Изучение озера данных Microsoft Sentinel с помощью коллекции для исследования данных

Инструменты исследования данных на сервере Microsoft Sentinel Model Context Protocol (MCP) позволяют искать таблицы и извлекать данные из вашего озера данных с помощью естественного языка. Эти инструменты также включают графовые особенности, которые помогают рассуждать по Microsoft Sentinel графам, такие как графики риска по воздействию, охоте и данным.

Предварительные условия

Чтобы получить доступ к коллекции средств просмотра данных, необходимо выполнить следующие предварительные требования.

• озеро данных и граф Microsoft Sentinel
• Озеро данных Microsoft Sentinel подключено к порталу Defender (требуется для инструментов графов)
• Любые поддерживаемые редакторы кода на основе ИИ и платформы для создания агентов:
  • Microsoft Security Copilot
  • Microsoft Copilot Studio
  • Microsoft Foundry
  • Visual Studio Code

Для доступа к данным графа в портале Defender необходим хотя бы доступ только для чтения в Microsoft Security Exposure Management.

Добавить коллекцию анализа данных

Сначала настройте сервер Microsoft Sentinel MCP. Затем следуйте шагам настройки вашего редактора кода или платформы для создания агентов.

Коллекция для анализа данных размещена по адресу https://sentinel.microsoft.com/mcp/data-exploration.

Инструменты в коллекции исследования данных

Набор для исследования данных включает следующие инструменты:

• Семантический поиск в каталоге таблиц: обнаружение соответствующих таблиц озера данных и их схем.
• Выполнить запрос KQL: Выполняйте запросы KQL в рабочей области озера данных Microsoft Sentinel.
• Список рабочих областей: список всех доступных рабочих областей озера данных Microsoft Sentinel.
• Анализатор объектов: анализируйте пользователей и URL-адреса с помощью вердиктов о рисках на основе ИИ и аналитических данных.
• Инструменты Graph (предварительная версия): Анализируйте графы воздействия, поиска угроз и рисков данных.

Семантический поиск в каталоге таблиц (search_tables)

Средство search_tables обнаруживает таблицы озера данных, относящиеся к заданному входному коду естественного языка, и возвращает определения схемы для поддержки разработки запросов. Используйте это средство для поиска таблиц, анализа схемы или создания корректных запросов на языке запросов Kusto (KQL) для рабочей области Microsoft Sentinel. Его также можно использовать для изучения незнакомых источников данных или определения соответствующих таблиц для конкретной исследовательской или аналитической задачи.

Поддерживаемые таблицы

Средство search_tables поддерживает из коробки почти все известные стандартные и партнерские таблицы центра содержимого, включая таблицы Azure Monitor Log Analytics, организованные по категориям, и большинство таблиц Microsoft Sentinel и связанных с ними коннекторов.

Следующие таблицы Microsoft Sentinel не поддерживаются:

Выполнить запрос KQL (язык запросов Kusto) в озере данных Microsoft Sentinel (query_lake)

Инструмент query_lake выполняет один запрос KQL в указанной рабочей области озера данных Microsoft Sentinel и возвращает необработанный набор результатов. Он предназначен для целенаправленного расследования или аналитического поиска, а не для массового экспорта. Используйте этот инструмент, чтобы продвинуть расследование или аналитический процесс и получить событие безопасности, оповещение, актив, идентификационные данные, сведения об устройстве или обогащённые данные. Вы также можете использовать его вместе со search_tables средством для определения соответствующих схем таблиц и создания допустимых запросов KQL.

Список рабочих областей (list_sentinel_workspaces)

Средство list_sentinel_workspaces выводит все доступные вам пары «имя и идентификатор» для рабочих областей озера данных Microsoft Sentinel. Включение имени рабочей области предоставляет полезный контекст, чтобы понять, какая рабочая область используется. Запустите это средство перед использованием других средств Microsoft Sentinel, так как для правильной работы этих средств требуется аргумент идентификатора рабочей области.

Анализатор сущностей

Инструменты analyze_user_entity и analyze_url_entity для анализа сущностей используют ИИ для анализа данных вашей организации в озере данных Microsoft Sentinel. Они предоставляют вердикт и подробные сведения о URL-адресах, доменах и сущностях пользователей. Эти средства анализа сущностей помогают устранить потребность в сборе данных вручную и сложных интеграции, которые обычно требуются для обогащения и изучения сущностей.

