Что такое Microsoft Sentinel?

Microsoft Sentinel — это облачная платформа управления информационной безопасностью и событиями безопасности (SIEM) и единая платформа безопасности для агентской защиты. Чтобы противостоять современным сложным угрозам, Microsoft Sentinel эволюционировал от традиционной SIEM-системы до SIEM-системы и платформы, выходящей за рамки статических средств контроля на основе правил и реагирования после компрометации, чтобы предоставить основу, готовую для ИИ и ориентированную на данные, которая преобразует телеметрию в граф безопасности, стандартизирует доступ агентов и координирует автономные действия, при этом оставляя за людьми принятие стратегических решений и проведение наиболее значимых расследований.

Как SIEM, Microsoft Sentinel обеспечивает безопасность на основе ИИ в многооблачных и многоплатформенных средах, предоставляя надежные возможности для обнаружения угроз, исследования, охоты, реагирования и автоматического прерывания атак. Microsoft Sentinel как платформа обеспечивает основу, построенную на современном озере данных для углубленного анализа, графовые возможности для контекстного анализа, размещенный сервер Model Context Protocol (MCP) для инструментов, готовых к использованию агентами, а также возможности разработчика для создания и развертывания решений через Security Store.

В этой статье представлен обзор Microsoft Sentinel и его основных компонентов. В ней объясняется, как Microsoft Sentinel помогает группам по обеспечению безопасности обнаруживать угрозы и реагировать на них, а также постоянно адаптироваться за счет объединения данных, автоматизации ответов и получения аналитических сведений на основе ИИ.

ИИ—первый, комплексный SIEM и платформа безопасности

На этой схеме показана платформа Microsoft Sentinel — платформа SIEM и безопасности, изначально ориентированная на ИИ и обеспечивающая сквозную защиту, — с выделением ее основных компонентов и интеграции с Microsoft Security Copilot.

Схема, на которой показана Microsoft Sentinel — сквозная платформа SIEM и безопасности с приоритетом ИИ.

MICROSOFT SENTINEL SIEM

Облачное решение SIEM Microsoft Sentinel обеспечивает безопасность на основе ИИ в многооблачных и многоплатформенных средах. Она предоставляет комплексные возможности для обнаружения угроз, исследования, реагирования и упреждающей охоты, предоставляя группам безопасности единое представление о своем предприятии.

Microsoft Sentinel SIEM доступен на портале Microsoft Defender для клиентов с Defender XDR или без лицензии E5, предлагая единый интерфейс операций безопасности. Эта интеграция упрощает рабочие процессы, улучшает видимость и помогает аналитикам быстрее и точнее реагировать на все более сложные угрозы.

Интеграция Microsoft Sentinel SIEM с порталом Defender и Security Copilot создает мощную экосистему, которая повышает эффективность операций безопасности. Security Copilot позволяет аналитикам взаимодействовать с данными Microsoft Sentinel с помощью естественного языка, создавать запросы на охоту и автоматизировать исследования, что делает реагирование на угрозы быстрее и доступнее.

Дополнительные сведения см. в статье Что такое Microsoft Sentinel SIEM?

Соединители данных

Соберите данные во всем цифровом пространстве, где бы они ни находились, включая всех пользователей, устройств, приложений и инфраструктуру как в локальной среде, так и в нескольких облаках:

  • Более 350 встроенных соединителей данных с поддержкой первых и сторонних решений безопасности и облачных платформ

  • Встроенные средства управления таблицами, упрощающие выбор хранилища данных и поддерживающие многоуровневое размещение между уровнями аналитического хранилища и озера данных.

  • Данные, передаваемые на уровень аналитики, автоматически отражаются на уровне озера данных, что гарантирует, что уровень озера данных остается центральным единым репозиторием для всех данных безопасности.

  • Варианты без написания кода и пользовательских соединителей

  • Нормализация данных для преобразования различных источников в однородное нормализованное представление

Дополнительные сведения см. в разделе соединители данных Microsoft Sentinel.

Основные компоненты платформы Microsoft Sentinel

озеро данных Microsoft Sentinel

Озеро данных Microsoft Sentinel — это полностью управляемое, изначально облачное озеро данных, специально разработанное для задач безопасности. Она объединяет, хранит и анализирует данные безопасности в большом масштабе, обеспечивая основу для расширенной аналитики, аналитики на основе ИИ и агентской защиты.

Озеро данных, разработанное с учётом требований к гибкости и глубокому анализу, поддерживает мультимодальную аналитику, включая запросы Kusto, анализ связей на основе графов, Microsoft Modeling Language (MML), агентов Security Copilot и ноутбуки с поддержкой ИИ в Visual Studio Code — и всё это на основе единой копии данных в открытом формате.

Благодаря экономичному хранению и долгосрочному хранению команды безопасности могут исследовать постоянные угрозы, обогащать оповещения историческим контекстом и создавать базовые показатели поведения с использованием нескольких месяцев данных без затрат на традиционную инфраструктуру.

