Microsoft Defender 포털의 그래프 환경을 사용하면 피싱 분석을 위해 빌드된 그래프를 사용하여 최근 인시던트의 영향을 신속하게 평가하고, 공격자를 프로파일링하고, Microsoft 원격 분석 및 타사 데이터에서 경로를 추적하는 등 사용자 지정 그래프에 대한 대화형 그래프 기반 조사를 수행할 수 있습니다. 그래프 환경을 사용하면 그래프 쿼리를 실행하여 조직에 가장 중요한 인사이트를 시각화하고 그래프의 임시 순회를 지원하므로 관심 있는 엔터티를 신속하게 조사할 수 있습니다. 그래프 스키마를 연구하여 그래프에 정의된 관계를 이해하고 표시된 메타데이터를 사용하여 결과의 범위를 좁힐 수 있습니다. 테이블 뷰를 사용하여 결과의 유효성을 신속하게 검사하고 기존 워크플로에 쉽게 통합할 수 있도록 내보낼 수 있습니다. Microsoft Visual Studio Code Jupyter Notebook을 사용하여 사용자 지정 그래프를 만들고 구체화한 다음, Microsoft Sentinel 그래프 환경을 사용하여 사용자 지정 그래프를 쿼리하고 시각화합니다.
Microsoft Sentinel 그래프를 사용하여 그래프를 쿼리, 시각화 및 상호 작용하여 새 인사이트를 얻습니다.
필수 구성 요소
- Microsoft Sentinel에서 그래프 경험에 접근하여 시각화를 생성하기 위해 쿼리하려면 적절한 권한이 필요합니다. 자세한 내용은 Microsoft Sentinel 사용자 지정 그래프 시작을 참조하세요. Sentinel Scope 사용자는 범위 지정을 재정의할 수 있는 권한 수준이 높은 네 가지 역할(보안 읽기 권한자, 보안 운영자, 보안 관리자 또는 전역 관리자) 중 하나를 보유하지 않는 한 Sentinel Graphs에 액세스할 수 없습니다.
그래프에 액세스
Microsoft Sentinel 그래프 환경에 액세스하려면 Microsoft Defender 포털에 로그인하고 탐색 창에서 Microsoft Sentinel>Graphs를 선택합니다.
Sentinel Graph 관리 페이지에는 Microsoft Sentinel 확장 프로그램(Visual Studio Code)으로 생성하고 그래프 작업을 게시하여 구현한 사용자 지정 그래프가 나열되어 있습니다. 인터랙티브 노트북 세션에서만 생성된 그래프는 이 페이지에 제공되지 않습니다. 커스텀 그래프를 아직 게시하지 않으셨다면, 시작하려면 ' Create a custom graph '를 참고하세요.
사용자 지정 그래프를 이미 만든 경우 Microsoft Sentinel 그래프 페이지에 사용 가능한 모든 사용자 지정 그래프가 표시됩니다. 그래프 타일에서 ... 메뉴를 선택하여 각 사용자 지정 그래프의 개요를 봅니다.
주문형 그래프 작업에서 게시된 그래프는 30일간 보관된 후 삭제됩니다. 예약된 그래프 작업은 설정된 새로고침 일정에 따라 그래프를 다시 만듭니다. 그래프가 누락되었거나 데이터가 오래된 경우, Visual Studio Code용 Microsoft Sentinel 확장 프로그램에서 그래프 작업 상태와 일정을 검토하세요.
사용자 지정 그래프 쿼리
그래프 타일에서 쿼리 그래프 를 선택하여 그래프 쿼리 페이지를 봅니다.
그래프 쿼리는 Microsoft Sentinel 그래프 미터로 청구됩니다. 자세한 내용은 그래프 요금을 참조하세요.
그래프 온톨로지(노드, 에지 및 쿼리에 사용할 수 있는 속성)를 이해하려면 스키마를 봅니다.
