データ探索コレクションを使用して Microsoft Sentinel データ レイクを探索する

重要

一部の情報は、リリース前に大幅に変更される可能性があるプレリリース製品に関連しています。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。

Microsoft Sentinel Model Context Protocol(MCP)サーバー内のデータ探索ツールは、テーブルを検索し、自然言語でデータレイクからデータを取得できます。 これらのツールには、曝露、ハンティング、データリスクグラフなど、Microsoft Sentinelのグラフを分析するのに役立つグラフ機能も含まれています。

前提条件

データ探索ツールコレクションにアクセスするには、次の前提条件が必要です。

重要

Sentinel MCP ツールへのアクセスは、少なくとも次のいずれかのロールで割り当てられているユーザー、マネージド ID、またはサービス プリンシパルでサポートされています。

  • セキュリティ管理者
  • セキュリティ オペレーター
  • セキュリティ リーダー

Defenderポータルでグラフデータにアクセスするには、少なくともMicrosoft Security Exposure Managementでの読み取り専用アクセスが必要です。

データ探索コレクションを追加する

まず、Microsoft Sentinel MCPサーバーをセットアップします。 その後、 コードエディタやエージェント構築プラットフォームの設定手順に従ってください。

データ探索コレクションは、 https://sentinel.microsoft.com/mcp/data-explorationでホストされます。

データ探索コレクションのツール

データ探索コレクションには、次のツールが含まれています。

テーブル カタログでのセマンティック検索 (search_tables)

search_tables ツールは、特定の自然言語入力に関連するデータ レイク テーブルを検出し、クエリの作成をサポートするためにスキーマ定義を返します。 このツールを使用して、テーブルの検出、スキーマの理解、またはMicrosoft Sentinel ワークスペースの有効なKusto 照会言語 (KQL) クエリの構築を行います。 また、これを使用して、なじみのないデータ ソースを探索したり、特定の調査または分析タスクに関連するテーブルを特定したりすることもできます。

パラメーター 必須ですか？ 説明
query はい このパラメーターは、接続されたワークスペース内の関連テーブルを検索するためにキーワードを受け取ります。
workspaceId 不要 このパラメーターは、ワークスペース識別子を受け取り、単一の接続Microsoft Sentinelデータ レイク ワークスペースに検索を制限します。

サポートされているテーブル

search_tables ツールは、カテゴリ別に整理されたAzure Monitor Log Analyticsテーブル、ほとんどのMicrosoft Sentinel テーブル、関連するコネクタなど、ほぼすべての既知の標準およびパートナー コンテンツ ハブ テーブルをすぐにサポートします。

