Memvisualisasikan grafik di Microsoft Azure Sentinel (pratinjau)

Pengalaman grafik di portal Pertahanan Microsoft memungkinkan Anda melakukan penyelidikan berbasis grafik interaktif pada grafik kustom Anda, seperti menggunakan grafik yang dibuat untuk analisis pengelabuan untuk membantu Anda mengevaluasi dampak insiden terbaru dengan cepat, membuat profil penyerang, dan melacak jalurnya di seluruh telemetri Microsoft dan data pihak ketiga. Pengalaman grafik memungkinkan Anda menjalankan kueri grafik untuk memvisualisasikan wawasan yang paling penting bagi organisasi Anda dan mendukung traversal ad hoc grafik sehingga Anda dapat dengan cepat menyelidiki entitas yang menarik. Anda dapat mempelajari skema grafik untuk memahami hubungan yang ditentukan pada grafik Anda dan menggunakan salah satu metadata yang ditampilkan untuk mempersempit hasil Anda. Anda dapat dengan cepat memvalidasi hasil Anda dengan tampilan tabel dan mengekspornya untuk integrasi yang mudah ke dalam alur kerja yang sudah ada sebelumnya. Gunakan Jupyter Notebooks di Microsoft Visual Studio Code untuk membuat dan mewujudkan grafik kustom Anda, lalu gunakan pengalaman grafik di Microsoft Azure Sentinel untuk mengkueri dan memvisualisasikan grafik kustom Anda.

Gunakan grafik Microsoft Sentinel untuk mengkueri, memvisualisasikan, dan berinteraksi dengan grafik untuk mendapatkan wawasan baru.

Prerequisites

  • Untuk mengakses pengalaman grafik di Microsoft Sentinel dan melakukan query ke pengalaman grafik untuk menghasilkan visualisasi, Anda harus memiliki izin yang sesuai. Untuk informasi selengkapnya, lihat Mulai menggunakan grafik kustom di Microsoft Azure Sentinel. Pengguna dengan Sentinel Scope tidak dapat mengakses Sentinel Graphs kecuali mereka memiliki salah satu dari empat peran dengan hak akses istimewa tinggi yang mengesampingkan pembatasan cakupan: Security Reader, Security Operator, Security Admin, atau Global Admin.

Mengakses grafik

Untuk mengakses pengalaman grafik di Microsoft Sentinel, masuk ke portal Microsoft Defender, pilih Microsoft Sentinel>Graphs dari panel navigasi.

Halaman manajemen Sentinel Graph menampilkan grafik kustom yang Anda buat dengan ekstensi Microsoft Sentinel untuk Visual Studio Code dan diwujudkan dengan mempublikasikan pekerjaan grafik. Grafik yang dibuat hanya dalam sesi notebook interaktif tidak tersedia di halaman ini. Jika Anda belum mempublikasikan grafik kustom, lihat Buat grafik kustom untuk memulai.

Jika Anda sudah membuat grafik kustom, halaman Grafik di Microsoft Sentinel menampilkan semua grafik kustom yang tersedia. Lihat gambaran umum setiap grafik kustom dengan memilih menu ... pada petak grafik apa pun.

Grafik yang dipublikasikan oleh pekerjaan grafik on-demand disimpan selama 30 hari lalu dihapus. Pekerjaan graf terjadwal membangun ulang grafik pada jadwal penyegaran yang telah dikonfigurasi. Jika sebuah grafik hilang atau datanya sudah basi, tinjau status dan jadwal pekerjaan grafik di ekstensi Microsoft Sentinel untuk Visual Studio Code.

Cuplikan layar memperlihatkan cara mengakses grafik Sentinel dari panel navigasi Microsoft Azure Sentinel.

Mengkueri grafik kustom

Pilih Grafik kueri pada petak peta grafik untuk menampilkan halaman kueri grafik.

Kueri grafik ditagih di bawah meter graf Microsoft Sentinel. Untuk informasi lebih lanjut, lihat Grafik biaya.

Lihat skema untuk memahami ontologi grafik – simpul, tepi, dan propertinya yang tersedia untuk kueri.

