Microsoft Sentinel'de grafikleri görselleştirme (önizleme)

Microsoft Defender portalındaki graf deneyimi, son bir olayın etkisini hızla değerlendirmenize, saldırganın profilini oluşturmanıza ve Microsoft telemetrisi ile üçüncü taraf verileri arasındaki yollarını izlemenize yardımcı olmak için kimlik avı analizi için oluşturulmuş bir grafik kullanma gibi özel grafikleriniz üzerinde etkileşimli graf tabanlı araştırmalar gerçekleştirmenize olanak tanır. Graf deneyimi, kuruluşunuz için en önemli içgörüleri görselleştirmek için graf sorguları çalıştırmanıza olanak tanır ve ilgilendiğiniz varlıkları hızla araştırabilmeniz için grafiğin geçici geçişini destekler. Grafiğinizde tanımlanan ilişkileri anlamak için grafik şemasını inceleyebilir ve sonuçlarınızı daraltmak için görüntülenen meta verilerden herhangi birini kullanabilirsiniz. Sonuçlarınızı tablo görünümüyle hızla doğrulayabilir ve önceden var olan iş akışlarına kolayca tümleştirme için dışarı aktarabilirsiniz. Özel graflarınızı oluşturup kullanıma hazır hale getirmek için Microsoft Visual Studio Code’daki Jupyter Notebook’larını kullanın; ardından özel graflarınızı sorgulamak ve görselleştirmek için Microsoft Sentinel’deki graf deneyimini kullanın.

Yeni içgörüler elde etmek için Microsoft Sentinel grafı kullanarak grafikleri sorgulayın, görselleştirin ve bunlarla etkileşim kurun.

Önkoşullar

• Microsoft Sentinel'deki grafik deneyimine erişmek ve grafik deneyimini sorgulayarak görselleştirmeler oluşturmak için uygun izinlere sahip olmanız gerekir. Daha fazla bilgi için bkz. Microsoft Sentinel'da özel grafikleri kullanmaya başlama. Sentinel Kapsamı kullanıcıları, kapsam belirlemeyi geçersiz kılan dört yüksek ayrıcalıklı rolden birini barındırmadıkları sürece Sentinel Graflarına erişemez: Güvenlik Okuyucusu, Güvenlik operatörü, Güvenlik Yöneticisi veya Genel Yönetici.

Grafiklere erişme

Microsoft Sentinel'da grafik deneyimine erişmek için Microsoft Defender portalında oturum açın, gezinti bölmesinden Microsoft Sentinel>Graphs'ı seçin.

Sentinel Graph yönetim sayfası, Visual Studio Code için Microsoft Sentinel uzantısı ile oluşturduğunuz ve bir grafik işi yayımlayarak gerçekleştirdiğiniz özel grafikleri listeliyor. Yalnızca etkileşimli bir defter oturumunda oluşturulan bir grafik bu sayfada mevcut değildir. Eğer özel bir grafik yayınlamadıysanız, başlamak için Özel bir grafik oluştur bölümüne bakınız.

Özel grafikleri zaten oluşturduysanız, Microsoft Sentinel'deki Grafikler sayfası tüm kullanılabilir özel grafikleri görüntüler. Herhangi bir grafik kutucuğundaki ... menüsünü seçerek her özel grafın genel görünümünü görüntüleyin.

Talep üzerine grafik işi tarafından yayımlanan grafikler 30 gün boyunca saklanır ve ardından silinir. Zamanlanmış grafik işleri, yapılandırılmış yenileme takvimlerinde grafikleri yeniden oluşturur. Bir grafik eksikse veya verileri bayatsa, Microsoft Sentinel uzantısı for Visual Studio Code'da grafik iş durumunu ve zamanlamasını inceleyin.

Özel graf sorgulama

Graf sorgu sayfasını görüntülemek için grafik kutucuğunda Sorgu grafı'nı seçin.

Grafik sorguları Microsoft Sentinel graf metresi altında faturalandırılır. Daha fazla bilgi için Graph ücretleri sayfasına bakınız.

Grafik ontolojisini (düğümler, kenarlar ve sorgu için kullanılabilir özellikleri) anlamak için şemayı görüntüleyin.

1. Başlarken sekmesini seçin

2. Önerilen sorguların listesi görüntülenir. Herhangi bir graf sorgusunu görselleştirmek için Sorguyu düzenle'yi seçerek sorgu düzenleyicisine kopyalayın.

