Visualiser des graphiques dans Microsoft Sentinel (préversion)

L’expérience des graphiques dans le portail Microsoft Defender vous permet d’effectuer des investigations interactives basées sur des graphiques personnalisés, telles que l’utilisation d’un graphe conçu pour l’analyse du hameçonnage afin de vous aider à évaluer rapidement l’impact d’un incident récent, à profiler l’attaquant et à tracer ses chemins sur les données de télémétrie microsoft et tierces. L’expérience des graphiques vous permet d’exécuter des requêtes de graphe pour visualiser les insights qui importent le plus pour votre organisation et prend en charge la traversée ad hoc du graphique afin de pouvoir examiner rapidement les entités d’intérêt. Vous pouvez étudier le schéma de graphe pour comprendre les relations définies sur votre graphe et utiliser l’une des métadonnées affichées pour affiner vos résultats. Vous pouvez rapidement valider vos résultats avec la vue table et les exporter pour faciliter l’intégration à tous les flux de travail préexistants. Utilisez Jupyter Notebooks dans Microsoft Visual Studio Code pour créer et matérialiser vos graphiques personnalisés, puis utilisez l’expérience graphique dans Microsoft Sentinel pour interroger et visualiser vos graphiques personnalisés.

Utilisez Microsoft Sentinel graphique pour interroger, visualiser et interagir avec des graphiques pour obtenir de nouveaux insights.

Prérequis

  • Pour accéder à l’expérience graphique dans Microsoft Sentinel et l’interroger afin de produire des visualisations, vous devez disposer des autorisations appropriées. Pour plus d’informations, consultez Prise en main des graphiques personnalisés dans Microsoft Sentinel. Les utilisateurs de Sentinel Scope ne peuvent pas accéder à Sentinel Graphs, à moins de disposer de l’un des quatre rôles hautement privilégiés qui outrepassent les restrictions de portée : Security Reader, Security Operator, Security Admin ou Global Admin.

Graphiques d’accès

Pour accéder à l’expérience graphique dans Microsoft Sentinel, connectez-vous au portail Microsoft Defender, sélectionnez Microsoft Sentinel>Graphs dans le volet de navigation.

La page de gestion de Graph Sentinel répertorie tous les graphiques personnalisés que vous avez créés à l’aide de l’extension Visual Studio Code Sentinel. Si vous n’avez pas créé de graphique personnalisé, consultez Créer un graphique personnalisé pour commencer.

Si vous avez déjà créé des graphiques personnalisés, la page Graphs de Microsoft Sentinel affiche tous les graphiques personnalisés disponibles. Affichez une vue d’ensemble de chaque graphique personnalisé en sélectionnant le menu ... sur n’importe quelle vignette de graphe.

Capture d’écran montrant comment accéder à Sentinel graphique à partir du volet de navigation Microsoft Sentinel.

Interroger un graphe personnalisé

Sélectionnez Graphe de requête dans la vignette du graphe pour afficher la page de requête du graphe.

Affichez le schéma pour comprendre l’ontologie de graphe : nœuds, arêtes et leurs propriétés disponibles pour la requête.

Capture d’écran montrant la page de création de graphique Sentinel avec le panneau de schéma et l’entrée de requête.

  1. Sélectionnez l’onglet Prise en main

  2. Une liste de requêtes suggérées s’affiche. Sélectionnez Modifier la requête pour visualiser n’importe quelle requête de graphe pour la copier dans l’éditeur de requête.

    • Entrez plusieurs requêtes manuellement ou sélectionnez des requêtes suggérées supplémentaires.
    • L’éditeur prend en charge l’annulation (Ctrl+Z) et la restauration (Ctrl+Y).
    • Avant d’exécuter une requête, mettez en surbrillance la requête correcte dans l’éditeur.
    • Lorsque vous tapez des requêtes GQL manuellement, l’éditeur suggère des valeurs prédictives basées sur le schéma de votre graphe.

    Cet exemple de requête, Visualiser n’importe quel graphe, fait correspondre toute connexion en un saut dans le graphe, en trouvant un nœud source, une relation dirigée et un nœud cible. Il retourne les nœuds et la relation complets pour jusqu’à 100 correspondances de ce type, ce qui le rend utile pour explorer rapidement la structure de graphe brute.

    MATCH (x)-[y]->(z)
RETURN *
LIMIT 100

    Pour plus d’informations sur l’utilisation de GQL, consultez la référence du langage de requête graphique (GQL).

  3. Sélectionnez Exécuter la requête GQL pour afficher vos résultats. Vous pouvez annuler une requête au milieu de l’exécution. Copiez le contenu de votre cellule de l’éditeur de requête pour partager ou enregistrer la requête ailleurs.

  4. Une fois la requête terminée, la visualisation de graphique s’affiche. Certaines requêtes utilisent des opérateurs comme COLLECTLIST ceux qui ne peuvent pas être rendus en tant que graphique. Ces opérateurs apparaissent dans la vue tableau. Dans ces cas, l’onglet graphique affiche un message expliquant pourquoi un graphique ne peut pas être rendu

  5. Sélectionnez n’importe quel nœud pour afficher les détails du nœud, y compris les propriétés associées à ce nœud. Utilisez ces informations pour informer les requêtes et visualisations suivantes.

    Capture d’écran montrant les résultats de visualisation de graphique Sentinel après l’exécution d’une requête GQL.

  6. Sélectionnez l’onglet Tableau pour afficher une représentation tabulaire de vos résultats. Sélectionnez une ligne pour afficher les données JSON sous-jacentes pour chaque cellule.

    Capture d’écran montrant les résultats de la visualisation de table après l’exécution d’une requête GQL.

Interagir avec les graphiques

Utilisez les fonctionnalités suivantes pour parcourir et explorer vos graphiques :

Couleurs de nœud

Les nœuds sont codés par couleur par type, ce qui facilite la visualisation des différents types d’entités dans votre graphe.

Légende du graphe

La légende du graphe montre tous les types de nœuds dans votre graphe avec leurs couleurs et nombres correspondants. Il répertorie également tous les types d’arêtes, ce qui vous permet de comprendre comment les nœuds se connectent les uns aux autres.

Étiquettes de nœud

Lorsque vous effectuez un zoom avant sur le graphique, d’autres étiquettes de nœud s’affichent. Les premières étiquettes à apparaître sont les nœuds les plus fortement connectés qui sont représentés par des cercles plus grands. À mesure que vous continuez à zoomer, d’autres étiquettes de nœud apparaissent dans l’ordre décroissant de la connectivité.

Survolez les nœuds

Lorsque vous pointez sur un nœud, le graphique met en surbrillance ses connexions et masque les nœuds et arêtes non liés afin de voir clairement les informations clés et la façon dont le nœud se connecte à d’autres personnes. Une zone contextuelle s’affiche montrant plus d’informations sur le nœud.

Regroupement et dissociation

Par défaut, les nœuds sont regroupés sur votre visualisation de graphique s’ils sont du même type de nœud et se connectent au même nœud d’origine par le même type de périphérie. Par exemple, les nœuds « fichier » et les arêtes « accessibles par ». Les nœuds regroupés sont représentés par des cercles empilés sur la disposition descriptive et les formes de diamant sur la disposition simplifiée. Le regroupement de nœuds produit une visualisation plus propre avec moins de nœuds, ce qui est important lors de l’examen de grands graphiques. Pour dissocier les nœuds, cliquez avec le bouton droit et sélectionnez Dissocier tous les nœuds. Sélectionnez le groupe de nœuds pour ouvrir un volet de droite de tous les nœuds au sein de ce groupe. Sélectionnez des nœuds individuels à dissocier, en laissant les nœuds non sélectionnés dans leur regroupement d’origine. Pour regrouper les nœuds, cliquez avec le bouton droit sur n’importe quel nœud inclus dans le groupe, puis sélectionnez Regrouper.

Afficher les détails du nœud

Sélectionnez un nœud pour ouvrir un volet d’informations sur le côté droit. Utilisez les métadonnées présentées ici pour affiner les futures requêtes, par exemple en filtrant sur la région géographique, le service ou la date de la dernière mise à jour.

Explorer les ressources connectées

Cliquez avec le bouton droit sur le nœud, puis sélectionnez Explorer les ressources connectées pour parcourir le graphique et afficher le tronçon suivant à partir de ce nœud. Lorsque vous affichez le renderer détaillé, vous pouvez également parcourir en cliquant sur l’icône plus « + » en regard d’un nœud.

Capture d’écran montrant comment explorer les ressources connectées en cliquant avec le bouton droit sur un nœud dans la visualisation de graphique.

Filtrage d’un graphique

Vous pouvez utiliser les filtres en haut à droite du canevas de graphe pour affiner les résultats visualisées par type de nœud ou relation d’arête.

Capture d’écran montrant les filtres de graphe pour les types de nœuds et d’arêtes.

Partage des résultats du graphique

Vous pouvez partager vos résultats de requête en sélectionnant Partager une requête. Dans ce menu déroulant, vous pouvez choisir entre trois options :

  • Copiez le lien vers leur dernière requête d’exécution : produit et copie une URL qui route l’utilisateur vers la page graphique avec la requête référencée déjà dans l’éditeur GQL.
  • Copier le lien vers le code : produit et copie un lien d’URL partageable et le contenu du code de requête.
  • Copiez les résultats du graphique : produit et copie un lien d’URL partageable qui exécute automatiquement la requête pour générer le graphique, ainsi que le contenu du code de requête et une capture d’écran du graphique produit.

Vous pouvez également créer des liens directs vers vos requêtes de graphe qui ouvrent votre page de graphe avec la requête préremplie et éventuellement exécuter la requête. Pour plus d’informations, consultez Créer des liens profonds vers les requêtes de graphique Microsoft Sentinel.

Vue en tableau

Affichez une représentation tabulaire de vos données en sélectionnant l’onglet Tableau . Dans la table, vous pouvez :

  • Vérifiez que votre requête GQL a produit les résultats souhaités.
  • Recherchez et triez la table pour trouver rapidement les entités qui vous intéressent.
  • Affichez le JSON sous-jacent d’une cellule individuelle, en fournissant un contexte clé que vous pouvez utiliser dans les requêtes ultérieures.
  • Exporter au format CSV pour une utilisation dans d’autres flux de travail préexistants.

Capture d’écran montrant la vue table avec des fonctionnalités de recherche, de tri et d’exportation.

Personnalisez le format de tableau à l’aide de l’opérateur RETURN pour définir la structure de colonne ou classer les résultats selon vos préférences. Pour plus d’informations, consultez la documentation GQL.

Options de configuration

En bas à droite du canevas de graphe, vous pouvez personnaliser votre visualisation de graphe avec une série d’options de configuration.

Dispositions

Le premier bouton paramètres offre une série d’options de personnalisation pour votre visualisation de graphe.

Moteur de rendu

Pour prendre en charge les enquêtes ciblées et l’exploration ouverte à grande échelle, le graphique utilise deux renderers différents pour produire des visualisations. Par défaut, le renderer est défini sur « auto », ce qui signifie que le graphique s’affiche en fonction du nombre de nœuds affichés. Utilisez le renderer descriptif ou simplifié en fonction de vos besoins. Le renderer descriptif convient le mieux aux graphiques plus petits où la granularité détaillée est essentielle. Il inclut de petites améliorations telles que les icônes plus (« + ») en regard de chaque nœud pour faciliter la traversée de graphe, et les nœuds groupés sont représentés par des cercles empilés. Le renderer simplifié est mieux adapté aux grands graphiques avec des milliers de nœuds, à la mise à l’échelle pour l’exploration ouverte des données présentées et représente des groupes de nœuds sous forme de formes de diamant.

L’image ci-dessous illustre la différence entre le moteur de rendu descriptif à gauche et le moteur de rendu simplifié à droite.

Capture d’écran montrant la différence entre les convertisseurs descriptifs et simplifiés dans la visualisation de graphique.

Mise en page

Vous avez la possibilité de modifier la disposition de votre graphique de « force » (par défaut) à « dirigé ». La disposition « force » affiche automatiquement les nœuds en fonction de leurs connexions, ce qui produit un graphique interconnecté où les anomalies sont faciles à identifier. La disposition dirigée suit une structure plus stricte, organisant les nœuds de haut en bas de manière claire et linéaire. L’image ci-dessous illustre la disposition dirigée.

Capture d’écran montrant la disposition dirigée d’une visualisation de graphique.

Comportement

Par défaut, l’option « Conserver les positions sur les modifications de données » est sélectionnée. Ce paramètre garantit que les actions telles que le développement d’une connexion de nœud ou le regroupement/dégroupement ne modifient pas la position des autres nœuds. La désactivation de ce paramètre déplace le positionnement des nœuds existants lorsque ces actions sont effectuées.

Actions

La sélection de « Réaligner le graphique » rétablit le graphique dans son état d’origine.

Calques

Par défaut, les étiquettes de nœud et de bord sont visibles sur le graphique, ainsi que les icônes pour les graphiques prédéfinis. Désactivez les étiquettes et les icônes dans le menu paramètres.

Passer en plein écran

Sélectionnez plein écran pour afficher votre graphique en mode plein écran, ce qui offre beaucoup plus d’espace pour explorer la visualisation.

Zoom pour ajuster

Sélectionnez l’option Zoom pour ajuster votre graphique afin que tous les nœuds soient visibles et occupent la majorité de votre écran de canevas de graphe. Bien que l’option « Réaligner le graphique » remette le graphique dans son état d’origine, cette option ajuste simplement le graphique (avec les nœuds déplacés ou toute autre personnalisation) à votre écran.

Contenu connexe

  • Last updated on