Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
I grafici personalizzati consentono di creare grafici di sicurezza personalizzati ottimizzati per gli scenari di sicurezza univoci usando dati provenienti da Sentinel data lake e da origini non Microsoft. Con un grafico personalizzato, basato su Fabric, è possibile compilare, eseguire query e visualizzare i dati connessi, individuare modelli nascosti e percorsi di attacco e contribuire a individuare i rischi difficili da rilevare quando i dati vengono analizzati in isolamento. I grafici personalizzati forniscono il contesto delle conoscenze che consente alle esperienze degli agenti basati sull'intelligenza artificiale di lavorare in modo più efficace, velocizzando le indagini, rivelando raggio di esplosione e consentendo di passare da avvisi rumorosi e disconnessi a decisioni sicure su larga scala.
Scenari comuni
Questi scenari rappresentano un esempio di ciò che è possibile con i grafici personalizzati. È possibile modellare entità, relazioni e dati del data lake Sentinel, abilitando grafici personalizzati in base ai flussi di lavoro di sicurezza specifici e alle esigenze investigative.
| Scenario | Domande chiave a cui graph può rispondere |
|---|---|
| Kill chain delle e-mail di phishing con contesto aziendale arricchito | - Chi ha ricevuto il messaggio di posta elettronica di phishing, chi ha fatto clic sui collegamenti e quali clic sono stati effettivamente consentiti dal proxy? - Quali messaggi di posta elettronica puntano allo stesso URL, rivelando onde usando l'infrastruttura condivisa? Seguire l'allegato → scaricare →'esecuzione del processo → dispositivo per visualizzare la catena dalla posta in arrivo alla compromissione. |
| Cacciatore di beacon DNS C2 | - Mostra l'attività del dispositivo verso il dominio che presenta un comportamento di beaconing (bassa varianza degli intervalli e ampia copertura temporale), separando il traffico automatizzato dalla navigazione umana. - Seguire la catena completa delle evidenze dal dispositivo → query DNS → IP risolto → indicatore di minaccia. |
| Rilevamento della catena di attacchi comportamentali | - Mostra tutti gli indirizzi IP/utenti che interagiscono con comportamenti mappati su 3 o più tecniche MITRE diverse. - Seguire l'intero percorso da un indicatore di minaccia, passando per l'indirizzo IP corrispondente e per tutti i comportamenti associati, fino a ogni utente interessato. |
| Escalation dei privilegi di OAuth | - Mostra le entità servizio che si sono concesse autorizzazioni e poi le hanno concatenate per raggiungere un ruolo di directory Tier Zero. Firma del ciclo di escalation automatica. |
Compilazione di grafici personalizzati in Microsoft Sentinel
Usare i notebook di Jupyter in Microsoft Visual Studio Code per creare e analizzare in modo interattivo grafici personalizzati con i dati nel data lake Microsoft Sentinel. I notebook sono forniti dall'estensione Microsoft Sentinel Visual Studio Code che consente di interagire con il data lake Microsoft Sentinel usando Python per Spark (PySpark). Per altre informazioni sull'estensione Microsoft Sentinel Visual Studio Code, vedere Installare Visual Studio Code e l'estensione Microsoft Sentinel.
È possibile creare grafici personalizzati usando la creazione di grafi assistita dall'intelligenza artificiale o scrivendo codice personalizzato usando il riferimento al provider di grafi Microsoft Sentinel per definire il modello di grafo (nodi e archi), trasformare i dati dal data lake Sentinel e usare Graph Query Language (GQL) per eseguire query e analizzare i grafici. Per ulteriori informazioni, vedere Creazione di grafi personalizzati assistita dall'intelligenza artificiale in Microsoft Sentinel, Informazioni di riferimento sul provider di grafi di Microsoft Sentinel e Informazioni di riferimento su Graph Query Language (GQL) per i grafi personalizzati di Sentinel.
Dopo aver creato il codice del grafo nel notebook, è possibile eseguire il notebook in una sessione interattiva o pianificare un processo grafico. I grafici creati durante la sessione interattiva del notebook sono temporanei e sono disponibili solo nel contesto della sessione del notebook. Per materializzare il grafico e condividerlo con il team, pianificare un processo di grafo per ricompilare frequentemente il grafico. Una volta materializzato, il grafo è accessibile da: l'esperienza del grafo nel portale Microsoft Defender in Sentinel, i notebook di Visual Studio Code e le API di query del grafo.
Nella tabella seguente vengono riepilogati i passaggi per compilare grafici personalizzati in Microsoft Sentinel:
| Fase | Descrizione |
|---|---|
| 1. Creare e analizzare un grafico nella sessione interattiva del notebook | - I notebook di Jupyter in Sentinel offrono un ambiente interattivo per l'esplorazione e l'analisi dei dati in Sentinel Lake. - L'estensione Microsoft Sentinel include una libreria Python per il generatore di grafici. - Usare il notebook di Jupyter in Sentinel per definire nodi e archi con i dati Lake e creare grafici. - La libreria di generatori di gragrafi consente di eseguire query su un grafo usando il linguaggio GQL (Graph Query Language) nel notebook di Jupyter Graph. |
| 2. Pianificare un processo grafico per materializzare il grafico | - Materializzare il grafo nel tenant per continuare l'accesso e la collaborazione. - Usa i job di Sentinel per definire la frequenza con cui aggiornare un grafo materializzato usando i dati di Lake. - Eseguire query e visualizzare grafici materializzati nell'esperienza del grafo in Microsoft Sentinel. |
| 3. Eseguire algoritmi grafi avanzati | - Usare i notebook di Jupyter per accedere al supporto predefinito per l'analisi graphFrames e le funzioni di attraversamento del grafo. - Usa algoritmi per grafi di Sentinel progettati appositamente per scenari comuni di sicurezza. |
Per istruzioni dettagliate su come creare grafici personalizzati in Microsoft Sentinel, vedere Grafici personalizzati in Microsoft Sentinel.
Visualizzazione di grafici in Microsoft Sentinel
Microsoft Sentinel offre più opzioni per la visualizzazione dei grafici, tra cui l'esperienza dei grafici Microsoft Sentinel, i notebook di Jupyter nell'estensione Sentinel Visual Studio Code. L'esperienza del grafico consente di eseguire query GQL (Graph Query Language), visualizzare lo schema del grafo, visualizzare il grafico, visualizzare i risultati del grafico in formato tabulare e attraversare il grafico in modo interattivo fino all'hop successivo con un semplice clic.
Per altre informazioni su come visualizzare i grafici in Microsoft Sentinel usando Sentinel graph, vedi Visualizzare i grafici in Sentinel graph di Microsoft Sentinel (anteprima).