Cuplikan layar memperlihatkan halaman pembuatan grafik Sentinel dengan panel skema dan input kueri.

  1. Pilih tab Memulai

  2. Daftar kueri yang disarankan akan muncul. Pilih Edit kueri untuk Visualisasikan kueri grafik apa pun untuk menyalinnya ke editor kueri.

    • Masukkan beberapa kueri secara manual atau pilih kueri tambahan yang disarankan.
    • Editor mendukung urungkan (Ctrl+Z) dan ulangi (Ctrl+Y).
    • Sebelum menjalankan kueri, sorot kueri yang benar di editor.
    • Saat Anda mengetik kueri GQL secara manual, editor menyarankan nilai prediktif berdasarkan skema grafik Anda.

    Contoh kueri ini, Visualisasikan graf apa pun, mencocokkan koneksi satu hop dalam graf, dengan menemukan simpul sumber, relasi terarah, dan simpul target. Ini mengembalikan simpul dan hubungan penuh hingga 100 kecocokan seperti itu, membuatnya berguna untuk menjelajahi struktur grafik mentah dengan cepat.

    MATCH (x)-[y]->(z)
RETURN *
LIMIT 100

    Untuk informasi selengkapnya tentang menggunakan GQL, lihat referensi Graph Query Language (GQL).

    Note

    Kueri yang telah ditentukan sebelumnya mencakup klausa default LIMIT (misalnya, LIMIT 100) yang membatasi jumlah hasil yang dikembalikan. Default ini membuat visualisasi awal tetap responsif, tetapi Anda hanya melihat sebagian dari data grafik Anda. Untuk melihat semua hasil yang cocok, edit kueri untuk meningkatkan nilai atau menghapus LIMIT klausa sebelum menjalankannya. Mengembalikan set hasil yang besar dapat memengaruhi kinerja, jadi tingkatkan batas secara bertahap untuk menemukan keseimbangan yang tepat untuk grafik Anda.

  3. Pilih Jalankan kueri GQL untuk menampilkan hasil Anda. Anda dapat membatalkan kueri pertengahan eksekusi. Salin konten sel editor kueri Anda untuk berbagi atau menyimpan kueri di tempat lain.

  4. Saat kueri selesai, visualisasi grafik muncul. Beberapa kueri menggunakan operator seperti COLLECTLIST yang tidak dapat ditampilkan sebagai grafik. Operator yang tidak dapat dirender sebagai grafik akan tercermin dalam tampilan tabel. Ketika sebuah kueri menggunakan operator yang tidak dapat dirender sebagai grafik, tab grafik menampilkan pesan yang menjelaskan mengapa grafik tidak dapat dirender

  5. Pilih simpul apa pun untuk melihat detail simpul, termasuk properti yang terkait dengan simpul tersebut. Gunakan informasi ini untuk menginformasikan kueri dan visualisasi berikutnya.

    Cuplikan layar memperlihatkan hasil visualisasi grafik Sentinel setelah menjalankan kueri GQL.

  6. Pilih tab Tabel untuk menampilkan representasi tabular hasil Anda. Pilih baris untuk melihat data JSON yang mendasar untuk setiap sel.

    Cuplikan layar memperlihatkan hasil visualisasi tabel setelah menjalankan kueri GQL.

Berinteraksi dengan grafik

Gunakan kemampuan berikut untuk melintasi dan menjelajahi grafik Anda:

Warna simpul

Node dikodekan dengan warna berdasarkan jenis, sehingga mudah untuk memvisualisasikan berbagai jenis entitas dalam grafik Anda.

Keterangan grafik

Legenda grafik menunjukkan semua jenis node dalam grafik Anda dengan warna dan hitungan yang sesuai. Ini juga mencantumkan semua jenis tepi, sehingga Anda dapat memahami bagaimana simpul terhubung satu sama lain.

Label simpul

Saat Anda memperbesar pada grafik, lebih banyak label simpul muncul. Label pertama yang muncul adalah simpul yang paling banyak terhubung dan diwakili oleh lingkaran yang lebih besar. Saat Anda terus memperbesar tampilan, lebih banyak label node muncul dalam urutan konektivitas turun.

