Hiérarchiser les incidents et rechercher des menaces avec la collecte de triage

La collection de triage du serveur Microsoft Sentinel Model Context Protocol (MCP) intègre vos modèles d’IA à des API prenant en charge le triage des incidents et la recherche de menaces. Cette intégration vous permet de hiérarchiser rapidement les incidents et de mener facilement des investigations dans vos propres données, réduisant ainsi le temps moyen de résolution, l’exposition aux risques et le temps de présence. Cet article explique comment ajouter la collection de triage, liste les outils disponibles et leurs paramètres, et fournit des exemples d’invites. Avant de commencer, vérifiez que vous remplissez les conditions préalables.

Utilisez l’outil pour les scénarios suivants :

  • Triage des incidents : Hiérarchisez rapidement les incidents à l’aide de vos propres modèles IA, ce qui réduit le temps moyen de résolution. Utilisez les outils pour récupérer des incidents, des alertes, des preuves d’alertes, des entités et d’autres données.
  • Chasse aux menaces : recherchez facilement des menaces dans vos données à l'aide de vos propres modèles d'IA, afin de réduire l'exposition aux risques et le temps de présence des menaces. Utilisez les outils pour exécuter des requêtes de chasse et extraire les données requises pendant votre chasse.

Prérequis

Pour accéder à la collection d’outils de triage, vous devez disposer des prérequis suivants :

  • Microsoft Defender XDR, Microsoft Defender pour point de terminaison ou Microsoft Sentinel intégrés au portail Defender
  • N’importe lequel des éditeurs de code et des plateformes de création d’agents basés sur l’IA pris en charge :

Ajouter la collection de triage

Pour ajouter la collection de triage, commencez par configurer l'interface de serveur MCP unifiée de Microsoft Sentinel. Suivez les instructions pour les plateformes compatibles répertoriées dans la section Conditions préalables .

Utilisez l’URL de point de terminaison MCP suivante pour la collecte de triage afin de connecter votre éditeur de code ou plateforme d’agent et récupérer les données de triage et de chasse aux incidents :

https://sentinel.microsoft.com/mcp/triage

Outils de la collecte de triage

Les outils suivants sont disponibles dans la collection de triage.

Répertorier les incidents de sécurité (ListIncidents)

Cet outil répertorie les incidents de sécurité et les filtre par plage de dates, gravité, status, analyste affecté et état d’investigation.

Paramètres Obligatoire ? Description
createdAfter Non Heure à partir de laquelle l’incident a été créé
createdBefore Non Heure avant la création de l’incident
Severity Non Gravité attribuée à l’incident (par exemple, Faible ou Haute)
Status Non Status actuel de l’incident (Nouveau, Actif ou Fermé)
AssignedTo Non Utilisateur auquel l’incident est attribué
Classification Non Classification (par exemple, vrai positif ou faux positif)
Determination Non Détermination (par exemple, programme malveillant ou hameçonnage)
orderBy Non Instructions pour trier les incidents renvoyés
Search Non Recherche en texte libre dans les données d’incident
includeAlertsData Non Option permettant d’inclure les données des alertes sous-jacentes
skip Non Ignore un nombre spécifié d’éléments à partir du début du jeu de résultats
top Non Limite le nombre d’éléments retournés dans la réponse

Recevoir un incident de sécurité (GetIncidentById)

Cet outil récupère un incident de sécurité par ID, y compris ses propriétés, les alertes corrélées et les métadonnées telles que les status, la gravité, la classification et les horodatages.

Paramètres Obligatoire ? Description
incidentID Oui L’identificateur est associé à l’incident
includeAlertsData Non Option permettant d’inclure les données des alertes sous-jacentes

Cet outil répertorie les alertes de sécurité, les trie et les filtre par plage de dates, gravité et status.

