Erkunden Microsoft Sentinel Data Lake mit Datenuntersuchungssammlung

Mit der Sammlung des Datenuntersuchungstools auf dem MCP-Server (Microsoft Sentinel Model Context Protocol) können Sie in natürlicher Sprache nach relevanten Tabellen suchen und Daten aus dem Data Lake Microsoft Sentinel abrufen.

Voraussetzungen

Für den Zugriff auf die Sammlung des Datenuntersuchungstools benötigen Sie die folgenden Voraussetzungen:

• Microsoft Sentinel Data Lake
• Alle unterstützten KI-gestützten Code-Editoren und Agent-Erstellungsplattformen:
  • Microsoft Security Copilot
  • Microsoft Copilot Studio
  • Microsoft Foundry
  • Visual Studio Code

Hinzufügen der Datenuntersuchungssammlung

Um die Datenuntersuchungssammlung hinzuzufügen, richten Sie zunächst Microsoft Sentinel einheitliche MCP-Serverschnittstelle ein. Befolgen Sie die Schrittweisen Anweisungen für kompatible KI-gestützte Code-Editoren und Agent-Erstellungsplattformen.

Die Datenuntersuchungssammlung wird unter der folgenden URL gehostet:

https://sentinel.microsoft.com/mcp/data-exploration

Tools in der Datenuntersuchungssammlung

Semantische Suche im Tabellenkatalog (search_tables)

Dieses Tool ermittelt Data Lake-Tabellen, die für eine bestimmte Eingabe in natürlicher Sprache relevant sind, und gibt Schemadefinitionen zurück, um die Abfrageerstellung zu unterstützen. Verwenden Sie dieses Tool, um Tabellen zu ermitteln, ein Schema zu verstehen oder gültige KQL-Abfragen (Kusto-Abfragesprache) für einen Microsoft Sentinel Arbeitsbereich zu erstellen. Sie können es auch verwenden, um unbekannte Datenquellen zu untersuchen oder relevante Tabellen für eine bestimmte Untersuchungs- oder Analyseaufgabe zu identifizieren.

Unterstützte Tabellen

Dieses Tool unterstützt Azure Monitor Log Analytics. Eine vollständige Liste der Tabellen finden Sie unter Azure Überwachen von Log Analytics-Protokolltabellen nach Kategorie.

Außerdem werden die meisten Microsoft Sentinel Tabellen unterstützt, die in Microsoft Sentinel Tabellen und zugeordneten Connectors aufgeführt sind. Die folgenden Tabellen werden nicht unterstützt:

Ausführen einer KQL-Abfrage (Kusto-Abfragesprache) für Microsoft Sentinel Data Lake (query_lake)

Dieses Tool führt eine einzelne KQL-Abfrage für einen angegebenen Microsoft Sentinel Data Lake-Arbeitsbereich aus und gibt das rohe Resultset zurück. Es ist für fokussierte Ermittlungen oder analytische Abrufe und nicht für den Massenexport konzipiert. Verwenden Sie dieses Tool, um einen Untersuchungs- oder Analyseworkflow voranzutreiben und Sicherheitsereignis-, Warnungs-, Ressourcen-, Identitäts-, Geräte- oder Anreicherungsdaten abzurufen. Sie können es auch zusammen mit dem search_tables Tool verwenden, um relevante Tabellenschemas zu identifizieren und gültige KQL-Abfragen zu erstellen.

Auflisten von Arbeitsbereichen (list_sentinel_workspaces)

Dieses Tool listet alle Microsoft Sentinel Namen- und ID-Paare des Data Lake-Arbeitsbereichs auf, die Ihnen zur Verfügung stehen. Das Einschließen des Arbeitsbereichsnamens bietet Ihnen hilfreichen Kontext, um zu verstehen, welcher Arbeitsbereich verwendet wird. Führen Sie dieses Tool aus, bevor Sie andere Microsoft Sentinel Tools verwenden, da diese Tools ein Argument für die Arbeitsbereichs-ID benötigen, um ordnungsgemäß zu funktionieren.

