カスタム Microsoft Sentinel MCP ツールを作成して使用する (プレビュー)

Microsoft Sentinelのモデル コンテキスト プロトコル (MCP) ツールのコレクションを使用して構築されたセキュリティ エージェントは、Microsoft Sentinel内のデータを効果的に推論できます。 カスタム Sentinel MCP ツールを作成して、セキュリティ エージェントがアクセスできるデータをきめ細かく制御し、決定的なエージェント ワークフローを作成できます。

この記事では、カスタム MCP ツールを作成することで、エージェントが 高度なハンティング と Sentinel データ レイクに保存された Kusto Query Language (KQL) クエリのライブラリから知識を取得し、それに基づいて推論できるようにする方法を説明します。

前提条件

カスタム Microsoft Sentinel MCP ツールを作成するには、次の前提条件が必要です。

• Microsoft Sentinel データ レイクと Microsoft Defender のライセンス
• カスタム ツールを作成、更新、または削除するには、Security Operator、Security Admin、または Global Admin ロールが必要です
• カスタム ツールの一覧表示と呼び出しを行うセキュリティ 閲覧者またはグローバル 閲覧者ロール

KQL クエリを使用してカスタム ツールを作成する

Microsoft Defender ポータルの高度なハンティング クエリと Microsoft Sentinel data lake の KQL クエリを使用して、エージェント型ワークフローで活用できるセキュリティ データを見つけて検出します。 この方法では、エージェントが推論できる情報の種類と量を制御できます。 エージェントで推論するデータがクエリによって取得されることを確認したら、カスタム MCP ツールとして保存します。

KQL クエリを MCP ツールとして保存するには、次の手順に従います。

1. Microsoft Defenderの [高度なハンティング] ページで、手動で作成した KQL クエリから、または保存したクエリのライブラリから、エージェント フローで使用するセキュリティ データを見つけて検出し、クエリ ウィンドウで開きます。

2. 次のいずれかの Defender ポータルの画面から、ツールとして保存 を選択します:

   • クエリのコンテキスト メニュー

     

   • クエリの KQL クエリ ボックス メニュー

     

3. 表示される [保存ツール ] ポップアップ パネルで、次の詳細を入力します。

   • 名前： AI モデルが特定のタスクのツールを正しく識別して選択するのに役立つ、ツールの検出可能な名前。

   • 説明： ツールの説明。 詳細については、「ツールの 説明を作成するためのベスト プラクティス」を参照してください。

   • コレクション： ツールを既存のツール コレクションに追加するか、[新しいコレクションの作成] を選択して 新しいツール コレクションを作成するかを選択します。

   • 既定のワークスペース: プロンプトでワークスペースが指定されない場合に、エージェントがヒントとして使用する既定のワークスペース。

   • パラメーター (省略可能): ツールがサポートするカスタマイズ可能な入力。 KQL クエリの一部の値を {ParamaterName} 形式に従ってパラメーターに変換し、 そのパラメーター名 と 説明 を追加して、エージェントが使用可能な会話コンテキストに基づいてそれらを設定する方法について十分に理解できるようにすることができます。

   

   

4. [保存] を選択します。

保存したカスタム MCP ツールを表示する

高度なハンティング クエリから保存したカスタム MCP ツールを表示するには、[高度なハンティング] ページの [ツール] タブに移動します。

ツールの説明を作成するためのベスト プラクティス

カスタムツールを保存する際は、その名前と、さらに重要な説明が、特定のタスク向けにそのツールを識別して選択するうえで重要です。 ツールを記述する際には、次のベスト プラクティスと考慮事項が役立ちます。

• 短く、アクション指向のままにします。 明確な動詞とリソースで始まる 1 から 2 つの文を使用します (たとえば、「特定のユーザーの監査ログ データを取得する」)。 専門用語や過度に技術的な言い回しは避けてください。

• パラメーターではなく、目的に焦点を当てます。 ツールの動作とその主なユース ケースについて説明します。 パラメーターの詳細は、説明ではなくスキーマのままにします。

• 重要な場合にのみワークフロー ヒントを含めます。 ツールで事前の手順が必要な場合（たとえば「最初にrisky_users_toolを呼び出す」など）は、誤用を防ぐため、その旨を簡潔に記載します。

• 検出可能性と明瞭性を最適化します。 一貫性のある名前付けを使用し、あいまいな用語を避け、説明が AI モデルとユーザーが適切なツールをすばやく選択するのに役立ちます。

カスタム エージェントとコーディング プラットフォームでカスタム ツールを使用する

セキュリティ エージェントでカスタム ツール コレクションを使用する方法の詳細については、次の AI を利用するコード エディターとエージェント構築プラットフォームの記事を参照してください。

• Microsoft Security Copilot
• Microsoft Copilot Studio
• Microsoft Foundry
• Visual Studio Code

関連コンテンツ

• MCP サーバー Microsoft Sentinel使用を開始する
• Microsoft Sentinel MCP サーバーのツール コレクション