Visualisieren von Diagrammen in Microsoft Sentinel (Vorschau)

Die Graphenoberfläche im Microsoft Defender-Portal ermöglicht Es Ihnen, interaktive graphbasierte Untersuchungen für Ihre benutzerdefinierten Diagramme durchzuführen, z. B. mithilfe eines Graphen, der für die Phishinganalyse erstellt wurde, damit Sie schnell die Auswirkungen eines aktuellen Incidents bewerten, ein Profil für den Angreifer erstellen und dessen Pfade über Microsoft-Telemetriedaten und Daten von Drittanbietern nachverfolgen können. Mit der Diagrammoberfläche können Sie Diagrammabfragen ausführen, um die Erkenntnisse zu visualisieren, die für Ihre Organisation am wichtigsten sind, und unterstützt ad-hoc-Traversal des Diagramms, damit Sie interessante Entitäten schnell untersuchen können. Sie können das Diagrammschema untersuchen, um die in Ihrem Diagramm definierten Beziehungen zu verstehen, und alle angezeigten Metadaten verwenden, um Ihre Ergebnisse einzugrenzen. Sie können Ihre Ergebnisse schnell mit der Tabellenansicht überprüfen und exportieren, um sie einfach in bereits vorhandene Workflows zu integrieren. Verwenden Sie Jupyter Notebooks in Microsoft Visual Studio Code, um Ihre benutzerdefinierten Graphen zu erstellen und zu materialisieren, und verwenden Sie dann die Graphoberfläche in Microsoft Sentinel, um Ihre benutzerdefinierten Diagramme abzufragen und zu visualisieren.

Verwenden Sie Microsoft Sentinel Diagramm zum Abfragen, Visualisieren und Interagieren mit Diagrammen, um neue Erkenntnisse zu erhalten.

Voraussetzungen

  • Um auf die Graphoberfläche in Microsoft Sentinel zugreifen und sie zum Erstellen von Visualisierungen abfragen zu können, müssen Sie über die entsprechenden Berechtigungen verfügen. Weitere Informationen finden Sie unter Erste Schritte mit benutzerdefinierten Graphen in Microsoft Sentinel. Benutzer des Sentinel-Bereichs können nicht auf Sentinel Graphs zugreifen, es sei denn, sie besitzen eine von vier hoch privilegierten Rollen, die die Bereichsdefinition außer Kraft setzen: Sicherheitsleser, Sicherheitsoperator, Sicherheitsadministrator oder globaler Administrator.

Zugriffsgraphen

Um auf die Graphoberfläche in Microsoft Sentinel zuzugreifen, melden Sie sich beim Microsoft Defender Portal an, wählen Sie Microsoft Sentinel>Graphs aus dem Navigationsbereich aus.

Auf der Sentinel Graph-Verwaltungsseite werden alle benutzerdefinierten Diagramme aufgelistet, die Sie mithilfe der Visual Studio Code Sentinel-Erweiterung erstellt haben. Wenn Sie noch kein benutzerdefiniertes Diagramm erstellt haben, lesen Sie "Erstellen eines benutzerdefinierten Diagramms ", um zu beginnen.

Wenn Sie bereits benutzerdefinierte Diagramme erstellt haben, werden auf der Seite "Diagramme" in Microsoft Sentinel alle verfügbaren benutzerdefinierten Diagramme angezeigt. Zeigen Sie eine Übersicht über die einzelnen benutzerdefinierten Diagramme an, indem Sie das Menü ... auf einer beliebigen Graphkachel auswählen.

Screenshot, der zeigt, wie Sie über den Navigationsbereich von Microsoft Sentinel auf das Sentinel-Diagramm zugreifen.

Abfragen eines benutzerdefinierten Graphen

Wählen Sie auf der Diagrammkachel Abfragediagramm aus, um die Seite für Graphabfragen anzuzeigen.

Zeigen Sie das Schema an, um die Diagramm-Ontologie – Knoten, Kanten und deren Eigenschaften zu verstehen, die für die Abfrage verfügbar sind.

Screenshot der Seite zum Erstellen von Sentinel Graphen mit dem Schemabereich und der Abfrageeingabe.

  1. Wählen Sie die Registerkarte Erste Schritte aus .

  2. Es wird eine Liste der vorgeschlagenen Abfragen angezeigt. Wählen Sie "Abfrage bearbeiten" für die Grafikabfrage "Visualisieren " aus, um sie in den Abfrage-Editor zu kopieren.

