Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Microsoft Sentinel, a plataforma de segurança da Microsoft, apresenta suporte para o Protocolo MCP (Model Context Protocol). Este suporte inclui várias coleções focadas em cenários de ferramentas de segurança através de uma interface de servidor unificada. Ao utilizar este suporte, pode consultar interativamente dados de segurança em linguagem natural e criar agentes de segurança eficazes que podem efetuar automatização complexa. Esta coleção de ferramentas de segurança ajuda as equipas de segurança a colocar a IA nas suas operações de segurança diárias para ajudar em tarefas comuns, como a exploração de dados, a criação de automatização agente e a triagem de incidentes e investigação de ameaças.
Principais funcionalidades do suporte do Microsoft Sentinel para MCP
As seguintes funcionalidades e benefícios fazem parte dos servidores MCP do Microsoft Sentinel:
Interface unificada alojada para operações de segurança orientadas por IA: a interface de servidor MCP unificada do Microsoft Sentinel está totalmente alojada, não necessita de implementação de infraestrutura e utiliza Microsoft Entra para identidade. As equipes de segurança podem conectar clientes compatíveis para simplificar as operações diárias de IA.
Ferramentas de segurança de linguagem natural e focadas em cenários: o suporte mcP da Microsoft Sentinel é fornecido através de coleções focadas em cenários de ferramentas de segurança prontas a utilizar. Estas coleções ajudam as equipas de segurança a interagir e a raciocinar sobre os dados de segurança no Microsoft Sentinel data lake e Microsoft Defender através de linguagem natural, eliminando a necessidade de integração baseada em código, compreendendo o esquema de dados ou escrevendo consultas de dados bem formadas.
Desenvolvimento acelerado de agentes de segurança eficazes: Microsoft Sentinel coleção de ferramentas de segurança automatiza a deteção e obtenção de dados de segurança e fornece respostas previsíveis e acionáveis para personalizar agentes. Este suporte acelera a criação eficiente de agentes de segurança e fornece agentes de segurança melhores e altamente eficazes.
Integração de dados de segurança económica e rica em contexto: o data lake permite-lhe trazer todos os seus dados de segurança para Microsoft Sentinel de forma económica, pelo que não precisa de escolher entre cobertura e custo. O conjunto de ferramentas do Microsoft Sentinel integra-se nativamente ao lake de dados de segurança e ao Microsoft Defender, permitindo criar uma engenharia abrangente de contexto de segurança.
Para obter mais informações sobre como a IA é utilizada no servidor MCP unificado do Microsoft Sentinel, veja Application card: Microsoft Sentinel mcP server (Card de aplicações: Microsoft Sentinel servidor MCP).
Introdução ao MCP
O Protocolo MCP (Model Context Protocol) é um protocolo aberto que gere a forma como os modelos de linguagem interagem com ferramentas externas, memória e contexto de forma segura, estruturada e com monitorização de estado. O MCP utiliza uma arquitetura cliente-servidor com vários componentes:
Anfitrião MCP: a aplicação de IA que coordena e gere um ou vários clientes MCP.
Cliente MCP: um componente que mantém uma ligação a um servidor MCP e obtém contexto a partir de um servidor MCP para o anfitrião MCP utilizar.
Servidor MCP: um programa que fornece contexto aos clientes MCP.
Por exemplo, Visual Studio Code funciona como um anfitrião MCP. Quando Visual Studio Code estabelece uma ligação a um servidor MCP, como o Microsoft Sentinel servidor MCP para exploração de dados, o Visual Studio Code runtime instancia um objeto de cliente MCP que mantém a ligação ao servidor MCP ligado.
Saiba mais sobre a arquitetura mcP.
Cenários para utilizar coleções MCP do Microsoft Sentinel
Quando liga um cliente compatível às coleções MCP do Microsoft Sentinel, pode utilizar ferramentas para:
Explorar interativamente dados de segurança de longo prazo: os analistas de segurança e os caçadores de ameaças, como os que se focam em ataques baseados em identidade, precisam de consultar e correlacionar rapidamente dados em várias tabelas de segurança. Atualmente, têm de ter conhecimento de todas as tabelas e dos dados que cada tabela contém. Com a coleção de exploração de dados, os analistas agora podem usar comandos em linguagem natural para pesquisar e recuperar dados relevantes em tabelas do data lake do Microsoft Sentinel sem precisar lembrar os nomes das tabelas e seus esquemas nem escrever consultas Kusto Query Language (KQL) bem estruturadas.
Por exemplo, um analista pode procurar possíveis ameaças internas ao correlacionar a atividade de ficheiros com a etiqueta de confidencialidade do Purview para descobrir sinais de exfiltração de dados, violações de políticas ou comportamento suspeito do utilizador que possa ter passado despercebido durante o período original de 90 a 180 dias/hora. Esta abordagem interativa acelera a deteção e investigação de ameaças, ao mesmo tempo que reduz a dependência da formulação manual de consultas.
Analisar entidades nos seus dados de segurança: Os engenheiros, analistas e até agentes do Centro de Operações de Segurança (SOC) precisam de uma forma fácil de analisar e fazer a triagem de entidades, como URLs e utilizadores, através de todos os dados de segurança de uma organização. No entanto, as origens de dados fragmentadas de hoje tornam este processo complexo e demorado para automatizar. Como uma das tarefas de triagem de incidentes mais comuns, o enriquecimento de entidade geralmente necessita de um esforço manual para coletar contexto, o que atrasa os tempos de resposta. Com as ferramentas de análise de entidade na coleção de exploração de dados, analistas e engenheiros do SOC têm a possibilidade de, com um simples clique, recuperar, processar e apresentar claramente vereditos abrangentes e análises sobre entidades, utilizando os dados de segurança no data lake, tornando mais fácil a automatização do enriquecimento de entidades para você e os agentes que você cria.
Introdução à análise automática de entidades durante as investigações
Crie agentes do Security Copilot por meio de linguagem natural: os engenheiros do SOC muitas vezes passam semanas automatizando manualmente playbooks devido a fontes de dados fragmentadas e requisitos rígidos de esquemas. Com as ferramentas de criação de agentes, os engenheiros podem descrever sua intenção em linguagem natural para criar rapidamente agentes com as instruções e ferramentas corretas do modelo de IA, que raciocinam com base em seus dados de segurança, criando automações personalizadas para os fluxos de trabalho e processos de sua organização.
Triagem de incidentes e caça a ameaças: Os engenheiros do SOC precisam priorizar incidentes rapidamente e analisar com facilidade os próprios dados da organização, sem precisar se preocupar com problemas nos fluxos de trabalho de segurança e com a interoperabilidade entre as plataformas e ferramentas que utilizam. A coleção de ferramentas de triagem integra os seus modelos de IA com APIs que suportam a triagem e investigação de incidentes. Esta integração reduz o tempo médio de resolução, exposição ao risco e tempo de vida e permite que a sua equipa tire partido da IA para uma tomada de decisões mais inteligente e rápida.
Introdução à triagem de incidentes e à investigação de ameaças