Paramètres Obligatoire ? Description
createdAfter Non Heure après laquelle l’alerte a été créée
createdBefore Non Heure avant la création de l’alerte
Severity Non Gravité affectée à l’alerte (par exemple, Faible ou Élevé)
status Non Status actuel de l’alerte ; valeurs possibles : Inconnu, Nouveau, InProgress et Resolved
skip Non Ignore un nombre spécifié d’éléments à partir du début du jeu de résultats
top Non Limite le nombre d’éléments retournés dans la réponse

Obtenir une alerte de sécurité (GetAlertByID)

Cet outil récupère une alerte de sécurité par ID. Elle retourne les détails complets de l’alerte, notamment la gravité, la status, la classification et les entités de preuve associées.

Paramètres Obligatoire ? Description
AlertID Oui Identificateur unique de l’alerte

Lister les tables de chasse avancée (FetchAdvancedHuntingTablesOverview)

Cet outil répertorie les noms des tables de chasse avancée disponibles ainsi que leur brève description. Il est essentiel de comprendre les sources de données avant d’écrire des requêtes en langage de requête Kusto (KQL).

Paramètres Obligatoire ? Description
tableNames Non Noms des tables de recherche avancée

Obtenir le schéma d'une table de chasse avancée (FetchAdvancedHuntingTablesDetailedSchema)

Cet outil récupère des schémas de colonne complets avec des descriptions pour les tables de chasse avancées spécifiées. Les informations qu’il fournit sont essentielles pour construire des requêtes KQL sans erreur. Utilisez cet outil avant d’appeler RunAdvancedHuntingQuery.

Paramètres Obligatoire ? Description
tableNames Oui Noms des tables de recherche avancée

Exécuter une requête de chasse aux menaces (RunAdvancedHuntingQuery)

Exécutez une requête de chasse avancée en utilisant Kusto Query Language (KQL) à travers les tables Microsoft Defender prises en charge pour rechercher proactivement les menaces. Pour comprendre les sources de données, commencez par exécuter FetchAdvancedHuntingTablesOverview. Pour un KQL sans erreur, commencez par exécuter FetchAdvancedHuntingTablesDetailedSchema.

Paramètres Obligatoire ? Description
kqlQuery Oui Requête KQL à exécuter sur la table sélectionnée
timestamp Non Horodatage à choisir pour la requête

Obtenir des informations sur les fichiers (GetDefenderFileInfo)

Obtenez les détails du fichier, tels que les hachages, la taille, le type, l’éditeur, les informations de certificat de signataire et la prévalence globale avec les horodatages du premier et du dernier aperçu.

Paramètres Obligatoire ? Description
fileHash Oui Hachage SHA-1 ou SHA-256 du fichier

Obtenir des statistiques de fichier (GetDefenderFileStatistics)

Obtenez les statistiques de prévalence des fichiers organisationnels, y compris le nombre d’appareils où le fichier a été observé.

Paramètres Obligatoire ? Description
fileHash Oui Hachage SHA-1 ou SHA-256 du fichier. Les valeurs SHA-256 sont converties en interne en SHA-1.

Recevoir des alertes sur les fichiers (GetDefenderFileAlerts)

Répertoriez toutes les alertes de sécurité générées par un fichier spécifique dans votre organisation, y compris les alertes historiques et actives.

Paramètres Obligatoire ? Description
fileHash Oui Hachage SHA-1 du fichier. SHA-256 et MD5 ne sont pas pris en charge pour ce point de terminaison.

Répertorie tous les appareils qui ont rencontré un fichier spécifique pour évaluer sa propagation dans votre environnement.

Paramètres Obligatoire ? Description
fileHash Oui Hachage SHA-1 du fichier. SHA-256 et MD5 ne sont pas pris en charge pour ce point de terminaison.

Répertorier les indicateurs de menace (ListDefenderIndicators)

Lister les indicateurs de compromission (IOC) du locataire dans Microsoft Defender pour point de terminaison. Utilisez des filtres pour le type, la valeur, l’action et la gravité.

