsoft Entra l'autenticazione e il controllo degli accessi in base al ruolo: Microsoft Sentinel server MCP richiede l'autenticazione tramite Microsoft Entra, garantendo che solo gli utenti autorizzati possano accedere agli strumenti e ai dati. Gli utenti devono avere almeno un ruolo lettore di sicurezza per elencare e richiamare gli strumenti. La raccolta per il triage applica le autorizzazioni esistenti, pertanto gli utenti possono accedere solo ai dati a cui il proprio ruolo concede l’accesso. Ciò impedisce l'accesso non autorizzato ai dati e applica il principio dei privilegi minimi.

• Progettazione degli strumenti con ambito limitato al dominio: Gli strumenti MCP sono progettati specificamente per le operazioni di sicurezza e il loro ambito è limitato esclusivamente al data lake di Microsoft Sentinel e ai dati di Microsoft Defender. Questa progettazione limita la superficie di attacco impedendo l'uso degli strumenti per l'accesso ai dati per utilizzo generico o per operazioni esterne al dominio di sicurezza. Le descrizioni degli strumenti sono ottimizzate per la sicurezza per guidare i modelli di intelligenza artificiale verso la selezione appropriata degli strumenti.

• Raccolte di strumenti strutturate incentrate sullo scenario: Gli strumenti sono organizzati in raccolte logiche incentrate sullo scenario (esplorazione dei dati, creazione di agenti, valutazione) con descrizioni ottimizzate per la sicurezza. Ciò consente ai modelli di intelligenza artificiale di identificare e selezionare correttamente gli strumenti appropriati per attività specifiche, riducendo il rischio di chiamate di strumenti non corrette o indesiderate.

• Annotazione e monitoraggio dei contenuti dannosi: Microsoft Sentinel server MCP incorpora annotazioni di contenuto dannose e monitoraggio operativo come parte del sistema di sicurezza. Questi componenti sono progettati per rilevare e attenuare le istanze in cui l'applicazione potrebbe produrre contenuto inappropriato, dannoso o off-topic.

• Accesso anticipato solo invito e miglioramento iterativo: Per le funzionalità in anteprima, Microsoft usa un modello di accesso anticipato solo invito per raccogliere commenti e suggerimenti degli utenti prima di un'ampia disponibilità. Questo approccio consente al team di identificare e risolvere i problemi di sicurezza e prestazioni negli ambienti controllati prima del rilascio generale.

• Limitazione delle query e della frequenza: Il server applica quote e limiti di frequenza specifici (ad esempio limiti di streaming di 120 secondi, finestre di query di 800 caratteri e limiti di esecuzione dell'analizzatore di entità) per evitare abusi, consumo eccessivo di risorse e scenari denial of service. Questi limiti garantiscono che il servizio rimanga stabile e disponibile per tutti gli utenti.

• Isolamento del tenant e controlli di multi-tenancy: L'accesso ai dati è circoscritto al tenant e all'area di lavoro di ciascun cliente. Il server supporta la configurazione multi-tenancy tramite intestazioni specifiche del tenant, garantendo che i dati di un'organizzazione non siano accessibili a un'altra.

• Progettazione con supervisione umana: Il server MCP di Microsoft Sentinel è progettato per mantenere le persone al centro del processo decisionale in materia di sicurezza. Gli strumenti forniscono informazioni dettagliate, raccomandazioni e verdetti generati dall'IA, ma gli analisti della sicurezza dovrebbero esaminare e convalidare tutti gli output prima di intervenire su di essi. Questa progettazione incoraggia l'uso responsabile e riduce il rischio di errori automatizzati che portano a risultati di sicurezza negativi.

Procedure consigliate per la distribuzione e l'adozione di Microsoft Sentinel server MCP

L'IA responsabile è un impegno condiviso tra Microsoft e i suoi clienti. Mentre Microsoft crea applicazioni di intelligenza artificiale con sicurezza, equità e trasparenza al centro, i clienti svolgono un ruolo fondamentale nella distribuzione e nell'uso responsabile di queste tecnologie all'interno dei propri contesti. Per supportare questa partnership, offriamo le procedure consigliate seguenti per i deployer e gli utenti finali per aiutare i clienti a implementare l'IA responsabile in modo efficace.

