Visualizzare i grafici in Microsoft Sentinel (anteprima)

L'esperienza dei grafici nel portale di Microsoft Defender consente di eseguire indagini interattive basate su grafi sui grafici personalizzati, ad esempio usando un grafico creato per l'analisi del phishing per valutare rapidamente l'impatto di un recente evento imprevisto, profilare l'utente malintenzionato e tracciarne i percorsi tra dati di telemetria Microsoft e di terze parti. L'esperienza dei grafici consente di eseguire query di gragrafi per visualizzare le informazioni dettagliate più importanti per l'organizzazione e supporta l'attraversamento ad hoc del grafico in modo da poter analizzare rapidamente le entità di interesse. È possibile studiare lo schema del grafo per comprendere le relazioni definite nel grafico e usare uno dei metadati visualizzati per limitare i risultati. È possibile convalidare rapidamente i risultati con la visualizzazione tabella ed esportarli per semplificare l'integrazione in qualsiasi flusso di lavoro preesistente. Usare Jupyter Notebooks in Microsoft Visual Studio Code per creare e materializzare i grafici personalizzati, quindi usare l'esperienza del grafico in Microsoft Sentinel per eseguire query e visualizzare i grafici personalizzati.

Usa il grafo di Microsoft Sentinel per eseguire query sui grafi, visualizzarli e interagire con essi per ottenere nuove informazioni.

Prerequisiti

  • Per accedere all'esperienza del grafo in Microsoft Sentinel e interrogare l'esperienza del grafo per produrre visualizzazioni, è necessario avere i permessi appropriati. Per altre informazioni, vedere Introduzione ai grafici personalizzati in Microsoft Sentinel. Gli utenti di Sentinel Scope non possono accedere a Sentinel Graphs a meno che non dispongano di uno dei quattro ruoli con privilegi elevati che bypassano l'ambito: Security Reader, Security Operator, Security Admin o Global Admin.

Accedere ai grafici

Per accedere alla funzionalità dei grafici in Microsoft Sentinel, effettuare l'accesso al portale di Microsoft Defender e selezionare Microsoft Sentinel>Graphs dal riquadro di navigazione.

La pagina di gestione dei grafi Sentinel elenca i grafi personalizzati che hai creato con l'estensione Microsoft Sentinel per Visual Studio Code e che si sono materializzati pubblicando un lavoro di grafico. Un grafico creato solo in una sessione di quaderno interattivo non è disponibile in questa pagina. Se non hai ancora pubblicato un grafo personalizzato, consulta Crea un grafo personalizzato per iniziare.

Se sono già stati creati grafici personalizzati, nella pagina Grafici in Microsoft Sentinel vengono visualizzati tutti i grafici personalizzati disponibili. Per visualizzare una panoramica di ogni grafico personalizzato, selezionare il menu ... in qualsiasi riquadro del grafico.

I grafici pubblicati da un lavoro di grafo on-demand vengono conservati per 30 giorni e poi eliminati. I lavori di grafo programmati ricostruiscono i grafi secondo i loro programmi di aggiornamento configurati. Se manca un grafo o i suoi dati sono obsoleti, rivedi lo stato e la programmazione del lavoro nel grafo nell'estensione Microsoft Sentinel per Visual Studio Code.

Schermata che mostra come accedere al grafico di Sentinel dal riquadro di navigazione di Microsoft Sentinel.

Interrogare un grafo personalizzato

Selezionare Esegui query sul grafico sul riquadro del grafico per visualizzare la pagina delle query del grafico.

Le query di grafico sono fatturate sotto il misuratore di grafo Microsoft Sentinel. Per maggiori informazioni, vedi Carica grafica.

Visualizzare lo schema per comprendere l'ontologia del grafo, ovvero nodi, archi e le relative proprietà disponibili per la query.

Screenshot che mostra la pagina di creazione del grafico Sentinel con il pannello dello schema e l'input della query.

  1. Selezionare la scheda Introduzione

  2. Viene visualizzato un elenco di query suggerite. Seleziona Modifica query per la query Visualize any graph per copiarla nell'editor di query.

    • Inserire più query manualmente o selezionare altre query suggerite.
    • L'editor supporta l'annullamento (CTRL+Z) e il rollforward (CTRL+Y).
    • Prima di eseguire una query, evidenziare la query corretta nell'editor.
    • Quando si digitano manualmente query GQL, l'editor suggerisce valori predittivi in base allo schema del grafo.

    Questa query di esempio, Visualizza un grafo qualsiasi, corrisponde a una qualsiasi connessione a un solo hop nel grafo, individuando un nodo di origine, una relazione direzionata e un nodo di destinazione. Restituisce i nodi completi e la relazione per un massimo di 100 corrispondenze di questo tipo, rendendolo utile per esplorare rapidamente la struttura del grafico non elaborato.

    MATCH (x)-[y]->(z)
RETURN *
LIMIT 100

    Per altre informazioni sull'uso di GQL, vedere Informazioni di riferimento su Graph Query Language (GQL).

