Microsoft Sentinel 데이터에서 Power BI 보고서 만들기

Power BI 는 데이터를 일관되고 몰입형 대화형 시각화로 변환하는 보고 및 분석 플랫폼입니다. Power BI를 사용하면 데이터 원본에 쉽게 연결하고, 관계를 시각화 및 검색하고, 원하는 사람과 인사이트를 공유할 수 있습니다.

Microsoft Sentinel 데이터에 대한 Power BI 보고서를 기반으로 하고 Microsoft Sentinel 액세스할 수 없는 사용자와 해당 보고서를 공유할 수 있습니다. 예를 들어 실패한 로그인 시도에 대한 정보를 앱 소유자에게 Microsoft Sentinel 액세스 권한을 부여하지 않고 공유할 수 있습니다. Power BI 시각화는 데이터를 한눈에 제공할 수 있습니다.

Microsoft Sentinel Log Analytics 작업 영역에서 실행되며 Kusto 쿼리 언어(KQL)를 사용하여 데이터를 쿼리할 수 있습니다.

이 문서에서는 power BI에서 Microsoft Sentinel 데이터에 대한 분석 보고서를 보는 시나리오 기반 절차를 제공합니다. Microsoft Sentinel 데이터 원본에 연결하는 배경은 데이터 원본 연결을 참조하세요. Microsoft Sentinel 시각화를 만드는 방법에 대한 일반적인 지침은 수집된 데이터 시각화를 참조하세요.

이 문서에서는 다음 작업을 수행합니다.

KQL 쿼리를 Power BI M 언어 쿼리로 내보냅니다.
Power BI Desktop M 쿼리를 사용하여 시각화 및 보고서를 만듭니다.
보고서를 Power BI 서비스 게시하고 다른 사용자와 공유합니다.
Teams 채널에 보고서를 추가합니다.

Power BI 서비스 액세스 권한을 부여한 People Teams 채널의 구성원은 Microsoft Sentinel 권한 없이 보고서를 볼 수 있습니다.

중요

2027년 3월 31일 이후에는 Microsoft Sentinel 더 이상 Azure Portal 지원되지 않으며 Microsoft Defender 포털에서만 사용할 수 있습니다. Azure Portal Microsoft Sentinel 사용하는 모든 고객은 Defender 포털로 리디렉션되고 Defender 포털에서만 Microsoft Sentinel 사용합니다.

Azure Portal Microsoft Sentinel 계속 사용하는 경우 원활한 전환을 보장하고 Microsoft Defender 제공하는 통합 보안 운영 환경을 최대한 활용하기 위해 Defender 포털로의 전환 계획을 시작하는 것이 좋습니다.

필수 구성 요소

이 문서의 단계를 완료하려면 다음이 필요합니다.

로그인 시도를 모니터링하는 Microsoft Sentinel 작업 영역에 대해 최소한 읽기 권한이 있어야 합니다.
Microsoft Sentinel 작업 영역에 대한 읽기 권한이 있는 Power BI 계정입니다.
Microsoft Store에서 설치한 Power BI Desktop.

Microsoft Sentinel 쿼리 내보내기

Microsoft Sentinel KQL 쿼리를 만들고 실행하고 내보냅니다.

간단한 쿼리를 만들려면 Microsoft Sentinel 로그를 선택합니다. 작업 영역이 Microsoft Defender 포털에 온보딩된 경우 일반 > 로그를 선택합니다.
쿼리 편집기에서 새 쿼리 1에서 다음 쿼리를 입력하여 실패한 횟수 및 성공한 수를 포함하여 지난 7일 동안의 애플리케이션 로그인 시도를 요약합니다. 데이터에 대해 다른 Microsoft Sentinel 쿼리를 사용할 수도 있습니다.
```
SigninLogs
| where TimeGenerated >ago(7d)
| summarize Attempts = count(), Failed=countif(ResultType !=0), Succeeded = countif(ResultType ==0) by AppDisplayName
| top 10 by Failed
| sort by Failed
```
Kusto 설명서에서 샘플 SigninLogs 쿼리에 사용되는 연산자 및 함수에 대한 자세한 내용을 참조하세요.
KQL에 대한 자세한 내용은 Kusto 쿼리 언어(KQL) 개요를 참조하세요.

기타 리소스:
- KQL 빠른 참조
- Kusto 쿼리 언어 학습 리소스
실행을 선택하여 쿼리를 실행합니다. 결과는 지난 7일간 신청서별 로그인 시도 요약과 실패 및 성공 집계를 보여줍니다.
쿼리를 Power BI M 쿼리 형식으로 내보내려면 내보내기를 선택한 다음 Power BI로 내보내기(M 쿼리)를 선택합니다. 쿼리는 PowerBIQuery.txt라는 이름의 텍스트 파일로 내보내집니다.
내보낸 파일의 내용을 복사합니다.