I deployer e gli utenti finali devono:

• Prestare attenzione e valutare i risultati quando si usa Microsoft Sentinel server MCP per decisioni consequenziali o in domini sensibili: le decisioni consequenziali possono avere un impatto legale o significativo sull'accesso di una persona all'istruzione, all'occupazione, alle piattaforme finanziarie, alle prestazioni governative, all'assistenza sanitaria, all'alloggio, alle assicurazioni, alle piattaforme legali o che potrebbero causare danni fisici, psicologici o finanziari. I domini sensibili, come le piattaforme finanziarie, l'assistenza sanitaria e l'alloggio, richiedono un'assistenza particolare a causa del potenziale impatto sproporzionato su diversi gruppi di persone. Quando si usa l'intelligenza artificiale per le decisioni in queste aree, assicurarsi che gli stakeholder interessati possano comprendere come vengono prese le decisioni, prendere decisioni di appello e aggiornare i dati di input pertinenti.

• Valutare le considerazioni legali e normative: I clienti devono valutare potenziali obblighi legali e normativi specifici quando usano piattaforme e soluzioni di intelligenza artificiale, che potrebbero non essere appropriate per l'uso in ogni settore o scenario. Inoltre, le piattaforme o le soluzioni di intelligenza artificiale non sono progettate per e potrebbero non essere usate in modi vietati nei termini di servizio applicabili e nei codici di condotta pertinenti.

Gli utenti finali devono:

• Esercitare la supervisione umana quando appropriato: La supervisione umana è una protezione importante quando si interagisce con le applicazioni di intelligenza artificiale. Anche se miglioriamo continuamente le nostre applicazioni di intelligenza artificiale, l'IA potrebbe comunque commettere errori. Gli output generati potrebbero essere imprecisi, incompleti, distorti, disallineati o irrilevanti per gli obiettivi previsti. Ciò può verificarsi a causa di vari motivi, ad esempio ambiguità negli input o limitazioni dei modelli sottostanti. Di conseguenza, gli utenti devono esaminare le risposte generate da Microsoft Sentinel server MCP e verificare che soddisfino le aspettative e i requisiti.

• Tenere presente il rischio di eccedenza: L'overreliance sull'IA si verifica quando gli utenti accettano output di intelligenza artificiale non corretti o incompleti, principalmente perché gli errori negli output di intelligenza artificiale potrebbero essere difficili da rilevare. Per l'utente finale, l'eccessiva affidabilità potrebbe comportare una riduzione della produttività, perdita di fiducia, abbandono dell'applicazione, perdita finanziaria, danni psicologici, danni fisici, tra gli altri. Nel contesto del server MCP di Microsoft Sentinel, un eccessivo affidamento potrebbe portare gli analisti a basare le proprie azioni su valutazioni errate delle minacce, entità classificate in modo errato o risultati di query fabbricati senza un’adeguata verifica, con il potenziale rischio di non rilevare minacce o di indirizzare in modo errato gli interventi di risposta agli incidenti.

• Prestare attenzione durante la progettazione dell'intelligenza artificiale agentic nei domini sensibili: Gli utenti devono prestare attenzione quando progettano o distribuiscono applicazioni agentic per intelligenza artificiale in domini sensibili in cui le azioni degli agenti sono irreversibili o altamente consequenziali. Prendere precauzioni aggiuntive durante la creazione dell'IA agentic autonoma, come descritto più avanti nel Codice di condotta di Microsoft Enterprise AI Services (per le organizzazioni) o nella sezione Codice di condotta del Contratto di servizi Microsoft (per i singoli utenti).

• Scrivere richieste specifiche e dettagliate: Le richieste valide offrono buoni risultati. Se i prompt producono risposte lente o output privi di dati reali, provate a formulare prompt più specifici. Ad esempio, un prompt che dice "Per l'utente <UPN>, definisci un profilo di riferimento per gli eventi di rete, file, accesso e dispositivo negli ultimi 90 giorni e confrontali con un intervallo di +/- 10 minuti per individuare anomalie o attività sospette e aiutarmi a stabilire la gravità e la priorità di questo avviso" è molto più efficace di "Che cosa presenta rischi in <UPN>?".

• Specificare le aree di lavoro quando si usano più ambienti: Se si usano più aree di lavoro Microsoft Sentinel data lake, specificare l'ID dell'area di lavoro su cui si vuole usare gli strumenti. Usare lo list_sentinel_workspaces strumento per identificare le aree di lavoro disponibili e includere l'ID dell'area di lavoro nelle richieste per garantire risultati coerenti.

