Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Met aangepaste grafieken kunt u op maat gemaakte beveiligingsgrafieken maken die zijn afgestemd op uw unieke beveiligingsscenario's met behulp van gegevens uit Sentinel Data Lake en niet-Microsoft-bronnen. Met aangepaste grafiek, mogelijk gemaakt door Fabric, kunt u verbonden gegevens bouwen, opvragen en visualiseren, verborgen patronen en aanvalspaden blootleggen en risico's blootleggen die moeilijk te detecteren zijn wanneer gegevens geïsoleerd worden geanalyseerd. Aangepaste grafieken bieden de kenniscontext die AI-gestuurde agentervaringen effectiever laat werken, onderzoeken versnelt, de impact zichtbaar maakt en u helpt om van ruisvolle, onsamenhangende meldingen over te gaan naar met vertrouwen genomen beslissingen op schaal.
Veelvoorkomende scenario's
Deze scenario's laten een voorbeeld zien van wat mogelijk is met aangepaste grafieken. Je kunt alle entiteiten, relaties en data uit het Sentinel-datameer modelleren. Bouw grafieken die zijn afgestemd op je beveiligingsworkflows en onderzoeksbehoeften.
| Scenario | Belangrijke vragen die met grafiek kunnen worden beantwoord |
|---|---|
| Phishingmail-killchain met verrijkte bedrijfscontext | - Wie heeft de phishing-e-mail ontvangen, wie heeft op de koppelingen geklikt en welke klikken zijn daadwerkelijk toegestaan door de proxy? - Welke e-mailberichten verwijzen naar dezelfde URL, waarin golven worden weergegeven met behulp van een gedeelde infrastructuur? Volg de bijlage → download → procesuitvoering → apparaat om de keten van Postvak IN naar inbreuk weer te geven. |
| DNS C2-bakenjager | - Toon apparaat-naar-domein-activiteit die beaconinggedrag vertoont (lage intervalvariantie en hoge tijdsdekking), waarbij geautomatiseerd verkeer wordt onderscheiden van menselijk browsegedrag. - Volg de volledige bewijsketen van apparaat → DNS-query → opgeloste IP-→ bedreigingsindicator. |
| Gedragsdetectie van aanvalsketens | - Geef alle IP-adressen/gebruikers weer die betrokken zijn bij gedrag dat is gekoppeld aan 3 of meer verschillende MITRE-technieken. - Volg het volledige pad van een bedreigingsindicator via het overeenkomende IP-adres en alle gerelateerde gedragingen tot aan elke getroffen gebruiker. |
| Escalatie van OAuth-bevoegdheden | - Service-principals weergeven die zichzelf machtigingen hebben toegekend en deze vervolgens in een keten hebben gebruikt om een Tier Zero-directoryrol te bereiken. Zelfescalatiecyclussignatuur. |
Aangepaste grafieken bouwen in Microsoft Sentinel
Gebruik de Jupyter-notebooks in Microsoft Visual Studio Code om interactief aangepaste grafieken te maken en te analyseren met uw gegevens in de Microsoft Sentinel data lake. De notebooks worden geleverd door de Microsoft Sentinel Visual Studio Code-extensie waarmee u kunt communiceren met de Microsoft Sentinel data lake met behulp van Python voor Spark (PySpark). Zie Visual Studio Code en de Microsoft Sentinel-extensie installeren voor meer informatie over de Microsoft Sentinel Visual Studio Code-extensie.
Je kunt aangepaste grafieken maken met AI-ondersteunde grafen of door je eigen code te schrijven. Gebruik de Microsoft Sentinel graph provider-referentie om de knooppunten en randen in je grafenmodel te definiëren, transformeer je data uit het Sentinel data lake en raadpleeg je grafen met Graph Query Language (GQL). Zie voor meer informatie ai-ondersteunde aangepaste grafiek ontwerpen in Microsoft Sentinel, Microsoft Sentinel graph provider reference en Graph Query Language (GQL) naslaginformatie voor Sentinel aangepaste grafiek.
Nadat je de grafiekcode in een notitieboek hebt geschreven, voer je het notitieboek uit in een interactieve sessie of publiceer je een grafiekopdracht. Grafieken die tijdens een interactieve notitieboeksessie worden gemaakt, zijn tijdelijk en alleen beschikbaar in die sessie. Een on-demand grafiekklus materialiseert de grafiek voor 30 dagen en verwijdert deze vervolgens. Een geplande graafjob bouwt de grafiek opnieuw op op het verversingsschema dat je zelf instelt. Je kunt een gematerialiseerde grafiek openen vanuit de grafiekervaring onder Microsoft Sentinel in het Defender-portaal, Visual Studio Code-notebooks en grafquery-API's.
Het aanmaken en opvragen van aangepaste grafieken wordt gefactureerd onder de Microsoft Sentinel grafiekmeter. Voor meer informatie, zie Grafiekkosten.
De volgende tabel bevat een overzicht van de stappen voor het bouwen van aangepaste grafieken in Microsoft Sentinel:
| Stap | Omschrijving |
|---|---|
| 1. Maak en onderzoek een grafiek in een interactieve notitieboeksessie | - Jupyter-notebooks in Microsoft Sentinel bieden een interactieve omgeving voor het verkennen en analyseren van data in het Microsoft Sentinel datameer. - De Microsoft Sentinel-extensie bevat de sentinel_graph Python-bibliotheek.- Gebruik een Jupyter-notebook om knooppunten en randen te definiëren met data uit het Microsoft Sentinel datalake en grafieken te maken. - Gebruik de sentinel_graph bibliotheek om een graaf te bevragen met Graph Query Language (GQL). |
| 2. Een grafiektaak plannen om uw grafiek te materialiseren | - Materialiseer uw grafiek in uw tenant voor continue toegang en samenwerking. - Gebruik Sentinel-taken om aan te passen hoe vaak u een gerealiseerde grafiek wilt vernieuwen met Lake-gegevens. - Query's uitvoeren en gerealiseerde grafieken visualiseren in grafiekervaring in Microsoft Sentinel. |
| 3. Geavanceerde grafiekalgoritmen uitvoeren | - Gebruik Jupyter-notebooks voor toegang tot ingebouwde ondersteuning voor GraphFrames-analyse- en grafiekkruisfuncties. - Gebruik speciaal gebouwde Sentinel-algoritmen voor algemene beveiligingsgebruiksscenario's. |
Zie Aangepaste grafieken in Microsoft Sentinel voor gedetailleerde instructies voor het bouwen van aangepaste grafieken in Microsoft Sentinel.
Grafieken visualiseren in Microsoft Sentinel
Microsoft Sentinel biedt meerdere opties om grafieken te visualiseren, waaronder de grafiekervaring in Microsoft Sentinel en Jupyter-notebooks in de Sentinel Visual Studio Code-extensie. De grafiekervaring stelt je in staat om Graph Query Language (GQL) queries uit te voeren, het grafschema (de gedefinieerde knoop- en randtypes) te bekijken, de grafiek te visualiseren, grafiekresultaten in tabelformaat te bekijken en de grafiek interactief te doorlopen naar de volgende hop met een simpele klik.
Zie Grafieken visualiseren in Microsoft Sentinel grafiek (preview) voor meer informatie over het visualiseren van grafieken in Microsoft Sentinel met behulp van Sentinel grafiek.