展開して、サポートされているサード パーティのテーブルの完全な一覧を表示します
プロバイダー サポートされているテーブル
異常なセキュリティ ABNORMAL_CASES_CL、ABNORMAL_THREAT_MESSAGES_CL
ADO (Azure DevOps) ADOAuditLogs_CL
AIShield AIShield_CL
AliCloud AliCloud_CL
アマゾン ウェブ サービス (AWS) AWSCloudFront_AccessLog_CL、AWSCloudTrail、AWSCloudWatch、AWSGuardDuty、AWSNetworkFirewallAlert、AWSNetworkFirewallFlow、AWSNetworkFirewallTls、AWSRoute53Resolver、AWSS3ServerAccess、AWSSecurityHubFindings、AWSVPCFlow、AWSWAF
Anvilogic Anvilogic_Alerts_CL
Apache ApacheHTTPServer_CL
アルゴス ARGOS_CL
Armis Armis_Activities_CL、Armis_Alerts_CL、Armis_Devices_CL
Atlassian atlassian_beacon_alerts_CL
Auth0 Auth0AM_CL
より良いモバイル BetterMTDAppLog_CL、BetterMTDDeviceLog_CL、BetterMTDIncidentLog_CL、BetterMTDNetflowLog_CL
Bitglass BitglassLogs_CL
BitSight BitsightAlerts_data_CL、 BitsightBreaches_data_CL、 BitsightCompany_details_CL、 BitsightCompany_rating_details_CL、 BitsightDiligence_historical_statistics_CL、 BitsightDiligence_statistics_CL、 BitsightFindings_data_CL、 BitsightFindings_summary_CL、 BitsightGraph_data_CL、 BitsightIndustrial_statistics_CL、 BitsightObservation_statistics_CL
ボックス BoxEvents_CL、BoxEventsV2_CL
カーボンブラック CarbonBlackAuditLogs_CL、CarbonBlackEvents_CL、CarbonBlackNotifications_CL
Cbs CBSLog_Azure_1_CL
Cisco Cisco_Umbrella_audit_CL、 Cisco_Umbrella_cloudfirewall_CL、 Cisco_Umbrella_dlp_CL、 Cisco_Umbrella_dns_CL、 Cisco_Umbrella_fileevent_CL、 Cisco_Umbrella_firewall_CL、 Cisco_Umbrella_intrusion_CL、 Cisco_Umbrella_ip_CL、 Cisco_Umbrella_ravpnlogs_CL、 Cisco_Umbrella_ztaflow_CL、 Cisco_Umbrella_ztna_CL、 CiscoETD_CL、 CiscoSDWANNetflow_CL、 CiscoSecureEndpointAuditLogsV2_CL、 CiscoSecureEndpointEventsV2_CL
Cloudflare Cloudflare_CL、CloudflareV2_CL
Cognni CognniIncidents_CL
凝集性 Cohesity_CL
Commvault CommvaultSecurityIQ_CL
コントラスト セキュリティ ContrastADR_CL、ContrastADRIncident_CL
クリベル CriblInternal_CL
CrowdStrike CrowdStrike_Additional_Events_CL、 CrowdStrikeAlerts、 CrowdStrikeDetections、 CrowdStrikeHosts、 CrowdStrikeIncidents、 CrowdStrikeVulnerabilities
CyberArk CyberArk_AuditEvents_CL
Cyberpion CyberpionActionItems_CL
Cyfirma CyfirmaASCertificatesAlerts_CL, CyfirmaASCloudWeaknessAlerts_CL, CyfirmaASConfigurationAlerts_CL, CyfirmaASDomainIPReputationAlerts_CL, CyfirmaASDomainIPVulnerabilityAlerts_CL, CyfirmaASOpenPortsAlerts_CL, CyfirmaBIDomainITAssetAlerts_CL, CyfirmaBIExecutivePeopleAlerts_CL, CyfirmaBIMaliciousMobileAppsAlerts_CL, CyfirmaBIProductSolutionAlerts_CLCyfirmaBISocialHandlersAlerts_CL, CyfirmaCampaigns_CL, CyfirmaCompromisedAccounts_CL, CyfirmaDBWMDarkWebAlerts_CL, CyfirmaDBWMPhishingAlerts_CL, CyfirmaDBWMRansomwareAlerts_CL, CyfirmaIndicators_CL, CyfirmaMalware_CL, CyfirmaSPEConfidentialFilesAlerts_CL, CyfirmaSPEPIIAndCIIAlerts_CL, CyfirmaSPESocialThreatAlerts_CL, CyfirmaSPESourceCodeAlerts_CL, CyfirmaThreatActors_CL, CyfirmaVulnerabilities_CL
カムリ・スカウト Cymru_Scout_Account_Usage_Data_CL、Cymru_Scout_Domain_Data_CL、Cymru_Scout_IP_Data_Communications_CL、Cymru_Scout_IP_Data_Details_CL、Cymru_Scout_IP_Data_Fingerprints_CL、Cymru_Scout_IP_Data_Foundation_CL、Cymru_Scout_IP_Data_OpenPorts_CL、Cymru_Scout_IP_Data_PDNS_CL、Cymru_Scout_IP_Data_Summary_Certs_CL、Cymru_Scout_IP_Data_Summary_Details_CL、Cymru_Scout_IP_Data_Summary_Fingerprints_CL、Cymru_Scout_IP_Data_Summary_OpenPorts_CL、Cymru_Scout_IP_Data_Summary_PDNS_CL、Cymru_Scout_IP_Data_x509_CL
Cynerio CynerioEvent_CL
Darktrace darktrace_model_alerts_CL