ключевые возможности озера данных Microsoft Sentinel включают в себя:

  • Централизует журналы из Microsoft 365, Defender, Azure, Microsoft Entra, Microsoft Purview, Microsoft Intune и более 350 коннекторов данных, включая Amazon Web Services (AWS) и Google Cloud Platform (GCP), чтобы устранить изолированность данных.

  • Оптимизирует затраты, отсоединяя прием данных от аналитики, что позволяет хранить большие объемы данных безопасности и применять наиболее эффективные аналитические механизмы для таких задач, как охота за угрозами, обнаружение аномалий и глубокие судебно-медицинские исследования.

  • Включает мультимодальную аналитику для одной копии данных открытого формата с помощью запросов Kusto, запланированных заданий и записных книжек на основе ИИ в Visual Studio Code, при этом настройка инфраструктуры не требуется.

Дополнительные сведения см. в статье Что такое озеро данных Microsoft Sentinel?

граф Microsoft Sentinel

Граф Microsoft Sentinel обеспечивает унифицированные возможности графовой аналитики за счет моделирования и анализа сложных взаимосвязей между ресурсами, идентификационными данными, действиями и данными аналитики угроз. Она позволяет microsoft Defenders и агентам ИИ рассуждать о взаимосвязанных данных, предоставляя более глубокие аналитические сведения и ускоряя реагирование на киберугрозы.

Ключевые возможности графа Microsoft Sentinel включают:

  • Единая аналитика на основе графов, обеспечивающая встроенные возможности в области безопасности, соответствия требованиям, идентификации и в экосистеме Microsoft Security.
  • Моделирование реальных отношений с использованием узлов и ребер для представления пользователей, устройств, облачных ресурсов, потоков данных и действий злоумышленников.
  • Расширенное обоснование угроз, помогающее защитникам отвечать на сложные вопросы, например, какие уязвимые пути злоумышленник может пройти из скомпрометированного объекта в критически важный ресурс.
  • Сквозная защита с поддержкой сценариев до и после нарушения безопасности с использованием взаимосвязанных графов в Microsoft Defender и Microsoft Purview.

Дополнительные сведения см. в статье Что такое граф Microsoft Sentinel?

сервер протокола контекста модели (MCP) Microsoft Sentinel

Microsoft Sentinel сервер MCP предоставляет единый размещенный интерфейс, который позволяет группам безопасности взаимодействовать с данными безопасности с помощью естественного языка и создавать интеллектуальные агенты безопасности без настройки инфраструктуры или пользовательских соединителей. Эта интеграция упрощает изучение и автоматизацию данных, что делает операции безопасности на основе ИИ более доступными и эффективными.

Ключевые возможности сервера MCP Microsoft Sentinel включают:

  • Размещённый интерфейс, который использует Microsoft Entra для идентификации и поддерживает совместимые клиенты для бесперебойной работы ИИ.
  • Инструменты безопасности на основе естественного языка, включая инструменты, ориентированные на конкретные сценарии, для выполнения запросов и анализа данных в озере данных Microsoft Sentinel без знания схемы данных и написания кода.
  • Ускоренное создание агента, благодаря которому инженеры могут создавать настраиваемые агенты безопасности с помощью естественного языка, сокращая усилия вручную и ускоряя автоматизацию.
  • Собственная интеграция с озером данных Microsoft Sentinel позволяет формировать богатый контекст без ущерба для полноты охвата данных и стоимости.

Дополнительные сведения см. в статье Что такое поддержка Microsoft Sentinel для протокола контекста модели (MCP)?

интерфейс разработчика Microsoft Sentinel

Microsoft Sentinel предоставляет партнерам широкие возможности по созданию эффектных решений, которые они могут публиковать в Microsoft Security Store или центре содержимого SIEM Microsoft Sentinel. Создание на основе Microsoft Sentinel позволяет поддерживать новые сценарии, используя широкий спектр данных безопасности, возможностей обработки и возможностей ИИ, без необходимости в новых конвейерах, вычислительных модулях или инфраструктуре хранилища.

Например, партнеры могут создавать, упаковывать и публиковать:

  • Содержимое SIEM в Microsoft Sentinel, например коннекторы, аналитические правила, запросы для поиска угроз и плейбуки.
  • Microsoft Sentinel содержимое платформы, например соединители, задания записной книжки Jupyter для анализа данных и агенты, которые сопоставляют эти данные с существующим содержимым озера. Затем агент может взаимодействовать с другими конечными точками и внешними приложениями, чтобы предоставить клиентам мощный унифицированный интерфейс.

Дополнительные сведения см. в статье Создание и публикация решений Microsoft Sentinel.

Начало работы

Чтобы приступить к работе с платформой Microsoft Sentinel и SIEM, см. следующие статьи:

  • Last updated on