Introdução ao Microsoft Sentinel servidor MCP

Este artigo mostra-lhe como configurar e utilizar a coleção de ferramentas de segurança mcP (Model Context Protocol) do Microsoft Sentinel para ativar consultas de linguagem natural nos seus dados de segurança. O suporte do Sentinel para MCP permite que as equipas de segurança levem a IA para as suas operações de segurança ao permitir que os modelos de IA acedam aos dados de segurança de forma padrão. Para obter mais informações sobre como a IA é utilizada no servidor MCP unificado do Microsoft Sentinel, veja Application card: Microsoft Sentinel MCP server (Cartão de aplicação: Microsoft Sentinel servidor MCP).

A coleção de ferramentas de segurança do Sentinel funciona com vários clientes e plataformas de automatização. Pode utilizar estas ferramentas para procurar tabelas relevantes e obter dados, analisar entidades, triagem de incidentes, procurar ameaças e outras tarefas.

Pré-requisitos

A maioria das ferramentas no servidor MCP do Microsoft Sentinel exige que esteja integrado no data lake do Microsoft Sentinel para as utilizar.

Outras ferramentas também podem precisar que esteja integrado em, pelo menos, um dos seguintes produtos:

Para obter mais informações sobre os pré-requisitos de produtos específicos de uma coleção de ferramentas, consulte os respetivos artigos.

Também precisa da função Leitor de segurança para listar e invocar a coleção de ferramentas MCP do Sentinel. A coleção de ferramentas de triagem permite-lhe utilizar qualquer ferramenta que as suas permissões existentes lhe concedam.

Adicionar a coleção de ferramentas MCP do Microsoft Sentinel

Para obter mais informações sobre como adicionar a coleção de ferramentas MCP da Microsoft Sentinel, veja os artigos para os seguintes editores de código com tecnologia de IA e plataformas de criação de agentes:

Teste as ferramentas que adicionou com instruções de exemplo

Depois de adicionar a coleção de ferramentas de Microsoft Sentinel, utilize os seguintes pedidos de exemplo para interagir com dados no seu Microsoft Sentinel data lake.

  • Localize os três principais utilizadores que estão em risco e explique por que motivo estão em risco.
  • Encontre falhas de início de sessão nas últimas 24 horas e dê-me um breve resumo das principais conclusões.
  • Identifique os dispositivos que apresentaram um número excecional de ligações de rede de saída.
  • Ajude-me a perceber se o <ID do objeto de utilizador> está comprometido.
  • Investigue os utilizadores com um alerta de utilização de palavra-passe nos últimos sete dias e diga-me se algum deles está comprometido.
  • Encontre todos os IOCs de URL do <relatório de análise de ameaças> e analise-os para me dizer tudo o que a Microsoft sabe sobre eles.

Para compreender como os agentes invocam estas ferramentas para responder a estes pedidos, veja Como Microsoft Sentinel ferramentas MCP funcionam juntamente com o seu agente.

Desativar o acesso à ferramenta MCP do Microsoft Sentinel

Para desativar o acesso à coleção de ferramentas MCP do Microsoft Sentinel, contacte o suporte ao cliente.

Passo seguinte

  • Última atualização a