    • Geben Sie mehrere Abfragen manuell ein, oder wählen Sie weitere vorgeschlagene Abfragen aus.
    • Der Editor unterstützt Rückgängig (STRG+Z) und Wiederholen (STRG+Y).
    • Heben Sie vor dem Ausführen einer Abfrage die richtige Abfrage im Editor hervor.
    • Wenn Sie GQL-Abfragen manuell eingeben, schlägt der Editor prädiktive Werte basierend auf dem Schema Ihres Diagramms vor.

    Diese Beispielabfrage, Beliebigen Graphen visualisieren, entspricht einer beliebigen Ein-Hop-Verbindung im Graphen und findet einen Quellknoten, eine gerichtete Beziehung und einen Zielknoten. Es gibt die vollständigen Knoten und die Beziehung für bis zu 100 solcher Übereinstimmungen zurück, sodass sie für die schnelle Untersuchung der rohen Graphstruktur nützlich ist.

    MATCH (x)-[y]->(z)
RETURN *
LIMIT 100

    Weitere Informationen zur Verwendung von GQL finden Sie unter Graph Query Language (GQL)-Referenz.

  3. Wählen Sie Run GQL query (GQL-Abfrage ausführen ) aus, um Ihre Ergebnisse anzuzeigen. Sie können eine Abfrage zur Mitte der Ausführung abbrechen. Kopieren Sie den Inhalt Ihrer Abfrage-Editor-Zelle, um die Abfrage an anderer Stelle freizugeben oder zu speichern.

  4. Nach Abschluss der Abfrage wird die Diagrammvisualisierung angezeigt. Einige Abfragen verwenden Operatoren wie COLLECTLIST diese können nicht als Diagramm gerendert werden. Diese Operatoren werden in der Tabellenansicht wiedergegeben. In diesen Fällen zeigt die Registerkarte "Diagramm" eine Meldung an, in der erläutert wird, warum ein Diagramm nicht gerendert werden kann.

  5. Wählen Sie einen beliebigen Knoten aus, um die Knotendetails anzuzeigen, einschließlich der eigenschaften, die diesem Knoten zugeordnet sind. Verwenden Sie diese Informationen, um nachfolgende Abfragen und Visualisierungen zu informieren.

    Screenshot: Ergebnisse der Sentinel Graphvisualisierung nach dem Ausführen einer GQL-Abfrage

  6. Wählen Sie die Registerkarte Tabelle aus, um eine tabellarische Darstellung Ihrer Ergebnisse anzuzeigen. Wählen Sie eine Zeile aus, um die zugrunde liegenden JSON-Daten für jede Zelle anzuzeigen.

    Screenshot: Ergebnisse der Tabellenvisualisierung nach dem Ausführen einer GQL-Abfrage

Interagieren mit Diagrammen

Verwenden Sie die folgenden Funktionen, um Ihre Diagramme zu durchlaufen und zu untersuchen:

Knotenfarben

Knoten sind farbcodiert nach Typ, sodass Sie die verschiedenen Entitätstypen in Ihrem Graphen einfach visualisieren können.

Diagrammlegende

Die Graphlegende zeigt alle Knotentypen in Ihrem Diagramm mit den entsprechenden Farben und Deren Anzahl an. Außerdem werden alle Edgetypen aufgelistet, sodass Sie verstehen können, wie Knoten miteinander verbunden sind.

Knotenbeschriftungen

Wenn Sie das Diagramm vergrößern, werden weitere Knotenbeschriftungen angezeigt. Die ersten Bezeichnungen, die angezeigt werden, sind die am stärksten verbundenen Knoten, die durch größere Kreise dargestellt werden. Wenn Sie den Zoom fortsetzen, werden weitere Knotenbeschriftungen in absteigender Reihenfolge der Konnektivität angezeigt.

Mit der Maus auf Knoten zeigen

Wenn Sie mit dem Mauszeiger über einen Knoten fahren, hebt das Diagramm dessen Verbindungen hervor und blendet nicht zugehörige Knoten und Kanten aus, sodass Sie wichtige Informationen und klar erkennen können, wie der Knoten mit anderen verbunden ist. Ein Popupfeld wird mit weiteren Informationen zum Knoten angezeigt.

