安全性圖形是顯示使用者、裝置和活動之間如何互動的連結型地圖。它提供 AI 驅動的深入解析和視覺化，可協助安全性團隊調查威脅並評定潛在的攻擊路徑。實際範例包括事件圖形、威脅搜捕圖形以及資料風險圖形。
什麼是安全性圖形？
了解安全性圖形如何將環境和關聯性進行對應，提供進階的安全性深入解析。
- 安全性圖形會將使用者、裝置、應用程式和資產之間的連結進行對應，提供 AI 驅動的深入解析，以強化威脅偵測、調查和回應。
- 它們透過將實體互動方式及潛在攻擊路徑強調方式視覺化，驅動事件波及範圍半徑分析、威脅搜捕和資料風險評量等重要安全性工作流程。
- 安全性圖形可提供豐富的視覺效果和可調整的環境對應，協助安全性團隊評估風險並有效率地回應威脅。
- 安全性圖形的每個元件 (代表使用者、裝置、應用程式和資產的節點) 都包含詳細屬性，可深入理解環境的弱點和敏感性資料。
安全性圖形的元件
安全性圖形是您環境的連結式地圖，可促進進階威脅偵測、調查和回應。它由三個基礎元素組成：
節點
節點代表您環境中的實體，包括：
邊緣
邊緣會定義節點的連接和互動方式。它們代表：
資料來源
網路安全性圖形是由豐富、多樣化的資料來源建置而成，包括：
節點
節點代表您環境中的實體，包括：
- 使用者 - 個別帳戶、身分識別或角色。
- 裝置 - 膝上型電腦、伺服器或行動裝置等端點。
- 應用程式 - 雲端服務、內部應用程式或協力廠商工具。
- 文件和資產 - 檔案、資料夾和敏感性資料物件。
邊緣
邊緣會定義節點的連接和互動方式。它們代表：
- 關聯性 - 例如「使用者是群組成員」或「裝置屬於使用者」。
- 存取路徑 - 誰在何時以何種方式存取了什麼內容。
- 活動流程 - 一連串的動作，例如登入事件、檔案共用或電子郵件交換。
資料來源
網路安全性圖形是由豐富、多樣化的資料來源建置而成，包括：
- 統一稽核記錄 - Microsoft 365 服務中的活動。
- Microsoft Entra ID 記錄 - 登入事件、風險性使用者偵測。
- Microsoft Defender 產品資料 - 來自適用於端點、身分識別和雲端的 Defender 的警示與遙測資料。
- 協力廠商連接器 - 來自外部安全性工具的整合資料，例如安全性資訊與事件管理 (SIEM)。
- 威脅情報摘要 - 入侵和攻擊者策略的指示器。
使用圖形進行安全性防護
傳統的網路安全性工具高度仰賴表格式資料 - 使用者、記錄、警示和事件的清單。這些工具雖然有助於儲存事實，但難以呈現這些事實之間的關聯。這項限制使得追蹤攻擊者移動、將事件相互關聯或預測入侵影響變得困難。
網路攻擊圖形可透過對使用者、裝置、文件和活動等實體之間的關聯性進行對應，克服這些挑戰。此連結式檢視可提供：
網路攻擊圖形可透過對使用者、裝置、文件和活動等實體之間的關聯性進行對應，克服這些挑戰。此連結式檢視可提供：
- 內容感知 - 資產圖形不只顯示發生的情況，也會透過詢問涉及的對象、存取的資產以及採用的路徑，顯示它如何融入更廣泛的環境。
- 跨資料來源相互關聯 - 圖形可將不同的資料點連結起來，協助分析師找出看似無關事件之間的關聯性。
- 偵測隱藏的關聯性 - 圖形可揭露幾乎無法使用傳統工具找出的特殊權限存取路徑、橫向移動和波及範圍半徑案例。
增強的威脅偵測
安全性圖形會透過揭露傳統工具經常遺漏的隱藏關聯性和攻擊路徑，改變威脅偵測及回應 (TDR)。圖形可透過將實體在整個環境中的互動方式視覺化，提供更快速、更深入且更主動的安全性深入解析。