   • El ile birden çok sorgu girin veya önerilen başka sorgular seçin.
   • Düzenleyici geri almayı (Ctrl+Z) ve yinelemeyi (Ctrl+Y) destekler.
   • Sorguyu çalıştırmadan önce düzenleyicide doğru sorguyu vurgulayın.
   • GQL sorgularını el ile yazdığınızda düzenleyici, grafiğinizin şemasına göre tahmine dayalı değerler önerir.

   Herhangi bir grafiği görselleştir adlı bu örnek sorgu, graf içindeki herhangi bir tek sıçramalı bağlantıyla eşleşerek bir kaynak düğüm, yönlendirilmiş bir ilişki ve bir hedef düğüm bulur. Bu tür eşleşmelerden en fazla 100’ü için düğümlerin ve ilişkinin tamamını döndürür; bu da ham graf yapısını hızlıca keşfetmek için kullanışlı olmasını sağlar.

   MATCH (x)-[y]->(z)
   RETURN *
   LIMIT 100
   

   GQL'nin kullanımı hakkında daha fazla bilgi için bkz. Graf Sorgu Dili (GQL) başvuru belgesi.

   Note

   Önceden tanımlanmış sorgular, geri dönen sonuç sayısını sınırlayan varsayılan LIMIT bir madde (örneğin, LIMIT 100) içerir. Bu varsayılan yöntem, ilk görselleştirmelerin duyarlı olmasını sağlar, ancak grafik verilerinizin sadece bir alt kümesini görürsünüz. Tüm eşleşen sonuçları görmek için, sorguyu değeri artıracak şekilde düzenleyin veya sorguyu çalıştırmadan önce LIMIT koşulunu kaldırın. Büyük sonuç setleri performansı etkileyebilir, bu yüzden grafiğiniz için doğru dengeyi bulmak için sınırı kademeli olarak artırın.

3. Sonuçlarınızı görüntülemek için GQL sorgusunu çalıştır'ı seçin. Bir sorguyu yürütme sırasında iptal edebilirsiniz. Sorguyu paylaşmak veya başka bir yere kaydetmek için sorgu düzenleyicisi hücrenizin içeriğini kopyalayın.

4. Sorgu tamamlandığında grafik görselleştirmesi görüntülenir. Bazı sorgular, COLLECTLIST gibi graf olarak görüntülenemeyen işleçler kullanır. Grafik olarak render edilemeyen operatörler tablo görünümünde yansıtılır. Bir sorgu, grafik olarak render edilemeyen operatörler kullandığında, grafik sekmesi grafiğin neden render edilemeyeceğini açıklayan bir mesaj gösterir

5. Düğümle ilişkilendirilmiş özellikler de dahil olmak üzere düğüm ayrıntılarını görüntülemek için herhangi bir düğümü seçin. Sonraki sorguları ve görselleştirmeleri bilgilendirmek için bu bilgileri kullanın.

   

6. Sonuçlarınızın tablosal bir gösterimini görüntülemek için Tablo sekmesini seçin. Her hücre için temel alınan JSON verilerini görmek için bir satır seçin.

   

Grafiklerle etkileşim kurma

Graflarınızı çapraz geçiş yapmak ve keşfetmek için aşağıdaki özellikleri kullanın:

Düğüm renkleri

Düğümler türe göre renk kodlu olup grafınızdaki farklı varlık türlerini görselleştirmeyi kolaylaştırır.

Grafik açıklaması

Graf göstergesi, grafiğinizdeki tüm düğüm türlerini ilgili renk ve sayılarla birlikte gösterir. Ayrıca tüm kenar türlerini listeler, böylece düğümlerin birbirine nasıl bağlanabileceğini anlayabilirsiniz.

Düğüm etiketleri

Grafiği yakınlaştırdıkça daha fazla düğüm etiketi görünür. Görüntülenecek ilk etiketler, daha büyük dairelerle temsil edilen en yoğun bağlı düğümlerdir. Yakınlaştırmaya devam ettikçe, bağlantı düzeyine göre azalan sırayla daha fazla düğüm etiketi görünmeye başlar.

Fareyi düğümlerin üzerine getirin

Bir düğümün üzerine geldiğinizde, grafik bağlantılarını vurgular ve ilgili olmayan düğümleri ve kenarları gizler, böylece önemli bilgileri ve düğümün başkalarına nasıl bağlandiğini net bir şekilde görebilirsiniz. Düğüm hakkında daha fazla bilgi gösteren bir açılır kutu görüntülenir.