Gruppieren und Gruppierung aufheben

Standardmäßig werden Knoten in Ihrer Diagrammvisualisierung gruppiert, wenn sie derselbe Knotentyp sind, und eine Verbindung mit demselben Ursprungsknoten mit demselben Edgetyp herstellen. Beispielsweise „Datei“-Knoten und „Zugriff von“ Rändern. Gruppierte Knoten werden durch gestapelte Kreise auf dem beschreibenden Layout und den Rautenformen im vereinfachten Layout dargestellt. Die Knotengruppierung erzeugt eine übersichtlichere Visualisierung mit weniger Knoten, was bei der Untersuchung großer Diagramme wichtig ist. Um die Gruppierung von Knoten aufzuheben, klicken Sie mit der rechten Maustaste und wählen Sie Gruppierung aufheben, um die Gruppierung aller Knoten aufzuheben. Wählen Sie die Knotengruppe aus, um die rechte Seitenleiste mit allen Knoten dieser Gruppe zu öffnen. Wählen Sie einzelne Knoten aus, um die Gruppierung aufzuheben, wobei die nicht ausgewählten Knoten in der ursprünglichen Gruppierung verbleiben. Um Knoten neu zu gruppieren, klicken Sie mit der rechten Maustaste auf einen beliebigen Knoten, der in die Gruppe einbezogen wurde, und wählen Sie Neu gruppieren aus.

Knotendetails anzeigen

Wählen Sie einen Knoten aus, um einen Detailbereich auf der rechten Seite zu öffnen. Verwenden Sie die hier gezeigten Metadaten, um zukünftige Abfragen zu verfeinern, z. B. durch Filtern nach geografischer Region, Abteilung oder datum der letzten Aktualisierung.

Erkunden verbundener Ressourcen

Klicken Sie mit der rechten Maustaste auf den Knoten, und wählen Sie "Verbundene Ressourcen durchsuchen " aus, um das Diagramm zu durchlaufen und den nächsten Hop von diesem Knoten anzuzeigen. In der detaillierten Renderer-Ansicht können Sie auch navigieren, indem Sie auf das Symbol „+“ neben einem Knoten klicken.

Screenshot, der zeigt, wie verbundene Ressourcen durch Klicken mit der rechten Maustaste auf einen Knoten in der Diagrammvisualisierung untersucht werden.

Filtern eines Diagramms

Sie können die Filter oben rechts im Graphbereich verwenden, um die visualisierten Ergebnisse nach Knotentyp oder Kantenbeziehung einzugrenzen.

Screenshot: Graphfilter für Knoten- und Edgetypen

Freigeben von Diagrammergebnissen

Sie können Ihre Abfrageergebnisse freigeben, indem Sie "Abfrage freigeben" auswählen. In diesem Dropdownmenü können Sie zwischen drei Optionen wählen:

  • Kopieren Sie den Link zu ihrer letzten Ausführungsabfrage: erzeugt und kopiert eine URL, die den Benutzer zur Diagrammseite leitet, wobei die referenzierte Abfrage bereits im GQL-Editor vorhanden ist.
  • Link in Code kopieren: Erzeugt und kopiert einen freigabefähigen URL-Link und den Abfragecodeinhalt.
  • Kopieren von Diagrammergebnissen: Erzeugt und kopiert einen freigabefähigen URL-Link, der die Abfrage automatisch ausführt, um das Diagramm zu generieren, sowie den Abfragecodeinhalt und einen Screenshot des erstellten Diagramms.

Sie können auch direkte Links zu Ihren Diagrammabfragen erstellen, die Ihre Diagrammseite mit der bereits ausgefüllten Abfrage öffnen und optional die Abfrage ausführen. Weitere Informationen finden Sie unter Erstellen von Deep-Links zu Microsoft Sentinel Diagrammabfragen.

Tabellenansicht

Zeigen Sie eine tabellarische Darstellung Ihrer Daten an, indem Sie die Registerkarte "Tabelle " auswählen. Aus der Tabelle können Sie folgende Aktionen ausführen:

  • Überprüfen Sie, ob Ihre GQL-Abfrage die gewünschten Ergebnisse erzeugt hat.
  • Suchen und sortieren Sie die Tabelle, um schnell nach relevanten Entitäten zu suchen.
  • Zeigen Sie den zugrunde liegenden JSON-Code für eine einzelne Zelle an, und stellen Sie den Schlüsselkontext bereit, den Sie in zukünftigen Abfragen verwenden können.
  • Exportieren sie in das CSV-Format zur Verwendung in anderen bereits vorhandenen Workflows.

