Criar e utilizar ferramentas Microsoft Sentinel MCP personalizadas (pré-visualização)

Importante

Estas informações estão relacionadas com um produto de pré-lançamento que pode ser substancialmente modificado antes de ser lançado. A Microsoft não concede garantias, expressas ou implícitas, relativamente às informações aqui fornecidas.

Os agentes de segurança criados com a coleção de ferramentas mcP (Model Context Protocol) do Microsoft Sentinel podem efetivamente raciocinar sobre os dados no Microsoft Sentinel. Pode criar ferramentas MCP personalizadas do Sentinel para ter controlo granular sobre os dados a que os seus agentes de segurança podem aceder e para criar fluxos de trabalho agênticos deterministas.

Este artigo mostra como pode permitir que os agentes recuperem e raciocinem com base no conhecimento da sua biblioteca de consultas guardadas em Linguagem de Consulta Kusto (KQL) no advanced hunting e no Sentinel data lake, criando ferramentas MCP personalizadas.

Pré-requisitos

Para criar ferramentas MCP personalizadas do Microsoft Sentinel, necessita dos seguintes pré-requisitos:

  • licenças Microsoft Sentinel data lake e Microsoft Defender
  • Operador de Segurança, Administração de Segurança ou Função de Administração Global para criar, atualizar ou eliminar ferramentas personalizadas
  • Leitor de segurança ou Função de leitor global para listar e invocar ferramentas personalizadas

Criar ferramentas personalizadas com consultas KQL

Utilize consultas de investigação avançadas no portal do Microsoft Defender e consultas KQL no Microsoft Sentinel data lake para localizar e detetar dados de segurança que pode utilizar em fluxos de trabalho agentes. Esta abordagem permite-lhe controlar o tipo e a quantidade de informação sobre a qual os seus agentes podem raciocinar. Quando verificar que uma consulta recupera os dados que pretende que o seu agente utilize para raciocinar, guarde-a como uma ferramenta MCP personalizada.

Para guardar uma consulta KQL como uma ferramenta MCP, siga estes passos:

  1. Na página Investigação avançada no Microsoft Defender, localize e detete nas suas consultas KQL criadas manualmente ou na sua biblioteca de consultas guardadas os dados de segurança que pretende utilizar nos fluxos agentes e, em seguida, abra-os na janela de consulta.

  2. Selecione Guardar como ferramenta em qualquer uma das seguintes experiências do portal do Defender:

    • Menu de contexto de uma consulta

      Captura de ecrã da opção Guardar como ferramenta no menu de contexto de uma consulta KQL.

    • Menu da caixa de consulta KQL de uma consulta

      Captura de ecrã da opção Guardar como ferramenta numa caixa de consulta KQL.

  3. No painel desdobrável da ferramenta Guardar que é apresentado, introduza as seguintes informações:

    • Nome: Um nome detetável para a sua ferramenta que ajuda os modelos de IA a identificar e selecionar corretamente a ferramenta para tarefas específicas.

    • Descrição: A descrição da ferramenta. Para obter mais informações, veja Melhores práticas para criar descrições de ferramentas.

    • Coleção: Escolha se pretende adicionar a ferramenta a uma coleção de ferramentas existente ou criar uma nova ao selecionar Criar nova coleção.

    • Área de trabalho predefinida: A área de trabalho predefinida que pretende que o agente utilize como indicação sempre que uma instrução não especificar nenhuma área de trabalho.

    • Parâmetros (opcional): As entradas personalizáveis suportadas pela ferramenta. Pode converter alguns dos valores na sua consulta KQL em parâmetros que sigam o formato {ParamaterName} e, em seguida, adicionar o respetivo Nome do parâmetro e a Descrição, para que o agente compreenda bem como os preencher com base no contexto da conversa disponível.

    Captura de ecrã do painel de lista de opções da ferramenta personalizada MCP na investigação avançada.

    Captura de ecrã de uma consulta KQL com determinados valores convertidos em parâmetros.

  4. Seleccione Guardar.

Ver ferramentas mcP personalizadas guardadas

Para ver as ferramentas MCP personalizadas que guardou de consultas de investigação avançada, aceda ao separador Ferramentas na página de Investigação avançada.

Melhores práticas para criar descrições de ferramentas

Ao guardar a sua ferramenta personalizada, o respetivo nome e, mais importante, a respetiva descrição são cruciais para identificar e selecioná-la para tarefas específicas. As seguintes melhores práticas e considerações podem ajudar a descrever a sua ferramenta:

  • Mantenha-o curto e orientado para a ação. Utilize uma a duas frases que comecem com um verbo e um recurso claros (por exemplo, "Obtém dados de registo de auditoria para um utilizador específico"). Evite jargão ou expressões demasiado técnicas.

  • Concentre-se na finalidade e não nos parâmetros. Descreva o que a ferramenta faz e o respetivo caso de utilização principal. Deixe os detalhes do parâmetro no esquema, não na descrição.

  • Inclua sugestões de fluxo de trabalho apenas se forem críticas. Se uma ferramenta precisar de um passo de pré-requisito (por exemplo, "Chamar risky_users_tool primeiro"), mencione-a brevemente para evitar utilização indevida.

  • Otimizar para facilidade de descoberta e clareza. Utilize nomenclatura consistente, evite termos ambíguos e garanta que as descrições ajudam os modelos de IA e os utilizadores a selecionar rapidamente a ferramenta certa.

Utilizar ferramentas personalizadas em agentes personalizados e plataformas de codificação

Para obter mais informações sobre como utilizar a coleção de ferramentas personalizada nos agentes de segurança, consulte os artigos para os seguintes editores de código com tecnologia de IA e plataformas de criação de agentes:

Conteúdos relacionados

  • Última atualização a