Databricks DatabricksAccounts、 DatabricksApps、 DatabricksBrickStoreHttpGateway、 DatabricksBudgetPolicyCentral、 DatabricksCapsule8Dataplane、 DatabricksClamAVScan、 DatabricksCloudStorageMetadata、 DatabricksClusterLibraries、 DatabricksClusterPolicies、 DatabricksClusters、 DatabricksDashboards、 DatabricksDatabricksSQL、 DatabricksDataMonitoring、 DatabricksDataRooms、 DatabricksDBFS、 DatabricksDeltaPipelines、 DatabricksFeatureStore、 DatabricksFiles、 DatabricksFilesystem、 DatabricksGenie、 DatabricksGitCredentials、 DatabricksGlobalInitScripts、 DatabricksGroups、 DatabricksIAMRole、 DatabricksIngestion、 DatabricksInstancePools、 DatabricksJobs、 DatabricksLakeviewConfig、 DatabricksLineageTracking、 DatabricksMarketplaceConsumer、 DatabricksMarketplaceProvider、 DatabricksMLflowAcledArtifact、 DatabricksMLflowExperiment、 DatabricksModelRegistry、 DatabricksNotebook、 DatabricksOnlineTables、 DatabricksPartnerHub、 DatabricksPredictiveOptimization、 DatabricksRBAC、 DatabricksRemoteHistoryService、 DatabricksRepos、 DatabricksRFA、 DatabricksSecrets、 DatabricksServerlessRealTimeInference、 DatabricksSQL、 DatabricksSQLPermissions、 DatabricksSSH、 DatabricksTables、 DatabricksUnityCatalog、 DatabricksVectorSearch、 DatabricksWebhookNotifications、 DatabricksWebTerminal、 DatabricksWorkspace、 DatabricksWorkspaceFiles
Dataminr DataminrPulse_Alerts_CL
デジタル シャドウ DigitalShadows_CL
Doppel DoppelTable_CL
ドラゴス DragosAlerts_CL
ESI(Exchangeセキュリティインサイト) ESIExchangeConfig_CL、ESIExchangeOnlineConfig_CL
交換 ExchangeHttpProxy_CL、MessageTrackingLog_CL
ExtraHop ExtraHop_Detections_CL
F5 F5Telemetry_ASM_CL、F5Telemetry_LTM_CL、F5Telemetry_system_CL
Feedly feedly_indicators_CL
Forescout FncEventsDetections_CL、FncEventsObservation_CL、FncEventsSuricata_CL、ForescoutHostProperties_CL
Forcepoint ForcepointDLPEvents_CL
ギガモン Gigamon_CL
GitHub githubscanaudit_CL
Google GCPApigee, GCPAuditLogs, GCPCDN, GCPCloudRun, GCPCloudSQL, GCPComputeEngine, GCPDNS, GCPFirewallLogs, GCPIAM, GCPIDSGCPLoadBalancer, GCPMonitoring, GCPNAT, GCPNATAudit, GCPResourceManager, GCPVPCFlow, GKEAPIServer, GKEApplication, GKEAudit, GKEControllerManager, GKEHPADecision, GKEScheduler, GoogleCloudSCC, GoogleWorkspaceReports
HackerView HackerViewLog_Azure_1_CL
イルミオ Illumio_Auditable_Events_CL、IlumioInsights
Imperva ImpervaWAFCloud_CL
Infoblox dossier_atp_CL、 dossier_atp_threat_CL、 dossier_dns_CL、 dossier_geo_CL、 dossier_infoblox_web_cat_CL、 dossier_inforank_CL、 dossier_malware_analysis_v3_CL、 dossier_nameserver_CL、 dossier_nameserver_matches_CL、 dossier_ptr_CL、 dossier_rpz_feeds_CL、 dossier_rpz_feeds_records_CL、 dossier_threat_actor_CL、 dossier_tld_risk_CL、 dossier_whois_CL、 Infoblox_Failed_Indicators_CL、 InfobloxInsight_CL
Infosec InfoSecAnalytics_CL
ジャムフ・プロテクト jamfprotectalerts_CL、jamfprotecttelemetryv2_CL、jamfprotectunifiedlogs_CL
Jira Jira_Audit_CL、Jira_Audit_v2_CL
ジュニパー JuniperIDP_CL
Keeper のセキュリティ KeeperSecurityEventNewLogs_CL
Lastpass LastPassNativePoller_CL
MailGuard 365 MailGuard365_Threats_CL
MailRisk MailRiskEmails_CL
MarkLogic MarkLogicAudit_CL
MDBA MDBALogTable_CL
Meraki meraki_CL
Mimecast MimecastAudit_CL、 MimecastDLP_CL、 MimecastSIEM_CL、 MimecastTTPAttachment_CL、 MimecastTTPImpersonation_CL、 MimecastTTPUrl_CL
MongoDB MongoDBAudit_CL
MuleSoft MuleSoft_Cloudhub_CL
NCProtect NCProtectUAL_CL
