セキュリティ 101

セキュリティグラフとは?

セキュリティグラフが環境と関係性をマップし、高度なセキュリティ分析情報を提供する方法について説明します。

セキュリティグラフは、ユーザー、デバイス、アクティビティがどのように相互作用するかを示した接続されたマップです。これは、セキュリティチームが脅威を調査し、潜在的な攻撃パスを評価するのに役立つ、AI 主導の分析情報と視覚化を提供します。実際の例としては、インシデントグラフ、脅威ハンティンググラフ、データリスクグラフなどがあります。

重要なポイント

セキュリティグラフは、ユーザー、デバイス、アプリケーション、資産間の接続をマップし、脅威の検出、調査、応答を強化する AI 主導の分析情報を提供します。
これらは、エンティティ間の相互作用を視覚化し、潜在的な攻撃パスを強調表示することで、インシデントの影響範囲分析、脅威ハンティング、データリスク評価などの重要なセキュリティワークフローを推進します。
セキュリティグラフは、豊富な視覚化と環境のスケーラブルなマッピングを提供し、セキュリティチームがリスクを評価し、脅威に効率的に応答するのに役立ちます。
セキュリティグラフの各コンポーネント (ユーザー、デバイス、アプリケーション、資産を表すノード) には詳細なプロパティが含まれており、環境の脆弱性と機密データをより深く理解するのに役立ちます。

セキュリティグラフのコンポーネント

セキュリティグラフは、高度な脅威の検出、調査、応答を促進する環境の接続されたマップです。これは 3 つの基本要素で構成されます:

ノード
ノードは、環境内のエンティティを表します。これには次のものが含まれます:

ユーザー — 個別のアカウント、ID、またはロール。
デバイス — ノート PC、サーバー、モバイルデバイスなどのエンドポイント。
アプリケーション — クラウドサービス、内部アプリ、またはサードパーティのツール。
ドキュメントと資産 — ファイル、フォルダー、および機密データオブジェクト。

各ノードには、ユーザーロール、デバイスの種類、ドキュメントの機密レベルなど、属性を記述するプロパティが含まれています。

エッジ
エッジは、ノードがどのように接続され、相互に作用するかを定義します。次を表します:

リレーションシップ — たとえば、"user is-member-of group" や "device belongs-to user"。
アクセスパス — 誰が何に、いつ、どのようにアクセスしたか。
アクティビティフロー — ログインイベント、ファイル共有、メールのやり取りなどの一連のアクション。

これらの接続により、セキュリティチームは、高度な永続的脅威 (APT)などの攻撃者の動きを追跡し、影響範囲を評価し、潜在的な攻撃パスを視覚化できます。

データソース
サイバーセキュリティグラフは、次のような豊富で多様なデータソースから構築されます:

統合監査ログ — Microsoft 365 サービス全体のアクティビティ。
Microsoft Entra ID ログ — サインインイベント、危険なユーザーの検出。
Microsoft Defender 製品データ — エンドポイント、ID、クラウド向け Defender からのアラートとテレメトリ。
サードパーティ製コネクタ — セキュリティ情報イベント管理 (SIEM) などの外部セキュリティツールから統合されたデータ。
脅威インテリジェンスフィード —侵害と攻撃者の戦術を示します。

これらのソースはグラフエンジンにフィードされ、Microsoft Defender と Microsoft Purview でサポートされているシナリオでは、4 時間ごとにグラフが自動的にビルドされ、更新されます。

グラフを使用してセキュリティを確保する

従来のサイバーセキュリティツールは、表形式のデータ (ユーザー、ログ、アラート、イベントの一覧) に大きく依存しています。これらのツールは、ファクトを格納するのには役立ちますが、ファクト同士がどのように結び付いているかを明らかにするのは苦手です。この欠点により、攻撃者の動きを追跡したり、インシデントを相関付けたり、侵害の影響を予測したりすることが難しくなります。

サイバー攻撃グラフは、ユーザー、デバイス、ドキュメント、アクティビティなどのエンティティ間の関係をマッピングすることで、これらの課題を克服します。この接続ビューでは、次のことが可能です:

コンテキスト認識 — 資産グラフは、何が起こったかだけでなく、誰が関与したか、どのような資産に触れたか、どのような経路が使われたかを問うことで、その出来事がより広い環境の中でどのように位置付けられるかを示します。
データソース間の相関 — 異なるデータポイントを結び付けることで、グラフはアナリストが一見無関係なイベントの点と点を結び付けるのに役立ちます。
隠れたつながりの検出 — グラフは、特権アクセスパス、横移動、および影響範囲のシナリオが明らかにします。これらは、従来のツールで発見することはほぼ不可能です。

このような静的データから動的リレーションシップへの移行は、開発、セキュリティ、運用 (DevSecOps)、反応型のアラート処理、積極的な脅威検出などのセキュリティフレームワークを変革します。

高度な脅威検出

セキュリティグラフは、従来ツールが見逃すことが多かった隠れた関係と攻撃パスを明らかにすることで、検出と応答 (TDR) を変革します。エンティティが環境全体でどのように相互作用するかを視覚化することで、グラフは、より迅速で、深く、より積極的なセキュリティ分析情報を提供します。

攻撃パス分析
セキュリティグラフは影響範囲分析をサポートしており、侵害されたエンティティから攻撃者がたどり得る脆弱なパスを防御者が評価できるようにします。これにより、セキュリティチームは次のステップを予測し、封じ込めアクションを優先してビジネスへの影響を軽減できます。

横移動の検出
グラフを活用したハンティングを使用すると、アナリストは、ユーザー、デバイス、およびその他のエンティティ間の関係の複雑な網を視覚的に探索できます。これにより、攻撃者が環境内でのアクセスをエスカレートするために使用する特権アクセスパスと横移動戦術が明らかになります。

異常の発見
脅威グラフは、監査ログ、ID およびアクセス管理 (IAM) ツール、および脅威インテリジェンスからのデータを統合して、予期しないファイルアクセスや危険なユーザー動作などの異常なパターンを明らかにします。これらの分析情報は、セキュリティチームが異常を早期に検出し、脅威がエスカレートする前に対応するのに役立ちます。

向上したインシデント応答

セキュリティグラフは、より深い可視性、より迅速なトリアージ、より正確な修復をインシデント応答チームに提供します。関係性とアクティビティをマッピングすることにより、防御者は反応型アラート処理から予防的な調査と封じ込めに移行できます。

アラートの関連付け
Microsoft Defender のインシデントグラフは、ログを手動で関連付けたり、複雑なクエリを実行したりする代わりに、関連するアラートとエンティティを自動的にリンクします。これによりセキュリティオペレーションセンター (SOC) チームはインシデントの完全なスコープを理解し、最初にどのシステムを封じ込めて修復するかを優先順位付けして、応答時間を短縮し、ビジネスへの影響を制限することができます。

根本原因トレース
セキュリティグラフを使用すると、アナリストは、侵害された資格情報または資産の影響範囲を視覚化することで、インシデントの発生元を追跡できます。この機能は、チームが攻撃者の動きを予測し、侵害の初期地点を明らかにするのに役立ち、より効果的な根本原因分析を可能にします。

グラフの視覚化
Defender と Microsoft Purview の対話型グラフビューは、ユーザー、資産、アクティビティの統合されたリアルタイムの描写を提供します。これらの視覚化は、調査担当者が何が起こったかだけでなく、それがどのように展開したかも把握できます。アクセスパス、データ移動、危険な動作を 1 つの画面で確認できます。

グラフデータベースの使用

グラフデータベースは、リレーションシップの格納とクエリを目的として構築されているため、最新のセキュリティオペレーションに最適です。複雑な結合やリレーショナルマッピングに苦労する従来のデータベースとは異なり、グラフデータベースは、相互接続されたエンティティと動作をモデル化するためのより直感的でスケーラブルな方法を提供します。

リレーションシップ優先ストレージ
グラフデータベースは、リレーションシップを最優先事項として扱います。これにより、セキュリティチームは次のことが可能になります:

ユーザー、デバイス、ドキュメントなどのエンティティをノードとして格納できます。
相互作用とアクセスパスをエッジとして表せます。
ノードとエッジの両方を、より深いコンテキストのプロパティを使用して強化できます。

この構造は現実世界の環境を反映し、攻撃パス、ユーザーの行動、データフローをより正確にモデル化できます。

ネイティブクエリ言語
グラフデータベースでは、リレーションシップトラバーサル用に設計された特殊なクエリ言語がサポートされています:

Cypher (Neo4j で使用) — ノードとエッジ間でパターンマッチングを提供します。
Gremlin (Apache TinkerPop で使用) — グラフの走査とフィルター処理をサポートします。

これらの言語を使用すると、アナリストや AI エージェントは、次のような複雑な質問を行うことができます:

“どのセキュリティ侵害を受けたユーザーがサーバー A にアクセスし、ファイル X を電子メールで送信しましたか?”
“侵害されたドキュメントの影響範囲は?”

