Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Microsoft Sentinel, la plateforme de sécurité de Microsoft, introduit la prise en charge du protocole MCP (Model Context Protocol). Cette prise en charge inclut plusieurs collections d’outils de sécurité axées sur des scénarios via une interface de serveur unifiée. Grâce à cette prise en charge, vous pouvez interroger de manière interactive les données de sécurité en langage naturel et créer des agents de sécurité efficaces capables d’effectuer une automatisation complexe. Cette collection d’outils de sécurité aide les équipes de sécurité à intégrer l’IA dans leurs opérations de sécurité quotidiennes pour faciliter les tâches courantes telles que l’exploration des données, la création d’une automatisation agentique, le triage des incidents et la chasse aux menaces.
Fonctionnalités clés de la prise en charge par Microsoft Sentinel pour MCP
Les fonctionnalités et avantages suivants font partie des serveurs MCP de Microsoft Sentinel :
Interface unifiée et hébergée pour les opérations de sécurité pilotées par l’IA : l’interface de serveur MCP unifiée de Microsoft Sentinel est entièrement hébergée, ne nécessite aucun déploiement d’infrastructure et utilise Microsoft Entra pour l’identité. Les équipes de sécurité peuvent connecter des clients compatibles pour rationaliser les opérations quotidiennes liées à l’IA.
Outils de sécurité en langage naturel et axés sur les scénarios : la prise en charge mcp de Microsoft Sentinel s’appuie sur des collections d’outils de sécurité prêts à l’emploi axés sur les scénarios. Ces collections aident les équipes de sécurité à interagir avec les données de sécurité dans le lac de données de Microsoft Sentinel et Microsoft Defender, et à les analyser en langage naturel, éliminant ainsi la nécessité de recourir à une intégration axée sur le code, de comprendre le schéma des données ou de rédiger des requêtes de données correctement formulées.
Développement accéléré d’agents de sécurité efficaces : la collection d’outils de sécurité de Microsoft Sentinel automatise la découverte et la récupération des données de sécurité et fournit des réponses prévisibles et actionnables pour personnaliser les agents. Cette prise en charge accélère la création d’un agent de sécurité efficace et fournit des agents de sécurité de meilleure qualité et très efficaces.
Intégration des données de sécurité rentables et riches en contexte : le lac de données vous permet d’intégrer toutes vos données de sécurité dans Microsoft Sentinel de manière économique, de sorte que vous n’avez pas besoin de choisir entre la couverture et le coût. La collection d’outils de Microsoft Sentinel s’intègre en mode natif au lac de données de sécurité et au Microsoft Defender, ce qui vous permet de créer une ingénierie complète du contexte de sécurité.
Pour plus d’informations sur l’utilisation de l’IA au sein du serveur MCP unifié de Microsoft Sentinel, consultez Application carte : Microsoft Sentinel serveur MCP.
Présentation de MCP
Le protocole MCP (Model Context Protocol) est un protocole ouvert qui gère la façon dont les modèles de langage interagissent avec les outils externes, la mémoire et le contexte de manière sécurisée, structurée et avec état. MCP utilise une architecture client-serveur avec plusieurs composants :
Hôte MCP : application IA qui coordonne et gère un ou plusieurs clients MCP.
Client MCP : composant qui maintient une connexion à un serveur MCP et obtient le contexte d’un serveur MCP que l’hôte MCP doit utiliser.
Serveur MCP : programme qui fournit un contexte aux clients MCP.
Par exemple, Visual Studio Code agit comme un hôte MCP. Quand Visual Studio Code établit une connexion à un serveur MCP, tel que le serveur MCP Microsoft Sentinel pour l’exploration des données, le runtime Visual Studio Code instancie un objet client MCP qui maintient la connexion au serveur MCP connecté.
En savoir plus sur l’architecture MCP.
Scénarios d’utilisation des collections MCP de Microsoft Sentinel
Lorsque vous connectez un client compatible avec les collections MCP de Microsoft Sentinel, vous pouvez utiliser des outils pour :
Explorez de manière interactive les données de sécurité à long terme : les analystes de sécurité et les chasseurs de menaces, comme ceux qui se concentrent sur les attaques basées sur l’identité, doivent rapidement interroger et mettre en corrélation les données entre différentes tables de sécurité. Aujourd’hui, ils doivent avoir une connaissance de toutes les tables et des données que chaque table contient. Avec la fonctionnalité d’exploration des données, les analystes peuvent désormais utiliser des requêtes en langage naturel pour rechercher et récupérer des données pertinentes dans les tables du lac de données Microsoft Sentinel, sans avoir à se souvenir des tables et de leur schéma ni à écrire des requêtes Kusto Query Language (KQL) correctement formées.
Par exemple, un analyste peut rechercher les menaces internes possibles en mettant en corrélation l’activité des fichiers avec l’étiquette de confidentialité Purview pour découvrir des signes d’exfiltration de données, de violations de stratégie ou de comportement suspect de l’utilisateur qui aurait pu passer inaperçu pendant la fenêtre de 90 à 180 jours/heure d’origine. Cette approche interactive accélère la découverte et l’investigation des menaces tout en réduisant la dépendance à l’égard de la formulation manuelle des requêtes.
Premiers pas avec l’exploration de données sur des données à long terme
Analysez les entités dans vos données de sécurité : Les ingénieurs soc (Security Operations Center), les analystes et même les agents ont besoin d’un moyen simple d’analyser et de trier les entités, telles que les URL et les utilisateurs, à l’aide de toutes les données de sécurité d’un organization. Toutefois, les sources de données fragmentées d’aujourd’hui rendent ce processus complexe et fastidieux à automatiser. En tant que l’une des tâches de triage d’incident les plus courantes, l’enrichissement des entités devient donc souvent un effort manuel de collecte de contexte, ce qui ralentit les temps de réponse. Avec les outils de l’analyseur d’entités dans la collection d’exploration de données, les analystes et les ingénieurs SOC disposent d’une action en un clic qui peut récupérer, justifier et présenter clairement des verdicts et des analyses complets sur les entités à l’aide des données de sécurité dans le lac de données, ce qui facilite l’automatisation de l’enrichissement des entités pour vous et les agents que vous créez.
Commencer à analyser automatiquement les entités lors des investigations
Créez Security Copilot agents par le biais du langage naturel : les ingénieurs SOC passent souvent des semaines à automatiser manuellement les playbooks en raison de sources de données fragmentées et d’exigences de schéma rigide. Avec les outils de création d’agent, les ingénieurs peuvent décrire leur intention en langage naturel pour créer rapidement des agents avec les instructions et outils de modèle IA appropriés qui raisonner sur leurs données de sécurité, créant ainsi des automatisations personnalisées en fonction des workflows et des processus de leur organization.
Triez les incidents et recherchez les menaces : Les ingénieurs SOC doivent hiérarchiser rapidement les incidents et rechercher facilement les propres données de votre organization sans avoir à s’inquiéter des problèmes de flux de travail de sécurité et de l’interopérabilité entre les plateformes et les outils qu’ils utilisent. La collection d’outils de triage intègre vos modèles IA avec des API qui prennent en charge le triage et la chasse des incidents. Cette intégration réduit le temps moyen de résolution, d’exposition aux risques et de durée de vie, et permet à votre équipe de tirer parti de l’IA pour une prise de décision plus intelligente et plus rapide.
Prise en main du triage des incidents et de la chasse aux menaces