理解OpenAI和Microsoft Sentinel的规则解释和分析方法
欢迎回到我们关于OpenAI和MicrosoftSentinel的系列！今天我们将探讨OpenAI广受欢迎的语言模型的另一个用例，并了解一下SentinelRESTAPI。如果您还没有MicrosoftSentinel实例，您可以使用免费的Azure帐户创建一个实例并按照Sentinel入门快速入门进行操作。您还需要一个带有API密钥的个人OpenAI帐户。准备好？让我们开始吧！安全从业者面临的任务之一是如何快速使用分析规则、查询和定义来理解触发警报的原因
欢迎回到我们关于 OpenAI 和 Microsoft Sentinel 的系列！今天我们将探讨 OpenAI 广受欢迎的语言模型的另一个用例，并了解一下 Sentinel REST API。如果您还没有 Microsoft Sentinel 实例，您可以使用免费的 Azure 帐户创建一个实例并按照Sentinel 入门快速入门进行操作。您还需要一个带有 API 密钥的个人 OpenAI 帐户。准备好？让我们开始吧！
安全从业者面临的任务之一是如何快速使用分析规则、查询和定义来理解触发警报的原因。例如，下面是一个用 Kusto 查询语言 (KQL) 编写的相对较短的 Microsoft Sentinel 分析规则示例：
经验丰富的 KQL 操作员不会有任何困难将其解析出来，但仍然需要一些时间来在脑海中映射出关键字、日志源、操作和事件逻辑。从未使用过 KQL 的人可能需要更多时间来了解此规则旨在检测的内容。幸运的是，我们有一个非常擅长阅读代码并用自然语言解释的朋友——OpenAI 的 GPT3！
DaVinci 等 GPT3 引擎非常擅长用自然语言解释代码，并且在 Microsoft Sentinel KQL 语法和用法方面接受过广泛培训。更好的是，Sentinel 有一个内置的 OpenAI 连接器，使我们能够将 GPT3 模型集成到自动化的 Sentinel 剧本中！我们可以使用此连接器向描述分析规则的 Sentinel 事件添加评论。这将是一个具有线性操作流程的简单逻辑应用程序：
让我们从触发器开始逐步了解逻辑应用。我们为此剧本使用 Microsoft Sentinel 事件触发器，以便我们可以使用 Sentinel 连接器从事件中提取所有相关的分析规则 ID。我们将使用规则 ID 使用 Sentinel REST API 查找规则查询文本，我们可以在文本完成提示中将其传递给 AI 模型。最后，我们会将 AI 模型的输出作为评论添加到事件中。
我们的第一个动作是作用于 Sentinel 的“事件相关分析规则 ID 项”的“For each”逻辑块：
接下来，我们需要使用 Sentinel REST API 来请求预定的警报规则本身。此 API 端点记录在此处：https://learn.microsoft.com/en-us/rest/api/securityinsights/stable/alert-rules/get ?tabs= HTTP 。如果您以前没有使用过 Sentinel API，您可以单击代码块旁边的绿色“试用”按钮，使用您的凭据预览实际请求。这是探索 API 的好方法！在我们的例子中，“Get - Alert Rules”请求如下所示：
GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/alertRules/{ruleId}?api-version=2022-11-01我们可以在我们的逻辑应用程序中使用“HTTP”操作进行此 API 调用。幸运的是，我们刚刚添加到“For each”逻辑块的与事件相关的分析规则 ID 项带有几乎所有预填充的参数。我们只需要在 API 域前面加上版本规范到最后 - subscriptionID、resourceGroupName、workspaceName 和 ruleId 的所有参数都将来自我们的动态内容对象。我的 URI 块的实际文本如下：
https://management.azure.com@{items('For_each_related_Analytics_Rule_ID')}?api-version=2022-11-01我们还需要为 HTTP 操作配置身份验证选项 - 我正在为我的逻辑应用程序使用托管标识。完成的操作块如下所示：
现在我们有了警报规则，我们只需要解析规则文本，以便我们可以将其传递给 GPT3。让我们使用 Parse JSON 操作，为其提供 HTTP 步骤中的正文内容，并定义架构以匹配此 API 调用的预期输出。生成架构的最简单方法是上传示例有效负载，但我们不需要包含我们不感兴趣的所有属性。我已将架构缩短为如下所示：
{"type": "object","properties": {"id": {"type": "string"},"type": {"type": "string"},"kind": {"type": "string"},"properties": {"type": "object","properties": {"severity": {"type": "string"},"query": {"type": "string"},"tactics": {},"techniques": {},"displayName": {"type": "string"},"description": {"type": "string"},"lastModifiedUtc": {"type": "string"}}}}}到目前为止，我们的逻辑块如下所示：
现在是时候让 AI 参与进来了！从 OpenAI 连接器中选择“GPT3 Completes your prompt”并使用上一个 Parse JSON 步骤中的“query”动态内容对象编写您的提示。我们将使用最新的达芬奇引擎并保留大部分默认参数。我们的查询没有显示高温值和低温值之间的显着差异，但我们确实希望增加“max tokens”参数，为达芬奇模型提供更多的长答案空间。完成的动作应该是这样的：