Netskope alertscompromisedcredentialdata_CL、 alertsctepdata_CL、 alertsdlpdata_CL、 alertsmalsitedata_CL、 alertsmalwaredata_CL、 alertspolicydata_CL、 alertsquarantinedata_CL、 alertsremediationdata_CL、 alertssecurityassessmentdata_CL、 alertsubadata_CL、 Audits_Data_CL、 Detections_Data_CL、 Entities_Data_CL、 Entity_Scoring_Data_CL、 eventsapplicationdata_CL、 eventsauditdata_CL、 eventsconnectiondata_CL、 eventsincidentdata_CL、 eventsnetworkdata_CL、 eventspagedata_CL、 Lockdown_Data_CL、 net_assets_CL、 Netskope_WebTx_metrics_CL、 NetskopeAlerts_CL、 NetskopeWebtxData_CL、 NetskopeWebtxErrors_CL、 web_assets_CL
Nginx NGINX_CL、NginxUpstreamUpdateLogs
NordPass NordPassEventLogs_CL
OCI (Oracle クラウド インフラストラクチャ) OCI_LogsV2_CL
Okta Okta_CL、OktaSystemLogs
1Password OnePasswordEventLogs_CL
OneLogin OneLoginEventsV2_CL、OneLoginUsersV2_CL
Oracle OracleCloudDatabase
オルカ OrcaAlerts_CL
Palo Alto Networks CortexXDR_Incidents_CL、PaloAltoCortexXDR_Incidents_CL、PaloAltoPrismaCloudAlertV2_CL
ペリメータ81 Perimeter81_CL
PostgreSQL PostgreSQL_CL
プランサー prancer_CL
Proofpoint ProofPointTAPClicksPermittedV2_CL、ProofPointTAPMessagesDeliveredV2_CL
Qualys QualysHostDetectionV3_CL、QualysKB_CL
Rapid7 Nexpose/InsightVM NexposeInsightVMCloud_assets_CL、NexposeInsightVMCloud_vulnerabilities_CL
Rubrik Rubrik_Anomaly_Data_CL、Rubrik_Events_Data_CL、Rubrik_Ransomware_Data_CL、Rubrik_ThreatHunt_Data_CL
SailPoint SailPointIDN_Events_CL、SailPointIDN_Triggers_CL
Salesforce SalesforceServiceCloudV2_CL
SAP SAPBTPAuditLog_CL、SAPETDAlerts_CL、SAPETDInvestigations_CL
SecurityBridge SecurityBridgeLogs_CL
SentinelOne SentinelOne_CL、 SentinelOneActivities_CL、 SentinelOneAgents_CL、 SentinelOneAlerts_CL、 SentinelOneGroups_CL、 SentinelOneThreats_CL
Snowflake SnowflakeLoad_CL、SnowflakeLogin_CL、SnowflakeMaterializedView_CL、SnowflakeQuery_CL、SnowflakeRoleGrant_CL、SnowflakeRoles_CL、SnowflakeTables_CL、SnowflakeTableStorageMetrics_CL、SnowflakeUserGrant_CL、SnowflakeUsers_CL
Sonrai Sonrai_Tickets_CL
Sophos SophosCloudOptix_CL、SophosEP_CL、SophosEPEvents_CL
Squid プロキシ SquidProxy_CL
Symantec SymantecICDx_CL
タロン Talon_CL
Tenable Tenable_VM_Asset_CL、Tenable_VM_Compliance_CL、Tenable_VM_Vuln_CL、Tenable_WAS_Vuln_CL
TheHive TheHive_CL
Theom TheomAlerts_CL
Tomcat Tomcat_CL
トレンドマイクロ TrendMicro_XDR_OAT_CL、TrendMicro_XDR_RCA_Result_CL、TrendMicro_XDR_RCA_Task_CL、TrendMicro_XDR_WORKBENCH_CL
Varonis VaronisAlerts_CL
ベクトラ VectraStream_CL
Veeam VeeamAuthorizationEvents_CL、 VeeamCovewareFindings_CL、 VeeamMalwareEvents_CL、 VeeamOneTriggeredAlarms_CL、 VeeamSecurityComplianceAnalyzer_CL、 VeeamSessions_CL
WatchGuard WsSecurityEvents_CL
Meta社によるWorkplace Workplace_Facebook_CL
ZeroFox ZeroFox_CTI_advanced_dark_web_CL、 ZeroFox_CTI_botnet_CL、 ZeroFox_CTI_breaches_CL、 ZeroFox_CTI_C2_CL、 ZeroFox_CTI_compromised_credentials_CL、 ZeroFox_CTI_credit_cards_CL、 ZeroFox_CTI_dark_web_CL、 ZeroFox_CTI_discord_CL、 ZeroFox_CTI_disruption_CL、 ZeroFox_CTI_email_addresses_CL、 ZeroFox_CTI_exploits_CL、 ZeroFox_CTI_irc_CL、 ZeroFox_CTI_malware_CL、 ZeroFox_CTI_national_ids_CL、 ZeroFox_CTI_phishing_CL、 ZeroFox_CTI_phone_numbers_CL、 ZeroFox_CTI_ransomware_CL、 ZeroFox_CTI_telegram_CL、 ZeroFox_CTI_threat_actors_CL、 ZeroFox_CTI_vulnerabilities_CL、 ZeroFoxAlertPoller_CL
ズーム Zoom_CL
Zscaler ZNSegmentAudit_CL、ZPA_CL
その他 Failed_Range_To_Ingest_CL、FinanceOperationsActivity_CL、fluentbit_CL、IntegrationTable_CL、IntegrationTableIncidents_CL

