Introdução aos notebooks Jupyter e ao MSTICPy no Microsoft Sentinel

Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Este artigo descreve como executar o notebook Guia de Introdução aos notebooks de ML do Microsoft Sentinel, que define as configurações básicas necessárias para executar notebooks Jupyter no Microsoft Sentinel e fornece exemplos de execução de consultas simples. Antes de começar, certifique-se de concluir os pré-requisitos, incluindo permissões, Python configuração e contas de provedor de dados externos.

O Guia de Introdução do Microsoft Sentinel ML Notebooks usa o MSTICPy, uma poderosa biblioteca Python projetada para aprimorar as investigações de segurança e a busca de ameaças nos notebooks do Microsoft Sentinel. O MSTICPy fornece ferramentas internas para enriquecimento de dados, visualização, detecção de anomalias e consultas automatizadas, ajudando os analistas a simplificar seu fluxo de trabalho sem codificação personalizada abrangente.

Para obter mais informações, consulte Usar notebooks para alimentar investigações e Usar notebooks Jupyter para buscar ameaças à segurança.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Pré-requisitos

Antes de começar, verifique se você tem as permissões e os recursos necessários.

Pré-requisito	Descrição
Permissões	Para usar notebooks no Microsoft Sentinel, verifique se você tem as permissões necessárias. Para obter mais informações, consulte Gerenciar o acesso aos notebooks do Microsoft Sentinel.
Python	Para executar as etapas deste artigo, você precisa do Python 3.6 ou posterior. No Azure Machine Learning, você pode usar um kernel Python 3.8 (recomendado) ou um kernel Python 3.6. Se você usar o notebook descrito neste artigo em outro ambiente Jupyter, poderá usar qualquer kernel que dê suporte ao Python 3.6 ou posterior. Para usar notebooks MSTICPy fora do Microsoft Sentinel e Azure ML (Machine Learning), você também precisa configurar seu ambiente Python. Instale o Python 3.6 ou posterior com a distribuição Anaconda, que inclui muitos dos pacotes necessários.
MaxMind GeoLite2	Este notebook usa o serviço de pesquisa de geolocalização MaxMind GeoLite2 para endereços IP. Para usar o serviço MaxMind GeoLite2, você precisa de uma chave de licença. Você pode se inscrever para uma conta gratuita e chave na página de inscrição da Maxmind.
VirusTotal	Este notebook usa o VirusTotal (VT) como fonte de inteligência de ameaças. Para usar a pesquisa de inteligência contra ameaças do VirusTotal, você precisa de uma conta do VirusTotal e uma chave de API. Se você estiver usando uma chave corporativa VT, armazene-a com uma Azure Key Vault em vez do arquivo msticpyconfig.yaml. Para obter mais informações, consulte Especificar segredos como segredos do Key Vault na documentação do MSTICPY. Se você não quiser configurar uma Azure Key Vault agora, inscreva-se e use uma conta gratuita até poder configurar Key Vault armazenamento.

Instale e execute o bloco de anotações do Guia de Introdução

As etapas a seguir descrevem como abrir o notebook Guia de Introdução no Microsoft Sentinel.

Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>>. Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Notebooks.
Na guia Modelos, selecione Um Guia de Introdução para Notebooks do ML do Microsoft Sentinel.
Selecione Criar a partir do modelo.
Edite o nome e selecione o workspace do Azure Machine Learning conforme apropriado.
Selecione Salvar para salvar o bloco de anotações em seu workspace Azure Machine Learning.
Selecione Iniciar notebook para executar o notebook. O bloco de anotações contém uma série de células:
- As células Markdown contêm texto e elementos gráficos com instruções para usar o bloco de anotações
- As células de código contêm código executável que executa as funções do bloco de anotações
Na parte superior da página, selecione seu Compute.
Continue lendo as células de markdown e executando as células de código em ordem, seguindo as instruções no notebook. Ignorar células ou executá-las fora de ordem pode causar erros posteriormente no bloco de anotações.

Dependendo da função que está sendo executada, o código na célula pode ser executado rapidamente ou pode levar algum tempo para ser concluído. Quando a célula está em execução, o botão play muda para um controle giratório de carregamento e o status é exibido na parte inferior da célula, junto com o tempo decorrido.