    Note

    Le query predefinite includono una clausola predefinita LIMIT (ad esempio, LIMIT 100) che limita il numero di risultati restituiti. Questo predefinito mantiene le visualizzazioni iniziali reattive, ma vedi solo un sottoinsieme dei dati del tuo grafo. Per vedere tutti i risultati corrispondenti, modifica la query per aumentare il valore o rimuovi la LIMIT clausola prima di eseguirla. Restituire grandi set di risultati può influire sulle prestazioni, quindi aumenta il limite in modo incrementale per trovare il giusto equilibrio per il tuo grafico.

  3. Selezionare Esegui query GQL per visualizzare i risultati. È possibile annullare una query a metà esecuzione. Copiare il contenuto della cella dell'editor di query per condividere o salvare la query altrove.

  4. Al termine della query, appare la visualizzazione del grafo. Alcune query usano operatori come COLLECTLIST, che non possono essere visualizzati come grafico. Gli operatori che non possono essere renderizzati come grafo sono riflessi nella vista tabella. Quando una query utilizza operatori che non possono essere renderizzati come grafo, la scheda grafico mostra un messaggio che spiega perché il grafo non può essere renderizzato

  5. Selezionare qualsiasi nodo per visualizzare i dettagli del nodo, incluse le proprietà associate a tale nodo. Usa queste informazioni per guidare le query e le visualizzazioni successive.

    Screenshot che mostra i risultati della visualizzazione del grafico Sentinel dopo l'esecuzione di una query GQL.

  6. Selezionare la scheda Tabella per visualizzare una rappresentazione tabulare dei risultati. Selezionare una riga per visualizzare i dati JSON sottostanti per ogni cella.

    Screenshot che mostra i risultati della visualizzazione della tabella dopo l'esecuzione di una query GQL.

Interagire con i grafici

Usare le funzionalità seguenti per attraversare ed esplorare i grafici:

Colori dei nodi

I nodi sono codificati in base al tipo, semplificando la visualizzazione dei diversi tipi di entità nel grafico.

Legenda del grafo

La legenda del grafico mostra tutti i tipi di nodo nel grafico con i colori e i conteggi corrispondenti. Elenca anche tutti i tipi di bordi, in modo da comprendere come i nodi si connettono tra loro.

Etichette dei nodi

Quando si esegue lo zoom avanti sul grafico, vengono visualizzate altre etichette dei nodi. Le prime etichette da visualizzare sono i nodi più connessi rappresentati da cerchi più grandi. Mentre si continua a ingrandire, vengono visualizzate più etichette dei nodi in ordine decrescente di connettività.

Passare il puntatore del mouse sui nodi

Quando si passa il puntatore del mouse su un nodo, il grafico evidenzia le connessioni e nasconde nodi e bordi non correlati in modo da poter visualizzare chiaramente le informazioni chiave e il modo in cui il nodo si connette ad altri. Viene visualizzata una finestra popup che mostra altre informazioni sul nodo.

Raggruppamento e annullamento del raggruppamento

Per impostazione predefinita, i nodi vengono raggruppati nella visualizzazione del grafo se sono dello stesso tipo di nodo e si connettono allo stesso nodo di origine in base allo stesso tipo di arco. Ad esempio, i nodi "file" e i bordi "accessibili da". I nodi raggruppati sono rappresentati da cerchi impilati sul layout descrittivo e le forme a rombo nel layout semplificato. Il raggruppamento dei nodi produce una visualizzazione più pulita con un minor numero di nodi, che è importante quando si analizzano grafici di grandi dimensioni. Per separare i nodi, fare clic con il pulsante destro del mouse e selezionare Separa per separare tutti i nodi. Selezionare il gruppo di nodi per aprire un riquadro di destra di tutti i nodi all'interno di tale gruppo. Selezionare singoli nodi da separare, lasciando i nodi non selezionati nel raggruppamento originale. Per raggruppare nuovamente i nodi, fare clic con il pulsante destro del mouse su qualsiasi nodo incluso nel gruppo e selezionare Raggruppa.

Visualizzare i dettagli del nodo

Selezionare un nodo per aprire un riquadro dei dettagli sul lato destro. Usa i metadati mostrati nel pannello dettaglio per affinare le future query—ad esempio, filtrando per regione geografica, dipartimento o data dell'ultimo aggiornamento.

Esplorare gli asset connessi

Fare clic con il pulsante destro del mouse sul nodo e selezionare Esplora asset connessi per attraversare il grafico e visualizzare l'hop successivo da questo nodo. Quando si visualizza il renderer dettagliato, è anche possibile attraversare facendo clic sull'icona più "+" accanto a un nodo.

Screenshot che mostra come esplorare gli asset connessi facendo clic con il pulsante destro del mouse su un nodo nella visualizzazione del grafico.

Filtro di un grafico

È possibile usare i filtri in alto a destra nell'area di disegno del grafo per limitare i risultati visualizzati in base al tipo di nodo o alla relazione perimetrale.

Screenshot che mostra i filtri del grafico per i tipi di nodo e di arco.

