カスタム グラフを使用すると、Sentinel Data Lake および Microsoft 以外のソースからのデータを使用して、独自のセキュリティ シナリオに合わせて調整されたカスタマイズされたセキュリティ グラフを作成できます。 Fabric を利用したカスタム グラフを使用すると、接続されたデータを構築、クエリ、視覚化し、隠されたパターンと攻撃パスを明らかにし、データが分離して分析されるタイミングを検出するのが困難なリスクを表面化するのに役立ちます。 カスタム グラフは、AI を利用したエージェント エクスペリエンスをより効果的に機能させ、調査を高速化し、爆発半径を明らかにし、ノイズの多い切断されたアラートから大規模な自信に満ちた意思決定に移行できるようにするナレッジ コンテキストを提供します。
一般的なシナリオ
これらのシナリオはカスタムグラフで可能なことの一例を示しています。 Sentinelのデータレイクからは、あらゆるエンティティ、関係、データをモデル化できます。 セキュリティワークフローや調査ニーズに合わせたグラフを作成しましょう。
| シナリオ | グラフが回答に役立つ主な質問 |
|---|---|
| 拡充されたビジネスコンテキストを含むフィッシングメールのキルチェーン | - フィッシングメールを受信したユーザー、リンクをクリックしたユーザー、プロキシによって実際に許可されたクリックはどれですか? - どの電子メールが同じ URL を指し、共有インフラストラクチャを使用してウェーブを明らかにしますか? 添付ファイル → ダウンロード → プロセスの実行 → デバイスという流れを追跡して、受信トレイから侵害に至るまでのチェーンを示します。 |
| DNS C2 ビーコン ハンター | - ビーコン挙動（通信間隔のばらつきが小さく、時間網羅率が高い）を示すデバイスとドメイン間のアクティビティを表示し、自動化されたトラフィックと人によるブラウジングを区別します。 - 解決された IP →脅威インジケーター→、デバイス→ DNS クエリからの完全な証拠チェーンに従います。 |
| 行動攻撃チェーンの検出 | - 3 つ以上の異なる MITRE 手法にマップされた動作に触れるすべての IP/ユーザーを表示します。 - 脅威インジケーターから、一致した IP アドレス、関連するすべての動作を経て、影響を受けるすべてのユーザーに至る完全な経路をたどります。 |
| OAuth 権限昇格 | - 自分自身に権限を付与し、その権限を連鎖させて Tier Zero のディレクトリ ロールに到達したサービス プリンシパルを表示します。 自己昇格サイクルの署名。 |
Microsoft Sentinelでのカスタム グラフの作成
Microsoft Visual Studio Code の Jupyter ノートブックを使用して、Microsoft Sentinel データ レイク内のデータを使用してカスタム グラフを対話的に作成および分析します。 ノートブックは、Python for Spark (PySpark) を使用してMicrosoft Sentinel データ レイクと対話できる、Microsoft Sentinel Visual Studio Code 拡張機能によって提供されます。 Microsoft Sentinel Visual Studio Code 拡張機能の詳細については、「Visual Studio Code のインストール」と「Microsoft Sentinel拡張機能」を参照してください。
AI支援のグラフ作成や、自分でコードを書くことでカスタムグラフを作成できます。 Microsoft Sentinelグラフプロバイダー参照を使ってグラフモデルのノードとエッジを定義し、Sentinelデータレイクからデータを変換し、グラフクエリ言語(GQL)でグラフをクエリしてください。 詳細については、「Microsoft Sentinelでの AI 支援のカスタム グラフ作成」、Microsoft Sentinelグラフ プロバイダーリファレンス、およびカスタム グラフの Graph クエリ言語 (GQL) リファレンスSentinel参照してください。
ノートブックでグラフコードを作成した後、インタラクティブなセッションでノートブックを実行するか、グラフジョブを公開してください。 インタラクティブノートブックセッション中に作成されたグラフは一時的で、そのセッション内でのみ利用可能です。 オンデマンドのグラフジョブは、グラフを30日間具現化し、その後削除します。 スケジュールされたグラフジョブは、設定したリフレッシュスケジュールに基づいてグラフを再構築します。 Microsoft Sentinelのグラフ体験から、Defenderポータル、Visual Studio Codeノートブック、グラフクエリAPIから実体化されたグラフにアクセスできます。
カスタムグラフの作成およびクエリはMicrosoft Sentinelグラフメーターで請求されます。 詳細はグラフ 電荷をご覧ください。
次の表は、Microsoft Sentinelでカスタム グラフを作成する手順をまとめたものです。
| 手順 | 説明 |
|---|---|
| 1. インタラクティブノートセッションでグラフを作成・調査する | - Microsoft SentinelのJupyterノートブックは、Microsoft Sentinelデータレイク内のデータを探索・分析するためのインタラクティブな環境を提供します。 - Microsoft Sentinelの拡張には sentinel_graph Python図書館が含まれています。- Jupyterノートブックを使って、Microsoft Sentinelのデータレイクのデータでノードとエッジを定義し、グラフを作成すること。 - sentinel_graph ライブラリを使ってグラフクエリ言語(GQL)でグラフをクエリする。 |
| 2. グラフを実体化するグラフジョブをスケジュールする | - テナントでグラフを具体化し、継続的なアクセスとコラボレーションを実現します。 - Sentinel ジョブを使用して、具体化されたグラフを Lake データで更新する頻度を調整します。 - Microsoft Sentinelのグラフ エクスペリエンスで具体化されたグラフのクエリと視覚化を行います。 |
| 3. 高度なグラフ アルゴリズムを実行する | - GraphFrames 分析とグラフ トラバーサル関数の組み込みサポートにアクセスするには、Jupyter Notebook を使用します。 - 一般的なセキュリティのユース ケースには、専用の Sentinel グラフ アルゴリズムを使用します。 |
Microsoft Sentinelでカスタム グラフを作成する方法の詳細については、「Microsoft Sentinelのカスタム グラフ」を参照してください。
Microsoft Sentinelでのグラフの視覚化
Microsoft Sentinelには、グラフ エクスペリエンス Microsoft Sentinel、Sentinel Visual Studio Code 拡張機能の Jupyter ノートブックなど、グラフを視覚化するための複数のオプションが用意されています。 グラフ体験では、グラフクエリ言語(GQL)クエリを実行し、グラフスキーマ(定義されたノード型と辺型)を表示し、グラフを可視化し、グラフ結果を表形式で表示し、クリック一つでグラフをインタラクティブに次のホップへ移動できます。
Sentinel グラフを使用してMicrosoft Sentinelでグラフを視覚化する方法の詳細については、「Microsoft Sentinel グラフ (プレビュー)でグラフを視覚化する」を参照してください。