Gruplandırma ve grubu çözme

Varsayılan olarak, düğümler aynı düğüm türündeyse grafik görselleştirmenizde gruplandırılır ve aynı kenar türüne göre aynı kaynak düğüme bağlanır. Örneğin, "dosya" düğümleri ve "tarafından erişilen" kenarlar. Gruplandırılmış düğümler, ayrıntılı düzende üst üste yığılmış dairelerle ve basitleştirilmiş düzende elmas şekilleriyle temsil edilir. Düğüm gruplandırma, büyük grafikleri araştırırken önemli olan daha az düğüm içeren daha temiz bir görselleştirme oluşturur. Tüm düğümlerin grubunu çözmek için sağ tıklayıp Grubu çöz seçeneğini belirleyin. Bu grup içindeki tüm düğümlerin sağ bölmesini açmak için düğüm grubunu seçin. Grubu çözmek için tek tek düğümleri seçin ve seçili olmayan düğümleri özgün gruplandırmalarında bırakın. Düğümleri yeniden gruplandırmak için gruba dahil edilen düğümlere sağ tıklayın ve Yeniden Gruplandır'ı seçin.

Düğüm ayrıntılarını görüntüleyin

Sağ taraftaki ayrıntılar bölmesini açmak için bir düğüm seçin. Detaylar panelinde gösterilen meta verileri kullanarak gelecekteki sorguları daha iyi hale getirin—örneğin coğrafi bölge, departman veya son güncelleme tarihine göre filtreleyin.

Bağlı varlıkları keşfetme

Düğüme sağ tıklayın ve grafiğe çapraz geçiş yapmak ve bu düğümden sonraki atlamayı görüntülemek için Bağlı varlıkları keşfet'i seçin. Ayrıntılı işleyiciyi görüntülerken, bir düğümün yanındaki artı "+" simgesine tıklayarak da geçiş yapabilirsiniz.

Grafiğe filtre uygulama

Görselleştirilmiş sonuçları düğüm türüne veya kenar ilişkisine göre daraltmak için grafik tuvalinin sağ üst kısmındaki filtreleri kullanabilirsiniz.

Graf sonuçlarını paylaşma

Sorguyu paylaş'ı seçerek sorgu sonuçlarınızı paylaşabilirsiniz. Bu açılan menüden üç seçenek arasından seçim yapabilirsiniz:

• Son çalıştırılan sorgunun bağlantısını kopyala: kullanıcıyı, ilgili sorgu zaten GQL düzenleyicisinde yer alacak şekilde graf sayfasına yönlendiren bir URL oluşturur ve kopyalar.
• Kodun bağlantısını kopyalama: Paylaşılabilir bir URL bağlantısı ve sorgu kodu içeriği üretir ve kopyalar.
• Graf sonuçlarını kopyalama: Grafı oluşturmak için sorguyu, ayrıca sorgu kodu içeriğini ve üretilen grafiğin ekran görüntüsünü otomatik olarak çalıştıran paylaşılabilir bir URL bağlantısı oluşturur ve kopyalar.

Ayrıca, graf sorgularınıza, graf sayfanızı sorgunun önceden doldurulmuş olarak açacak ve isteğe bağlı olarak sorguyu çalıştıracak doğrudan bağlantılar oluşturabilirsiniz. Daha fazla bilgi için bkz. Microsoft Sentinel grafik sorgularına ayrıntılı bağlantılar oluşturma.

Tablo görünümü

Tablo sekmesini seçerek verilerinizin tablosal gösterimini görüntüleyin. Tablodan şunları yapabilirsiniz:

• Grafik Sorgu Dili (GQL) sorgusunun istenen sonuçları verdiğini doğrulayın.
• İlgilenen varlıkları hızla bulmak için tabloyu arayın ve sıralayın.
• Sonraki sorgularda kullanabileceğiniz temel bağlamı sağlayarak tek bir hücre için temel alınan JSON'u görüntüleyin.
• Önceden var olan diğer iş akışlarında kullanmak üzere CSV biçimine aktarın.

Sütun yapısını tanımlamak veya sonuçları tercihinize göre sıralamak için işlecini kullanarak RETURN tablo biçimini özelleştirin. Daha fazla bilgi için GQL belgelerine bakın.