Power BI Desktop 데이터 가져오기

Power BI Desktop 내보낸 M 쿼리를 실행하여 데이터를 가져옵니다.

Power BI Desktop 열고 Microsoft Sentinel 작업 영역에 대한 읽기 권한이 있는 Power BI 계정에 로그인합니다.
Power BI 리본에서 데이터 가져오기 를 선택한 다음 빈 쿼리를 선택합니다. Power Query 편집기 열립니다.
Power Query 편집기고급 편집기 선택합니다.
내보낸 PowerBIQuery.txt 파일의 복사된 내용을 고급 편집기 창에 붙여넣은 다음 완료를 선택합니다.
Power Query 편집기 쿼리 이름을 App_signin_stats 변경한 다음, 닫기 & 적용을 선택합니다.

데이터에서 시각화 만들기

이제 가져온 Microsoft Sentinel 쿼리 결과가 Power BI에 저장되었으니, 데이터에 대한 인사이트를 제공하는 시각화를 만들 수 있습니다.

테이블 비주얼 만들기

먼저 쿼리의 모든 결과를 보여 주는 테이블을 만듭니다.

Power BI Desktop 캔버스에 테이블 시각화를 추가하려면 시각화 아래에서 테이블 아이콘을 선택합니다.
필드 아래에서 쿼리의 모든 필드를 선택하여 모두 테이블에 표시됩니다. 테이블에 모든 데이터가 표시되지 않는 경우 선택 핸들을 끌어 테이블을 확대합니다.

원형 차트 만들기

다음으로 로그인 시도가 가장 실패한 애플리케이션을 보여 주는 원형 차트를 만듭니다.

테이블 시각적 개체의 외부를 클릭하거나 탭하여 테이블 시각적 개체의 선택을 취소한 다음 시각화에서 원형 차트 아이콘을 선택합니다.
Legend 웰에서 AppDisplayName을 선택하거나 Fields 창에서 끌어다 놓습니다. 값 웰에서 실패를 선택하거나 필드에서 끌어옵니다. 이제 원형 차트에 애플리케이션당 실패한 로그인 시도 횟수가 표시됩니다.

새 빠른 측정값 만들기

또한 각 애플리케이션에 대해 실패한 로그인 시도의 백분율을 표시하려고 합니다. 쿼리에 백분율 열이 없으므로 이 정보를 표시하는 새 측정값을 만들 수 있습니다.

시각화에서 누적 세로 막대형 차트 아이콘을 선택하여 누적 세로 막대형 차트를 만듭니다.
새 시각화를 선택한 상태에서 리본에서 빠른 측정 을 선택합니다.
빠른 측정값 창의 계산에서 나누기를 선택합니다. Failed를 필드에서 분자 필드로 끌어 놓고, 시도 횟수를 필드에서 분모로 끕니다.
확인을 선택합니다. 필드 창에 새 측정값이 나타납니다.
필드 창에서 새 측정값을 선택하고 리본의 서식에서 백분율을 선택합니다.
캔버스에서 세로 막대형 차트 시각화를 선택한 상태에서 AppDisplayName 필드를 축 웰에 선택하거나 끌어다 놓고, 새 Failed divided by Attempts 측정값을 값 웰에 끌어다 놓습니다. 이제 차트에 각 애플리케이션에 대한 실패한 로그인 시도의 백분율이 표시됩니다.

데이터 새로 고침 및 보고서 저장

내보낸 Microsoft Sentinel 쿼리에서 생성된 Power BI 데이터셋을 새로고침하여 최신 데이터를 가져온 후 보고서를 저장하세요.

새로 고침을 선택하여 Microsoft Sentinel 최신 데이터를 가져옵니다.
파일>저장을 선택하고 Power BI 보고서를 저장합니다.

Power BI 온라인 작업 영역 만들기

보고서를 공유하기 위한 Power BI 작업 영역을 만들려면 다음을 수행합니다.

Power BI Desktop 및 Microsoft Sentinel 읽기 액세스에 사용한 것과 동일한 계정으로 Power BI 서비스에 로그인합니다.
작업 영역에서 작업 영역만들기를 선택합니다. 작업 영역 관리 보고서의 이름을 지정하고 저장을 선택합니다.
사용자 및 그룹에 작업 영역에 대한 액세스 권한을 부여하려면 새 작업 영역 이름 옆에 있는 기타 옵션 점을 선택한 다음 작업 영역 액세스를 선택합니다.
작업 영역 액세스 쪽 창에서 사용자의 이메일 주소를 추가하고 각 사용자에게 역할을 할당할 수 있습니다. 역할은 관리, 멤버, 기여자 및 뷰어입니다.