Entitätsanalyse

Diese Tools verwenden KI, um die Daten Ihrer organization im Microsoft Sentinel Data Lake zu analysieren. Sie bieten eine Bewertung und detaillierte Einblicke in URLs, Domänen und Benutzerentitäten. Sie tragen dazu bei, die Notwendigkeit einer manuellen Datensammlung und komplexer Integrationen zu vermeiden, die normalerweise zum Anreichern und Untersuchen von Entitäten erforderlich sind.

Zum Beispiel analyze_user_entity Gründe für die Authentifizierungsmuster des Benutzers, Verhaltensanomalien, Aktivitäten innerhalb Ihres organization und mehr, um eine Bewertung und Analyse zu liefern. analyze_url_entity In der Zwischenzeit, Gründe für Threat Intelligence von Microsoft, Ihre benutzerdefinierte Threat Intelligence in Microsoft Sentinel Threat Intelligence-Plattform (TIP), Klick-, E-Mail- oder Verbindungsaktivitäten auf der URL in Ihrem organization und Anwesenheit in Microsoft Sentinel Watchlists, um auf ähnliche Weise eine Bewertung und Analyse bereitzustellen.

Entitätsanalysetools benötigen möglicherweise einige Minuten, um Ergebnisse zu generieren. Daher gibt es Tools zum Starten der Analyse für jede Entität und eine andere, die die Analyseergebnisse abruft.

Analyse starten (analyze_user_entity und analyze_url_entity)

Diese Tools geben einen Bezeichnerwert zurück, den Sie dem Tool für die Abrufanalyse als Eingabe bereitstellen können.

Abrufen der Analyse (get_entity_analysis)

Obwohl dieses Tool einige Minuten lang automatisch abruft, bis die Ergebnisse bereit sind, reicht das interne Timeout möglicherweise nicht für lange Analysevorgänge aus. Möglicherweise müssen Sie sie mehrmals ausführen, um Ergebnisse zu erhalten.

Weitere Informationen

• analyze_user_entity unterstützt ein maximales Zeitfenster von sieben Tagen, um die Genauigkeit der Ergebnisse zu maximieren.

• analyze_user_entityfunktioniert nur für Benutzer mit einer Microsoft Entra Objekt-ID (Benutzer). Nur lokale Active Directory-Benutzer werden für die Benutzeranalyse nicht unterstützt.

• analyze_user_entity erfordert, dass die folgenden Tabellen im Data Lake vorhanden sind, um die Genauigkeit der Analyse sicherzustellen:

  • AlertEvidence
  • SigninLogs
  • CloudAppEvents
  • IdentityInfo (nur für Mandanten mit Microsoft Defender for Identity-, Microsoft Defender for Cloud Apps- oder Microsoft Defender for Endpoint P2-Lizenzierung verfügbar)

  Wenn Sie nicht über eine dieser erforderlichen Tabellen verfügen, wird eine Fehlermeldung generiert, analyze_user_entity in der die Tabellen aufgeführt sind, die Sie nicht integriert haben, sowie Links zu der entsprechenden Onboardingdokumentation.

• analyze_user_entity funktioniert am besten, wenn die folgenden Tabellen auch im Data Lake vorhanden sind, aber weiterhin funktionieren und risiken bewertet werden, auch wenn die genannten Tabellen nicht verfügbar sind:

  • AADNonInteractiveUserSignInLogs
  • BehaviorAnalytics

• analyze_url_entity funktioniert am besten, wenn die folgenden Tabellen im Data Lake vorhanden sind, aber weiterhin funktionieren und das Risiko bewerten, auch wenn die genannten Tabellen nicht verfügbar sind:

  • EmailUrlInfo
  • UrlClickEvents
  • ThreatIntelIndicators
  • Watchlist
  • DeviceNetworkEvents

  Wenn Sie über keine dieser Tabellen verfügen, analyze_url_entity generiert eine Antwort mit einem Haftungsausschluss, der die Tabellen auflistet, die Sie nicht integriert haben, sowie Links zu der entsprechenden Onboardingdokumentation.

