Gráfok megjelenítése a Microsoft Sentinelben (előzetes verzió)

A Microsoft Defender portál gráfjainak felülete lehetővé teszi, hogy interaktív gráfalapú vizsgálatokat végezzen az egyéni gráfokon, például adathalászati elemzésre létrehozott gráf használatával gyorsan kiértékelheti egy közelmúltbeli incidens hatását, profilt készíthet a támadóról, és nyomon követheti a microsoftos telemetriai és külső adatok útvonalait. A gráfok használata lehetővé teszi, hogy gráf lekérdezéseket futtasson a szervezet számára legfontosabb megállapítások megjelenítéséhez, és támogatja a gráf alkalmi bejárását, hogy gyorsan megvizsgálhassa az érdekes entitásokat. A gráfsémát tanulmányozva megismerheti a gráfon definiált kapcsolatokat, és a megjelenített metaadatok bármelyikével szűkítheti az eredményeket. A táblanézettel gyorsan ellenőrizheti az eredményeket, és exportálhatja őket, hogy könnyen integrálódjanak a már használatban lévő munkafolyamatokba. A Microsoft Visual Studio Code Jupyter-notebookjaival egyéni gráfokat hozhat létre és alakíthat ki, majd a Microsoft Sentinel gráfhasználatával lekérdezheti és megjelenítheti az egyéni gráfokat.

A Microsoft Sentinel gráf használatával lekérdezést, vizualizációt és gráfokkal való interakciót végezhet új elemzések beszerzéséhez.

Előfeltételek

• Ahhoz, hogy hozzáférj a Microsoft Sentinel-ben lévő gráfélményhez, és lekérdezhesd a gráf élményét vizualizációk létrehozásához, rendelkezned kell a megfelelő jogosultságokkal. További információkért lásd: Ismerkedés a Microsoft Sentinel egyéni gráfjaival. A Sentinel-hatókör felhasználói csak akkor férhetnek hozzá a Sentinel-gráfokhoz, ha a hatókörkezelést felülíró négy kiemelt szerepkör egyikével rendelkeznek: Biztonsági olvasó, Biztonsági operátor, Biztonsági rendszergazda vagy Globális rendszergazda.

Hozzáférési gráfok

A Microsoft Sentinel gráfélményének eléréséhez jelentkezzen be a Microsoft Defender portálra, és válassza a Microsoft Sentinel>Graphs lehetőséget a navigációs panelen.

A Sentinel Graph menedzsment oldal olyan egyedi grafikonokat listal, amelyeket a Microsoft Sentinel kiterjesztéssel hoztál létre a Visual Studio Code-hoz, és amelyeket egy gráf munka közzétételével valósítottál meg. Egy csak interaktív jegyzetfüzet alkalomban létrehozott grafikon ezen az oldalon nem érhető el. Ha még nem publikáltál egyedi grafikont, lásd: Egyedi grafikon létrehozása , hogy elkezdj.

Ha már létrehozott egyéni gráfokat, a Microsoft Sentinel Gráfok lapján megjelenik az összes elérhető egyéni gráf. Az egyes egyéni grafikonok áttekintésének megtekintéséhez válassza bármelyik gráfcsempe ... menüjét.

A gráfok igény szerinti nyomtatásában közzétett grafikonokat 30 napig megőrzik, majd törölik. Az ütemezett gráf feladatok újraépítik a grafikonokat a konfigurált frissítési ütemterveiken. Ha hiányzik egy gráf vagy az adatai elavultak, nézd meg a gráf munka állapotát és ütemezését a Microsoft Sentinel Visual Studio Code kiterjesztésében.

Egyéni gráf lekérdezése

A gráf lekérdezési oldalának megtekintéséhez válassza a Gráf lekérdezése lehetőséget a gráf csempéjén.

A gráf lekérdezéseket a Microsoft Sentinel gráfmérő számlázza. További információért lásd: Graph díjak.

Tekintse meg a sémát a gráf ontológiájának – a lekérdezhető csomópontoknak, éleknek és tulajdonságaiknak – megismeréséhez.

1. Válassza az Első lépések lapot

2. Megjelenik a javasolt lekérdezések listája. Válassza a Lekérdezés szerkesztése lehetőséget a Vizualizáció bármely gráf lekérdezéséhez a lekérdezésszerkesztőbe való másoláshoz.