攻擊路徑分析
安全性圖形支援波及範圍半徑分析，能讓防禦者評估攻擊者可能從遭入侵實體採取的脆弱路徑。這可協助安全性團隊預測後續動作，並排定圍堵動作的優先順序，以減少對業務的影響。
橫向移動偵測
使用由圖形支援的搜捕，分析師可以透過視覺方式來探索使用者、裝置和其他實體之間複雜的關聯性網路。這能揭露攻擊者用來在環境中擴大影響範圍的特殊權限存取路徑和橫向移動戰術。
異常狀況偵測
威脅圖形會整合來自稽核記錄、身分識別與存取權管理 (IAM) 工具和威脅情報的資料，以找出異常模式，例如未預期的檔案存取或風險性使用者行為。這些深入解析可協助安全性團隊及早偵測異常，並在威脅升高前採取回應。
攻擊路徑分析
安全性圖形支援波及範圍半徑分析，能讓防禦者評估攻擊者可能從遭入侵實體採取的脆弱路徑。這可協助安全性團隊預測後續動作，並排定圍堵動作的優先順序，以減少對業務的影響。
橫向移動偵測
使用由圖形支援的搜捕，分析師可以透過視覺方式來探索使用者、裝置和其他實體之間複雜的關聯性網路。這能揭露攻擊者用來在環境中擴大影響範圍的特殊權限存取路徑和橫向移動戰術。
異常狀況偵測
威脅圖形會整合來自稽核記錄、身分識別與存取權管理 (IAM) 工具和威脅情報的資料，以找出異常模式，例如未預期的檔案存取或風險性使用者行為。這些深入解析可協助安全性團隊及早偵測異常，並在威脅升高前採取回應。
改善事件回應
安全性圖形可為事件回應團隊提供更深入的可見度、更快速的初步分級，以及更精準的補救。針對關聯性和活動進行對應，可讓防禦者從反應式警示處理轉向主動式調查和圍堵。
警示相互關聯
與其以手動方式將記錄相互關聯或執行複雜查詢，Microsoft Defender 中的事件圖形會自動連結相關的警示和實體。這可協助安全性作業中心 (SOC) 團隊了解事件的完整範圍，並針對應圍堵及補救的系統排定優先順序，進而縮短回應時間並降低對業務的影響。
根本原因追蹤
安全性圖形可以將遭入侵之認證或資產的波及範圍半徑視覺化，讓分析師追蹤事件的來源。此功能可協助團隊預測攻擊者移動，並找出初始入侵點，提供更有效的根本原因分析。
圖形視覺效果
Defender 和 Microsoft Purview 中的互動式圖形檢視可提供關於使用者、資產和活動的統一即時畫面。這些視覺效果不僅可協助調查員了解發生什麼事件，還能透過在單一玻璃效果窗格中揭露存取路徑、資料移動和具風險性的行為，協助調查員了解事件是如何發生的。
警示相互關聯
與其以手動方式將記錄相互關聯或執行複雜查詢，Microsoft Defender 中的事件圖形會自動連結相關的警示和實體。這可協助安全性作業中心 (SOC) 團隊了解事件的完整範圍，並針對應圍堵及補救的系統排定優先順序，進而縮短回應時間並降低對業務的影響。
根本原因追蹤
安全性圖形可以將遭入侵之認證或資產的波及範圍半徑視覺化，讓分析師追蹤事件的來源。此功能可協助團隊預測攻擊者移動，並找出初始入侵點，提供更有效的根本原因分析。
圖形視覺效果
Defender 和 Microsoft Purview 中的互動式圖形檢視可提供關於使用者、資產和活動的統一即時畫面。這些視覺效果不僅可協助調查員了解發生什麼事件，還能透過在單一玻璃效果窗格中揭露存取路徑、資料移動和具風險性的行為，協助調查員了解事件是如何發生的。
使用圖形資料庫
圖形資料庫專為儲存及查詢關聯性而建置，非常適合用於現代安全性作業。與難以處理複雜聯結和關聯性對應的傳統資料庫不同，圖形資料庫可提供更直覺且可調整的方式，針對彼此互連的實體和行為建置模型。
以關聯性為優先的儲存方式
圖形資料庫會優先將關聯性視為最重要的資訊。這可讓安全性團隊：
原生查詢語言
圖形資料庫支援專為關聯性周遊所設計的特殊查詢語言：
圖形資料庫可針對數十億筆關聯性進行快速的動態查詢。在 Microsoft Sentinel 中，每四小時會自動建置並重新整理圖形，以支援下列即時體驗：
以關聯性為優先的儲存方式
圖形資料庫會優先將關聯性視為最重要的資訊。這可讓安全性團隊：
- 將使用者、裝置和文件等實體儲存為節點。
- 以邊緣表示互動和存取路徑。
- 使用屬性來擴充節點和邊緣，以深入了解內容。
原生查詢語言
圖形資料庫支援專為關聯性周遊所設計的特殊查詢語言：
- Cypher (用於 Neo4j) - 可跨節點和邊緣進行模式比對。
- Gremlin (用於 Apache TinkerPop) - 支援圖形周遊和篩選。
- 「哪些遭入侵的使用者已存取伺服器 A 並透過電子郵件傳送檔案 X？」
- 「外洩文件的波及範圍半徑有多大？」
圖形資料庫可針對數十億筆關聯性進行快速的動態查詢。在 Microsoft Sentinel 中，每四小時會自動建置並重新整理圖形，以支援下列即時體驗：
- 事件波及範圍半徑分析。
- 在圖形上進行威脅搜捕。
- Microsoft Purview IRM 和 DSI 中的資料風險調查。
比較圖形資料庫和傳統資料庫
安全性作業通常需要對應複雜的關聯性，因此這些傳統資料庫在處理此流程時會遇到困難：
關聯式資料庫 (聯結速度較慢)
圖形資料庫
關聯式資料庫 (聯結速度較慢)
- 將資料儲存在結構化資料表中。
- 需要多次聯結才能連接相關實體。
- 隨著關聯性增加，效能會下降。
- 不適合為動態安全性環境或攻擊路徑建置模型。
- 專為儲存個別記錄或文件而設計。
- 缺少建模關聯性的原生支援。
- 適合簡單查詢，但難以揭露實體之間的關聯性。
- 無法在入侵事件中輕鬆追蹤使用者、裝置和檔案之間的互動方式。
圖形資料庫
可擴縮性與效能
安全性圖形專為處理現代企業環境的規模和複雜性而設計。例如，Microsoft Sentinel 圖形可支援跨 Defender 和 Microsoft Purview 的圖形型體驗，以建立專為大量資料和即時深入解析而打造的高效能平台。
處理數十億個關聯性
安全性圖形可將使用者、裝置、資產和活動建模為彼此連結的節點和邊緣。這種結構可讓圖形代表企業中數十億筆關聯性，方便您深入了解攻擊路徑、存取控制和風險傳播。
分散式圖形資料庫
Microsoft Sentinel 中的基礎圖形功能建置在分散式基礎結構之上。這可確保：
在 Microsoft Sentinel 中，每四小時會自動建置並重新整理圖形，以便進行近乎即時的分析。安全性團隊可以：
處理數十億個關聯性
安全性圖形可將使用者、裝置、資產和活動建模為彼此連結的節點和邊緣。這種結構可讓圖形代表企業中數十億筆關聯性，方便您深入了解攻擊路徑、存取控制和風險傳播。
分散式圖形資料庫
Microsoft Sentinel 中的基礎圖形功能建置在分散式基礎結構之上。這可確保：
- 高可用性與容錯能力。
- 可從 Defender、Microsoft Purview 和 Microsoft Entra 等多種資料來源中進行可調整的擷取。
- 可跨多個安全性產品有效率地建置並擴充圖形。
在 Microsoft Sentinel 中，每四小時會自動建置並重新整理圖形，以便進行近乎即時的分析。安全性團隊可以：
- 立即在事件圖形中以視覺化方式呈現波及範圍半徑。
- 在搜捕圖形中周遊存取路徑。
- 在 Microsoft Purview IRM 和 DSI 中調查資料移動。
實際範例
安全性圖形可在整個安全性生命週期中提供強大的功能，包括風險評量、威脅偵測和事件回應。以下是以圖形為基礎的網路安全性分析提供可衡量價值的重要使用案例。
身分識別與存取風險
安全性圖形可協助將使用者、群組和資產之間的關聯性視覺化。這可讓組織：
威脅搜捕
Microsoft Defender 中的搜捕圖形可讓分析師：
資料安全性
Microsoft Purview IRM 和 DSI 中的資料風險圖形可透過下列方式支援類似目標：
雲端安全性
安全性圖形可整合來自適用於雲端的 Microsoft Defender 和其他 Microsoft 服務的資料，以便：
SOC 效率
Defender 中的事件圖形可透過以下方式增強 SOC 工作流程：
身分識別與存取風險
安全性圖形可協助將使用者、群組和資產之間的關聯性視覺化。這可讓組織：
- 識別特殊權限存取路徑。
- 偵測風險性使用者行為。
- 評定遭入侵身分識別的波及範圍半徑。
威脅搜捕
Microsoft Defender 中的搜捕圖形可讓分析師：
- 周遊使用者、裝置和活動之間複雜的關聯性網路。
- 揭露攻擊者可能會惡意探索的隱藏路徑。
- 根據存取風險和與敏感性資產近接性，排定事件的優先順序。
資料安全性
Microsoft Purview IRM 和 DSI 中的資料風險圖形可透過下列方式支援類似目標：
- 跨 SharePoint 與 OneDrive 對應使用者活動。
- 識別可疑的資料存取與移動。
- 將潛在的資料外流路徑與具風險性的行為視覺化。
雲端安全性
安全性圖形可整合來自適用於雲端的 Microsoft Defender 和其他 Microsoft 服務的資料，以便：
- 將雲端資產關聯性視覺化。
- 偵測錯誤設定與暴露風險。
- 提供保護雲端環境的建議。
SOC 效率
Defender 中的事件圖形可透過以下方式增強 SOC 工作流程：
- 自動將警示與實體相互關聯。
- 將波及範圍半徑案例視覺化。
- 了解攻擊者如何使用 MITRE ATT&CK 架構。
- 協助團隊優先進行圍堵和補救。
安全性圖形入門
安全性圖形代表了組織在偵測、調查與回應威脅方式上的重大轉變。無論是波及範圍半徑分析、威脅搜捕、內部風險偵測，還是雲端安全性，以圖形為基礎的分析都能在整個安全性生命週期中提供即時深入解析。
安全性圖形不只是工具，它是現代智慧型安全性作業的基礎。探索 Microsoft Sentinel，並為您的組織啟用以圖形為基礎的體驗。
安全性圖形不只是工具，它是現代智慧型安全性作業的基礎。探索 Microsoft Sentinel，並為您的組織啟用以圖形為基礎的體驗。
常見問題集
- 安全性圖形是由使用者、裝置和文件等實體及其關聯所組成的連結圖。它提供 AI 驅動的深入解析與視覺效果，可協助安全性團隊調查威脅、評定波及範圍半徑，並預測攻擊者的動作。
- 圖形式安全性警示是由 Microsoft Sentinel 中的圖形式分析所產生的通知。它會強調可疑或具風險性的活動，讓安全性團隊能快速評定威脅及其潛在影響。
- 威脅圖形是一種安全性圖形，可透過連結使用者、裝置和活動，將環境中的威脅移動方式視覺化。它可找出攻擊路徑、橫向移動與弱點，協助安全性團隊更有效地偵測、調查及回應網路攻擊。
關注 Microsoft 安全性