Microsoft のセキュリティ プラットフォームであるMicrosoft Sentinelでは、モデル コンテキスト プロトコル (MCP) のサポートが導入されています。 このサポートには、統合サーバー インターフェイスを介した複数のシナリオに焦点を当てたセキュリティ ツールのコレクションが含まれます。 このサポートを使用すると、自然言語でセキュリティ データに対話形式でクエリを実行し、複雑な自動化を実行できる効果的なセキュリティ エージェントを構築できます。 このセキュリティ ツールのコレクションは、セキュリティ チームが毎日のセキュリティ運用に AI を取り込み、データ探索、エージェントオートメーションの構築、インシデントトリアージや脅威ハンティングなどの一般的なタスクを支援するのに役立ちます。
Microsoft Sentinelの MCP サポートの主な機能
次の機能と利点は、Microsoft Sentinelの MCP サーバーの一部です。
AI 主導のセキュリティ操作用の統一されたホスト型インターフェイス: Microsoft Sentinelの統合 MCP サーバー インターフェイスは完全にホストされ、インフラストラクチャのデプロイは必要なく、ID にMicrosoft Entraを使用します。 セキュリティ チームは、互換性のあるクライアントを接続して、毎日の AI 運用を合理化できます。
シナリオに焦点を当てた自然言語セキュリティ ツール: Microsoft Sentinelの MCP サポートは、すぐに使用できるセキュリティ ツールのシナリオに焦点を当てたコレクションを通じて提供されます。 これらのコレクションは、セキュリティ チームが自然言語を使用して Microsoft Sentinel データ レイクおよび Microsoft Defender のセキュリティ データと対話し、推論できるようにするものであり、コードファーストの統合、データ スキーマの理解、または適切な形式のデータ クエリを作成することを不要にします。
効果的なセキュリティ エージェントの開発を加速する: Microsoft Sentinelのセキュリティ ツールのコレクションにより、セキュリティ データの検出と取得が自動化され、エージェントをカスタマイズするための予測可能で実用的な応答が提供されます。 このサポートにより、効率的なセキュリティ エージェントの作成が高速化され、より優れた非常に効果的なセキュリティ エージェントが提供されます。
コスト効率が高く、コンテキストが豊富なセキュリティ データ統合: Data Lake を使用すると、すべてのセキュリティ データをコスト効率の高いMicrosoft Sentinelに取り込むことができます。そのため、カバレッジとコストを選択する必要はありません。 Microsoft Sentinelのツールのコレクションは、セキュリティ データ レイクとMicrosoft Defenderにネイティブに統合され、包括的なセキュリティ コンテキスト エンジニアリングを構築できます。
Microsoft Sentinel統合 MCP サーバー内での AI の使用方法の詳細については、「アプリケーション カード: Microsoft Sentinel MCP サーバー」を参照してください。
MCP の概要
モデル コンテキスト プロトコル (MCP) は、言語モデルが外部ツール、メモリ、コンテキストと安全で構造化されたステートフルな方法で対話する方法を管理するオープン プロトコルです。 MCP では、いくつかのコンポーネントを含むクライアント/サーバー アーキテクチャが使用されます。
MCP ホスト: 1 つまたは複数の MCP クライアントを調整および管理する AI アプリケーション。
MCP クライアント: MCP サーバーへの接続を維持し、MCP ホストが使用する MCP サーバーからコンテキストを取得するコンポーネント。
MCP サーバー: MCP クライアントにコンテキストを提供するプログラム。
たとえば、Visual Studio Code は MCP ホストとして機能します。 Visual Studio Code は、データ探索のために MCP サーバー (Microsoft Sentinel MCP サーバーなど) への接続を確立すると、接続された MCP サーバーへの接続を維持する MCP クライアント オブジェクトをインスタンス化します。
MCP アーキテクチャの詳細については、こちらをご覧ください。
Microsoft Sentinelの MCP コレクションを使用するためのシナリオ
互換性のあるクライアントをMicrosoft Sentinelの MCP コレクションに接続すると、ツールを使用して次のことができます。
長期的なセキュリティ データを対話的に探索する: セキュリティ アナリストや脅威ハンターは、ID ベースの攻撃に焦点を当てる場合と同様に、さまざまなセキュリティ テーブル間でデータをすばやく照会して関連付ける必要があります。 現在、すべてのテーブルと各テーブルに含まれるデータに関する知識が必要です。 データ探索コレクションを使用すると、アナリストは自然言語プロンプトを使用して、テーブルとそのスキーマを記憶したり、整形式のKusto 照会言語 (KQL) クエリを記述したりすることなく、Microsoft Sentinel データ レイク内のテーブルから関連するデータを検索して取得できるようになりました。
たとえば、アナリストは、ファイル アクティビティを Purview 秘密度ラベルと関連付けて、元の 90 日から 180 日/時間帯に気付かれていない可能性のあるデータ流出、ポリシー違反、または疑わしいユーザー動作の兆候を明らかにすることで、考えられるインサイダーの脅威を探すことができます。 この対話型アプローチにより、脅威の検出と調査が加速され、手動クエリの定式化への依存が軽減されます。
セキュリティ データ全体のエンティティを分析します。Security Operations Center (SOC) エンジニア、アナリスト、さらにはエージェントには、organizationのすべてのセキュリティ データを使用して、URL やユーザーなどのエンティティを簡単に分析およびトリアージする方法が必要です。 ただし、現在の断片化されたデータ ソースにより、このプロセスは複雑で、自動化に時間がかかります。 最も一般的なインシデントトリアージ タスクの 1 つとして、エンティティ エンリッチメントは多くの場合、手動によるコンテキスト収集作業になり、応答時間が遅くなります。 データ探索コレクションのエンティティ アナライザー ツールを使用すると、アナリストと SOC エンジニアは、データ レイクのセキュリティ データを使用してエンティティに対する包括的な評決と分析を取得、推論、および明確に提示できるワンクリック アクションを使用できるため、構築するエンティティエンリッチメントとエージェントを簡単に自動化できます。
自然言語を使用してSecurity Copilotエージェントを構築する: SOC エンジニアは、断片化されたデータ ソースと厳格なスキーマ要件のためにプレイブックを手動で自動化するために数週間を費やすことがよくあります。 エージェント作成ツールを使用すると、エンジニアは自然言語で意図を記述するだけで、セキュリティデータに基づいて推論するための適切なAIモデルの指示やツールを備えたエージェントをすばやく構築し、組織のワークフローやプロセスに合わせてカスタマイズされた自動化を作成できます。
インシデントをトリアージし、脅威を探す:SOC エンジニアは、インシデントに迅速に優先順位を付け、使用するプラットフォームとツール間のセキュリティ ワークフローの問題や相互運用性を心配することなく、organization独自のデータを簡単に探す必要があります。 ツールのトリアージ コレクションは、AI モデルをインシデントトリアージとハンティングをサポートする API と統合します。 この統合により、解決までの平均時間、リスクにさらされる時間、およびドウェル時間が短縮され、チームは AI を活用して、よりスマートで迅速な意思決定を行うことができます。