   • Adjon meg manuálisan több lekérdezést, vagy válasszon további javasolt lekérdezéseket.
   • A szerkesztő támogatja a visszavonást (Ctrl+Z) és az ismétlést (Ctrl+Y).
   • A lekérdezés futtatása előtt jelölje ki a megfelelő lekérdezést a szerkesztőben.
   • Ha manuálisan írja be a GQL-lekérdezéseket, a szerkesztő prediktív értékeket javasol a gráf sémája alapján.

   Ez a példa-lekérdezés, Bármely gráf vizualizálása, illeszkedik a gráf bármely egylépéses kapcsolatára, megtalálva egy forráscsomópontot, egy irányított kapcsolatot és egy célcsomópontot. Akár 100 ilyen egyezés teljes csomópontját és kapcsolatát adja vissza, így hasznos lehet a nyers gráfstruktúra gyors feltárásához.

   MATCH (x)-[y]->(z)
   RETURN *
   LIMIT 100
   

   A GQL használatával kapcsolatos további információkért lásd a Graph Query Language (GQL) referenciáját.

   Note

   Az előre definiált lekérdezések tartalmaznak egy alapértelmezett LIMIT záradékot (például LIMIT 100), amely korlátozza a visszaküldött eredmények számát. Ez az alapértelmezett állapot az első vizualizációkat reakcióssá teszi, de csak a gráf adatainak egy részhalmazát látod. Az összes egyező eredmény megtekintéséhez módosítsd a lekérdezést, hogy növelje az értéket, vagy távolítsd el a LIMIT záradékot, mielőtt lefuttatnád. A nagy eredményhalmazok visszaküldése befolyásolhatja a teljesítményt, ezért fokozatosan növeld a határt, hogy megtaláld a megfelelő egyensúlyt a grafikonodhoz.

3. Válassza a GQL-lekérdezés futtatása lehetőséget az eredmények megtekintéséhez. A lekérdezéseket a végrehajtás közepén is megszakíthatja. Másolja a lekérdezésszerkesztő cellájának tartalmát a lekérdezés máshová való megosztásához vagy mentéséhez.

4. Amikor a lekérdezés befejeződik, megjelenik a gráfvizualizáció. Egyes lekérdezések olyan operátorokat használnak, mint a COLLECTLIST, amelyek nem jeleníthetők meg gráfként. Azok az operátorok, amelyeket nem lehet grafikonként megjeleníteni, a táblázat nézetében tükröződnek. Amikor egy lekérdezés olyan operátorokat használ, amelyeket nem lehet grafikonként renderelni, a gráf fülön megjelenik egy üzenet, amely elmagyarázza, miért nem lehet a gráfot megjeleníteni

5. Válasszon ki egy csomópontot a csomópont részleteinek megtekintéséhez, beleértve az adott csomóponthoz társított tulajdonságokat is. Ezekkel az információkkal tájékoztathatja a további lekérdezéseket és vizualizációkat.

   

6. Válassza a Táblázat lapot az eredmények táblázatos megjelenítéséhez. Jelöljön ki egy sort az egyes cellák mögöttes JSON-adatainak megtekintéséhez.

   

Gráfok kezelése

A gráfok bejárásához és felfedezéséhez használja az alábbi képességeket:

Csomópontszínek

A csomópontok típus szerint vannak színkódolva, így egyszerűen megjeleníthetőek a különböző entitástípusok a gráfban.

Gráf jelmagyarázata

A gráf jelmagyarázata a gráf összes csomóponttípusát megjeleníti a hozzájuk tartozó színekkel és darabszámokkal. Emellett felsorolja az összes éltípust, így megtudhatja, hogyan kapcsolódnak egymáshoz a csomópontok.

Csomópontcímkék

Ahogy ránagyít a grafikonra, még több csomópontfelirat jelenik meg. Az első megjelenítendő címkék a leginkább csatlakoztatott csomópontok, amelyeket nagyobb körök jelölnek. A nagyítás során egyre több csomópontcímke jelenik meg csökkenő kapcsolati sorrendben.