次のMicrosoft Sentinel テーブルはサポートされていません。

サポートされていないMicrosoft Sentinel テーブル  
  • AliCloudActionTrailLogs_CL
  • argsentdc_CL
  • Audit_CL
  • Auth0Logs_CL
  • Awareness_Performance_Details_CL
  • Awareness_SafeScore_Details_CL
  • Awareness_User_Data_CL
  • Awareness_Watchlist_Details_CL
  • CarbonBlack_Alerts_CL
  • Cisco_Umbrella_proxy_CL
  • Cloud_Integrated_CL
  • CloudGuard_SecurityEvents_CL
  • ConfluenceAuditLogs_CL
  • CortexXpanseAlerts_CL
  • CyberSixgill_Alerts_CL
  • DruvaSecurityEvents_CL
  • DynatraceAttacks_CL
  • DynatraceAuditLogs_CL
  • DynatraceProblems_CL
  • DynatraceSecurityProblems_CL
  • ErmesBrowserSecurityEvents_CL
  • FireworkV2_CL
  • Garrison_ULTRARemoteLogs_CL
  • GCPLoadBalancerLogs_CL
  • GitHubAuditLogsV2_CL
  • Health_Data_CL
  • Illumio_Flow_Events_CL
  • IllumioInsightsSummary_CL
  • iocsent_CL
  • Island_Admin_CL
  • Island_User_CL
  • JBossEvent_CL
  • LookoutMtdV2_CL
  • ObsidianActivity_CL
  • ObsidianThreat_CL
  • Onapsis_Defend_CL
  • OneTrustMetadataV3_CL
  • OracleWebLogicServer_CL
  • PaloAltoCortexXDR_Alerts_CL
  • PaloAltoCortexXDR_Audit_Agent_CL
  • PaloAltoCortexXDR_Audit_Management_CL
  • PaloAltoCortexXDR_Endpoints_CL
  • Phosphorus_CL
  • PingOne_AuditActivitiesV2_CL
  • PrismaCloudCompute_CL
  • ProofpointPODMailLog_CL
  • ProofpointPODMessage_CL
  • ProofPointTAPClicksBlockedV2_CL
  • ProofPointTAPMessagesBlockedV2_CL
  • RSAIDPlus_AdminLogs_CL
  • SAPLogServ_CL
  • Seg_Cg_CL
  • Seg_Dlp_CL
  • SeraphicWebSecurity_CL
  • SlackAuditV2_CL
  • Tenable_WAS_Asset_CL
  • TransmitSecurityActivity_CL
  • Ttp_Attachment_CL
  • Ttp_Impersonation_CL
  • Ttp_Url_CL
  • Ubiquiti_CL
  • ValenceAlert_CL
  • vcenter_CL
  • ZimperiumThreatLog_CL
  • ZNSegmentAuditNativePoller_CL

Microsoft Sentinel Data Lake (query_lake) で KQL (Kusto 照会言語) クエリを実行する

query_lake ツールは、指定した Microsoft Sentinel Data Lake ワークスペースに対して 1 つの KQL クエリを実行し、生の結果セットを返します。 これは、一括エクスポートではなく、焦点を絞った調査または分析取得用に設計されています。 このツールを使用して、調査または分析ワークフローを進め、セキュリティ イベント、アラート、資産、ID、デバイス、またはエンリッチメント データを取得します。 また、 search_tables ツールと共に使用して、関連するテーブル スキーマを識別し、有効な KQL クエリを作成することもできます。

パラメーター 必須ですか？ 説明
query はい このパラメーターは、適切な形式の KQL クエリを受け取り、Microsoft Sentinel Data Lake ワークスペースからデータを取得します。
workspaceId 不要 このパラメーターは、ワークスペース識別子を受け取り、単一の接続Microsoft Sentinelデータ レイク ワークスペースに検索を制限します。

ワークスペースの一覧表示 (list_sentinel_workspaces)

list_sentinel_workspaces ツールには、使用可能なすべてのMicrosoft Sentinel data lake ワークスペース名と ID のペアが一覧表示されます。 ワークスペース名を含めると、使用されているワークスペースを理解するのに役立つコンテキストが提供されます。 他のMicrosoft Sentinel ツールを使用する前に、このツールを実行します。これらのツールでは、ワークスペース ID 引数が正しく機能する必要があるためです。