Screenshot: Tabellenansicht mit Such-, Sortier- und Exportfunktionen

Passen Sie das Tabellenformat mithilfe des RETURN Operators an, um die Spaltenstruktur zu definieren, oder ordnen Sie die Ergebnisse nach Ihren Wünschen an. Weitere Informationen finden Sie in der GQL-Dokumentation.

Konfigurationsoptionen

In der unteren rechten Ecke des Graph-Zeichenbereichs können Sie Ihre Diagrammvisualisierung mit einer Reihe von Konfigurationsoptionen anpassen.

Layouts

Die erste Schaltfläche "Einstellungen" bietet eine Reihe von Anpassungsoptionen für Ihre Diagrammvisualisierung.

Renderer

Um sowohl gezielte Untersuchungen als auch umfangreiche offene Erkundungen zu unterstützen, verwendet das Diagramm zwei verschiedene Renderer, um Visualisierungen zu erzeugen. Standardmäßig ist der Renderer auf "auto" festgelegt, was bedeutet, dass das Diagramm basierend auf der Anzahl der angezeigten Knoten gerendert wird. Verwenden Sie entweder den beschreibenden oder vereinfachten Renderer entsprechend Ihren Anforderungen. Der beschreibende Renderer eignet sich am besten für kleinere Diagramme, bei denen eine detaillierte Granularität der Schlüssel ist. Es enthält kleine Verbesserungen wie Pluszeichen ("+") neben jedem Knoten, um einfache Diagramme zu durchlaufen, und gruppierte Knoten werden durch gestapelte Kreise dargestellt. Der vereinfachte Renderer eignet sich besser für große Graphen mit Tausenden von Knoten, skaliert für die freie Erkundung der dargestellten Daten und stellt Knotengruppen als Rauten dar.

Die folgende Abbildung zeigt den Unterschied zwischen dem deskriptiven Renderer auf der linken Seite und dem vereinfachten Renderer auf der rechten Seite.

Screenshot mit dem Unterschied zwischen den beschreibenden und vereinfachten Renderern in der Diagrammvisualisierung.

Layout

Sie haben die Möglichkeit, das Layout Ihres Diagramms von "force" (Standard) in "gerichtet" zu ändern. Das Force-Layout zeigt automatisch Knoten basierend auf ihren Verbindungen an, wodurch ein miteinander verbundenes Diagramm entsteht, bei dem Anomalien leicht zu erkennen sind. Das gerichtete Layout folgt einer strikteren Struktur, wobei Knoten oben unten auf saubere, lineare Weise organisiert werden. Die folgende Abbildung zeigt das gerichtete Layout.

Screenshot des gerichteten Layouts einer Diagrammvisualisierung.

Behavior

Standardmäßig ist die Option "Positionen bei Datenänderung beibehalten" aktiviert. Diese Einstellung stellt sicher, dass Aktionen wie das Erweitern von Knotenverbindungen oder das Gruppieren bzw. Aufheben von Gruppierungen die Position anderer Knoten nicht verändern. Wenn Sie diese Einstellung deaktivieren, wird die Positionierung vorhandener Knoten verschoben, wenn diese Aktionen ausgeführt werden.

Aktionen

Wenn Sie "Diagramm neu ausrichten" auswählen, wird das Diagramm in den ursprünglichen Zustand zurückgesetzt.

Ebenen

Standardmäßig sind sowohl Knoten- als auch Randbeschriftungen im Diagramm sowie Symbole für vordefinierte Diagramme sichtbar. Deaktivieren Sie Beschriftungen und Symbole aus dem Menü "Einstellungen".

Vollbildmodus aktivieren

Wählen Sie den Vollbildmodus aus, um Ihr Diagramm im Vollbildmodus anzuzeigen, wodurch deutlich mehr Platz zum Erkunden der Visualisierung bereitgestellt wird.

Auf optimale Darstellung zoomen

Wählen Sie den Zoom, um das Diagramm neu zu positionieren, sodass alle Knoten sichtbar sind und den Großteil des Graph-Canvas-Bildschirms belegen. Während die Option „Diagramm neu ausrichten“ das Diagramm wieder in seinen ursprünglichen Zustand zurücksetzt, passt diese Option das Diagramm lediglich an den Bildschirm an – auch wenn Knoten verschoben oder andere Anpassungen vorgenommen wurden.

Verwandte Inhalte

  • Last updated on