Mutasson a csomópontokra

Amikor rámutat egy csomópontra, a gráf kiemeli a kapcsolatokat, és elrejti a nem kapcsolódó csomópontokat és éleket, hogy egyértelműen láthassa a legfontosabb információkat, és hogy a csomópont hogyan csatlakozik másokhoz. Megjelenik egy előugró ablak, amely további információkat jelenít meg a csomópontról.

Csoportosítás és csoportbontás

Alapértelmezés szerint a csomópontok akkor vannak csoportosítva a gráfvizualizáción, ha azonos csomóponttípusúak, és ugyanahhoz a forráscsomóponthoz ugyanahhoz a peremhálózati típushoz csatlakoznak. Például a "file" csomópontok és a "hozzáféréssel rendelkező" élek. A csoportosított csomópontokat a leíró elrendezésben egymásra helyezett körök, az egyszerűsített elrendezésben pedig gyémánt alakzatok jelölik. A csomópontok csoportosítása tisztább vizualizációt eredményez kevesebb csomóponttal, ami fontos a nagy gráfok vizsgálatakor. A csomópontok csoportbontásához kattintson a jobb gombbal, és válassza a csoportbontás lehetőséget az összes csomópont felbontásához. Válassza ki a csomópontcsoportot a csoporton belüli összes csomópont jobb oldali paneljének megnyitásához. Jelölje ki az egyes csomópontokat a csoportbontáshoz, és hagyja meg a kijelöletlen csomópontokat az eredeti csoportosításban. Csomópontok újracsoportosításához kattintson a jobb gombbal a csoporthoz tartozó csomópontokra, és válassza az Újracsoportosítás lehetőséget.

Csomópont részleteinek megtekintése

Jelöljön ki egy csomópontot a jobb oldalon található részletek panel megnyitásához. A részletek ablakban látható metaadatokat használd a jövőbeli lekérdezések finomításához – például földrajzi régió, minisztérium vagy utolsó frissítési dátum szűrésével.

Csatlakoztatott eszközök felfedezése

Kattintson a jobb gombbal a csomópontra, és válassza a Csatlakoztatott objektumok felfedezése lehetőséget a gráf bejárásához és a csomópont következő ugrásának megtekintéséhez. A részletes megjelenítő megtekintésekor a csomópont melletti plusz "+" ikonra kattintva is áthaladhat.

Gráf szűrése

A gráfvászon jobb felső sarkában található szűrőkkel leszűkítheti a vizualizált eredményeket csomóponttípus vagy élkapcsolat alapján.

Gráferedmények megosztása

A lekérdezés eredményeinek megosztásához válassza a Lekérdezés megosztása lehetőséget. Ebben a legördülő menüben három lehetőség közül választhat:

• Az utolsó futtatási lekérdezésre mutató hivatkozás másolása: létrehoz és másol egy URL-címet, amely átirányítja a felhasználót a gráflapra a hivatkozott lekérdezéssel, amely már megtalálható a GQL-szerkesztőben.
• Hivatkozás másolása a kódhoz: létrehoz egy megosztható URL-t, majd kimásolja a lekérdezéskód tartalmát.
• Gráferedmények másolása: létrehoz és másol egy megosztható URL-hivatkozást, amely automatikusan futtatja a lekérdezést a gráf létrehozásához, valamint a lekérdezéskód tartalmát és a létrehozott gráf képernyőképét.

A gráflekérdezésekre mutató közvetlen hivatkozásokat is létrehozhat, amelyek megnyitják a gráflapot az előre kitöltött lekérdezéssel, és opcionálisan futtatják a lekérdezést. További információ: Mélyhivatkozások létrehozása Microsoft Sentinel gráfos lekérdezésekhez.

Táblázat nézet

Az adatok táblázatos ábrázolását a Táblázat fülre kattintva tekintheti meg. A táblázatból a következőt teheti:

• Ellenőrizd, hogy a Graph Query Language (GQL) lekérdezésed a kívánt eredményt hozta.
• A táblában való kereséssel és rendezéssel gyorsan megtalálhatja a kívánt entitásokat.
• Tekintse meg az egyes cellák alapjául szolgáló JSON-t, és adja meg a jövőbeli lekérdezésekben használható kulcskörnyezetet.
• Exportálás CSV formátumba más, már használatban lévő munkafolyamatokban való használatra.

