Vizualizace grafů v Microsoft Sentinel (Preview)

Prostředí grafů na portálu Microsoft Defender umožňuje provádět interaktivní šetření na základě grafů na vlastních grafech, například pomocí grafu vytvořeného pro analýzu útoků phishing, který vám pomůže rychle vyhodnotit dopad nedávného incidentu, profilovat útočníka a sledovat jeho cesty napříč telemetrií Microsoftu a daty třetích stran. Prostředí grafů umožňuje spouštět grafové dotazy, abyste vizualizovali přehledy, které jsou pro vaši organizaci nejdůležitější, a podporuje ad hoc procházení grafu, abyste mohli rychle prozkoumat entity, které vás zajímají. Můžete si prostudovat schéma grafu, abyste porozuměli vztahům definovaným v grafu a pomocí kteréhokoli ze zobrazených metadat zúžili výsledky. Výsledky můžete rychle ověřit pomocí zobrazení tabulky a exportovat je pro snadnou integraci do všech existujících pracovních postupů. Pomocí aplikace Jupyter Notebooks v Microsoft Visual Studio Code můžete vytvářet a materializovat vlastní grafy a pak pomocí prostředí grafů v Microsoft Sentinel dotazovat a vizualizovat vlastní grafy.

Pomocí Microsoft Sentinel grafu můžete dotazovat, vizualizovat grafy a pracovat s nimi, abyste získali nové přehledy.

Požadavky

Pro přístup k grafové zkušenosti v Microsoft Sentinel a dotazování grafové zkušenosti za účelem vytvoření vizualizací musíte mít příslušná oprávnění. Další informace najdete v tématu Začínáme s vlastními grafy v Microsoft Sentinel. Uživatelé Sentinel Scope nemají přístup k Sentinel Graphs, pokud nemají přiřazenou jednu ze čtyř vysoce privilegovaných rolí, které obcházejí omezení rozsahu: Čtenář zabezpečení, Operátor zabezpečení, Správce zabezpečení nebo Globální správce.

Přístup k grafům

Pokud chcete získat přístup k prostředí grafu v Microsoft Sentinel, přihlaste se k portálu Microsoft Defender a v navigačním podokně vyberte Microsoft Sentinel>Grafy.

Stránka správy Sentinel Graph uvádí vlastní grafy, které jste vytvořili pomocí rozšíření Microsoft Sentinel pro Visual Studio Code a které se zhmotnily publikováním grafové úlohy. Graf vytvořený pouze v interaktivní seanci v zápisníku není na této stránce dostupný. Pokud jste ještě nezveřejnili vlastní graf, podívejte se na Vytvořit vlastní graf a začněte.

Pokud jste už vytvořili vlastní grafy, zobrazí se na stránce Grafy v Microsoft Sentinel všechny dostupné vlastní grafy. Přehled jednotlivých vlastních grafů zobrazíte výběrem nabídky ... na libovolné dlaždici grafu.

Grafy publikované on-demand grafovou úlohou jsou uchovávány po dobu 30 dnů a poté smazány. Plánované grafové úlohy přestavují grafy podle svých konfigurovaných plánů obnovy. Pokud graf chybí nebo jsou jeho data zastaralá, zkontrolujte stav a harmonogram grafových úloh v rozšíření Microsoft Sentinel pro Visual Studio Code.

Dotazovat vlastní graf

Vyberte na dlaždici grafu možnost Dotaz na graf, aby se zobrazila stránka s dotazem na graf.

Dotazy na grafy jsou fakturovány pod grafovým měřičem Microsoft Sentinel. Pro více informací viz Grafové náboje.

Prohlédněte si schéma, abyste porozuměli grafové ontologii – uzly, hrany a jejich vlastnosti dostupné pro dotazování.

Vyberte kartu Začínáme .
Zobrazí se seznam navrhovaných dotazů. U dotazu Vizualizovat libovolný graf vyberte možnost Upravit dotaz a zkopírujte jej do editoru dotazů.
- Zadejte více dotazů ručně nebo vyberte další navrhované dotazy.
- Editor podporuje vrácení zpět (Ctrl+Z) a znovu (Ctrl+Y).
- Před spuštěním dotazu zvýrazněte správný dotaz v editoru.
- Když zadáte dotazy GQL ručně, editor navrhne prediktivní hodnoty na základě schématu grafu.
Tento příklad dotazu Vizualizovat libovolný graf odpovídá vzoru libovolného jednokrokového spojení v grafu a vyhledá zdrojový uzel, orientovaný vztah a cílový uzel. Vrátí celé uzly i vztahy u až 100 takových shod, což je užitečné pro rychlé zkoumání surové struktury grafu.
```
MATCH (x)-[y]->(z)
RETURN *
LIMIT 100
```
Další informace o používání jazyka GQL najdete v referenčních informacích k jazyku GQL (Graph Query Language).

