Co to jest usługa Microsoft Sentinel?

Microsoft Sentinel to natywny chmurowo system zarządzania informacjami i zdarzeniami zabezpieczeń (SIEM) oraz zunifikowana platforma bezpieczeństwa na potrzeby obrony agentowej. Aby sprostać wymaganiom współczesnych złożonych zagrożeń, Microsoft Sentinel ewoluowała od tradycyjnego rozwiązania SIEM do rozwiązania SIEM i platformy — wykraczając poza statyczne, oparte na regułach mechanizmy kontroli i reagowanie po naruszeniu zabezpieczeń w celu zapewnienia gotowej do użycia sztucznej inteligencji podstawy opartej na danych, która przekształca dane telemetryczne w graf zabezpieczeń, standaryzuje dostęp agentów i koordynuje autonomiczne działania, jednocześnie utrzymując ludzi w dowodzeniu badaniami strategicznymi i badaniami o dużym wpływie.

W ramach rozwiązania SIEM Microsoft Sentinel zapewnia zabezpieczenia oparte na sztucznej inteligencji w środowiskach wielochmurowych i wieloplatformowych, oferując niezawodne możliwości wykrywania zagrożeń, badania, wyszukiwania zagrożeń, reagowania i automatycznego zakłócania ataków. Jako platforma Microsoft Sentinel zapewnia podstawę opartą na nowoczesnym jeziorze danych, umożliwiającą uzyskiwanie szczegółowych analiz, funkcje grafowe na potrzeby analizy kontekstowej, hostowany serwer protokołu MCP (Model Context Protocol) na potrzeby narzędzi gotowych do współpracy z agentami oraz funkcje dla deweloperów do tworzenia i wdrażania rozwiązań za pośrednictwem usługi Security Store.

Ten artykuł zawiera omówienie Microsoft Sentinel i jej podstawowych składników. Wyjaśniono w nim, w jaki sposób Microsoft Sentinel ułatwia zespołom ds. operacji zabezpieczeń wykrywanie zagrożeń i reagowanie na nie oraz ciągłe dostosowywanie się przez ujednolicanie danych, automatyzowanie odpowiedzi i uzyskiwanie szczegółowych informacji opartych na sztucznej inteligencji.

Platforma SIEM i bezpieczeństwa AI-first, kompleksowa od początku do końca

Ten diagram przedstawia Microsoft Sentinel — kompleksową, opartą przede wszystkim na AI platformę SIEM i zabezpieczeń — podkreślając jej podstawowe składniki oraz integrację z Microsoft Security Copilot.

Diagram przedstawiający Microsoft Sentinel — kompleksową, end-to-end platformę SIEM i zabezpieczeń, opartą przede wszystkim na sztucznej inteligencji.

Microsoft Sentinel SIEM

Natywne dla chmury rozwiązanie Microsoft Sentinel SIEM zapewnia zabezpieczenia oparte na sztucznej inteligencji w środowiskach wielochmurowych i wieloplatformowych. Zapewnia kompleksowe możliwości wykrywania zagrożeń, badania, reagowania i proaktywnego wyszukiwania zagrożeń, zapewniając zespołom ds. zabezpieczeń ujednolicony widok przedsiębiorstwa.

Rozwiązanie SIEM Microsoft Sentinel jest dostępne w portalu Microsoft Defender — dla klientów z usługą Defender XDR lub licencją E5 albo bez nich — zapewniając ujednolicone środowisko operacji bezpieczeństwa. Ta integracja usprawnia przepływy pracy, poprawia widoczność i pomaga analitykom szybciej i dokładniej reagować na coraz bardziej złożone zagrożenia.

Integracja rozwiązania Microsoft Sentinel SIEM z portalem usługi Defender i Security Copilot tworzy zaawansowany ekosystem, który usprawnia operacje zabezpieczeń. Security Copilot umożliwia analitykom interakcję z danymi Microsoft Sentinel przy użyciu języka naturalnego, generowanie zapytań wyszukiwania zagrożeń i automatyzowanie badań, dzięki czemu reagowanie na zagrożenia jest szybsze i bardziej dostępne.

Aby uzyskać więcej informacji, zobacz Co to jest Microsoft Sentinel SIEM?

