Referenční informace k jazyku UEBA pro Microsoft Sentinel

Tento referenční článek obsahuje seznam vstupních zdrojů dat pro službu Analýza chování uživatelů a entit v Microsoft Sentinelu. Popisuje také rozšiřování, které UEBA přidává k entitám, a poskytuje potřebný kontext pro výstrahy a incidenty.

Zdroje dat UEBA

Jedná se o zdroje dat, ze kterých modul UEBA shromažďuje a analyzuje data za účelem trénování modelů ML a nastavení standardních hodnot chování pro uživatele, zařízení a další entity. UEBA pak prohlédne data z těchto zdrojů a vyhledá anomálie a gleanské přehledy.

Rozšiřování UEBA

Tato část popisuje rozšíření UEBA přidává do entit Microsoft Sentinelu spolu se všemi jejich podrobnostmi, které můžete použít k zaměření a zostření vyšetřování incidentů zabezpečení. Tyto rozšiřování se zobrazují na stránkách entit a najdete je v následujících tabulkách Log Analytics, jejich obsah a schéma jsou uvedené níže:

• V tabulce BehaviorAnalytics se ukládají výstupní informace jazyka UEBA.

  Následující tři dynamická pole z tabulky BehaviorAnalytics jsou popsána v části o rozšiřování dynamických polí entity níže.

  • Pole UsersInsights a DevicesInsights obsahují informace o entitách ze služby Active Directory / Microsoft Entra ID a zdrojů Microsoft Threat Intelligence.

  • Pole ActivityInsights obsahuje informace o entitách na základě profilů chování vytvořených analýzou chování entit služby Microsoft Sentinel.

    Aktivity uživatelů se analyzují podle směrného plánu, který se dynamicky kompiluje při každém použití. Každá aktivita má definované období zpětného vyhledávání, ze kterého se odvozuje dynamický směrný plán. Období zpětného vyhledávání je zadané ve sloupci Směrný plán v této tabulce.

• V tabulce IdentityInfo se ukládají informace o identitě synchronizované s UEBA z ID Microsoft Entra (a z místní Active Directory přes Microsoft Defender for Identity).

Tabulka BehaviorAnalytics

Následující tabulka popisuje data analýzy chování zobrazená na každé stránce podrobností entity v Microsoft Sentinelu.

Rozšíření entit – dynamická pole

Pole UsersInsights

Následující tabulka popisuje rozšíření doporučená v dynamickém poli UsersInsights v tabulce BehaviorAnalytics:

Pole DevicesInsights

Následující tabulka popisuje rozšíření doporučená v dynamickém poli DevicesInsights v tabulce BehaviorAnalytics:

Pole ActivityInsights

Následující tabulky popisují rozšíření doporučená v dynamickém poli ActivityInsights v tabulce BehaviorAnalytics:

Provedená akce

Použitá aplikace

Použitý prohlížeč

Země připojená z

Zařízení používané k připojení

Jiné zařízení

Poskytovatel internetových služeb používaný k připojení

Byl získán přístup k prostředku.

Různé

Tabulka IdentityInfo

Po povolení UEBA pro pracovní prostor Microsoft Sentinel se data z vašeho ID Microsoft Entra synchronizují do tabulky IdentityInfo v Log Analytics pro použití v Microsoft Sentinelu. Do analytických pravidel můžete vkládat uživatelská data synchronizovaná z VAŠEHO ID Microsoft Entra, abyste vylepšili analýzu tak, aby vyhovovala vašim případům použití a snížila falešně pozitivní výsledky.

I když počáteční synchronizace může trvat několik dní, po úplné synchronizaci dat:

• Změny profilů uživatelů, skupin a rolí v ID Microsoft Entra se aktualizují v tabulce IdentityInfo během 15 až 30 minut.

• Každých 14 dnů se Microsoft Sentinel znovu synchronizuje s celým ID Microsoft Entra, aby se zajistilo, že zastaralé záznamy budou plně aktualizovány.

• Výchozí doba uchovávání v tabulce IdentityInfo je 30 dnů.

Omezení

• V současné době se podporují jenom předdefinované role.

• Data o odstraněných skupinách, ve kterých byl uživatel odebrán ze skupiny, se v současné době nepodporují.

Verze tabulky IdentityInfo

Ve skutečnosti existují dvě verze tabulky IdentityInfo :

• Verze schématu Log Analytics obsluhuje Microsoft Sentinel na webu Azure Portal.
• Verze rozšířeného schématu proaktivního vyhledávání slouží službě Microsoft Sentinel na portálu Microsoft Defenderu prostřednictvím programu Microsoft Defender for Identity.

Obě verze této tabulky se řídí ID Microsoft Entra, ale verze Log Analytics přidala několik polí.

Jednotná platforma operací zabezpečení, která je na portálu Defender, používá rozšířenou verzi této tabulky proaktivního vyhledávání . Aby se minimalizovaly rozdíly mezi dvěma verzemi tabulky, většina jedinečných polí ve verzi Log Analytics se postupně přidává také do verze rozšířeného vyhledávání . Bez ohledu na to, na kterém portálu používáte Microsoft Sentinel, budete mít přístup k téměř všem stejným informacím, i když mezi verzemi může docházet k malé prodlevě. Další informace najdete v dokumentaci k verzi rozšířeného proaktivního vyhledávání této tabulky.

Následující tabulka popisuje data identity uživatele zahrnutá v tabulce IdentityInfo v Log Analytics na webu Azure Portal. Čtvrtý sloupec zobrazuje odpovídající pole v rozšířené verzi tabulky proaktivního vyhledávání , která Microsoft Sentinel používá na portálu Defender. Názvy polí v tučném písmu se v rozšířeném schématu proaktivního vyhledávání označují odlišně než ve verzi Microsoft Sentinel Log Analytics.

Další kroky

Tento dokument popisuje schéma tabulky analýzy chování entit služby Microsoft Sentinel.

• Přečtěte si další informace o analýze chování entit.
• Povolte UEBA v Microsoft Sentinelu.
• Umístěte UEBA k použití ve vyšetřování.