Note

Předdefinované dotazy obsahují výchozí klauzuli LIMIT (například LIMIT 100), která omezuje počet vrácených výsledků. Tento výchozí stav udržuje počáteční vizualizace responzivní, ale vidíte pouze část grafových dat. Chcete-li vidět všechny shodné výsledky, upravte dotaz tak, abyste zvýšili hodnotu, nebo odstraňte klauzuli LIMIT před jeho spuštěním. Vrácení velkých sad výsledků může ovlivnit výkon, proto limit zvyšujte postupně, abyste pro svůj graf našli optimální rovnováhu.
Vyberte Spustit dotaz GQL a zobrazte výsledky. Dotaz můžete zrušit uprostřed provádění. Zkopírujte obsah buňky editoru dotazů a sdílejte ho nebo uložte jinde.
Po dokončení dotazu se zobrazí vizualizace grafu. Některé dotazy používají operátory, jako je COLLECTLIST, které nelze vykreslit jako graf. Operátory, které nelze zobrazit jako graf, se odrážejí v zobrazení tabulky. Když dotaz používá operátory, které nelze zobrazit jako graf, karta graf zobrazí zkratku vysvětlující, proč graf nelze vykreslit
Výběrem libovolného uzlu zobrazíte podrobnosti o uzlu, včetně vlastností přidružených k uzlu. Použijte tyto informace jako podklad pro následné dotazy a vizualizace.
Výběrem karty Tabulka zobrazíte tabulkové znázornění výsledků. Výběrem řádku zobrazíte podkladová data JSON pro každou buňku.

Pracujte s grafy

Při procházení a zkoumání grafů využijte následující možnosti:

Barvy uzlů

Uzly jsou barevně rozlišované podle typu, což usnadňuje vizualizaci různých typů entit v grafu.

Legenda grafu

Legenda grafu zobrazuje všechny typy uzlů v grafu s odpovídajícími barvami a počty. Uvádí také všechny typy hran, abyste porozuměli tomu, jak jsou uzly vzájemně propojeny.

Popisky uzlů

Při přiblížení grafu se zobrazí více popisků uzlů. Jako první se zobrazí štítky uzlů s největším počtem propojení, které jsou znázorněné většími kruhy. Jak budete pokračovat v přiblížení, zobrazí se další popisky uzlů v sestupném pořadí připojení.

Najeďte myší na uzly

Když najedete myší na uzel, graf zvýrazní jeho připojení a skryje nesouvisející uzly a hrany, abyste jasně viděli klíčové informace a způsob připojení uzlu k ostatním. Zobrazí se automaticky otevírané okno s dalšími informacemi o uzlu.

Seskupení a oddělení

Ve výchozím nastavení jsou uzly v grafické vizualizaci seskupeny, pokud jsou stejného typu uzlu a jsou připojeny ke stejnému zdrojovému uzlu stejným typem hrany. Například uzly „file“ a hrany „accessed by“. Seskupené uzly jsou reprezentovány skládanými kruhy v popisném rozložení a tvary kosočtverců ve zjednodušeném rozložení. Seskupení uzlů vytváří přehlednější vizualizaci s menším počtem uzlů, což je důležité při zkoumání velkých grafů. Pokud chcete oddělit uzly, klikněte pravým tlačítkem myši a vyberte oddělit všechny uzly. Výběrem skupiny uzlů otevřete pravé podokno všech uzlů v této skupině. Vyberte jednotlivé uzly, které chcete oddělit, a ponechte nevybrané uzly v jejich původním seskupení. Pokud chcete znovu seskupit uzly, klikněte pravým tlačítkem na libovolný uzel, který byl součástí skupiny, a vyberte Znovu seskupit.

Zobrazení podrobností o uzlu

Výběrem uzlu otevřete podokno podrobností na pravé straně. Použijte metadata zobrazená v panelu detailů k upřesnění budoucích dotazů – například filtrováním podle geografického regionu, oddělení nebo data poslední aktualizace.

Prozkoumejte připojená zařízení

Klikněte na uzel pravým tlačítkem myši a vyberte možnost Prozkoumat připojená aktiva, abyste mohli procházet graf a zobrazit další krok z tohoto uzlu. Při prohlížení podrobného rendereru můžete také procházet kliknutím na ikonu plus +vedle uzlu.

Filtrování grafu

Pomocí filtrů v pravém horním rohu plátna grafu můžete zúžit vizualizované výsledky podle typu uzlu nebo vztahu okrajů.

