KI-gestützte benutzerdefinierte Grapherstellung in Microsoft Sentinel (Vorschau)

Verwenden Sie GitHub Copilot in Visual Studio Code mit Microsoft Sentinel, um benutzerdefinierte Sicherheitsdiagramme mit Jupyter Notebooks zu erstellen, zu ändern und abzufragen. Beschreiben Sie, was Sie in natürlicher Sprache erstellen möchten, überprüfen Sie das generierte Notebook, und verfeinern Sie es nach Bedarf.

Verwenden Sie Copilot für verschiedene Grapherstellungsaufgaben, einschließlich:

  • Erstellen eines vollständigen Grapherstellungsnotizbuchs aus einer Beschreibung
  • Ändern oder Debuggen eines vorhandenen Graphen
  • Grundlegendes zum generierten Graphcode
  • Schreiben und Ausführen von Graphabfragen

Funktionsweise der KI-Unterstützung für benutzerdefinierte Diagramme

Wenn Sie in einem Jupyter Notebook arbeiten, das mit Microsoft Sentinel verbunden ist, können GitHub Copilot mithilfe von Eingabeaufforderungen in natürlicher Sprache bei der Erstellung von Diagrammen helfen.

Verwenden Sie den folgenden Workflow, um mit Copilot für die Grapherstellung zu interagieren:

  1. Beschreiben Sie das Diagramm oder die Änderung, die Sie vornehmen möchten.
  2. Copilot generiert oder aktualisiert graphbezogenen Code.
  3. Sie überprüfen, führen aus und durchlaufen die Ergebnisse.

Für graphspezifische Szenarien stellt Microsoft Sentinel optionale Hilfsprogramme bereit, die Copilot zusätzlichen Kontext zu Graph-APIs, Schemas und Ihrem Arbeitsbereich bieten. Diese Helfer verbessern die Genauigkeit und Konsistenz, sind jedoch nicht erforderlich, um copilot-Unterstützung zu verwenden.

Voraussetzungen

Bevor Sie beginnen, sollten Sie sicherstellen, dass Sie über Folgendes verfügen:

Erstellen und Bearbeiten eines benutzerdefinierten Graphen mit Copilot

Führen Sie die folgenden Schritte aus, um mithilfe von GitHub Copilot ein neues Diagramm zu erstellen oder ein vorhandenes Diagramm zu ändern:

  1. Öffnen Sie ein vorhandenes Jupyter Notebook (.ipynb), oder erlauben Sie Copilot, eines zu erstellen.

  2. Öffnen Sie GitHub Copilot Chat (STRG+UMSCHALT+I unter Windows, BEFEHLSTASTE+UMSCHALT+I unter macOS).

  3. Beschreiben Sie den Graphen, den Sie erstellen möchten.

Um optimale Ergebnisse beim Erstellen oder Ändern eines vollständigen Graphen zu erzielen, verwenden Sie das Sentinel Hilfsprogramm zur Erstellung von Diagrammen, indem Sie in Ihre Eingabeaufforderung einschließen@sentinel /graph-authoring. Dies bietet Copilot zusätzlichen Kontext zu Graph-APIs, Schemas und bewährten Methoden.

@sentinel /graph-authoring Create a graph that maps email senders to recipients and URLs using EmailEvents

Die Assistent generiert ein vollständiges Notebook, das dem standardmäßigen Lebenszyklus der Grapherstellung folgt:

Schritt Beschreibung
Umgebungseinrichtung Überprüft erforderliche Pakete und Verbindungsinformationen
Laden von Daten Liest Tabellen aus dem Sentinel Data Lake
Datentransformation Vorbereiten von Knoten- und Edgedaten
Diagrammschema Definiert Knoten und Kanten
Schemaüberprüfung Überprüft die Graphdefinition.
Graphbuild Materialisiert das Diagramm
Graphabfrage Ausführen von Graphabfragen

Verfeinern des Diagramms

Nachdem das Diagramm erstellt wurde, können Sie die Konversation fortsetzen, um sie zu verfeinern, z. B.:

@sentinel Add an edge from User to IPAddress
@sentinel Filter the data to show only failed sign-ins

Ändern oder Debuggen eines vorhandenen Graphen

Bitten Sie Copilot, bestimmte Teile Ihres Notebooks zu aktualisieren oder zu beheben. Zum Beispiel:

@sentinel Change the time range to the last 7 days
@sentinel Update cell 3 to include the Subject column
@sentinel Fix the error in the graph build step

Nur die betroffenen Zellen werden aktualisiert. Andere Zellen bleiben unverändert.

Grundlegendes zu Graphcode und Abfragen

Stellen Sie Fragen zum generierten Code, ohne das Notebook zu ändern. Zum Beispiel:

@sentinel What does show_schema() do?
@sentinel Explain how edge keys are defined
@sentinel How does this graph query work?

Nachschlagen von Graph-APIs und Beispielen

Wenn Sie Hilfe bei Sentinel Graph-APIs, Methodenparametern oder Beispielabfragen benötigen, können Sie Copilot um Erläuterungen bitten. Um genauere, Sentinel spezifischere Antworten zu erhalten, fügen Sie das #Sentinel Referenzhilfsprogramm in Ihre Eingabeaufforderung ein. Zum Beispiel:

What parameters does build_graph_with_data() accept? #sentinel
Write a graph query to find all paths between User and IPAddress #sentinel

Dieses Hilfsprogramm stellt Copilot autoritative Sentinel Graph-API-Dokumentation zur Verfügung. Ihr Notizbuch wird nicht geändert.

Auswählen der Interaktion mit Copilot

Verwenden Sie die folgende Tabelle, um die beste Methode für die Interaktion mit Copilot basierend auf Ihrem Ziel auszuwählen:

Was Sie tun möchten Empfohlener Ansatz
Erstellen oder Ändern eines Graphnotebooks Beschreiben Ihres Ziels (verwendung @sentinel für optimale Ergebnisse)
Beheben oder Debuggen eines Diagrammfehlers Beschreiben des Problems (verwenden Sie @sentinel)
Fragen zu Graph-APIs oder Parametern Stellen Sie eine Frage (einschließlich #sentinel)
Stellen einer allgemeinen Frage Einfache Copilot-Prompt

Zentrale Konzepte

Verfügbarkeit von Arbeitsbereichen und Tabellen

Bei der KI-Unterstützung werden die Tabellen verwendet, die in Ihrem Sentinel Data Lake sichtbar sind. Nur Tabellen, auf die Sie Zugriff haben, werden in generiertem Code verwendet.

Wichtig

Wenn eine Tabelle nicht im Data Lake-Explorer angezeigt wird, kann sie nicht für die Grapherstellung verwendet werden.

Notebook-Änderungen

Beim Ändern eines Notebooks werden nur die Zellen aktualisiert, die geändert werden müssen. Sie können Änderungen mithilfe von Rückgängig-Befehlen im Standard-Editor rückgängigmachen.

Problembehandlung

Problem Lösung
Kein Notizbuch ist geöffnet Öffnen oder erstellen Sie eine .ipynb Datei, bevor Sie mit der Grapherstellung beginnen.
Tabellen fehlen Vergewissern Sie sich, dass Ihr Sentinel Data Lake verbunden ist und die erwarteten Tabellen im Data Lake-Explorer angezeigt werden.
Erforderliche Pakete fehlen Stellen Sie sicher, dass Ihr Notebook mit einem unterstützten Sentinel Spark-Computepool verbunden ist.
Eine unerwartete Zelle wurde geändert. Rückgängigmachen der Änderung, und wiederholen Sie die Anforderung, indem Sie die Zellennummer angeben.