Esplorare il data lake di Microsoft Sentinel con la raccolta di esplorazione dati

Gli strumenti di esplorazione dati nel server Microsoft Sentinel Model Context Protocol (MCP) ti permettono di cercare tabelle e di estrarre dati dal tuo data lake in linguaggio naturale. Questi strumenti includono anche funzionalità di grafico che ti aiutano a ragionare sui grafi Microsoft Sentinel, come grafici di esposizione, caccia e rischio dati.

Prerequisiti

Per accedere alla raccolta di strumenti di esplorazione dei dati, sono necessari i prerequisiti seguenti:

• Microsoft Sentinel data lake e grafo
• Data lake di Microsoft Sentinel integrato nel portale di Defender (necessario per gli strumenti per i grafici)
• Qualsiasi editor di codice basato su intelligenza artificiale e piattaforme per la creazione di agenti supportati:
  • Microsoft Security Copilot
  • Microsoft Copilot Studio
  • Microsoft Foundry
  • Visual Studio Code

Per accedere ai dati grafici nel portale Defender, è necessario almeno l'accesso in sola lettura in Microsoft Security Exposure Management.

Aggiungi la raccolta per l’esplorazione dei dati

Per prima cosa, configura il server Microsoft Sentinel MCP. Poi segui i passaggi di configurazione per il tuo editor di codice o piattaforma di creazione di agenti.

La raccolta di esplorazione dei dati è ospitata in https://sentinel.microsoft.com/mcp/data-exploration.

Strumenti nella raccolta di esplorazione dei dati

La raccolta di esplorazione dei dati include gli strumenti seguenti:

• Ricerca semantica nel catalogo tabelle: individuare le tabelle data lake pertinenti e i relativi schemi.
• Esegui query KQL: esegui query KQL in un'area di lavoro del data lake di Microsoft Sentinel.
• Elencare le aree di lavoro: elencare tutte le aree di lavoro disponibili Microsoft Sentinel data lake.
• Analizzatore di entità: analizzare utenti e URL con verdetti e informazioni dettagliate sui rischi basati sull'intelligenza artificiale.
• Strumenti per i grafici (anteprima): analizzare i grafici relativi a esposizione, ricerca e rischio di dati.

Ricerca semantica nel catalogo tabelle (search_tables)

Lo search_tables strumento individua le tabelle data lake rilevanti per un determinato input in linguaggio naturale e restituisce le definizioni dello schema per supportare la creazione di query. Usa questo strumento per individuare le tabelle, comprendere lo schema o creare query Kusto Query Language (KQL) valide per un'area di lavoro Microsoft Sentinel. È anche possibile usarlo per esplorare origini dati non note o identificare le tabelle pertinenti per un'attività investigativa o analitica specifica.

Tabelle supportate

Lo search_tables strumento supporta quasi tutte le tabelle standard e dell'hub del contenuto partner ben note, incluse le tabelle Monitoraggio di Azure Log Analytics organizzate per categoria e la maggior parte delle tabelle Microsoft Sentinel e dei connettori associati.

Le tabelle Microsoft Sentinel seguenti non sono supportate:

Eseguire una query KQL (Linguaggio di query Kusto) nel data lake di Microsoft Sentinel (query_lake)

Lo query_lake strumento esegue una singola query KQL su un'area di lavoro data lake specificata Microsoft Sentinel e restituisce il set di risultati non elaborato. È progettato per il recupero analitico o investigativo mirato e non per l'esportazione bulk. Usare questo strumento per far avanzare un flusso di lavoro analitico o di analisi e recuperare un evento di sicurezza, un avviso, un asset, un'identità, un dispositivo o dati di arricchimento. È anche possibile usarlo insieme allo search_tables strumento per identificare gli schemi di tabella pertinenti e compilare query KQL valide.

Elencare le aree di lavoro (list_sentinel_workspaces)

Lo strumento list_sentinel_workspaces elenca tutte le coppie di nomi e ID delle aree di lavoro del data lake di Microsoft Sentinel a tua disposizione. L'inclusione del nome dell'area di lavoro offre un contesto utile per comprendere quale area di lavoro viene usata. Eseguire questo strumento prima di usare qualsiasi altro strumento di Microsoft Sentinel perché tali strumenti necessitano di un argomento ID area di lavoro per funzionare correttamente.

Analizzatore di entità

Gli strumenti di analisi delle entità analyze_user_entity e analyze_url_entity usano l'IA per analizzare i dati dell'organizzazione nel data lake di Microsoft Sentinel. Forniscono un verdetto e informazioni dettagliate su URL, domini ed entità utente. Questi strumenti di analisi delle entità consentono di eliminare la necessità di raccolte dati manuali e integrazioni complesse in genere necessarie per arricchire e analizzare le entità.