Na primeira vez que você executa uma célula de código, pode demorar alguns minutos para iniciar a sessão, dependendo das configurações de computação. Uma indicação de Pronto é mostrada quando o notebook estiver pronto para executar células de código. Por exemplo:

O Guia de Introdução para os Notebooks de ML do Microsoft Sentinel inclui seções para as seguintes atividades:

Nome	Descrição
Introdução	Descreve os conceitos básicos do notebook e fornece um código de exemplo que você pode executar para ver como os notebooks funcionam.
Inicializando o notebook e o MSTICPy	Ajuda a preparar seu ambiente para executar o restante do notebook. Ao inicializar o notebook, são esperados avisos de configuração sobre configurações ausentes, pois você ainda não configurou nada.
Consultando Dados do Microsoft Sentinel	Ajuda você a verificar, configurar e testar as configurações do Microsoft Sentinel. Use o código nesta seção para autenticar no Microsoft Sentinel e executar uma consulta de exemplo para testar a conexão.
Configurar e testar provedores de dados externos (VirusTotal e Maxmind GeoLite2)	Ajuda a definir as configurações do VirusTotal, como um exemplo de serviço de inteligência contra ameaças, e do MaxMind GeoLite2, como um exemplo de serviço de pesquisa de localização geográfica. Use o código nesta seção para executar consultas de exemplo nesses provedores de dados para testar as conexões do provedor.

O código do Guia de Início para Microsoft Sentinel ML Notebooks lança uma ferramenta de configuração com abas chamada MpConfigEdit, que você usa para configurar o ambiente do seu notebook. Ao fazer alterações na ferramenta MpConfigEdit , salve as alterações antes de prosseguir para a próxima guia. As configurações do notebook são armazenadas no arquivo msticpyconfig.yaml , que é preenchido automaticamente com detalhes iniciais para seu workspace.

Leia cuidadosamente as células markdown para entender completamente o processo de configuração do notebook, incluindo cada uma das configurações e o arquivo msticpyconfig.yaml . Próximas etapas, recursos adicionais e perguntas frequentes da wiki do Azure Sentinel Notebooks estão disponíveis por meio de links ao final do notebook.

Personalizar suas consultas (opcional)

O Guia de Introdução do ML Notebooks do Microsoft Sentinel fornece consultas de exemplo para você usar ao aprender sobre notebooks. Personalize as consultas internas adicionando mais lógica de consulta ou execute consultas completas usando a exec_query função. Por exemplo, a maioria das consultas internas dá suporte ao add_query_items parâmetro, que você pode usar para acrescentar filtros ou outras operações às consultas.

Execute a seguinte célula de código para adicionar um quadro de dados que resuma o número de alertas por nome do alerta:

from datetime import datetime, timedelta

qry_prov.SecurityAlert.list_alerts(
   start=datetime.utcnow() - timedelta(28),
    end=datetime.utcnow(),
    add_query_items="| summarize NumAlerts=count() by AlertName"
)

Passe uma cadeia de caracteres de consulta completa da Linguagem de Consulta Kusto (KQL) para o provedor de consultas. A consulta é executada no espaço de trabalho conectado e os dados retornam como um dataFrame panda. Executar:
```
# Define your query
test_query = """
OfficeActivity
| where TimeGenerated > ago(1d)
| take 10
"""

# Pass the query to your QueryProvider
office_events_df = qry_prov.exec_query(test_query)
display(office_events_df.head())
```

Para saber mais, confira:

Aplicar diretrizes a outros notebooks

As etapas descritas neste artigo mostram como executar o notebook Guia de Introdução aos ML Notebooks do Microsoft Sentinel no seu espaço de trabalho do Azure Machine Learning por meio do Microsoft Sentinel. Você também pode usar este artigo como orientação para iniciar e configurar notebooks em outros ambientes, incluindo localmente.

Vários notebooks do Microsoft Sentinel não usam MSTICPy (a biblioteca Python para investigações de segurança no Microsoft Sentinel), como os notebooks Credential Scanner ou os exemplos em PowerShell e C#. Notebooks que não usam MSTICpy não precisam da configuração do MSTICPy descrita em Instalar e executar o notebook Getting Started Guide.

Experimente outros cadernos do Microsoft Sentinel, como:

Configurando o ambiente do seu notebook
Um tour pelos recursos do notebook Cybersec
Exemplos de Machine Learning em Notebooks
A série Entity Explorer, incluindo variações para contas, domínios e URLs, endereços IP e hosts Linux ou Windows.

Para saber mais, confira:

Comentários

Esta página foi útil?

Última atualização em 2026-09-11