Например, analyze_user_entity анализирует модели аутентификации пользователя, аномалии поведения, активность в вашей организации и многое другое, чтобы вынести вердикт и предоставить анализ. Инструмент analyze_url_entity анализирует данные аналитики угроз Microsoft, ваши настраиваемые данные аналитики угроз на платформе аналитики угроз (TIP) Microsoft Sentinel и активность URL-адресов в вашей организации. Он также проверяет списки наблюдения Microsoft Sentinel, чтобы предоставить заключение и анализ.

Средствам анализа сущностей может потребоваться несколько минут, чтобы сформировать результаты, поэтому используйте средство analyze_user_entity или analyze_url_entity, чтобы запустить анализ для каждой сущности, а средство get_entity_analysis — для опроса результатов анализа.

Запуск анализа (analyze_user_entity и analyze_url_entity)

Используйте следующие параметры, чтобы запустить задание анализа сущностей пользователя или URL-адреса.

Инструменты analyze_user_entity и analyze_url_entity возвращают значение идентификатора, которое можно передать инструменту get_entity_analysis в качестве входных данных.

Получить анализ (get_entity_analysis)

Используйте средство get_entity_analysis для получения результатов ранее запущенного задания анализа сущностей.

get_entity_analysis Хотя средство автоматически опрашивает несколько минут до тех пор, пока результаты не будут готовы, внутреннее время ожидания инструмента может быть недостаточно для длительных операций анализа. Чтобы получить результаты, может потребоваться get_entity_analysis выполнить несколько раз.

Дополнительные сведения

При использовании средств анализатора сущностей следует учитывать следующие ограничения и требования к данным.

• analyze_user_entity поддерживает максимальный период времени в семь дней, чтобы обеспечить максимальную точность результатов.

• analyze_user_entity Работает только для пользователей с идентификатором объекта Microsoft Entra (пользователи). Пользователи только локальной службы Active Directory не поддерживаются для анализа пользователей.

• analyze_user_entity для обеспечения точности анализа в озере данных должны присутствовать следующие таблицы:

  • AlertEvidence

  • SigninLogs

  • CloudAppEvents

  • IdentityInfo (Доступно только для арендаторов с лицензией Microsoft Defender для удостоверений, Microsoft Defender for Cloud Apps или Microsoft Defender для конечных точек P2)

    Если у вас нет ни одной из этих обязательных таблиц, analyze_user_entity генерирует сообщение об ошибке, в котором перечислены таблицы, которые вы не подключили, а также приведены ссылки на соответствующую документацию по их подключению.

• analyze_user_entity Работает лучше всего, если в озере данных также присутствуют следующие таблицы, но продолжает работать и оценивать риски, даже если эти таблицы недоступны:

  • AADNonInteractiveUserSignInLogs
  • BehaviorAnalytics

• analyze_url_entity Работает лучше всего, если в озере данных присутствуют следующие таблицы, но продолжает работать и оценивать риски, даже если эти таблицы недоступны:

  • EmailUrlInfo

  • UrlClickEvents

  • ThreatIntelIndicators

  • Список наблюдения

  • DeviceNetworkEvents

    Если у вас нет ни одной из этих таблиц, analyze_url_entity формирует ответ с оговоркой, в которой перечислены таблицы, которые вы не подключили, а также приведены ссылки на документацию по их подключению.

• Одновременное выполнение нескольких экземпляров анализатора сущностей может увеличить задержку для каждого запуска. Чтобы избежать тайм-аутов и не достичь порога предварительного просмотра анализатора сущности, начните с запуска максимум пяти анализов одновременно, а затем корректируйте их по мере необходимости в зависимости от частоты запуска логического приложения в вашей организации.

Инструменты Graph (предварительная версия)

Средства для работы с графами позволяют анализировать несколько графов Microsoft Sentinel, включая графы уязвимостей, поиска угроз и области воздействия. С помощью этих средств можно собирать аналитические сведения и принимать решения на основе данных при выполнении запросов на естественном языке.

Средство поиска радиуса взрыва (find_blastradius)

find_blastradius Инструмент оценивает радиус взрыва узла, исследуя пути распространения к критически важным активам организации. В нем подробно описаны пути, начинающиеся с указанной сущности, оценивается риск и указываются рекомендации по его уменьшению.

Обнаружение соединений и путей (find_walkable_paths)

Это средство перечисляет соединения между любыми заданными парами источников и целевых объектов. Он анализирует природу связей, а затем решает, можно ли пройти по ней для бокового смещения.

Анализатор периметра экспозиции (find_exposure_perimeter)

Это средство выводит список входящих подключений из других сущностей к указанной сущности. Это помогает определить риск, с которым сталкивается сущность. Средство может возвращать приоритетные рекомендации на основе результатов.