시작 탭 선택
제안된 쿼리 목록이 나타납니다. Visualize any graph 쿼리를 쿼리 편집기로 복사하려면 쿼리 편집을 선택합니다.
- 여러 쿼리를 수동으로 입력하거나 제안된 추가 쿼리를 선택합니다.
- 편집기에서 실행 취소(Ctrl+Z) 및 다시 실행(Ctrl+Y)을 지원합니다.
- 쿼리를 실행하기 전에 편집기에서 올바른 쿼리를 강조 표시합니다.
- GQL 쿼리를 수동으로 입력하면 편집기에서 그래프의 스키마를 기반으로 예측 값을 제안합니다.
이 예제 쿼리인 Visualize any graph는 그래프에서 임의의 한 홉 연결과 일치하며, 시작 노드, 방향성 관계, 그리고 대상 노드를 찾습니다. 최대 100개의 일치 항목에 대한 전체 노드 및 관계를 반환하므로 원시 그래프 구조를 빠르게 탐색하는 데 유용합니다.
MATCH (x)-[y]->(z) RETURN * LIMIT 100GQL 사용에 대한 자세한 내용은 GQL(그래프 쿼리 언어) 참조를 참조하세요.
비고
사전 정의된 쿼리에는 반환되는 결과 수를 제한하는 기본
LIMIT절(예:LIMIT 100)이 포함됩니다. 이 기본 설정은 초기 시각화를 반응시키지만, 그래프 데이터의 일부만 볼 수 있습니다. 모든 일치하는 결과를 보려면, 쿼리를 실행하기 전에 값을 올리거나 절을LIMIT삭제하도록 편집하세요. 큰 결과 집합을 반환하면 성능에 영향을 줄 수 있으니, 그래프에 맞는 적절한 균형을 찾기 위해 한도를 점진적으로 늘리세요.GQL 쿼리 실행을 선택하여 결과를 확인합니다. 쿼리 중간 실행을 취소할 수 있습니다. 쿼리 편집기 셀의 내용을 복사하여 쿼리를 공유하거나 다른 곳에 저장합니다.
쿼리가 완료되면 그래프 시각화가 나타납니다. 일부 쿼리는 그래프로 표시할 수 없는
COLLECTLIST와 같은 연산자를 사용합니다. 그래프로 렌더링할 수 없는 연산자는 테이블 뷰에 반영됩니다. 쿼리가 그래프로 렌더링할 수 없는 연산자를 사용할 경우, 그래프 탭에는 그래프를 렌더링할 수 없는 이유를 설명하는 메시지가 표시됩니다노드와 연결된 속성을 포함하여 노드 세부 정보를 볼 노드를 선택합니다. 이 정보를 사용하여 후속 쿼리 및 시각화를 알릴 수 있습니다.
테이블 탭을 선택하여 결과의 테이블 형식 표현을 봅니다. 행을 선택하여 각 셀에 대한 기본 JSON 데이터를 확인합니다.
그래프와 상호 작용
다음 기능을 사용하여 그래프를 트래버스하고 탐색합니다.
노드 색상
노드는 형식별로 색으로 구분되므로 그래프에서 다양한 엔터티 형식을 쉽게 시각화할 수 있습니다.
그래프 범례
그래프 범례는 그래프의 모든 노드 형식을 해당 색과 개수로 표시합니다. 또한 모든 에지 형식을 나열하므로 노드가 서로 연결하는 방법을 이해할 수 있습니다.
노드 레이블
그래프를 확대하면 더 많은 노드 레이블이 나타납니다. 표시되는 첫 번째 레이블은 더 큰 원으로 표현되는 가장 많이 연결된 노드입니다. 확대/축소를 계속하면 더 많은 노드 레이블이 연결의 내림차순으로 표시됩니다.
노드를 마우스로 가리킵니다.
