この記事では、セキュリティ ツールの Microsoft Sentinel のモデル コンテキスト プロトコル (MCP) コレクションを設定して使用して、セキュリティ データに対する自然言語クエリを有効にする方法について説明します。 Sentinelの MCP のサポートにより、セキュリティ チームは、AI モデルが標準の方法でセキュリティ データにアクセスできるようにすることで、AI をセキュリティ運用に取り込みます。 Microsoft Sentinel統合 MCP サーバー内での AI の使用方法の詳細については、「アプリケーション カード: Microsoft Sentinel MCP サーバー」を参照してください。
Sentinelのセキュリティ ツールのコレクションは、複数のクライアントと自動化プラットフォームで動作します。 これらのツールを使用すると、関連するテーブルを検索し、データを取得したり、エンティティを分析したり、インシデントをトリアージしたり、脅威を探したり、その他のタスクを実行したりできます。
前提条件
Microsoft Sentinel MCP サーバーのほとんどのツールでは、それらを使用するためにMicrosoft Sentinel データ レイクにオンボードする必要があります。
その他のツールでは、次の製品の少なくとも 1 つにオンボードする必要がある場合もあります。
- Microsoft Defender ポータルでのMicrosoft Sentinel
- Microsoft Defender XDRまたはMicrosoft Defender for Endpoint
- Microsoft Security Copilot
ツール コレクションの特定の製品の前提条件の詳細については、それぞれの記事を参照してください。
また、MCP ツールのSentinelコレクションを一覧表示して呼び出すには、セキュリティ 閲覧者ロールも必要です。 トリアージ ツール コレクションを使用すると、既存のアクセス許可によって付与される任意のツールを使用できます。
Microsoft Sentinelの MCP ツールのコレクションを追加する
MCP ツールのコレクションMicrosoft Sentinel追加する方法の詳細については、次の AI を利用したコード エディターとエージェント構築プラットフォームの記事を参照してください。
サンプル プロンプトを使用して追加したツールをテストする
Microsoft Sentinelのツールのコレクションを追加した後、次のサンプル プロンプトを使用して、Microsoft Sentinel データ レイク内のデータを操作します。
- 危険にさらされている上位 3 人のユーザーを見つけ、危険にさらされている理由を説明します。
- 過去 24 時間以内にサインインエラーを見つけ、重要な結果の簡単な概要を示します。
- 外向きのネットワーク接続数が異常に多いデバイスを特定します。
- ユーザーがユーザー オブジェクト ID<>が侵害されているかどうかを理解するのに役立ちます。
- 過去 7 日間にパスワード スプレー アラートを使用してユーザーを調査し、いずれかのユーザーが侵害されたかどうかを教えてください。
- <脅威分析レポート>からすべての URL IOC を見つけて分析し、それらについて Microsoft が把握している情報をすべて教えてください。
エージェントがこれらのツールを呼び出してこれらのプロンプトに応答する方法については、「MCP ツールMicrosoft Sentinelエージェントと共に動作する方法」を参照してください。
Microsoft Sentinel の MCP ツール アクセスを無効にする
Microsoft Sentinelの MCP ツールのコレクションへのアクセスをオフにするには、カスタマー サポートにお問い合わせください。