はじめに
Logic Apps で AI エージェントを使用したワーク フローが作成できるようになりました。
さらにモデルの選択はできませんが、従量課金でも使えるようになっています。
こちらを使用することで、Sentinel プレイブックの自動化の実装を大幅に簡略化できると思われるため、試してみます。
インシデント トリアージを例とした従来のフロー
従来の Logic Apps の実装の場合、以下のようなフローになります。ノーコードとはいえ、ある程度 Logic Apps の知識がないと実装が難しいです。
- Sentinel インシデントをトリガーに Logic Apps を実行
- Azure OpenAI コネクタを設定し、インシデントを分析、過検知有無を出力させる
- 条件分岐を設定し、過検知有無によって処理を分岐
- 過検知の場合、Sentinel コネクタでインシデントをクローズに設定しコメントを追加
AI エージェント ワークフロー
AI エージェント ワークフローの場合、以下のように任せることができます。
- Sentinel インシデントをトリガーに Logic Apps を実行
- AI エージェントを設定
- ツールに Sentinel コネクタを設定
- AI エージェントにインシデントの分析、過検知の判断、判断に基づく処理を自然言語で指定
実装してみる
実際に設定してみます。
前提条件
Logic Apps のマネージド ID を有効化し、Microsoft Sentinel レスポンダーのロールを付与しておきます。
Logic Apps の設定
Sentinel インシデントをトリガーに指定します。
次のステップで [Add an agent] を指定します。
エージェントの指示文を以下のように指定します。なお、トリガーからのインシデント情報すべて (object) は デザイナーでは指定できなかったため、ここだけコード ビューで指定しています。
1. トリガーとなったインシデントを分析してレポートを作成してください。
2. 緊急性の低いインシデントと判断できる場合、その理由を Close reason text パラメータに格納し、Incident Close Tool でインシデントにタグを付与してクローズしてください。
分析対象インシデント：
@{triggerBody()?['object']}
ツールに Sentinel コネクタの [Update incident] を追加します。タグや状態 (Close)、理由の欄を指定します。
クローズ理由 (Close reason text) は AI エージェントに動的に作成してもらいたいので、AI エージェントの変数を作成して指定します。
全体はこのような感じのシンプルはフローです。
実行結果
以下のように AI エージェントにインシデントの分析を依頼しています。
レポートが作成されます。
インシデントのクローズ処理まで AI エージェントが実施しています。
インシデントの画面でも反映されていることが分かります。
まとめ
今回、Sentinel のセキュリティ運用自動化でよく使われている Logic Apps の AI エージェントを試しました。従来は処理をすべてフローで定義する必要がありましたが、AI エージェントが使えることでそれらを自然言語で指示して動作させることが可能になります。
このため、あまり Logic Apps のノウハウがない方でも簡単にセキュリティ運用の自動化が実現できるようになりますので、ぜひお試しください。
Discussion