• Das gleichzeitige Ausführen mehrerer Instanzen des Entity Analyzers kann die Latenz für jede Ausführung erhöhen. Um Timeouts zu vermeiden und das Erreichen der Vorschauschwellenwerte der Entitätsanalyse zu vermeiden, führen Sie zunächst maximal fünf Analysen gleichzeitig aus, und passen Sie sie dann je nach Bedarf an, wie oft die Logik-App in Ihrem organization ausgelöst wird.

Beispieleingabeaufforderungen

Die folgenden Beispielaufforderungen veranschaulichen, was Sie mit der Datenuntersuchungssammlung tun können:

• Suchen Sie die drei am häufigsten gefährdeten Benutzer, und erklären Sie, warum sie gefährdet sind.
• Finden Sie Anmeldefehler in den letzten 24 Stunden, und geben Sie mir eine kurze Zusammenfassung der wichtigsten Ergebnisse.
• Identifizieren Sie Geräte, bei denen eine ausstehende Anzahl ausgehender Netzwerkverbindungen angezeigt wurde.
• Helfen Sie mir zu verstehen, ob die Benutzerobjekt-ID> des Benutzers <kompromittiert ist.
• Untersuchen Sie Benutzer mit einer Kennwortspray-Warnung in den letzten sieben Tagen, und teilen Sie mir mit, ob einer von ihnen kompromittiert ist.
• Suchen Sie alle URL-IOCs aus <dem Bericht> zur Bedrohungsanalyse, und analysieren Sie sie, um mir alles zu sagen, was Microsoft darüber weiß.

Wie Microsoft Sentinel MCP-Tools zusammen mit Ihrem Agent funktionieren

Sehen wir uns genauer an, wie ein Agent eine Eingabeaufforderung beantwortet, indem er die Tools dynamisch orchestriert.

Beispieleingabeaufforderung:Find the top three users that are at risk and explain why they're at risk.

Typische Antwort (GitHub Copilot mit Claude Sonnet 4):

Erklärung:

• Wenn der Agent die Eingabeaufforderung empfängt, sucht er nach relevanten Tabellen, die Benutzerrisiko- und Sicherheitsinformationen enthalten. Zunächst wird die Eingabeaufforderung in Suchbegriffe dekonstruiert, um die Tabellen zu finden.

  In der Beispielaufforderung werden vier relevante Tabellen aus dem Bereich der Tabellen identifiziert, auf die der Benutzer Zugriff hat:

  • AADNonInteractiveUserSignInLogs– Nicht interaktive Microsoft Entra ID Anmeldeereignisse
  • BehaviorAnalytics – UEBA-Daten (User and Entity Behavior Analytics)
  • SigninLogs– Interaktive Microsoft Entra ID Anmeldeereignisse
  • AADUserRiskEvents – Identity Protection-Risikoerkennungen

  

• Der Agent führt eine weitere Suche durch, indem er das Tool semantische Suche für Tabellenkatalog (search_tables) verwendet, dieses Mal mit umfassenderen Begriffen, um andere Tabellen zu finden, von denen er Daten abfragen soll, um die Argumentation zu beeinflussen.

  

• Der Agent identifiziert die relevanten Tabellen und verwendet dann das Tool Execute KQL (Kusto-Abfragesprache) für Microsoft Sentinel Data Lake (query_lake), um Daten abzufragen und die drei am häufigsten gefährdeten Benutzer zu finden. Der erste Versuch schlägt fehl, da die KQL-Abfrage einen semantischen Fehler aufweist.

  

• Der Agent korrigiert die KQL-Abfrage selbst und ruft erfolgreich Daten aus Microsoft Sentinel Data Lake ab, wobei die riskanten Benutzer gefunden werden.

  

• Der Agent führt eine weitere Abfrage aus, um detaillierte Informationen zu den risikobehafteten Benutzern zu erhalten, um einen besseren Kontext dazu bereitzustellen, warum sie gefährdet sind.

  

• Der Agent antwortet dem Benutzer mit seiner umfassenden Analyse.

Verwandte Inhalte

• Welche Unterstützung gibt es von Microsoft Sentinel für das Modellkontextprotokoll (Model Context Protocol, MCP)?
• Erste Schritte mit Microsoft Sentinel MCP-Server