Grafik görselleştirme seçeneklerini yapılandırma

Grafik tuvalinin sağ alt köşesinde, grafik görselleştirmenizi bir dizi yapılandırma seçeneğiyle özelleştirebilirsiniz.

Layouts

İlk ayarlar düğmesi, grafik görselleştirmeniz için bir dizi özelleştirme seçeneği sunar.

Bir grafik renderleyici seçin

Hem hedeflenen araştırmalara hem de büyük ölçekli açık incelemelere uyum sağlamak için grafikte görselleştirmeler oluşturmak için iki farklı işleyici kullanılır. Oluşturucu varsayılan olarak "otomatik" olarak ayarlanır ve bu da grafiğin görüntülenen düğüm sayısına göre işlendiği anlamına gelir. Gereksinimlerinize göre açıklayıcı veya basitleştirilmiş işleyiciyi kullanın. Açıklayıcı işleyici, ayrıntılı ayrıntı düzeyinin önemli olduğu küçük grafikler için en uygun olanıdır. Kolay grafik geçişi için her düğümün yanında artı ("+") simgeleri gibi küçük iyileştirmeler içerir ve gruplandırılmış düğümler yığılmış dairelerle temsil edilir. Basitleştirilmiş görüntüleyici, binlerce düğüm içeren büyük grafikler için daha uygundur, sunulan verilerin serbestçe keşfedilmesine olanak sağlayacak şekilde ölçeklenir ve düğüm gruplarını elmas biçiminde gösterir.

Aşağıdaki görsel, soldaki betimleyici ile sağdaki basitleştirilmiş renderer arasındaki farkı göstermektedir.

Bir grafik düzeni seçin

Grafiğinizin düzenini "force" (varsayılan) seçeneğinden "directed" seçeneğine değiştirebilirsiniz. Kuvvet düzeni, düğümleri bağlantılarına göre otomatik olarak görüntüleyerek anomalilerin kolayca tespit edilebildiği birbirine bağlı bir grafik oluşturur. Yönlendirilen düzen, düğümleri temiz ve doğrusal bir şekilde yukarıdan aşağıya doğru düzenleyerek daha katı bir yapı izler. Aşağıdaki görüntü, yönlendirilmiş düzeni göstermektedir.

Grafik etkileşim davranışını yapılandırın

Varsayılan olarak, "Veri değişikliğindeki konumları koru" seçeneği seçilidir. "Veri değişiminde pozisyonları koruma" ayarı, düğüm bağlantısını genişletme veya gruplama/gruptan çıkarma gibi işlemlerin diğer düğümlerin konumunu değiştirmemesini sağlar. "Veri değişikliğinde pozisyonları koruma" ayarının kapatılması, düğüm bağlantı genişletme veya gruplama ve gruplaşma işlemleri yapıldığında mevcut düğümlerin konumlandırılmasını değiştirir.

Mevcut grafik eylemleri

"Grafı yeniden hizala" seçildiğinde graf özgün durumuna döndürülür.

Grafik katmanlarını yapılandırma

Varsayılan olarak, grafikte hem düğüm hem de kenar etiketlerinin yanı sıra önceden tanımlanmış grafikler için simgeler görünür. Ayarlar menüsünden etiketleri ve simgeleri kapatın.

Tam ekran girin

Grafiğinizi tam ekran modunda görüntülemek için tam ekran'ı seçin ve görselleştirmeyi keşfetmek için çok daha fazla alan sağlayın.

Sığdırmak için yakınlaştır

Grafiğinizi, tüm düğümler görünür olacak ve grafik tuvalinizin büyük kısmını kaplayacak şekilde yeniden konumlandırmak için sığdıracak şekilde yakınlaştırma seçeneğini seçin. "Gragrafiği Yeniden Hizala" seçeneği grafiği orijinal haline döndürürken, yakınlaştırma seçeneği grafiğe (taşınmış düğümler veya diğer özelleştirmelerle) ekranınızdaki konumunu sağlar.

İlgili içerik

• Microsoft Sentinel grafiğine genel bakış
• Microsoft Sentinel'da özel grafikler
• Microsoft Sentinel'de özel grafikler oluşturma
• Microsoft Sentinel grafı için GQL başvuru kılavuzu
• Microsoft Sentinel grafik sorgularına ayrıntılı bağlantılar oluşturma