노드 위로 마우스를 가져가면 그래프가 해당 연결을 강조 표시하고 관련 없는 노드 및 가장자리를 숨기므로 주요 정보와 노드가 다른 노드에 연결하는 방법을 명확하게 볼 수 있습니다. 노드에 대한 자세한 정보를 보여 주는 팝업 상자가 나타납니다.
그룹화 및 그룹 해제
기본적으로 노드는 동일한 노드 형식인 경우 그래프 시각화에서 그룹화되고 동일한 에지 형식으로 동일한 원본 노드에 연결됩니다. 예를 들어 "파일" 노드 및 "액세스 대상" 에지입니다. 그룹화된 노드는 설명 레이아웃의 누적 원과 단순화된 레이아웃의 다이아몬드 모양으로 표시됩니다. 노드 그룹화는 노드 수가 적은 더 깨끗한 시각화를 생성하며, 이는 큰 그래프를 조사할 때 중요합니다. 노드를 그룹 해제하려면 마우스 오른쪽 단추를 클릭하고 그룹 해제 를 선택하여 모든 노드의 그룹 해제를 선택합니다. 노드 그룹을 선택하여 해당 그룹 내의 모든 노드의 오른쪽 창을 엽니다. 그룹 해제할 개별 노드를 선택하고 선택되지 않은 노드는 원래 그룹화에 그대로 둡니다. 노드를 다시 그룹화하려면 그룹에 포함된 노드를 마우스 오른쪽 단추로 클릭하고 다시 그룹을 선택합니다.
노드 세부 정보 보기
노드를 선택하여 오른쪽에 있는 세부 정보 창을 엽니다. 세부 항목 창에 표시된 메타데이터를 활용해 지리적 지역, 부서, 또는 마지막 업데이트 날짜로 필터링하여 향후 쿼리를 정밀하게 조정할 수 있습니다.
연결된 자산 탐색
노드를 마우스 오른쪽 단추로 클릭하고 연결된 자산 탐색 을 선택하여 그래프를 트래버스하고 이 노드에서 다음 홉을 봅니다. 자세한 렌더러를 볼 때 노드 옆에 있는 더하기 "+" 아이콘을 클릭하여 트래버스할 수도 있습니다.
그래프 필터링
그래프 캔버스의 오른쪽 위에 있는 필터를 사용하여 노드 형식 또는 에지 관계별로 시각화된 결과의 범위를 좁힐 수 있습니다.
그래프 결과 공유
쿼리 공유를 선택하여 쿼리 결과를 공유할 수 있습니다. 이 드롭다운 메뉴에서 다음 세 가지 옵션 중에서 선택할 수 있습니다.
- 마지막 실행 쿼리에 대한 링크 복사: GQL 편집기에서 참조된 쿼리를 사용하여 사용자를 그래프 페이지로 라우팅하는 URL을 생성하고 복사합니다.
- 코드에 대한 링크 복사: 공유 가능한 URL 링크 및 쿼리 코드 콘텐츠를 생성하고 복사합니다.
- 그래프 결과 복사: 쿼리를 자동으로 실행하여 그래프를 생성하는 공유 가능한 URL 링크와 생성된 그래프의 쿼리 코드 콘텐츠 및 스크린샷을 생성하고 복사합니다.
미리 채워진 쿼리를 사용하여 그래프 페이지를 열고 필요에 따라 쿼리를 실행하는 그래프 쿼리에 대한 직접 링크를 만들 수도 있습니다. 자세한 내용은 Microsoft Sentinel 그래프 쿼리에 대한 딥 링크 만들기를 참조하세요.
테이블 보기
테이블 탭을 선택하여 데이터의 테이블 형식 표현을 봅니다. 테이블에서 다음을 수행할 수 있습니다.
- 그래프 쿼리 언어(GQL) 쿼리가 원하는 결과를 냈는지 검증하세요.
- 테이블을 검색하고 정렬하여 관심 있는 엔터티를 빠르게 찾습니다.