エンティティ アナライザー

analyze_user_entityおよびanalyze_url_entity エンティティ アナライザー ツールは、AI を使用して、Microsoft Sentinel Data Lake 内の組織のデータを分析します。 URL、ドメイン、ユーザー エンティティに関する評決と詳細な分析情報が提供されます。 これらのエンティティ分析ツールは、エンティティの強化と調査に通常必要な手動のデータ収集と複雑な統合の必要性を排除するのに役立ちます。

たとえば、analyze_user_entity は、ユーザーの認証パターン、行動上の異常、組織内でのアクティビティなどを基に推論を行い、判定と分析を提供します。 analyze_url_entity ツールは、Microsoft の脅威インテリジェンス、Microsoft Sentinel 脅威インテリジェンス プラットフォーム (TIP) 内のカスタム脅威インテリジェンス、および組織内の URL アクティビティを分析します。 また、Microsoft Sentinel のウォッチリストを確認して、判定と分析を提供します。

エンティティ分析ツールでは結果の生成に数分が必要な場合があるため、 analyze_user_entity または analyze_url_entity ツールを使用して各エンティティの分析を開始し、 get_entity_analysis ツールを使用して分析結果をポーリングします。

重要

エンティティ アナライザー ツールを使用するには、次のロールも必要です。

  • Security Copilot コントリビューター – 根拠に基づくエンティティ リスク分析を提供するために Security Compute Units (SCU) を消費するこのツールを使用するには、このロールが必要です。
  • Security Copilot オーナー（任意）– このロールは、SCU の使用状況を表示して監視する場合にのみ必要です。

詳細については、「Microsoft Security Copilot での認証について」を参照してください。

分析の開始 (analyze_user_entity と analyze_url_entity)

ユーザーまたは URL エンティティ分析ジョブを開始するには、次のパラメーターを使用します。

パラメーター 必須ですか？ 説明
Microsoft Entra オブジェクト ID、ユーザー プリンシパル名 (UPN)、または URL はい このパラメーターは、分析するユーザーまたは URL を受け取ります。
startTime はい このパラメーターは、分析ウィンドウの開始時刻を受け取ります。
endTime はい このパラメーターは、分析ウィンドウの終了時刻を受け取ります。
workspaceId 不要 このパラメーターは、ワークスペース識別子を受け取り、単一の接続Microsoft Sentinelデータ レイク ワークスペースに検索を制限します。

analyze_user_entityツールとanalyze_url_entity ツールは、入力としてget_entity_analysis ツールに提供できる識別子値を返します。

分析を取得 (get_entity_analysis)

get_entity_analysis ツールを使用して、以前に開始したエンティティ分析ジョブの結果を取得します。

パラメーター 必須ですか？ 説明
analysisId はい このパラメーターは、開始分析ツールから受け取ったジョブ ID を受け取ります。

get_entity_analysis ツールは結果の準備ができるまで数分間自動的にポーリングしますが、ツールの内部タイムアウトでは長い分析操作には不十分な場合があります。 結果を取得するには、 get_entity_analysis 複数回実行する必要がある場合があります。

注:

render the results as returned exactly from the toolなどのプロンプトを含め、MCP クライアントによる追加の処理を行わずにアナライザーからの応答を確実に提供するのに役立つ場合があります。

追加情報

エンティティ アナライザー ツールを使用する場合は、次の制限とデータ要件に留意してください。

  • analyze_user_entity は、結果の精度を最大化するために、最大 7 日間の時間枠をサポートします。

  • analyze_user_entityは、Microsoft Entra オブジェクト ID (ユーザー) を持つユーザーに対してのみ機能します。 オンプレミスの Active Directory のみのユーザーは、ユーザー分析ではサポートされていません。

  • analyze_user_entity では、分析の精度を確保するために、データ レイクに次のテーブルが存在する必要があります。

    • AlertEvidence

    • SigninLogs

    • CloudAppEvents

    • IdentityInfo (Microsoft Defender for Identity、Microsoft Defender for Cloud Apps、または Microsoft Defender for Endpoint P2 ライセンスを持つテナントでのみ使用できます)

      これらの必要なテーブルがない場合、 analyze_user_entity は、オンボードしなかったテーブルとその対応するオンボード ドキュメントへのリンクを示すエラー メッセージを生成します。