Łączniki danych

Zbieraj dane w całej infrastrukturze cyfrowej wszędzie tam, gdzie znajdują się dane, w tym wszyscy użytkownicy, urządzenia, aplikacje i infrastruktura, zarówno lokalnie, jak i w wielu chmurach:

  • Ponad 350 gotowych do użycia konektorów danych z obsługą własnych i zewnętrznych rozwiązań zabezpieczających oraz platform chmurowych

  • Wbudowana funkcja zarządzania tabelami, która upraszcza wybór magazynu danych i umożliwia warstwowe rozmieszczanie między warstwami analitycznymi i warstwami jeziora danych.

  • Dane importowane do warstwy analitycznej są automatycznie replikowane w warstwie jeziora danych, dzięki czemu warstwa jeziora danych pozostaje centralnym, ujednoliconym repozytorium wszystkich danych związanych z zabezpieczeniami.

  • Opcje braku kodu i łącznika niestandardowego

  • Normalizacja danych w celu przetłumaczenia różnych źródeł na jednolity, znormalizowany widok

Aby uzyskać więcej informacji, zobacz Microsoft Sentinel łączniki danych.

Podstawowe składniki platformy Microsoft Sentinel

Jezioro danych Microsoft Sentinel

Microsoft Sentinel data lake jest w pełni zarządzanym, natywnym dla chmury rozwiązaniem data lake przeznaczonym do operacji zabezpieczeń. Ujednolica, zachowuje i analizuje dane zabezpieczeń na dużą skalę , zapewniając podstawy dla zaawansowanej analizy, analiz opartych na sztucznej inteligencji i obrony agentycznej.

Zaprojektowana pod kątem elastyczności i głębokości usługa data lake obsługuje analizę wielomodalną — w tym zapytania Kusto, analizę relacji opartą na grafach, język modelowania firmy Microsoft (MML), agentów Security Copilot i notesy oparte na sztucznej inteligencji w Visual Studio Code — wszystko to na jednej kopii danych w formacie otwartym.

Dzięki ekonomicznemu przechowywaniu i długoterminowemu przechowywaniu zespoły ds. zabezpieczeń mogą badać trwałe zagrożenia, wzbogacać alerty o kontekst historyczny i tworzyć behawioralne punkty odniesienia przy użyciu miesięcy danych bez narzutu tradycyjnej infrastruktury.

Najważniejsze możliwości jeziora danych w usłudze Microsoft Sentinel obejmują:

  • Scentralizuje dzienniki z usług Microsoft 365, Defender, Azure, Microsoft Entra, Microsoft Purview, Microsoft Intune i ponad 350 łączników danych — w tym usług Amazon Web Services (AWS) i Google Cloud Platform (GCP) — w celu wyeliminowania silosów danych.

  • Optymalizuje koszty przez oddzielenie pozyskiwania danych od analizy, dzięki czemu można przechowywać ogromne ilości danych zabezpieczających i stosować najskuteczniejsze aparaty analityczne do zadań takich jak wyszukiwanie zagrożeń, wykrywanie anomalii i głębokie badania kryminalistyczne.

  • Umożliwia wielomodalną analizę pojedynczej kopii danych w formacie otwartym przy użyciu zapytań Kusto, zaplanowanych zadań i notesów opartych na sztucznej inteligencji w Visual Studio Code — nie jest wymagana żadna konfiguracja infrastruktury.

Aby uzyskać więcej informacji, zobacz Co to jest Microsoft Sentinel data lake?

wykres Microsoft Sentinel

Graf Microsoft Sentinel zapewnia ujednolicone możliwości analizy grafowej poprzez modelowanie i analizowanie złożonych relacji między zasobami, tożsamościami, aktywnościami i danymi wywiadowczymi o zagrożeniach. Umożliwia ona obrońcom firmy Microsoft i agentom sztucznej inteligencji rozumowanie w stosunku do połączonych ze sobą danych, oferując dokładniejsze informacje i szybszą reakcję na zagrożenia cybernetyczne.