Testre szabhatja a táblázat formátumát az RETURN operátorral az oszlopstruktúra meghatározásához, vagy tetszés szerint rendezheti az eredményeket. További információt a GQL dokumentációjában talál.

Konfiguráld a gráf vizualizációs opciókat

A gráfvászon jobb alsó sarkában számos konfigurációs beállítással testre szabhatja a gráfvizualizációt.

Layouts

Az első beállítások gomb számos testreszabási lehetőséget kínál a gráfvizualizációhoz.

Válassz egy gráfrenderelőt

A célzott vizsgálatok és a nagy léptékű nyílt feltárások fogadására a gráf két különböző renderelőt használ a vizualizációk létrehozásához. Alapértelmezés szerint a renderelő "automatikus" értékre van állítva, ami azt jelenti, hogy a gráf a megjelenített csomópontok száma alapján renderel. Igény szerint használjon leíró vagy egyszerűsített renderelőt. A leíró renderelő leginkább kisebb gráfokhoz használható, ahol a részletesség kulcsfontosságú. Az egyszerű gráfbejárás érdekében az egyes csomópontok mellett kisebb fejlesztések, például plusz ("+") ikonok találhatók, a csoportosított csomópontokat pedig halmozott körök jelölik. Az egyszerűsített renderelő jobban használható több ezer csomópontot tartalmazó nagyméretű gráfokhoz, skálázással a bemutatott adatok nyílt feltárásához, és gyémántalakzatként jelöli a csomópontcsoportokat.

A következő kép bemutatja a bal oldali leíró renderelő és a jobb oldali egyszerűsített renderelő közötti különbséget.

Válassz egy gráfelrendezést

Lehetősége van arra, hogy a gráf elrendezését "force" (alapértelmezett) értékről "irányított" értékre módosítsa. Az erőelrendezés automatikusan megjeleníti a csomópontokat a kapcsolataik alapján, és egy összekapcsolt gráfot hoz létre, ahol az anomáliák könnyen azonosíthatók. Az irányított elrendezés szigorúbb struktúrát követ, és a csomópontokat tiszta, lineáris módon rendezi felülről lefelé. A következő kép mutatja be az irányított elrendezést.

Konfigurálni a gráf interakciós viselkedését

Alapértelmezés szerint az "Adatváltozás pozícióinak megőrzése" lehetőség van kiválasztva. A "Pozíciók megőrzése adatváltozáson" beállítás biztosítja, hogy olyan műveletek, mint a csomópont-kapcsolatok bővítése vagy csoportosítás/csoportosítás ne változtassa más csomópontok pozicionálását. A "Pozíciók megőrzése adatváltáskor" beállítás kikapcsolása a meglévő csomópontok pozicionálását módosítja, amikor csomópont-kapcsolatok bővítése vagy csoportosítási és csoportosítási műveletek történik.

Elérhető gráfműveletek

Az "Újraalakítási gráf" lehetőség választásával visszaállítja a gráfot az eredeti állapotára.

Grafikonrétegek konfigurálása

Alapértelmezés szerint a csomópont- és élfeliratok is láthatók a gráfon, valamint az előre definiált gráfok ikonjai. Kapcsolja ki a címkéket és ikonokat a Beállítások menüből.

Váltás teljes képernyős módra

A teljes képernyős megjelenítés kiválasztásával teljes képernyős módban tekintheti meg a gráfot, így jelentősen több helyet biztosít a vizualizáció megismeréséhez.

Nagyítás az illesztéshez

A nagyítás beállításával áthelyezheti a gráfot úgy, hogy az összes csomópont látható legyen, és a gráfvászon képernyőjének nagy részét felvegye. Míg a "Újraigazítás gráf" opció visszaállítja a grafikont eredeti állapotába, a zoom to fit opció egyszerűen illeszkedik a grafikonhoz (bármilyen áthelyezett csomópontokkal vagy más testreszabással) a képernyőn belül.

Kapcsolódó tartalom

• Microsoft Sentinel gráf áttekintése
• Egyéni diagramok a Microsoft Sentinelben
• Egyéni gráfok létrehozása a Microsoft Sentinelben
• GQL-referencia Microsoft Sentinel gráfhoz
• Mélyhivatkozások létrehozása Microsoft Sentinel gráfos lekérdezésekhez