Microsoft Sentinel UEBA-datakilder (User and Entity Behavior Analytics) og skemaforbedringer

I denne artikel vises inputdatakilderne for tjenesten User and Entity Behavior Analytics i Microsoft Sentinel. Den beskriver også de berigelser, som UEBA føjer til enheder, hvilket giver den nødvendige kontekst til beskeder og hændelser.

UEBA-datakilder

Dette er de datakilder, som UEBA-programmet indsamler og analyserer data fra for at oplære sine ML-modeller og angive grundlæggende funktionsmåder for brugere, enheder og andre enheder. UEBA kigger derefter på data fra disse kilder for at finde uregelmæssigheder og få indsigt.

UEBA-berigelser

I dette afsnit beskrives de forbedringer, som UEBA føjer til Microsoft Sentinel enheder, som du kan bruge til at fokusere og skærpe dine efterforskninger af sikkerhedshændelser. Disse forbedringer vises på objektsider og kan findes i følgende Log Analytics-tabeller, hvis indhold og skema er angivet nedenfor:

• I tabellen BehaviorAnalytics gemmes UEBA's outputoplysninger.

  Følgende tre dynamiske felter fra tabellen BehaviorAnalytics er beskrevet i afsnittet dynamiske felter for objektforbedringer nedenfor.

  • Felterne UsersInsights og DevicesInsights indeholder objektoplysninger fra Active Directory-/Microsoft Entra ID- og Microsoft Threat Intelligence-kilder.

  • Feltet ActivityInsights indeholder objektoplysninger, der er baseret på de adfærdsprofiler, der er oprettet af Microsoft Sentinel's analyse af objektfunktionsmåder.

    Brugeraktiviteter analyseres i forhold til en oprindelig plan, der kompileres dynamisk, hver gang den bruges. Hver aktivitet har sin egen definerede tilbageslagsperiode, som den dynamiske oprindelige plan er afledt af. Tilbageslagsperioden er angivet i kolonnen Oprindelig plan i denne tabel.

• I tabellen IdentityInfo gemmes identitetsoplysninger, der synkroniseres med UEBA fra Microsoft Entra ID (og fra Active Directory i det lokale miljø via Microsoft Defender for Identity).

BehaviorAnalytics-tabel

I følgende tabel beskrives de adfærdsanalysedata, der vises på hver side med objektoplysninger i Microsoft Sentinel.

Dynamiske felter til enhedsforbedringer

Feltet UsersInsights

I følgende tabel beskrives de forbedringer, der er fremhævet i det dynamiske felt UsersInsights i tabellen BehaviorAnalytics:

Feltet DevicesInsights

I følgende tabel beskrives de forbedringer, der er fremhævet i det dynamiske felt DevicesInsights i tabellen BehaviorAnalytics:

Feltet ActivityInsights

I følgende tabeller beskrives de forbedringer, der er vist i det dynamiske felt ActivityInsights i tabellen BehaviorAnalytics:

Udført handling

App brugt

Browser brugt

Land/område, der er forbundet fra

Enhed, der bruges til at oprette forbindelse

Anden enhedsrelateret

Internetudbyder, der bruges til at oprette forbindelse

Ressource, der er adgang til

Diverse

Tabellen IdentityInfo

Når du har aktiveret og konfigureret UEBA for dit Microsoft Sentinel arbejdsområde, synkroniseres brugerdata fra dine Microsoft-identitetsudbydere til tabellen IdentityInfo i Log Analytics til brug i Microsoft Sentinel.

Disse identitetsudbydere er en af eller begge følgende, afhængigt af hvilken du valgte, da du konfigurerede UEBA:

• Microsoft Entra ID (cloudbaseret)
• Microsoft Active Directory (kræver Microsoft Defender for Identity))

Du kan forespørge i tabellen IdentityInfo i analyseregler, jagtforespørgsler og projektmapper, hvilket forbedrer dine analyser, så de passer til dine use cases og reducerer falske positiver.

Selvom den indledende synkronisering kan tage et par dage, kan det tage et par dage, når dataene er fuldt synkroniseret:

• Hver 14. dag synkroniseres Microsoft Sentinel igen med hele dit Microsoft Entra ID (og dine Active Directory i det lokale miljø, hvis det er relevant), for at sikre, at forældede poster opdateres fuldt ud.

• Ud over disse almindelige komplette synkroniseringer, når der foretages ændringer i dine brugerprofiler, grupper og indbyggede roller i Microsoft Entra ID, genbruges og opdateres de berørte brugerposter i tabellen IdentityInfo inden for 15-30 minutter. Denne indtagelse faktureres med jævne mellemrum. Det kan f.eks. være:

  • En brugerattribut, f.eks. vist navn, stilling eller mailadresse, blev ændret. En ny post for denne bruger overføres til tabellen IdentityInfo , hvor de relevante felter opdateres.