Arahkan kursor ke atas node

Saat Anda mengarahkan mouse ke atas simpul, grafik menyoroti koneksinya dan menyembunyikan simpul dan tepi yang tidak terkait sehingga Anda dapat dengan jelas melihat informasi utama dan bagaimana simpul terhubung ke orang lain. Kotak pop-up muncul memperlihatkan informasi selengkapnya tentang simpul.

Pengelompokan dan pemisahan grup

Secara default, simpul dikelompokkan pada visualisasi grafik Anda jika merupakan jenis node yang sama, dan terhubung ke node asal yang sama dengan jenis tepi yang sama. Misalnya, simpul "file" dan tepi "diakses oleh". Simpul yang dikelompokkan diwakili oleh lingkaran bertumpuk pada tata letak deskriptif dan bentuk berlian pada tata letak yang disederhanakan. Pengelompokan node menghasilkan visualisasi yang lebih bersih dengan lebih sedikit simpul, yang penting saat menyelidiki grafik besar. Untuk memisahkan grup simpul, klik kanan dan pilih pisahkan grup untuk memisahkan grup semua simpul. Pilih grup simpul untuk membuka panel kanan semua simpul dalam grup tersebut. Pilih simpul individual untuk memisahkan grup, biarkan simpul yang tidak dipilih dalam pengelompokan aslinya. Untuk mengelompokkan ulang simpul, klik kanan pada simpul apa pun yang disertakan dalam grup dan pilih Kelompokkan Ulang.

Lihat detail simpul

Pilih simpul untuk membuka panel detail di sisi kanan. Gunakan metadata yang ditampilkan di panel detail untuk menyempurnakan kueri di masa depan—misalnya, dengan memfilter berdasarkan wilayah geografis, departemen, atau tanggal pembaruan terakhir.

Menjelajahi aset yang terhubung

Klik kanan simpul, dan pilih Jelajahi aset yang terhubung untuk melintasi grafik dan melihat hop berikutnya dari simpul ini. Saat melihat renderer detail, Anda juga dapat menelusurinya dengan mengeklik ikon plus "+" di samping node.

Cuplikan layar memperlihatkan cara menjelajahi aset yang terhubung dengan mengklik kanan simpul dalam visualisasi grafik.

Menyaring grafik

Anda dapat menggunakan filter di kanan atas kanvas grafik untuk mempersempit hasil yang divisualisasikan berdasarkan jenis simpul atau hubungan tepi.

Cuplikan layar memperlihatkan filter grafik untuk jenis simpul dan tepi.

Berbagi hasil grafik

Anda bisa berbagi hasil kueri Anda dengan memilih Bagikan kueri. Dari menu dropdown ini, Anda dapat memilih di antara tiga opsi:

  • Salin tautan ke kueri eksekusi terakhir mereka: menghasilkan dan menyalin URL yang merutekan pengguna ke halaman grafik dengan kueri yang direferensikan sudah ada di editor GQL.
  • Salin tautan ke kode: menghasilkan dan menyalin tautan URL yang dapat dibagikan dan konten kode kueri.
  • Salin hasil grafik: menghasilkan dan menyalin tautan URL yang dapat dibagikan yang secara otomatis menjalankan kueri untuk menghasilkan grafik, serta konten kode kueri dan cuplikan layar grafik yang dihasilkan.

Anda juga dapat membuat tautan langsung ke kueri grafik yang akan membuka halaman grafik Anda dengan kueri yang telah diisi sebelumnya dan secara opsional menjalankan kueri. Untuk informasi selengkapnya, lihat Membuat tautan mendalam ke kueri grafik Microsoft Sentinel.

Tampilan tabel

Lihat representasi tabular data Anda dengan memilih tab Tabel . Dari tabel, Anda dapat:

  • Validasi bahwa kueri Bahasa Kueri Graf (GQL) Anda menghasilkan hasil yang diinginkan.
  • Cari dan urutkan tabel untuk menemukan entitas yang menarik dengan cepat.
  • Lihat JSON yang mendasari untuk sel individual, menyediakan konteks kunci yang dapat Anda gunakan dalam kueri di masa mendatang.
  • Ekspor ke format CSV untuk digunakan dalam alur kerja lain yang sudah ada sebelumnya.