  • analyze_user_entity 次のテーブルがデータ レイクにも存在するが、これらのテーブルが使用できない場合でも、引き続き動作し、リスクを評価する場合に最適です。

  • analyze_url_entity 次のテーブルがデータ レイクに存在する場合に最適ですが、これらのテーブルが使用できない場合でも、引き続き動作し、リスクを評価します。

  • エンティティ アナライザーの複数のインスタンスを同時に実行すると、実行ごとに待機時間が長くなる可能性があります。 タイムアウトを防ぎ、エンティティアナライザーのプレビュー閾値に到達し ないため、まずは最大5回の分析を同時に実行し、組織内でロジックアプリがどれだけ頻繁にトリガーされるかに応じて調整してください。

グラフ ツール (プレビュー)

重要

この情報は、リリース前に大幅に変更される可能性があるプレリリース製品に関連しています。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。

グラフ ツールを使用すると、露出、ハンティング、ブラスト半径グラフなど、複数のMicrosoft Sentinel グラフを推論できます。 これらのツールを使用すると、自然言語でクエリを実行しながら、分析情報を収集し、データ駆動型の意思決定を行うことができます。

攻撃影響範囲ファインダー (find_blastradius)

この find_blastradius ツールは、組織の重要資産への伝播経路を探ることでノードの爆発半径を評価します。 指定したエンティティから始まるパスの詳細を示し、リスクを評価し、それを減らすための推奨事項を指定します。

パラメーター 必須ですか？ 説明
sourceName はい このパラメーターは、グラフ内のエンティティに一致する関連情報を検索するためにキーワードを受け取ります。 ノードまたはノードのグループを指定できます。

接続とパスの検出 (find_walkable_paths)

このツールは、指定されたソースとターゲットのペア間の接続を列挙します。 接続の性質を分析し、横移動のために走査できるかどうかを決定します。

パラメーター 必須ですか？ 説明
sourceName はい このパラメーターは、パスの開始点のグラフ内のエンティティと一致するキーワードを受け取ります。
targetName はい このパラメーターは、パス ターゲットのグラフ内のエンティティと一致するようにキーワードを受け取ります。

露出境界アナライザー (find_exposure_perimeter)

このツールは、他のエンティティから指定したエンティティへの受信接続を一覧表示します。 エンティティが直面するリスクを判断するのに役立ちます。 このツールは、結果に基づいて優先順位付けされた推奨事項を返す場合があります。

パラメーター 必須ですか？ 説明
targetName はい このパラメーターは、グラフ内のエンティティを識別して一致させるためにキーワードを受け取ります。ノードの名前。
minPathLength 不要 このパラメーターは、パス内のホップの最小数を受け取ります。
maxPathLength 不要 このパラメーターは、パス内のホップの最大数を受け取ります。
resultsCountLimit 不要 このパラメーターは、返されるパスの最大数を受け取ります。

2 つのエンティティ間のパス (find_connected_nodes)

find_connected_nodesツールは、2つのエンティティ間を通過可能な経路が、それらのエンティティを説明する条件や特徴に合致するものを一覧化します。

パラメーター 必須ですか？ 説明
sourceNodeLabel はい このパラメーターは、フィルター処理する有効なソース ラベルを受け取ります。 サポートされているラベルの場合は、 get_graph_context ツールを使用します。
sourceNodeProperties 不要 このパラメーターは、開始点エンティティの有効なプロパティの一覧をコンマで区切って受け取ります。 サポートされているプロパティの場合は、 get_graph_context ツールを使用します。
targetNodeLabel はい このパラメーターは、フィルター処理する有効なターゲット ラベルを受け取ります。 サポートされているラベルの場合は、 get_graph_context ツールを使用します。
targetNodeProperties 不要 このパラメーターは、終了ポイント エンティティの有効なプロパティの一覧をコンマで区切って受け取ります。 サポートされているプロパティの場合は、 get_graph_context ツールを使用します。
resultsCountLimit 不要 このパラメーターは、返される結果の最大数を受け取ります。

ノードが一致 (find_nodes)

find_nodesツールは、グラフがノードとして表現するエンティティを、与えられた基準や特徴に基づいて見つけ出し、マッチングします。 定義された条件に一致するノードの一覧が返されます。

パラメーター 必須ですか？ 説明
validNodeLabel はい このパラメーターは、一致するノード ラベルを受け取ります。 サポートされているラベルの場合は、 get_graph_context ツールを使用します。
validNodeProperties 不要 このパラメーターは、一致するプロパティの一覧をコンマで区切って受け取ります。 サポートされているプロパティの場合は、 get_graph_context ツールを使用します。
resultsLimit 不要 このパラメーターは、返される結果の最大数を受け取ります。