Ad esempio, analyze_user_entity motivi relativi ai modelli di autenticazione dell'utente, anomalie comportamentali, attività all'interno dell'organizzazione e altro ancora per fornire un verdetto e un'analisi. Lo strumento analyze_url_entity analizza Microsoft Threat Intelligence, l'intelligence sulle minacce personalizzata nella piattaforma di intelligence sulle minacce (TIP) di Microsoft Sentinel e l'attività degli URL all'interno dell'organizzazione. Controlla anche Microsoft Sentinel watchlist per fornire un verdetto e un'analisi.

Gli strumenti di analisi delle entità potrebbero richiedere alcuni minuti per generare i risultati, quindi usa lo strumento analyze_user_entity o analyze_url_entity per avviare l'analisi di ogni entità e lo strumento get_entity_analysis per eseguire il polling dei risultati dell'analisi.

Avviare l'analisi (analyze_user_entity e analyze_url_entity)

Usare i parametri seguenti per avviare un processo di analisi dell'entità utente o URL.

Gli strumenti analyze_user_entity e analyze_url_entity restituiscono un valore identificativo che è possibile fornire come input allo strumento get_entity_analysis.

Recuperare l'analisi (get_entity_analysis)

Usare lo get_entity_analysis strumento per recuperare i risultati di un processo di analisi delle entità avviato in precedenza.

Anche se lo strumento get_entity_analysis esegue automaticamente il polling per alcuni minuti finché i risultati non sono pronti, il timeout interno dello strumento potrebbe non essere sufficiente per operazioni di analisi prolungate. Potrebbe essere necessario eseguire get_entity_analysis più volte per ottenere i risultati.

Informazioni aggiuntive

Quando si usano gli strumenti dell'analizzatore di entità, tenere presenti i limiti e i requisiti dei dati seguenti.

• analyze_user_entity supporta un intervallo di tempo massimo di sette giorni per ottimizzare l'accuratezza dei risultati.

• analyze_user_entityfunziona solo per gli utenti con un ID oggetto Microsoft Entra (utenti). Gli utenti locali solo di Active Directory non sono supportati per l'analisi degli utenti.

• analyze_user_entity richiede che le tabelle seguenti siano presenti nel data lake per garantire l'accuratezza dell'analisi:

  • AlertEvidence

  • SigninLogs

  • CloudAppEvents

  • IdentityInfo (Disponibile solo per i tenant con licenza Microsoft Defender per identità, Microsoft Defender for Cloud Apps o Microsoft Defender per endpoint P2)

    Se non si dispone di una di queste tabelle necessarie, analyze_user_entity genera un messaggio di errore che elenca le tabelle non caricate, insieme ai collegamenti alla documentazione di onboarding corrispondente.

• analyze_user_entity funziona meglio quando le tabelle seguenti sono presenti anche nel data lake, ma continuano a funzionare e valutare i rischi, anche se queste tabelle non sono disponibili:

  • AADNonInteractiveUserSignInLogs
  • BehaviorAnalytics

• analyze_url_entity funziona meglio quando le tabelle seguenti sono presenti nel data lake, ma continuano a funzionare e valutare i rischi, anche se queste tabelle non sono disponibili:

  • EmailUrlInfo

  • UrlClickEvents

  • ThreatIntelIndicators

  • Watchlist

  • DeviceNetworkEvents

    Se non si dispone di una di queste tabelle, analyze_url_entity genera una risposta con una dichiarazione di non responsabilità che elenca le tabelle non caricate, insieme ai collegamenti alla documentazione di onboarding corrispondente.

• L'esecuzione simultanea di più istanze dell'analizzatore di entità può aumentare la latenza per ogni esecuzione. Per evitare timeout ed evitare di raggiungere le soglie di anteprima dell'entity analyzer dell'entity analyzer, inizia eseguendo un massimo di cinque analisi contemporaneamente e poi adatta la soluzione secondo necessità in base a quanto spesso l'app logica viene attivata nella tua organizzazione.

Strumenti per i grafi (anteprima)

Gli strumenti per grafici consentono di analizzare più grafici di Microsoft Sentinel, inclusi i grafi di esposizione, ricerca e del raggio di attacco. Usando questi strumenti, è possibile raccogliere informazioni dettagliate e prendere decisioni basate sui dati durante l'esecuzione di query in linguaggio naturale.

Strumento per individuare il raggio d’impatto (find_blastradius)

Lo find_blastradius strumento valuta il raggio di esplosione di un nodo esplorando i percorsi di propagazione verso le risorse critiche di un'organizzazione. Descrive in dettaglio i percorsi che iniziano dall'entità specificata, valuta il rischio e specifica le raccomandazioni per ridurlo.

Individuazione di connessioni e percorsi (find_walkable_paths)

Questo strumento enumera le connessioni tra le coppie di origini e destinazioni specificate. Analizza la natura delle connessioni e quindi decide se può essere attraversata per lo spostamento laterale.