Výsledky dotazu můžete sdílet výběrem možnosti Sdílet dotaz. V této rozevírací nabídce si můžete vybrat mezi třemi možnostmi:

Zkopírujte odkaz na poslední spuštěný dotaz: vytvoří a zkopíruje adresu URL, která uživatele směruje na stránku grafu s odkazovaným dotazem již v editoru GQL.
Kopírovat odkaz na kód: vytvoří a zkopíruje odkaz na sdíletelnou adresu URL a obsah kódu dotazu.
Kopírování výsledků grafu: vytvoří a zkopíruje odkaz na sdíletelnou adresu URL, který automaticky spustí dotaz pro vygenerování grafu, stejně jako obsah kódu dotazu a snímek obrazovky vytvořeného grafu.

Můžete také vytvořit přímé odkazy na dotazy grafu, které otevřou stránku grafu s předem vyplněným dotazem a volitelně spustí dotaz. Další informace najdete v tématu Vytváření přímých odkazů na dotazy na grafy Microsoft Sentinel.

Zobrazení tabulky

Pokud chcete zobrazit tabulkové znázornění dat, vyberte kartu Tabulka . V tabulce můžete:

Ověřte, že váš dotaz v Graph Query Language (GQL) přinesl požadované výsledky.
Vyhledejte a seřaďte tabulku a rychle najděte entity, které vás zajímají.
Zobrazte podkladový kód JSON pro jednotlivé buňky a zadejte klíčový kontext, který můžete použít v budoucích dotazech.
Exportujte do formátu CSV pro použití v jiných pracovních postupech, které již existují.

Formát tabulky můžete přizpůsobit pomocí operátoru RETURN k definování struktury sloupců nebo seřazení výsledků podle vašich preferencí. Další informace najdete v dokumentaci ke GQL.

Konfigurace možností vizualizace grafů

V pravém dolním rohu plátna grafu můžete vizualizaci grafu přizpůsobit pomocí řady možností konfigurace.

Layouts

První tlačítko nastavení nabízí řadu možností přizpůsobení pro vizualizaci grafu.

Vyberte grafový renderer

Aby bylo možné vyhovět cílovým šetřením i rozsáhlému otevřenému zkoumání, graf k vytváření vizualizací používá dva různé vykreslovací moduly. Ve výchozím nastavení je renderer nastavený na "auto", což znamená, že se graf vykresluje na základě počtu zobrazených uzlů. Použijte popisný nebo zjednodušený renderer podle vašich potřeb. Popisný renderer je nejvhodnější pro menší grafy, kde je klíčem podrobná členitost. Obsahuje malá vylepšení, jako jsou ikony plus (+) vedle každého uzlu pro snadné procházení grafu a seskupené uzly jsou reprezentovány skládanými kruhy. Zjednodušený renderer je vhodnější pro velké grafy s tisíci uzlů, škálováním pro otevřené zkoumání prezentovaných dat a představuje skupiny uzlů jako kosočtverce.

Následující obrázek ukazuje rozdíl mezi popisným rendererem vlevo a zjednodušeným rendererem vpravo.

Vyberte rozložení grafu

Máte možnost změnit rozložení grafu z „force“ (výchozí) na „directed“. Rozložení „force“ automaticky zobrazuje uzly na základě jejich propojení, čímž vzniká propojený graf, ve kterém lze anomálie snadno identifikovat. Směrované rozvržení má přísnější strukturu a uspořádává uzly shora dolů přehledným, lineárním způsobem. Následující obrázek ukazuje směrované uspořádání.

Konfigurace chování interakce grafu

Ve výchozím nastavení je vybraná možnost Zachovat pozice u změn dat. Nastavení "Uchovat pozice při změně dat" zajišťuje, že akce jako rozšíření připojení uzlů nebo seskupování/rozdělování nemění polohu ostatních uzlů. Vypnutí nastavení "Zachovat pozice při změně dat" posune umístění stávajících uzlů při rozšiřování nebo seskupování a rozskupování uzlů.

Dostupné grafové akce

Výběrem možnosti „Realign graph“ se graf vrátí do původního stavu.

Konfigurace grafových vrstev

Ve výchozím nastavení jsou popisky uzlů i okrajů viditelné v grafu a také ikony pro předdefinované grafy. V nabídce nastavení vypněte popisky a ikony.

Přepnout do režimu celé obrazovky

Výběrem zobrazení na celou obrazovku zobrazíte graf v režimu zobrazení na celé obrazovce a získáte tak výrazně více místa, kde můžete vizualizaci prozkoumat.

Přizpůsobit velikost zobrazení

Vyberte možnost Přizpůsobit přiblížení, aby se graf přemístil tak, že budou všechny uzly viditelné a graf bude zabírat většinu plochy plátna grafu. Zatímco možnost "Realaligned graph" vrátí graf zpět do původního stavu, možnost přiblížení jednoduše odpovídá grafu (s přesunutými uzly nebo jinými úpravami) na obrazovce.

Váš názor

Byla tato stránka užitečná?

Poslední aktualizace v 2026-08-14