グラフの一般的な情報とコンテキスト (get_graph_context)

get_graph_contextツールはパラメータの文脈を提供し、どのツールや機能、パラメータが使えるかを理解するための参考資料として機能します。 これをヘルパーとして使用してグラフ コンテキストを取得し、コレクション内の他のグラフ MCP ツールをより適切に使用できるようにします。

グラフ ツールの追加情報

グラフツールを使う際は、以下の使用注意点を念頭に置いてください:

  • 結果の範囲をグラフのみに設定するには、プロンプトに in my graph を追加します。
  • ID のクエリでは、ユーザー プリンシパル名 (UPN) はサポートされていません。
  • エンティティの型を指定するときは、それを名前の前に置きます。
  • グラフ ツール コレクションをインストールして構成しても、コストはかからなくなります。 ただし、ツールを使用してMicrosoft Sentinelグラフのクエリを実行するときに、グラフ メーターを呼び出します。 詳細については、「コストを見積もり、Microsoft Sentinel の価格と課金を理解する」を参照してください。

サンプル プロンプト

次のサンプル プロンプトは、データ探索コレクションで実行できる操作を示しています。

  • 危険にさらされている上位 3 人のユーザーを見つけ、危険にさらされている理由を説明します。
  • 過去 24 時間以内にサインインエラーを見つけ、重要な結果の簡単な概要を示します。
  • 外向きのネットワーク接続数が異常に多いデバイスを特定します。
  • ユーザーの<Microsoft Entra object ID>が侵害されているかどうかを理解するのに役立ててください。
  • 過去 7 日間にパスワード スプレー アラートを使用してユーザーを調査し、いずれかのユーザーが侵害されたかどうかを教えてください。
  • <脅威分析レポート>からすべての URL IOC を見つけて分析し、それらについて Microsoft が把握している情報をすべて教えてください。
  • 侵害された場合のノード X のブラスト半径は何ですか?
  • ユーザー X から重要な資産へのすべてのパスを一覧表示します。
  • 重要な SQL サーバーの露出境界は何ですか?

Microsoft Sentinel の MCP ツールがご利用のエージェントと連携して動作するしくみ

次の例は、エージェントがデータ探索ツールを動的に調整してプロンプトに応答する方法を示しています。

サンプル プロンプト:Find the top three users that are at risk and explain why they're at risk.

一般的な応答 (Claude Sonnet 4 を使用してGitHub Copilot):

GitHub Copilot応答のスクリーンショット。

説明：

  • エージェントは、プロンプトを受け取ると、ユーザー リスクとセキュリティ情報を含む関連テーブルを検索します。 まず、プロンプトを検索キーワードに分解してテーブルを見つけます。

    サンプル プロンプトから、ユーザーがアクセスできるテーブルのスコープから 4 つの関連テーブルが検索によって識別されます。

    • AADNonInteractiveUserSignInLogs- 非対話型Microsoft Entra IDサインイン イベント
    • BehaviorAnalytics - ユーザーとエンティティの動作分析 (UEBA) データ
    • SigninLogs- 対話型Microsoft Entra IDサインイン イベント
    • AADUserRiskEvents - ID 保護リスク検出

    ユーザー リスクとセキュリティ情報を含む関連テーブルを検索するエージェントのスクリーンショット。

  • エージェントは テーブルカタログ上のセマンティック検索 (search_tables)ツールでより広範な検索を実行します。 このステップでは、推論を形成するためのさらに多くの表を見つけます。

    より広範な用語を使用して検索するエージェントのスクリーンショット。

  • 適切なテーブルを見つけた後、エージェントはデータレイク(query_lake)ツールMicrosoft Sentinel KQL(Kustoクエリ言語)クエリを実行し、リスクの高い上位3ユーザーを調べます。 最初のクエリは意味誤りにより失敗します。

    セマンティック エラーで KQL クエリを実行しようとしているエージェントのスクリーンショット。

  • エージェントは KQL クエリを自動的に修正し、Microsoft Sentinel のデータ レイクから正常にデータを取得して、リスクの高いユーザーを特定します。

    修正された KQL クエリが正常に実行されているエージェントのスクリーンショット。

  • エージェントはもう 1 つのクエリを実行して、リスクのあるユーザーに関する詳細情報を取得して、リスクが発生している理由に関するより適切なコンテキストを提供します。

    詳細なユーザー情報を取得するために別のクエリを実行しているエージェントのスクリーンショット。

  • エージェントは、包括的な分析を使用してユーザーに応答します。

関連コンテンツ

  • 最終更新: