Microsoft Defender ポータルのグラフ エクスペリエンスを使用すると、フィッシング分析用に構築されたグラフを使用して、最近のインシデントの影響を迅速に評価し、攻撃者をプロファイリングし、Microsoft テレメトリとサードパーティのデータ全体のパスを追跡するのに役立つなど、カスタム グラフに対して対話型のグラフベースの調査を実行できます。 グラフ エクスペリエンスを使用すると、グラフ クエリを実行して、組織にとって最も重要な分析情報を視覚化し、関心のあるエンティティをすばやく調査できるように、グラフのアドホック トラバーサルをサポートできます。 グラフ スキーマを調査して、グラフに定義されているリレーションシップを理解し、表示されているメタデータのいずれかを使用して結果を絞り込むことができます。 テーブル ビューを使用して結果をすばやく検証し、エクスポートして既存のワークフローに簡単に統合できます。 Microsoft Visual Studio Code の Jupyter Notebook を使用してカスタム グラフを作成して具体化した後、Microsoft Sentinelのグラフ エクスペリエンスを使用してカスタム グラフのクエリと視覚化を行います。
グラフMicrosoft Sentinel使用して、グラフのクエリ、視覚化、操作を行い、新しい分析情報を取得します。
前提条件
- Microsoft Sentinelのグラフ体験にアクセスし、グラフ体験をクエリして可視化を作成するには、適切な権限が必要です。 詳細については、「Microsoft Sentinel でカスタム グラフを使い始める」を参照してください。 Sentinel スコープのユーザーは、スコープをオーバーライドする 4 つの高度な特権ロール (セキュリティ閲覧者、セキュリティ オペレーター、セキュリティ管理者、またはグローバル管理者) のいずれかを保持していない限り、Sentinel Graph にアクセスできません。
グラフにアクセスする
Microsoft Sentinelのグラフ エクスペリエンスにアクセスするには、Microsoft Defender ポータルにサインインし、ナビゲーション ウィンドウから Microsoft Sentinel>Graphs を選択します。
Sentinelグラフ管理ページには、Visual Studio Code用のMicrosoft Sentinel拡張機能で作成したカスタムグラフが掲載され、グラフジョブを公開して実現したものです。 インタラクティブノートブックセッションでのみ作成されたグラフは、このページでは利用できません。 カスタムグラフを公開していなければ、「 Create a custom graph 」をご覧ください。
カスタム グラフを既に作成している場合は、Microsoft Sentinelの [グラフ] ページに使用可能なすべてのカスタム グラフが表示されます。 任意のグラフ タイルの ... メニューを選択して、各カスタム グラフの概要を表示します。
オンデマンドグラフジョブで公開されたグラフは30日間保持された後、削除されます。 スケジュールされたグラフジョブは、設定されたリフレッシュスケジュール上でグラフを再構築します。 グラフが欠落している、またはデータが古くなった場合は、Visual Studio Code用のMicrosoft Sentinel拡張機能でグラフジョブのステータスとスケジュールを確認してください。
カスタム グラフのクエリ
グラフ クエリ ページを表示 するには、グラフ タイルの [クエリ グラフ] を選択します。
グラフクエリはMicrosoft Sentinelグラフメーターで請求されます。 詳細はグラフ 電荷をご覧ください。
グラフオントロジ (ノード、エッジ、クエリに使用できるプロパティ) を理解するには、スキーマを表示します。
[ 作業の開始 ] タブを選択します
提案されたクエリの一覧が表示されます。 任意のグラフを視覚化 クエリの クエリの編集 を選択して、クエリ エディターにコピーします。
- 複数のクエリを手動で入力するか、追加の推奨クエリを選択します。
- エディターでは、元に戻す (Ctrl + Z) とやり直し (Ctrl + Y) がサポートされています。
- クエリを実行する前に、エディターで正しいクエリを強調表示します。
- GQL クエリを手動で入力すると、エディターはグラフのスキーマに基づいて予測値を提案します。
次のクエリ例は、 グラフを視覚化し、グラフ内の任意のワンホップ接続と一致し、ソース ノード、有向リレーションシップ、およびターゲット ノードを検索します。 最大 100 個のそのような一致の完全なノードとリレーションシップが返されるため、生のグラフ構造をすばやく探索するのに役立ちます。
MATCH (x)-[y]->(z) RETURN * LIMIT 100GQL の使用方法の詳細については、「 Graph クエリ言語 (GQL) リファレンス」を参照してください。
Note
事前定義クエリには、返される結果数に上限を設けるデフォルトの
LIMIT節(例:LIMIT 100)が含まれます。 このデフォルトは初期の可視化を応答性に保ちますが、グラフデータの一部の部分しか見えません。 すべての一致する結果を見るには、クエリを実行する前に値を増やすか、LIMIT節を削除してください。 大きな結果セットを返すとパフォーマンスに影響が出るため、制限を段階的に増やしてグラフの適切なバランスを見つけましょう。[ GQL クエリの実行 ] を選択して結果を表示します。 実行中にクエリを取り消すことができます。 クエリエディターセルの内容をコピーして、クエリを他の場所で共有または保存します。
クエリが完了すると、グラフの視覚化が表示されます。 一部のクエリでは、グラフとしてレンダリングできない
COLLECTLISTなどの演算子が使用されます。 グラフとしてレンダリングできない演算子はテーブルビューに反映されます。 クエリがグラフとしてレンダリングできない演算子を使う場合、グラフタブにはなぜグラフがレンダリングできないのかを説明するメッセージが表示されますノードに関連付けられているプロパティなど、ノードの詳細を表示するノードを選択します。 この情報を使用して、後続のクエリと視覚化を通知します。
[ テーブル ] タブを選択して、結果の表形式を表示します。 行を選択すると、各セルの基になる JSON データが表示されます。
グラフを操作する
グラフを走査して探索するには、次の機能を使用します。
ノードの色
ノードは型によって色分けされているため、グラフ内のさまざまなエンティティ型を簡単に視覚化できます。
グラフの凡例
グラフの凡例には、グラフ内のすべてのノード の種類と、対応する色と数が表示されます。 また、すべてのエッジの種類も一覧表示されるため、ノードが相互に接続する方法を理解できます。
ノード ラベル
グラフを拡大すると、より多くのノード ラベルが表示されます。 最初に表示されるラベルは、大きな円で表される最も重く接続されたノードです。 ズームを続けるにつれて、より多くのノード ラベルが接続の降順で表示されます。
ノードにカーソルを合わせる
ノードの上にマウス ポインターを置くと、グラフは接続を強調表示し、関連のないノードとエッジを非表示にして、重要な情報とノードが他のノードにどのように接続しているかを明確に確認できるようにします。 ノードに関する詳細情報を示すポップアップ ボックスが表示されます。
グループ化とグループ解除
既定では、ノードが同じノード タイプの場合、ノードはグラフの視覚エフェクトにグループ化され、同じエッジ タイプで同じ原点ノードに接続されます。 たとえば、「ファイル」ノードや「～によってアクセスされる」エッジなどです。 グループ化されたノードは、詳細レイアウトでは重なった円で、簡略化レイアウトではひし形で表されます。 ノードグループ化により、ノード数が少ないよりクリーンな視覚化が生成されます。これは、大規模なグラフを調査する際に重要です。 ノードのグループを解除するには、右クリックして [ グループ解除 ] を選択してすべてのノードのグループを解除します。 ノード グループを選択すると、そのグループ内のすべてのノードの右側のウィンドウが開きます。 グループ解除する個々のノードを選択し、選択されていないノードは元のグループに残します。 ノードを再グループ化するには、グループに含まれていたノードを右クリックし、[ 再グループ化] を選択します。
ノードの詳細を表示する
ノードを選択して、右側の詳細ウィンドウを開きます。 詳細パネルに表示されたメタデータを使って、地理的地域、部門、または最終更新日で絞り込むなど、今後のクエリを絞り込むことができます。
接続されている資産を探索する
ノードを右クリックし、[ 接続されている資産の探索 ] を選択してグラフを走査し、このノードの次ホップを表示します。 詳細なレンダラーを表示するときに、ノードの横にあるプラス "+" アイコンをクリックして走査することもできます。
グラフのフィルター処理
グラフ キャンバスの右上にあるフィルターを使用して、視覚化された結果をノードの種類またはエッジリレーションシップ別に絞り込むことができます。
グラフの結果の共有
[クエリの共有] を選択すると 、クエリ結果を共有できます。 このドロップダウン メニューから、次の 3 つのオプションから選択できます。
- 最後の実行クエリへのリンクのコピー: 既に GQL エディターで参照されているクエリを使用して、ユーザーをグラフ ページにルーティングする URL を生成してコピーします。
- コードへのリンクをコピーする: 共有可能な URL リンクとクエリ コードの内容を生成してコピーします。
- グラフの結果のコピー: クエリを自動的に実行してグラフを生成する共有可能な URL リンクと、クエリ コードの内容と生成されたグラフのスクリーンショットを生成してコピーします。
また、グラフ クエリへの直接リンクを作成して、クエリが事前入力されたグラフ ページを開き、必要に応じてクエリを実行することもできます。 詳細については、「Microsoft Sentinel グラフ クエリへのディープ リンクを作成する」を参照してください。
テーブル表示
[テーブル] タブを選択して、データを表形式で 表示 します。テーブルから、次のことができます。
- グラフクエリ言語(GQL)クエリが望ましい結果を生み出したかを検証してください。
- テーブルを検索して並べ替えて、関心のあるエンティティをすばやく見つけます。
- 個々のセルの基になる JSON を表示し、今後のクエリで使用できるキー コンテキストを提供します。
- 他の既存のワークフローで使用するために CSV 形式にエクスポートします。
RETURN演算子を使用してテーブル形式をカスタマイズし、列構造を定義するか、結果を好みに合わせて並べ替えます。 詳細については、 GQL のドキュメントを参照してください。
グラフ可視化オプションの設定
グラフ キャンバスの右下隅には、一連の構成オプションを使用してグラフの視覚化をカスタマイズできます。
Layouts
最初の設定ボタンには、グラフの視覚化に関する一連のカスタマイズ オプションが用意されています。
グラフレンダラーを選ぶ
対象となる調査と大規模なオープン探索の両方に対応するために、グラフは 2 つの異なるレンダラーを使用して視覚化を生成します。 既定では、レンダラーは "auto" に設定されます。これは、表示されるノードの数に基づいてグラフがレンダリングすることを意味します。 ニーズに応じて、わかりやすいレンダラーまたは簡略化されたレンダラーを使用します。 記述レンダラーは、細かい粒度が重要な小さなグラフに最適です。 グラフの走査を容易にするために各ノードの横にプラス ("+") アイコンなどの小さな機能強化が含まれており、グループ化されたノードは積み重ねられた円で表されます。 簡略化されたレンダラーは、何千ものノードを持つ大規模なグラフ、表示されるデータのオープン探索のためのスケーリング、ノード グループをひし形として表す場合に適しています。
以下の画像は、左側の記述型レンダラーと右側の簡略化レンダラーの違いを示しています。
グラフレイアウトを選択する
グラフのレイアウトを "force" (既定) から "directed" に変更するオプションがあります。フォース レイアウトでは、接続に基づいてノードが自動的に表示され、異常を識別しやすい相互接続されたグラフが生成されます。 方向付きレイアウトは、より厳密な構造に従い、ノードをクリーンで直線的にトップダウンして整理します。 以下の画像は、方向性のある配置を示しています。
グラフの相互作用動作を設定する
既定では、[データ変更時の位置を保持する] オプションが選択されています。 「データ変更時に位置を保持する」設定は、ノード接続の拡張やグループ化・アングルーピングなどの操作が他のノードの位置を変えないようにします。 「データ変更時に位置を保持する」設定をオフにすると、ノード接続の拡張やグループ化・アングルーピングの操作が行われる際に、既存ノードの位置が変わります。
利用可能なグラフアクション
[グラフの再調整] を選択すると、グラフが元の状態に戻ります。
グラフ層の設定
既定では、ノードラベルとエッジラベルの両方がグラフに表示され、定義済みのグラフのアイコンも表示されます。 設定メニューからラベルとアイコンをオフにします。
全画面表示にする
全画面表示を選択すると、グラフが全画面表示モードで表示され、視覚化を探索するための領域が大幅に増えます。
サイズに合わせてズームする
すべてのノードが表示され、グラフキャンバス画面の大部分を占めることができるようにグラフの位置を変更するには、ズームオプションを選択します。 「グラフの再配置」オプションはグラフを元の状態に戻しますが、ズーム・トゥ・フィット(ズーム・トゥ・フィット)オプションは、移動したノードやその他のカスタマイズを加えたグラフを画面内に収めるだけです。