• Fornire commenti e suggerimenti per migliorare l'applicazione: Microsoft accoglie con favore il feedback degli utenti su Microsoft Sentinel server MCP per identificare e risolvere i problemi. Gli utenti possono inviare commenti e suggerimenti tramite il rappresentante dell'account Microsoft o i canali di supporto Microsoft standard.

I deployer devono:

• Assicurarsi di aver completato correttamente l'onboarding e i prerequisiti necessari: Prima di distribuire il server MCP di Microsoft Sentinel, verificare che l'organizzazione abbia completato l'onboarding al data lake di Microsoft Sentinel, ai prodotti Microsoft Defender richiesti e, se applicabile, a Microsoft Security Copilot. Assicurarsi che gli utenti dispongano dei ruoli appropriati (almeno lettore di sicurezza) e che i connettori dati siano configurati correttamente per fornire dati aggiornati e completi per consentire agli strumenti di ragionare.

• Mantenere i client MCP compatibili e aggiornati: Microsoft Sentinel server MCP implementa le specifiche di autorizzazione più recenti di MCP. Assicurarsi che i client connessi (Visual Studio Code, Security Copilot, Copilot Studio, Foundry, ChatGPT o Claude) vengano aggiornati alle versioni più recenti per evitare problemi di connettività e autenticazione.

• Configurare le raccolte di strumenti per le esigenze di sicurezza: Distribuire solo le raccolte di strumenti rilevanti per i flussi di lavoro dell'organizzazione. Usare strumenti MCP personalizzati per stabilire esattamente a quali agenti dati possono accedere, applicando flussi di lavoro deterministici con controllo dei dati granulare. Ciò consente di mantenere un ambiente di automazione della sicurezza prevedibile e controllabile.

• Monitorare e controllare l'utilizzo: Usare Microsoft Sentinel funzionalità di controllo del data lake per tenere traccia dell'utilizzo degli strumenti, dell'accesso ai dati e degli eventi di query. Esaminare regolarmente i log di controllo per rilevare modelli di utilizzo anomali o tentativi di accesso non autorizzati. Fai in modo che il tuo team acquisisca familiarità con la guida alla risoluzione dei problemi per risolvere rapidamente i problemi prevedibili.

• Eseguire il test in ambienti controllati prima di una distribuzione ampia: Usare prima di tutto le funzionalità di accesso anticipato e anteprima solo invito negli ambienti controllati, testando con richieste e dati rappresentativi. Verificare che gli output degli strumenti soddisfino gli standard di accuratezza e prestazioni dell'organizzazione prima di abilitare l'accesso generale.

• Configurare i limiti di frequenza e la concorrenza in modo appropriato: Quando si usano gli strumenti dell'analizzatore di entità, in particolare in Azure le app per la logica con cicli For Each, abilitare il controllo della concorrenza e iniziare con un basso grado di parallelismo (ad esempio, 5) per evitare timeout ed evitare di superare i limiti di velocità effettiva dell'analizzatore di entità. Apportare le modifiche necessarie in base alle modalità di utilizzo dell'organizzazione.

• Pianificare la disponibilità a livello di area: Distribuire Microsoft Sentinel server MCP per i team che si trovano in aree supportate (Australia, Canada, Europa, India, Giappone, Norvegia, Asia sud-orientale, Svizzera, Regno Unito e Stati Uniti) per prestazioni ottimali. Avvisare gli utenti di altre aree sulle potenziali limitazioni delle prestazioni.

Altre informazioni su Microsoft Sentinel server MCP

Per altre indicazioni o per altre informazioni sull'uso responsabile di Microsoft Sentinel server MCP, è consigliabile esaminare la documentazione seguente:

• Che cos'è il supporto di Microsoft Sentinel per MCP?
• Introduzione a Microsoft Sentinel server MCP
• Raccolta di strumenti in Microsoft Sentinel server MCP
• Microsoft Sentinel prezzi, limiti e disponibilità del server MCP
• Procedure consigliate e risoluzione dei problemi per la raccolta di strumenti MCP di Microsoft Sentinel
• Che cos'è Microsoft Sentinel?

Altre informazioni sull'intelligenza artificiale responsabile

• principi Microsoft AI
• Risorse Microsoft per l'IA responsabile
• Corsi di Microsoft Azure Learning sull'intelligenza artificiale responsabile