我们剧本的最后一步是使用 GPT3 的结果文本为事件添加评论。如果您想改为添加事件任务，只需选择该 Sentinel 操作即可。添加“事件 ARM ID”动态内容对象，并使用 GPT3 操作输出的“文本（完成文本）”撰写评论消息。逻辑应用程序设计器会自动将您的评论操作包装在“For each”逻辑块中。完成的评论操作应与此类似：
保存逻辑应用，让我们在事件中试用它！如果一切顺利，我们的逻辑应用程序运行历史将显示成功完成。如果出现任何问题，您可以检查每个步骤的确切输入和输出详细信息 - 一个非常宝贵的故障排除工具！在我们的例子中，它一直是绿色的复选标记：
成功！该剧本为事件添加了评论，为我们过度劳累的安全分析师节省了几分钟时间。
AirBuddy 3 是面向 macOS 的蓝牙外设增强工具，可集中查看 AirPods、Beats 与苹果设备电量，提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。
AirServer macOS版可把 Mac 转换为无线投屏接收端，通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面，并支持多设备同时连接、高清镜像及会话录制，适合家庭娱乐、课堂教学、会议演示和应用展示。
Beamer 4是面向macOS的本地视频投屏工具，可将Mac中的影片投放到Apple TV、Chromecast及兼容设备，支持常见格式、多类字幕、环绕声、播放列表和电视遥控操作。
Boom 3D macOS版是一款系统级音效增强工具，可为音乐、电影、游戏和流媒体提供3D虚拟环绕声、31段均衡器、音量增强及应用独立音量控制，并支持本地播放器与多种音频输出设备。
Boris FX macOS版是一套面向剪辑、合成、调色及动态图形工作的专业后期工具，涵盖视觉特效、平面与三维跟踪、转描、画面修复、粒子动画和音频清理，可配合多种主流宿主软件使用。
Capto 是面向 macOS 的屏幕截图、高清录屏与媒体编辑工具，支持区域及整屏捕获、网页长截图、双音轨处理、图片和视频标注、素材分类与多渠道分享，适合教师、学生、内容创作者及需要制作演示教程的用户。
Cursor Crane 是一款仅面向 macOS 的键盘操控效率工具，可通过提示标签、网格、文字查找和窗口模式完成点击、滚动、定位与切换，并支持屏幕内容提取、脚本及工作流扩展。
Deep Freeze 冰点还原 macOS版通过冻结系统配置，让受保护的Mac在重新启动后回到预设状态，并提供解冻空间、维护计划、密码保护及Apple Remote Desktop管理能力。
Focusky macOS版是一款面向教学课件、商务汇报、产品展示和动画宣传内容的演示制作工具。它通过无限画布、路径编排、缩放旋转转场及多媒体编辑，将传统逐页幻灯片转化为更具空间感的动态演示。
Folder Colorizer 2 macOS版是一款直观的文件夹外观定制工具，可更换颜色，添加表情、贴纸及图片背景，并支持批量处理、智能推荐和恢复默认样式，帮助用户更快辨认工作、学习与生活资料。
AirServer Windows版可把电脑变成AirPlay、Google Cast和Miracast无线投屏接收端，适合会议演示、课堂教学及家庭大屏分享。发送设备通常无需另装客户端，并可同时接收和智能排列多个镜像会话。
AlwaysUp是一款面向Windows的系统服务注册与程序托管工具，可让普通应用、脚本及批处理在无人登录时随系统启动，并通过状态检测、异常重启、资源监控和邮件通知保障关键任务持续运行。
AnyDesk Windows版是一款轻量化远程桌面与技术支持工具，可用于控制异地电脑、传输文件、远程打印及无人值守访问。它兼顾连接响应、安全权限和部署灵活性，适合个人远程办公、企业设备维护与客服支持。
Boom 3D Windows版是一款面向音乐、电影和游戏场景的系统级音效增强工具，支持虚拟3D环绕声、31段均衡器、预设音效、应用音量控制及本地音乐播放，可配合耳机、扬声器和蓝牙耳机使用。
Boris FX Windows版是一套服务于影视剪辑、视觉特效、运动跟踪、转描、图像修饰及音频修复的专业创作工具集合，可作为插件接入多种主流后期宿主，也包含可独立运行的应用，适合剪辑师、特效师与内容创作者使用。
ChemDraw Windows版是一款面向化学研究、药物研发、材料科学和教学工作的专业结构绘图工具，可快速绘制分子、反应式及生物聚合物，并提供结构整理、格式转换、性质计算和科研文档协作能力。
CODESOFT Windows版是一套企业级条码与RFID标签设计打印工具，可连接Excel、Access、SQL及云端数据源，支持变量、表单、GS1条码、数据库记录和多种工业打印机，适合制造、仓储、物流及合规标识场景。
Deep Freeze 冰点还原 Windows版通过重启恢复技术保护系统盘及指定分区，自动撤销恶意程序、误操作和配置漂移造成的改动，并支持密码保护、解冻空间与多硬盘管理，适合学校机房、公共电脑、办公终端及家庭电脑使用。
EDIUS 11 Windows版是一款面向影视制作、广播电视、纪录片、短视频及教育机构的专业非线性编辑工具，支持4K/8K、多格式混编、HDR调色、字幕、音频处理和后台渲染，并提供素材管理及丰富的导出预设。
FastStone Capture Windows版是一款轻量级屏幕捕捉、录屏与图像编辑工具，可截取窗口、区域、菜单和滚动页面，并提供标注、模糊、取色、OCR、录音录像及多格式导出能力，适合办公说明、教程制作和问题反馈。
Focusky Windows版是一款动画演示与交互课件制作工具，通过无限画布、缩放旋转镜头、模板素材和对象动画组织内容，可导入PPTX，并输出视频、EXE、PDF、网页等格式，适用于课堂教学、微课、商务汇报及产品展示。