Condivisione dei risultati del grafico

È possibile condividere i risultati della query selezionando Condividi query. Da questo menu a discesa è possibile scegliere tra tre opzioni:

  • Copia il collegamento all'ultima query eseguita: genera e copia un URL che indirizza l'utente alla pagina del grafo con la query di riferimento già presente nell'editor GQL.
  • Copiare il collegamento al codice: produce e copia un collegamento URL condivisibile e il contenuto del codice della query.
  • Copiare i risultati del grafico: produce e copia un collegamento URL condivisibile che esegue automaticamente la query per generare il grafico, nonché il contenuto del codice della query e uno screenshot del grafico prodotto.

È anche possibile creare collegamenti diretti alle query del grafo che apriranno la pagina del grafo con la query precompilata e, facoltativamente, la eseguiranno. Per altre informazioni, vedere Creare deep link alle query di grafi di Microsoft Sentinel.

Visualizzazione tabella

Visualizzare una rappresentazione tabulare dei dati selezionando la scheda Tabella . Dalla tabella è possibile:

  • Verifica che la tua query Graph Query Language (GQL) abbia prodotto i risultati desiderati.
  • Cercare e ordinare la tabella per trovare rapidamente le entità di interesse.
  • Visualizzare il codice JSON sottostante per una singola cella, fornendo il contesto chiave che è possibile usare nelle query future.
  • Esportare in formato CSV da usare in altri flussi di lavoro preesistenti.

Screenshot che mostra la visualizzazione tabella con funzionalità di ricerca, ordinamento ed esportazione.

Personalizzare il formato di tabella usando l'operatore RETURN per definire la struttura di colonna o ordinare i risultati in base alle preferenze. Per altre informazioni, vedere la documentazione GQL.

Configura le opzioni di visualizzazione dei grafi

Nell'angolo inferiore destro dell'area di disegno grafico è possibile personalizzare la visualizzazione del grafo con una serie di opzioni di configurazione.

Layouts

Il primo pulsante delle impostazioni offre una serie di opzioni di personalizzazione per la visualizzazione del grafico.

Scegli un renderer di grafici

Per supportare sia le indagini mirate che l'esplorazione aperta su larga scala, il grafico usa due renderer diversi per produrre visualizzazioni. Per impostazione predefinita, il renderer è impostato su "auto", ovvero il grafico esegue il rendering in base al numero di nodi visualizzati. Usare il renderer descrittivo o semplificato in base alle esigenze. Il renderer descrittivo è più adatto per grafici più piccoli in cui la granularità dettagliata è fondamentale. Include piccoli miglioramenti come le icone più ("+") accanto a ogni nodo per facilitare l'attraversamento del grafico e i nodi raggruppati sono rappresentati da cerchi in pila. Il renderer semplificato è più adatto per grafici di grandi dimensioni con migliaia di nodi, ridimensionamento per l'esplorazione aperta dei dati presentati e rappresenta i gruppi di nodi come forme a rombo.

L'immagine seguente mostra la differenza tra il renderer descrittivo a sinistra e il renderer semplificato a destra.

Screenshot che mostra la differenza tra i renderer descrittivi e semplificati nella visualizzazione del grafico.

Seleziona un layout di grafico

È possibile modificare il layout del grafico da "force" (impostazione predefinita) a "directed". Il layout di forza visualizza automaticamente i nodi in base alle connessioni, producendo un grafico interconnesso in cui le anomalie sono facili da identificare. Il layout diretto segue una struttura più rigorosa, organizzando i nodi dall'alto verso il basso in modo pulito e lineare. L'immagine seguente mostra la disposizione diretta.

Schermata che mostra la disposizione orientata di una visualizzazione di un grafo.

Configura il comportamento dell'interazione dei grafi

Per impostazione predefinita, è selezionata l'opzione "Mantieni posizioni per le modifiche ai dati". L'impostazione "Preserva le posizioni al cambio dati" garantisce che azioni come l'espansione della connessione dei nodi o il raggruppamento/disaggregazione non cambino la posizione degli altri nodi. Disattivare l'impostazione "Preserva posizioni al cambio dati" sposta la posizione dei nodi esistenti quando vengono effettuate azioni di espansione della connessione o di raggruppamento e disaggregazione dei nodi.

Azioni di grafo disponibili

Se si seleziona "Realign graph" viene ripristinato lo stato originale del grafico.

Configura i livelli di grafo

Per impostazione predefinita, le etichette dei nodi e dei bordi sono visibili nel grafico, nonché icone per grafici predefiniti. Disattivare le etichette e le icone dal menu delle impostazioni.

Passa a schermo intero

Selezionare schermo intero per visualizzare il grafico in modalità schermo intero, offrendo molto più spazio con cui esplorare la visualizzazione.

Adatta alla finestra

Selezionare l'opzione zoom per adattarsi per riposizionare il grafico in modo che tutti i nodi siano visibili e occupare la maggior parte della schermata dell'area di disegno del grafico. Mentre l'opzione "Riallineare il grafo" riporta il grafico al suo stato originale, l'opzione zoom to fit semplicemente si adatta al grafico (con eventuali nodi spostati o altre personalizzazioni) all'interno dello schermo.

Contenuto correlato

  • Last updated on