Paramètres Obligatoire ? Description
indicatorType Non Type d’indicateur (par exemple, hachage de fichier, nom de domaine ou adresse IP)
indicatorValue Non Valeur spécifique de l’indicateur pour filtrer les résultats
Action Non Action appliquée à l’indicateur (Alerte, Bloquer ou Autoriser)
ApplicationName Non Application associée à l’indicateur
Title Non Titre ou description de l’indicateur
Severity Non Niveau de gravité (informationnel, faible, moyen ou élevé)
createdAfter Non Indicateurs de retour créés après ce timestamp
createdBefore Non Indicateurs de retour créés avant ce timestamp

Répertorier les enquêtes automatisées (ListDefenderInvestigations)

Lister les cas d’enquête automatisée dans Microsoft Defender pour point de terminaison. Utilisez des filtres pour l’état, l’appareil cible, l’heure de début ou l’ID d’alerte de déclenchement.

Paramètres Obligatoire ? Description
startTime Non Renvoyer les enquêtes commencées après cet horodatage
endTime Non Renvoyer les enquêtes commencées avant cet horodatage
Status Non État de l’enquête (En cours, Terminé ou Échoué)
skip Non Ignore un nombre spécifié d’éléments à partir du début du jeu de résultats
top Non Limite le nombre d’éléments retournés dans la réponse

Obtenir une investigation automatisée (GetDefenderInvestigation)

Obtenez les détails d’une investigation automatisée spécifique, notamment l’état, les horodatages, l’appareil cible et le déclenchement d’une alerte.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique de l’investigation

Obtenir toutes les alertes de sécurité pour une adresse IP (GetDefenderIpAlerts)

Répertoriez toutes les alertes de sécurité dans le organization qui sont liées à une adresse IP spécifiée.

Paramètres Obligatoire ? Description
ipAddress Oui Adresse IP pour laquelle récupérer les alertes associées

Obtenir des statistiques pour une adresse IP (GetDefenderIpStatistics)

Obtenez des statistiques pour une adresse IP donnée, y compris le nombre d’appareils distincts qui ont communiqué avec elle.

Paramètres Obligatoire ? Description
ipAddress Oui Adresse IP pour laquelle récupérer des statistiques

Récupérer l’appareil terminal (GetDefenderMachine)

Obtenez des informations détaillées sur un appareil spécifique dans Microsoft Defender for Endpoint, y compris des détails sur le système d’exploitation, l’état d’intégrité, le score de risque et le niveau d’exposition.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique de l’appareil

Répertoriez toutes les alertes de sécurité associées à un appareil spécifique pour une vue centrée sur l’appareil des menaces.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique de l’appareil

Obtenir les utilisateurs connectés sur un appareil (GetDefenderMachineLoggedOnUsers)

Répertorier les comptes qui se sont connectés à un appareil. Pour chaque utilisateur, l’API fournit un contexte tel que le nom d’utilisateur et le domaine du compte.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique de l’appareil

Obtenir les vulnérabilités des appareils (GetDefenderMachineVulnerabilities)

Répertorie les vulnérabilités de sécurité découvertes sur un appareil avec les détails des vulnérabilités et des expositions courantes (CVE) et les scores d’évaluation des risques.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique de l’appareil

Rechercher un appareil par adresse IP interne (FindDefenderMachineByIp)

Répertoriez tous les appareils qui ont communiqué avec une adresse IP interne spécifique dans l’intervalle de temps de 15 minutes avant et après l’horodatage donné, pour le mappage réseau et l’analyse du mouvement latéral.

Paramètres Obligatoire ? Description
ipAddress Oui Adresse IP interne à rechercher
timestamp Oui Horodatage qui définit la fenêtre de requête, en vérifiant 15 minutes avant et 15 minutes après l’heure spécifiée

Répertorier les tâches de correction (ListDefenderRemediationActivities)

Répertoriez les tâches de correction et leur status d’exécution sur les appareils. Chaque activité de correction correspond à une recommandation ou une tâche de sécurité.