Cuplikan layar memperlihatkan tampilan tabel dengan kemampuan pencarian, pengurutan, dan ekspor.

Kustomisasi format tabel dengan menggunakan RETURN operator untuk menentukan struktur kolom, atau mengurutkan hasil ke preferensi Anda. Untuk informasi selengkapnya, lihat dokumentasi GQL.

Konfigurasikan opsi visualisasi grafik

Di sudut kanan bawah kanvas grafik, Anda dapat menyesuaikan visualisasi grafik dengan serangkaian opsi konfigurasi.

Layouts

Tombol pengaturan pertama menawarkan serangkaian opsi kustomisasi untuk visualisasi grafik Anda.

Pilih renderer grafik

Untuk mengakomodasi investigasi yang ditargetkan dan eksplorasi terbuka skala besar, grafik menggunakan dua perender berbeda untuk menghasilkan visualisasi. Secara default, perender diatur ke "otomatis", yang berarti grafik dirender berdasarkan jumlah simpul yang ditampilkan. Gunakan perender deskriptif atau disederhanakan sesuai dengan kebutuhan Anda. Perender deskriptif paling cocok untuk grafik yang lebih kecil di mana granularitas terperinci adalah kunci. Ini mencakup penyempurnaan kecil seperti ikon plus ("+") di samping setiap node untuk memudahkan penelusuran graf, dan node yang dikelompokkan ditampilkan sebagai lingkaran bertumpuk. Perender yang disederhanakan lebih cocok untuk grafik besar dengan ribuan simpul, penskalaan untuk eksplorasi terbuka data yang disajikan, dan mewakili grup simpul sebagai bentuk berlian.

Gambar berikut menunjukkan perbedaan antara renderer deskriptif di kiri dan renderer sederhana di kanan.

Cuplikan layar memperlihatkan perbedaan antara perender deskriptif dan disederhanakan dalam visualisasi grafik.

Pilih tata letak grafik

Anda memiliki opsi untuk mengubah tata letak grafik Anda dari "force" (default) menjadi "directed." Tata letak paksa secara otomatis menampilkan simpul berdasarkan koneksinya, menghasilkan grafik yang saling terhubung di mana anomali mudah diidentifikasi. Tata letak yang diarahkan mengikuti struktur yang lebih ketat, mengatur simpul atas ke bawah dengan cara yang bersih dan linier. Gambar berikut menunjukkan tata letak terarah.

Cuplikan layar memperlihatkan tata letak visualisasi grafik yang diarahkan.

Konfigurasikan perilaku interaksi grafik

Secara default, opsi "Pertahankan posisi pada perubahan data" dipilih. Pengaturan "Pertahankan posisi saat perubahan data" memastikan bahwa tindakan seperti perluasan koneksi node atau pengelompokan/pemisahan tidak mengubah posisi node lain. Mematikan pengaturan "Pertahankan posisi saat perubahan data" akan menggeser posisi node yang ada saat tindakan ekspansi koneksi node atau pengelompokan dan pemisahan kembali dilakukan.

Aksi grafik yang tersedia

Memilih "Grafik realign" mengembalikan grafik ke status aslinya.

Konfigurasikan lapisan grafik

Secara default, label simpul dan tepi terlihat pada grafik, serta ikon untuk grafik yang telah ditentukan sebelumnya. Nonaktifkan label dan ikon dari menu pengaturan.

Masukkan layar penuh

Pilih layar penuh untuk melihat grafik Anda dalam mode layar penuh, memberikan lebih banyak ruang untuk menjelajahi visualisasi secara signifikan.

Sesuaikan tampilan agar pas

Pilih opsi zoom agar pas untuk memposisikan ulang grafik Anda sehingga semua simpul terlihat dan mengambil sebagian besar layar kanvas grafik Anda. Sementara opsi "Realign graph" mengembalikan grafik ke kondisi aslinya, opsi zoom to fit hanya menyesuaikan grafik (dengan node yang dipindahkan atau kustomisasi lain) di dalam layar Anda.

Konten terkait

  • Terakhir diperbarui pada