Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Microsoft Sentinel, la piattaforma di sicurezza microsoft, introduce il supporto per il protocollo MCP (Model Context Protocol). Questo supporto include più raccolte di strumenti di sicurezza incentrate sullo scenario tramite un'interfaccia server unificata. Usando questo supporto, è possibile eseguire query interattive sui dati di sicurezza in linguaggio naturale e creare agenti di sicurezza efficaci in grado di eseguire automazioni complesse. Questa raccolta di strumenti di sicurezza consente ai team di sicurezza di inserire l'intelligenza artificiale nelle operazioni di sicurezza quotidiane per supportare attività comuni come l'esplorazione dei dati, la creazione di automazione agentic e la valutazione degli eventi imprevisti e la ricerca delle minacce.
Funzionalità principali del supporto di Microsoft Sentinel per MCP
Le funzionalità e i vantaggi seguenti fanno parte dei server MCP di Microsoft Sentinel:
Interfaccia ospitata unificata per le operazioni di sicurezza basate sull'intelligenza artificiale: l'interfaccia del server MCP unificata di Microsoft Sentinel è completamente ospitata, non richiede alcuna distribuzione dell'infrastruttura e usa Microsoft Entra per l'identità. I team di sicurezza possono connettere client compatibili per semplificare le operazioni quotidiane di IA.
Strumenti di sicurezza basati su scenari e linguaggio naturale: il supporto mcp di Microsoft Sentinel include raccolte incentrate sullo scenario di strumenti di sicurezza pronti all'uso. Queste raccolte consentono ai team di sicurezza di interagire con i dati di sicurezza e analizzarli nel data lake di Microsoft Sentinel e in Microsoft Defender utilizzando il linguaggio naturale, eliminando la necessità di un'integrazione basata sul codice, di comprendere lo schema dei dati o di scrivere query sui dati correttamente formulate.
Sviluppo accelerato di agenti di sicurezza efficaci: la raccolta di strumenti di sicurezza di Microsoft Sentinel automatizza l'individuazione e il recupero dei dati di sicurezza e offre risposte prevedibili e interattive per personalizzare gli agenti. Questo supporto velocizza la creazione di agenti di sicurezza efficienti e offre agenti di sicurezza migliori e altamente efficaci.
Integrazione dei dati di sicurezza conveniente e ricca di contesto: il data lake consente di portare tutti i dati di sicurezza in Microsoft Sentinel in modo conveniente, quindi non è necessario scegliere tra copertura e costi. la raccolta di strumenti di Microsoft Sentinel si integra in modo nativo con il data lake di sicurezza e Microsoft Defender, consentendo di creare una progettazione completa del contesto di sicurezza.
Per altre informazioni sull'uso dell'intelligenza artificiale all'interno del server MCP unificato di Microsoft Sentinel, vedere Scheda applicazione: Microsoft Sentinel server MCP.
Introduzione a MCP
Il protocollo MCP (Model Context Protocol) è un protocollo aperto che gestisce il modo in cui i modelli linguistici interagiscono con strumenti esterni, memoria e contesto in modo sicuro, strutturato e con stato. MCP usa un'architettura client-server con diversi componenti:
Host MCP: l'applicazione di intelligenza artificiale che coordina e gestisce uno o più client MCP.
Client MCP: componente che mantiene una connessione a un server MCP e ottiene il contesto da un server MCP da usare per l'host MCP.
Server MCP: programma che fornisce contesto ai client MCP.
Ad esempio, Visual Studio Code funge da host MCP. Quando Visual Studio Code stabilisce una connessione a un server MCP, ad esempio il server MCP Microsoft Sentinel per l'esplorazione dei dati, il runtime di Visual Studio Code crea un'istanza di un oggetto client MCP che mantiene la connessione al server MCP connesso.
Altre informazioni sull'architettura MCP.
Scenari per l'uso delle raccolte MCP di Microsoft Sentinel
Quando si connette un client compatibile con le raccolte MCP di Microsoft Sentinel, è possibile usare gli strumenti per:
Esplorare in modo interattivo i dati di sicurezza a lungo termine: gli analisti della sicurezza e i cacciatori di minacce, come quelli che si concentrano sugli attacchi basati sulle identità, devono eseguire rapidamente query e correlare i dati tra varie tabelle di sicurezza. Oggi devono conoscere tutte le tabelle e i dati contenuti in ogni tabella. Con la raccolta per l’esplorazione dei dati, gli analisti possono ora usare prompt in linguaggio naturale per cercare e recuperare dati rilevanti dalle tabelle nel data lake di Microsoft Sentinel senza dover ricordare le tabelle e il loro schema o scrivere query Kusto Query Language (KQL) ben strutturate.
Ad esempio, un analista può individuare possibili minacce interne correlando l'attività dei file con l'etichetta di riservatezza di Purview per rilevare segnali di esfiltrazione dei dati, violazioni dei criteri o comportamenti sospetti degli utenti che potrebbero essere passati inosservati durante la finestra temporale originale compresa tra 90 e 180 giorni. Questo approccio interattivo accelera l'individuazione e l'analisi delle minacce, riducendo al tempo stesso la dipendenza dalla formulazione manuale delle query.
Introduzione all'esplorazione dei dati su dati a lungo termine
Analizzare le entità nei dati di sicurezza: I tecnici, gli analisti e persino gli agenti del Centro operazioni di sicurezza (SOC) necessitano di un modo semplice per analizzare e valutare le entità, ad esempio URL e utenti, usando tutti i dati di sicurezza di un'organizzazione. Tuttavia, le origini dati frammentate di oggi rendono questo processo complesso e dispendioso in termini di tempo per l'automazione. Essendo quindi una delle attività di triage degli incidenti più comuni, l'arricchimento delle entità diventa spesso un'attività manuale di raccolta del contesto, rallentando i tempi di risposta. Con gli strumenti di analisi delle entità nella raccolta di esplorazione dei dati, gli analisti e gli ingegneri SOC dispongono di un'azione eseguibile con un solo clic che consente di recuperare, analizzare e presentare in modo chiaro valutazioni e analisi complete sulle entità utilizzando i dati di sicurezza presenti nel data lake, semplificando l'automazione dell'arricchimento delle entità per te e per gli agenti che crei.
Introduzione all'analisi automatica delle entità durante le indagini
Crea agenti Security Copilot usando il linguaggio naturale: gli ingegneri SOC spesso trascorrono settimane ad automatizzare manualmente i playbook a causa di fonti di dati frammentate e di rigidi requisiti di schema. Con gli strumenti di creazione degli agenti, i tecnici possono descrivere la loro finalità nel linguaggio naturale di creare rapidamente gli agenti con le istruzioni e gli strumenti corretti per il modello di intelligenza artificiale che ragionano sui dati di sicurezza, creando automazioni personalizzate in base ai flussi di lavoro e ai processi dell'organizzazione.
Valutare gli eventi imprevisti e cercare le minacce: I tecnici soc devono dare priorità agli eventi imprevisti rapidamente e cercare facilmente i dati dell'organizzazione senza doversi preoccupare dei problemi del flusso di lavoro di sicurezza e dell'interoperabilità tra piattaforme e strumenti che usano. La raccolta di strumenti di valutazione integra i modelli di intelligenza artificiale con le API che supportano la valutazione e la ricerca degli eventi imprevisti. Questa integrazione riduce il tempo medio per la risoluzione, l'esposizione ai rischi e il tempo di attesa e consente al team di sfruttare l'intelligenza artificiale per un processo decisionale più intelligente e veloce.
Introduzione alla valutazione degli eventi imprevisti e alla ricerca delle minacce