リアルタイム分析
グラフデータベースを使用すると、数十億のリレーションシップに対して高速で動的なクエリを実行できます。Microsoft Sentinel では、グラフが自動的に構築され、4 時間ごとに更新されるため、次のようなリアルタイムエクスペリエンスが強化されます:

インシデントの影響範囲の分析。
グラフ上での脅威ハンティング。
Microsoft Purview IRM および DSI でのデータリスク調査。

このリアルタイム機能は、セキュリティチームが迅速に応答し、隠れた脅威を明らかにし、ビジネスへの影響を軽減するのに役立ちます。

グラフデータベースと従来のデータベースの比較

多くの場合、セキュリティオペレーションには複雑なリレーションシップマッピングが必要です。そのため、これらの従来のデータベースはこのプロセスに苦労しています:

リレーショナルデータベース (低速結合)

構造化テーブルにデータを格納します。
関連エンティティを接続するには、複数の結合が必要です。
リレーションシップが大きくなると、パフォーマンスが低下します。
動的なセキュリティ環境や攻撃パスのモデリングには適していません。

ドキュメントデータベースまたはキー値データベース (リレーションシップが制限されます)

個々のレコードまたはドキュメントを格納するために設計されています。
リレーションシップのモデル化に関するネイティブサポートが不足しています。
単純な参照には適していますが、エンティティ間の接続を明らかにするのには適していません。
侵害時にユーザー、デバイス、ファイルがどのように相互作用するかを簡単に追跡することはできません。

一方、グラフデータベースは、これらの複雑な接続に最適化されています。

グラフデータベース

エンティティをノードとして、リレーションシップをエッジとして格納します。
接続されたデータ間の高速トラバーサルを可能にします。
認証、脅威ハンティング、データリスク調査などのセキュリティのユースケースに最適です。
Microsoft Sentinel、Defender、Purview で高度なグラフベースのエクスペリエンスを強化します。

スケーラビリティとパフォーマンス

セキュリティグラフは、最新のエンタープライズ環境の規模と複雑さを処理するように設計されています。たとえば、Microsoft Sentinel グラフは、Defender と Microsoft Purview 全体でグラフベースのエクスペリエンスを強化し、大量のデータとリアルタイムの分析情報を得るために構築された高パフォーマンスプラットフォームを実現します。

数十億のリレーションシップの処理
セキュリティグラフは、ユーザー、デバイス、資産、アクティビティを相互接続されたノードとエッジとしてモデル化します。この構造により、グラフは企業全体で数十億のリレーションシップを表すことができます。これにより、攻撃パス、アクセス制御、リスクの伝播を深く把握できます。

分散グラフデータベース
Microsoft Sentinel の基になるグラフ機能は、分散インフラストラクチャ上に構築されています。これにより、次のことが保証されます:

高可用性とフォールトトレランス。
Defender、Microsoft Purview、Microsoft Entra などの多様なデータソースからのスケーラブルなインジェスト。
複数のセキュリティ製品にわたる効率的なグラフ構築とエンリッチメント。

リアルタイムクエリ
Microsoft Sentinel のグラフは、4 時間ごとに自動的に構築および更新されるため、ほぼリアルタイムで分析できます。セキュリティチームは次のことができます:

インシデントグラフで影響範囲を瞬時に視覚化できます。
ハンティンググラフでアクセスパスを走査できます。
Microsoft Purview IRM と DSI でのデータ移動を調査します。

このリアルタイム機能は、防御者が進化する脅威により迅速かつ効果的に応答するのに役立ちます。

実例

セキュリティグラフは、リスク評価、脅威検出、インシデント応答など、セキュリティライフサイクル全体で強力な機能を提供します。グラフベースのサイバーセキュリティ分析が大きな価値を発揮する主なユースケースを次に示します。

ID およびアクセス管理
セキュリティグラフは、ユーザー、グループ、資産間のリレーションシップを視覚化するのに役立ちます。これにより、組織は次のことが可能になります:

特権アクセスパスを識別できます。
危険なユーザーの動作を検出できます。
侵害された ID の影響範囲を評価できます。

これらの分析情報は、攻撃面管理と重要な資産を保護するために露出グラフを使用する Microsoft セキュリティ露出管理の基盤となります。

サイバー脅威の追求
Microsoft Defender のハンティンググラフを使用すると、アナリストは次のことが可能になります:

ユーザー、デバイス、アクティビティ間のリレーションシップの複雑な網を走査します。
攻撃者が悪用する可能性のある隠れたパスを明らかにします。
アクセスリスクと機密性の高い資産への近接度に基づいてインシデントに優先順位を付けられます。

これにより、脅威ハンティングを反応型アラート処理から、予防的な脆弱性管理、検出に変革します。

データセキュリティ
Microsoft Purview IRM および DSI のデータリスクグラフは、次のような同様の目標がサポートされています:

SharePoint と OneDrive 全体でのユーザーアクティビティのマッピング。
疑わしいデータアクセスと移動の特定。
潜在的な流出パスと危険な動作の視覚化。

これらの機能は、インサイダーリスクを検出し、データ漏洩を防ぐのに役立ちます。

クラウドセキュリティ
セキュリティグラフは、Microsoft Defender for Cloud やその他のMicrosoft サービスのデータを次の目的で統合します:

クラウド資産のリレーションシップを視覚化します。
構成の誤りと露出のリスクを検出します。
クラウド環境をセキュリティで保護するための推奨事項を提供します。

これにより、ハイブリッドとマルチクラウドのセットアップにおける継続的かつ先回り型の防御がサポートされます。

SOC の効率
Defender のインシデントグラフは、次の方法で SOC ワークフローを強化します:

アラートとエンティティを自動的に関連付けます。
影響範囲のシナリオを視覚化します。
攻撃者が MITRE ATT&CK フレームワークを使用して活動する方法を理解します。
チームが封じ込めと修復の優先順位を付けるのに役立ちます。

これにより、応答時間が短縮され、進行中のインシデント時の意思決定が向上します。

セキュリティグラフの使用を始める

セキュリティグラフは、組織が脅威を検出、調査、および応答する方法の変革を表しています。影響範囲分析、脅威ハンティング、インサイダーリスクの検出、クラウドセキュリティのいずれであっても、グラフベースの分析は、セキュリティライフサイクル全体におけるリアルタイムの分析情報を提供します。

セキュリティグラフは単なるツールではありません。これらは、最新のインテリジェントなセキュリティ操作の基盤です。Microsoft Sentinel を確認して、組織のグラフを利用したエクスペリエンスを有効にします。

リソース

Microsoft Security に関する詳細情報

2 人の同僚がデスクで共同作業を行い、コンピューターモニターに表示されている情報について話し合っています。

製品

Microsoft Sentinel を使用してマルチクラウドのマルチプラットフォーム環境をセキュリティで保護する

業界をリードする SIEM とインテリジェントな推論ツールを提供する AI 対応のプラットフォームについて説明します。

Sentinel を試す

ブログ

Microsoft Sentinel グラフの概要

Microsoft が Microsoft Security にリレーションシップを認識するコンテキストをどのように導入しているかについて説明します。

事例を読む

デスクに座っがいる人が、チーム会議中にコンピューターモニターの分析ダッシュボードを確認しています。

ブログ

Microsoft Sentinel グラフを使用して隠れたセキュリティリスクを明らかにする

グラフを利用した分析情報を AI エージェントがアクセスできるようにする専用の Sentinel ツールについて説明します。

ブログを読む

セキュリティグラフは、エンティティ (ユーザー、デバイス、ドキュメントなど) とそのリレーションシップを表す接続されたマップです。これは、セキュリティチームが脅威を調査し、影響範囲を評価し、攻撃者のアクションを予測するのに役立つ、AI 主導の分析情報と視覚化を提供します。
グラフセキュリティアラートは、Microsoft Sentinel のグラフベースの分析から生成される通知です。疑わしいアクティビティや危険なアクティビティが強調表示されるため、セキュリティチームは脅威とその潜在的な影響をすばやく評価できます。
脅威グラフは、ユーザー、デバイス、アクティビティを接続することで、環境内で脅威がどのように移動するかを視覚化するセキュリティグラフの一種です。これにより、攻撃パス、横移動、脆弱性が明らかになり、セキュリティチームはサイバー攻撃をより効果的に検出、調査、および応答できます。