Kluczowe możliwości grafu w usłudze Microsoft Sentinel obejmują:

  • Ujednolicona analityka oparta na grafie, która stanowi podstawę wbudowanych funkcji w obszarach zabezpieczeń, zgodności, tożsamości i ekosystemu zabezpieczeń Microsoft.
  • Modelowanie relacji w świecie rzeczywistym, które używa węzłów i krawędzi do reprezentowania użytkowników, urządzeń, zasobów w chmurze, przepływów danych i akcji atakujących.
  • Ulepszone rozumowanie zagrożeń ułatwiające obrońcom odpowiadanie na złożone pytania, takie jak ścieżki, które atakujący może podjąć z zagrożonej jednostki do krytycznego zasobu.
  • Kompleksowa ochrona obsługująca zarówno scenariusze przed naruszeniem, jak i po naruszeniu, z wykorzystaniem połączonych grafów w rozwiązaniach Microsoft Defender i Microsoft Purview.

Aby uzyskać więcej informacji, zobacz Co to jest wykres Microsoft Sentinel?

serwer protokołu kontekstu modelu (MCP) Microsoft Sentinel

Microsoft Sentinel serwer MCP udostępnia ujednolicony, hostowany interfejs, który umożliwia zespołom ds. zabezpieczeń interakcję z danymi zabezpieczeń przy użyciu języka naturalnego i tworzenie inteligentnych agentów zabezpieczeń — bez konfiguracji infrastruktury ani łączników niestandardowych. Ta integracja upraszcza eksplorację i automatyzację danych, dzięki czemu operacje zabezpieczeń oparte na sztucznej inteligencji są bardziej dostępne i skuteczne.

Microsoft Sentinel kluczowe możliwości serwera MCP obejmują:

  • Interfejs hostowany, który wykorzystuje Microsoft Entra do zarządzania tożsamością i obsługuje zgodne klienty na potrzeby płynnych operacji AI.
  • Narzędzia zabezpieczeń języka naturalnego, w tym narzędzia ukierunkowane na scenariusze do wykonywania zapytań i rozumowania w Microsoft Sentinel data lake bez wiedzy o schemacie ani kodowania.
  • Przyspieszone tworzenie agentów, dzięki czemu inżynierowie mogą tworzyć niestandardowych agentów zabezpieczeń przy użyciu języka naturalnego, zmniejszając nakład pracy ręcznej i przyspieszając automatyzację.
  • Natywna integracja z usługą data lake Microsoft Sentinel umożliwia zaawansowaną inżynierię kontekstu bez narażania na szwank pokrycia danych lub kosztów.

Aby uzyskać więcej informacji, zobacz Co to jest obsługa protokołu Model Context Protocol (MCP) w usłudze Microsoft Sentinel?

środowisko deweloperskie Microsoft Sentinel

Microsoft Sentinel oferuje partnerom szerokie możliwości tworzenia rozwiązań, które mogą publikować za pośrednictwem sklepu rozwiązania zabezpieczające firmy Microsoft Store lub Microsoft Sentinel SIEM Content Hub. Tworzenie rozwiązań w oparciu o Microsoft Sentinel umożliwia obsługę nowych scenariuszy z wykorzystaniem szerokiego zakresu danych dotyczących zabezpieczeń, możliwości przetwarzania i funkcji AI, bez konieczności tworzenia nowych potoków danych, mechanizmów obliczeniowych ani infrastruktury pamięci masowej.

Na przykład partnerzy mogą tworzyć, pakować i publikować:

  • Zawartość SIEM w usłudze Microsoft Sentinel, taka jak konektory, reguły analityczne, zapytania do wyszukiwania zagrożeń i playbooki.
  • zawartość platformy Microsoft Sentinel, na przykład łączniki, zadania w notesach Jupyter służące do analizowania tych danych oraz agenci korelujący te dane z istniejącą zawartością jeziora danych. Agent może następnie wchodzić w interakcje z innymi punktami końcowymi i aplikacjami zewnętrznymi, aby zapewnić klientom zaawansowane, ujednolicone środowisko.

Aby uzyskać więcej informacji, zobacz Kompilowanie i publikowanie rozwiązań SIEM Microsoft Sentinel.

Wprowadzenie

Aby rozpocząć pracę z platformą Microsoft Sentinel i rozwiązaniem SIEM, zobacz:

  • Ostatnia aktualizacja o