Paramètres Obligatoire ? Description
Type Non Type d’activité de correction
machineID Non Identificateur de l’appareil affecté
Status Non État de la tâche de correction (En attente ou Terminé)
createdTimeFrom Non Retourner les tâches créées après ce timestamp
createdTimeTo Non Retourner les tâches créées avant ce timestamp
skip Non Ignore un nombre spécifié d’éléments à partir du début du jeu de résultats
top Non Limite le nombre d’éléments retournés dans la réponse

Obtenir des informations détaillées sur la tâche de correction (GetDefenderRemediationActivity)

Obtenez des informations détaillées sur les tâches de correction, notamment les status d’exécution, les résultats et les appareils affectés.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique de l’activité de correction

Répertorier toutes les alertes de sécurité associées à un compte d’utilisateur spécifique. Ces informations sont essentielles pour les enquêtes sur les menaces centrées sur l’utilisateur et l’analyse du comportement.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique du compte d’utilisateur

Répertorier tous les appareils actifs pour un utilisateur (ListUserRelatedMachines)

Répertorier tous les appareils pour lesquels un utilisateur spécifique a des sessions de connexion actives ou récentes. Utilisez cet outil pour suivre l’activité des utilisateurs et analyser les mouvements latéraux.

Paramètres Obligatoire ? Description
ID Oui Identificateur unique du compte d’utilisateur

Répertorier tous les appareils affectés par une vulnérabilité (ListDefenderMachinesByVulnerability)

Répertorier tous les appareils affectés par une vulnérabilité CVE spécifique. Cet outil est essentiel pour la hiérarchisation de la gestion des correctifs.

Paramètres Obligatoire ? Description
cveID Oui Identificateur CVE de la vulnérabilité

Répertorier les vulnérabilités affectant les logiciels (ListDefenderVulnerabilitiesBySoftware)

Répertoriez les vulnérabilités qui affectent des logiciels spécifiques sur un appareil spécifique pour une évaluation ciblée des vulnérabilités.

Paramètres Obligatoire ? Description
machineID Oui Identificateur unique de l’appareil
softwareID Oui Identificateur unique du logiciel

Exemples d’invites

Les requêtes suivantes montrent ce que vous pouvez faire avec la collection de triage :

  • Lister les cinq derniers incidents de mon tenant et déterminer lequel est le plus urgent à traiter en priorité
  • Fournir les alertes pour <un incident> spécifique et analyser les preuves d’alerte pour détecter la malveillance
  • Exécuter une requête de recherche proactive pour vérifier quels utilisateurs ont interagi avec <l’entité>

Limitations

La collecte de triage présente les limitations suivantes :

  • Les outils de fichiers prennent en charge différents types de hachage. GetDefenderFileInfo et GetDefenderFileStatistics acceptez SHA-1 ou SHA-256, tandis que GetDefenderFileAlerts et GetDefenderFileRelatedMachines acceptez uniquement SHA-1. MD5 n’est pris en charge par aucun point de terminaison de fichier. Lorsque vous utilisez des agents qui appellent plusieurs outils de fichiers en séquence, fournissez un hachage SHA-1 pour garantir la compatibilité avec tous les points de terminaison.
  • Vous ne pouvez pas utiliser cette collection en tant qu’invité dans un autre locataire ou avec un accès délégué. Vous pouvez uniquement utiliser le serveur MCP dans votre propre tenant d’origine.
  • Microsoft Sentinel utilisateurs ne peuvent pas choisir l’espace de travail à utiliser.
  • Vous ne pouvez pas interroger les données dans Microsoft Sentinel lake. Vous pouvez utiliser les outils d’exploration de données à la place.

Contenu connexe

  • Dernière mise à jour :