Analizzatore perimetrale di esposizione (find_exposure_perimeter)

Questo strumento elenca le connessioni in ingresso da altre entità all'entità specificata. Consente di determinare il rischio che l'entità deve affrontare. Lo strumento potrebbe restituire raccomandazioni con priorità in base ai risultati.

Percorso tra due entità (find_connected_nodes)

Lo find_connected_nodes strumento elenca percorsi percorribili tra due entità che corrispondono a un criterio o a una caratteristica che descrive tali entità.

I nodi corrispondono (find_nodes)

Lo find_nodes strumento trova e abbina le entità che il grafo rappresenta come nodi in base a determinati criteri o caratteristiche. Restituisce un elenco di nodi che corrispondono ai criteri definiti.

Informazioni generali e contesto per il grafico (get_graph_context)

Lo get_graph_context strumento fornisce contesto per i parametri e funge da riferimento per aiutarti a capire quali strumenti, funzionalità o parametri puoi utilizzare. Utilizzarlo come helper per ottenere il contesto del grafico in modo da poter usare meglio gli altri strumenti MCP del grafico nella raccolta.

Informazioni aggiuntive per gli strumenti a grafo

Tieni a mente le seguenti note d'uso quando lavori con strumenti grafici:

• Per limitare i risultati al solo grafo, aggiungere in my graph ai prompt.
• L'esecuzione di query per le identità non supporta i nomi di entità utente (UPN).
• Quando si specifica il tipo dell'entità, usarlo prima del nome.
• L'installazione e la configurazione della raccolta di strumenti graph non comportano costi. Tuttavia, il misuratore del grafo viene richiamato quando si inizia a usare gli strumenti per interrogare un grafo di Microsoft Sentinel. Per altre informazioni, vedere: Pianificare i costi e comprendere Microsoft Sentinel prezzi e fatturazione.

Richieste di esempio

I prompt di esempio seguenti illustrano cosa è possibile fare con la raccolta di esplorazione dei dati:

• Trovare i primi tre utenti a rischio e spiegare perché sono a rischio.
• Trovare gli errori di accesso nelle ultime 24 ore e fornire un breve riepilogo dei risultati principali.
• Identifica i dispositivi che hanno mostrato un numero elevato di connessioni di rete in uscita.
• Aiutami a capire se l'ID oggetto <Microsoft Entra object ID> dell'utente è compromesso.
• Analizza gli utenti con un avviso di password spray negli ultimi sette giorni e dimmi se qualcuno di loro è compromesso.
• Trovare tutti gli URL Indicatori di Compromissione (IOC) dal <report di analisi delle minacce> e analizzarli per dirmi tutto ciò che Microsoft sa a riguardo.
• Qual è il raggio di esplosione del nodo X se compromesso?
• Elencare tutti i percorsi dall'utente X agli asset critici.
• Qual è il perimetro di esposizione dei server SQL critici?

Come funzionano gli strumenti MCP di Microsoft Sentinel insieme al tuo agente

L'esempio seguente illustra come un agente risponde a una richiesta orchestrando dinamicamente tramite gli strumenti di esplorazione dei dati.

Richiesta di esempio:Find the top three users that are at risk and explain why they're at risk.

Risposta tipica (GitHub Copilot usando Claude Sonnet 4):

Spiegazione:

• Quando l'agente riceve la richiesta, cerca le tabelle pertinenti che contengono informazioni sul rischio utente e sulla sicurezza. Si inizia decostruendo la richiesta in parole chiave di ricerca per trovare le tabelle.

  A partire dal prompt di esempio, la ricerca individua quattro tabelle pertinenti tra quelle a cui l'utente può accedere:

  • AADNonInteractiveUserSignInLogs- Eventi di accesso Microsoft Entra ID non interattivi
  • BehaviorAnalytics - Dati UEBA (User and Entity Behavior Analytics)
  • SigninLogs - Eventi di accesso interattivo di Microsoft Entra ID
  • AADUserRiskEvents - Rilevamento dei rischi di protezione delle identità

  

• L'agente esegue una ricerca più ampia con lo strumento Semantic search on table catalog (search_tables). Questo passaggio porta a trovare altre tabelle per aiutare a formare il suo ragionamento.

  

• Dopo aver trovato le tabelle giuste, l'agente utilizza la query Execute KQL (Kusto Query Language) sullo strumento Microsoft Sentinel data lake (query_lake) per cercare i tre utenti più a rischio. La prima query fallisce a causa di un errore semantico.

  

• L'agente corregge la query KQL da solo e recupera correttamente i dati da Microsoft Sentinel data lake, individuando gli utenti a rischio.

  

• L'agente esegue un'altra query per ottenere informazioni dettagliate sugli utenti a rischio per fornire un contesto migliore sul motivo per cui sono a rischio.

  

• L'agente risponde all'utente con l'analisi completa.

Contenuto correlato

• Che cos'è il supporto di Microsoft Sentinel per il protocollo MCP (Model Context Protocol)?
• Introduzione a Microsoft Sentinel server MCP