- 개별 셀에 대한 기본 JSON을 보고 향후 쿼리에서 사용할 수 있는 키 컨텍스트를 제공합니다.
- 다른 기존 워크플로에서 사용할 CSV 형식으로 내보냅니다.
연산자를 사용하여 테이블 형식을 RETURN 사용자 지정하여 열 구조를 정의하거나 원하는 순서로 결과를 정렬합니다. 자세한 내용은 GQL 설명서를 참조하세요.
그래프 시각화 옵션 구성
그래프 캔버스의 오른쪽 아래 모서리에서 일련의 구성 옵션을 사용하여 그래프 시각화를 사용자 지정할 수 있습니다.
Layouts
첫 번째 설정 단추는 그래프 시각화에 대한 일련의 사용자 지정 옵션을 제공합니다.
그래프 렌더러를 선택하세요
대상 조사와 대규모 오픈 탐색을 모두 수용하기 위해 그래프는 두 개의 다른 렌더러를 사용하여 시각화를 생성합니다. 기본적으로 렌더러는 "auto"로 설정됩니다. 즉, 표시된 노드 수에 따라 그래프가 렌더링됩니다. 필요에 따라 설명적 또는 간소화된 렌더러를 사용합니다. 설명 렌더러는 세부적인 세분성이 핵심인 더 작은 그래프에 가장 적합합니다. 그래프 통과가 용이하도록 각 노드 옆에 더하기("+") 아이콘과 같은 작은 향상된 기능이 포함되어 있으며 그룹화된 노드는 누적 원으로 표시됩니다. 간소화된 렌더러는 수천 개의 노드가 있는 큰 그래프에 더 적합하며, 제공된 데이터의 개방형 탐색을 위해 크기를 조정하며 노드 그룹을 다이아몬드 모양으로 나타냅니다.
다음 이미지는 왼쪽의 설명 렌더러와 오른쪽의 단순화된 렌더러의 차이를 보여줍니다.
그래프 레이아웃 선택
그래프의 레이아웃을 "force"(기본값)에서 "directed"로 변경할 수 있습니다. 힘 레이아웃은 해당 연결에 따라 노드를 자동으로 표시하여 변칙을 쉽게 식별할 수 있는 상호 연결된 그래프를 생성합니다. 지시된 레이아웃은 더 엄격한 구조를 따르며, 노드를 선형 방식으로 정리합니다. 다음 이미지는 방향 배치를 보여줍니다.
그래프 상호작용 동작 구성
기본적으로 "데이터 변경 시 위치 유지" 옵션이 선택됩니다. "데이터 변경 시 위치 보존" 설정은 노드 연결 확장이나 그룹화/해제 같은 동작이 다른 노드의 위치 변경을 방지합니다. "데이터 변경 시 위치 보존" 설정을 끄면 노드 연결 확장이나 그룹화 및 해제 작업이 이루어질 때 기존 노드의 위치가 변경됩니다.
사용 가능한 그래프 동작
"그래프 다시 정렬"을 선택하면 그래프가 원래 상태로 되돌아갑니다.
그래프 계층 구성
기본적으로 노드 및 에지 레이블은 모두 그래프에 표시되며 미리 정의된 그래프의 아이콘도 표시됩니다. 설정 메뉴에서 레이블 및 아이콘을 끕니다.
전체 화면 입력
전체 화면을 선택하여 전체 화면 모드에서 그래프를 보고 시각화를 탐색할 수 있는 공간을 훨씬 더 많이 제공합니다.
크기에 맞게 확대/축소
모든 노드가 표시되고 그래프 캔버스 화면의 대부분을 차지하도록 그래프의 위치를 변경하려면 확대/축소 옵션을 선택합니다. "그래프 재정렬" 옵션은 그래프를 원래 상태로 되돌려 놓는 반면, 줌 투 핏 옵션은 그래프를 (이동한 노드나 기타 커스터마이징과 함께) 화면에 맞게 맞추는 것입니다.