Путь между двумя сущностями (find_connected_nodes)

Инструмент перечисляет find_connected_nodes проходимые пути между двумя объектами, соответствующие критериям или характеристике, описывающей эти объекты.

Узлы совпадают (find_nodes)

find_nodes Инструмент находит и сопоставляет сущности, которые граф представляет как узлы на основе заданных критериев или характеристик. Он возвращает список узлов, соответствующих заданным условиям.

Общие сведения и контекст для графа (get_graph_context)

get_graph_context Инструмент предоставляет контекст параметров и служит справочником, помогающим понять, какие инструменты, функции или параметры можно использовать. Используйте его как вспомогательный инструмент, чтобы получить контекст графа и эффективнее использовать другие инструменты MCP для графа в коллекции.

Дополнительные сведения об инструментах для работы с графами

Имейте в виду следующие заметки по использованию при работе с графическими инструментами:

• Чтобы ограничить результаты только графом, добавьте in my graph в запросы.
• При запросе удостоверений личности не поддерживаются имена участников-пользователей (UPN).
• При указании типа сущности используйте его перед именем.
• Установка и настройка коллекции инструментов Graph не влечет за собой никаких затрат. Однако счетчик графа запускается, когда вы начинаете использовать инструменты для запроса графа Microsoft Sentinel. Дополнительные сведения см. в статье Планирование затрат и изучение Microsoft Sentinel ценообразования и выставления счетов.

Примеры подсказок

Следующие примеры запросов показывают, что можно делать с коллекцией для анализа данных:

• Найдите трех основных пользователей, которые подвергаются риску, и объясните, почему они подвергаются риску.
• Найдите сбои входа за последние 24 часа и дайте мне краткую сводку основных результатов.
• Определите устройства, на которых было выявлено большое количество исходящих сетевых подключений.
• Помогите мне понять, не скомпрометирован ли пользовательский <идентификатор объекта Microsoft Entra>.
• Изучите пользователей с оповещением о распылении паролей за последние семь дней и сообщите мне, были ли скомпрометированы какие-либо из них.
• Найдите все url-адреса операций ввода-вывода из <отчета> аналитики угроз и проанализируйте их, чтобы сообщить мне все, что корпорация Майкрософт знает о них.
• Каков радиус взрыва узла X при компрометации?
• Список всех путей от пользователя X к критически важным ресурсам.
• Каков периметр уязвимости критически важных серверов SQL?

Как инструменты MCP для Microsoft Sentinel работают вместе с вашим агентом

В следующем примере показано, как агент отвечает на запрос, динамически координируя работу инструментов исследования данных.

Пример запроса:Find the top three users that are at risk and explain why they're at risk.

Типичный ответ (GitHub Copilot с использованием Claude Sonnet 4):

Объяснение:

• Когда агент получает запрос, он ищет соответствующие таблицы, содержащие сведения о рисках пользователя и безопасности. Сначала запрос разбивается на поисковые ключевые слова, чтобы найти таблицы.

  На основе примера запроса поиск выявляет четыре релевантные таблицы из набора таблиц, к которым у пользователя есть доступ:

  • AADNonInteractiveUserSignInLogs— Неинтерактивные события Microsoft Entra ID входа
  • BehaviorAnalytics — данные аналитики поведения пользователей и сущностей (UEBA)
  • SigninLogs— Интерактивные события входа Microsoft Entra ID
  • AADUserRiskEvents — Обнаружение рисков защиты идентификации

  

• Агент выполняет более широкий поиск с помощью инструмента Semantic search on table catalog (search_tables). Этот этап позволяет найти больше таблиц, которые помогают формировать его рассуждение.

  

• После поиска нужных таблиц агент использует запрос Execute KQL (Kusto Query Language) в инструменте Microsoft Sentinel data lake (query_lake), чтобы найти трёх наиболее уязвимых пользователей. Первый запрос проваляется из-за семантической ошибки.

  

• Агент самостоятельно исправляет запрос KQL и успешно извлекает данные из озера данных Microsoft Sentinel, выявляя пользователей с высоким риском.

  

• Агент выполняет еще один запрос, чтобы получить подробные сведения о рискованных пользователях, чтобы получить более точный контекст о том, почему они подвергаются риску.

  

• Агент отвечает пользователю, предоставляя свой подробный анализ.

Связанные материалы

• Какова поддержка Microsoft Sentinel для протокола контекста модели (MCP)?
• Начало работы с сервером MCP Microsoft Sentinel