  • Gruppe A indeholder 100 brugere. 5 brugere føjes til gruppen eller fjernes fra gruppen. I dette tilfælde genfødes disse fem brugerposter, og felterne GroupMembership opdateres.

  • Gruppe A indeholder 100 brugere. Ti brugere føjes til Gruppe A. Grupperne A1 og A2, der hver har 10 brugere, føjes også til Gruppe A. I dette tilfælde overføres 30 brugerposter, og felterne GroupMembership opdateres. Dette sker, fordi gruppemedlemskab er transitiv, så ændringer af grupper påvirker alle deres undergrupper.

  • Gruppe B (med 50 brugere) omdøbes til Group BeGood. I dette tilfælde overføres 50 brugerposter, og felterne GroupMembership opdateres. Hvis der er undergrupper i den pågældende gruppe, sker det samme for alle medlemmernes poster.

• Standardopbevaringstiden i tabellen IdentityInfo er 30 dage.

Begrænsninger

• Feltet AssignedRoles understøtter kun indbyggede roller.

• Feltet GroupMembership understøtter angivelse af op til 500 grupper pr. bruger, herunder undergrupper. Hvis en bruger er medlem af mere end 500 grupper, er det kun de første 500, der synkroniseres med tabellen IdentityInfo . Grupperne evalueres dog ikke i en bestemt rækkefølge, så ved hver ny synkronisering (hver 14. dag) er det muligt, at et andet sæt grupper opdateres til brugerposten.

• Når en bruger slettes, slettes denne brugers post ikke straks fra tabellen IdentityInfo . Årsagen til dette er, at et af denne tabels formål er at overvåge ændringer af brugerposter. Derfor ønsker vi, at denne tabel skal have en post for en bruger, der slettes, hvilket kun kan ske, hvis brugerposten i tabellen IdentityInfo stadig findes, selvom den faktiske bruger (f.eks. i Entra id) slettes.

  Slettede brugere kan identificeres ved tilstedeværelsen af en værdi i feltet deletedDateTime . Så hvis du har brug for en forespørgsel for at vise dig en liste over brugere, kan du filtrere slettede brugere fra ved at føje | where IsEmpty(deletedDateTime) til forespørgslen.

  Med et bestemt tidsinterval, efter at en bruger blev slettet, fjernes brugerens post også fra tabellen IdentityInfo .

• Når en gruppe slettes, eller hvis en gruppe med mere end 100 medlemmer har ændret navn, opdateres gruppens medlemsbrugerposter ikke. Hvis en anden ændring medfører, at en af disse brugeres poster opdateres, medtages de opdaterede gruppeoplysninger på det pågældende tidspunkt.

Andre versioner af tabellen IdentityInfo

Der er flere versioner af tabellen IdentityInfo :

• Log Analytics-skemaversionen, der er beskrevet i denne artikel, tjener Microsoft Sentinel i Azure Portal. Det er tilgængeligt for de kunder, der har aktiveret UEBA.

• Den avancerede jagtskemaversion serverer portalen Microsoft Defender via Microsoft Defender for Identity. Den er tilgængelig for kunder med Microsoft Defender XDR, med eller uden Microsoft Sentinel, og for kunder med Microsoft Sentinel i sig selv på Defender-portalen.

  UEBA behøver ikke at være aktiveret for at få adgang til denne tabel. Men for kunder uden UEBA aktiveret er de felter, der udfyldes af UEBA-data, ikke synlige eller tilgængelige.

  Du kan finde flere oplysninger i dokumentationen til den avancerede jagtversion af denne tabel.

• Fra maj 2025 begynder kunder med Microsoft Sentinel på Microsoft Defender portalenmed UEBA aktiveretat bruge en ny version af den avancerede jagtversion. Denne nye version indeholder alle UEBA-felter fra Log Analytics-versionen samt nogle nye felter og kaldes den samlede version eller den samlede IdentityInfo-tabel.

  Defender-portalkunder uden UEBA aktiveret eller slet ikke Microsoft Sentinel, fortsætter med at bruge den tidligere version af den avancerede jagtversion uden UEBA-genererede felter.

  Du kan finde flere oplysninger om den samlede version i IdentityInfo i dokumentationen til avanceret jagt.

Skema

Tabellen under fanen "Log Analytics-skema" under fanen "Log Analytics" beskriver de brugeridentitetsdata, der er inkluderet i tabellen IdentityInfo i Log Analytics i Azure Portal.

Hvis du onboarder Microsoft Sentinel til Defender-portalen, skal du vælge fanen "Sammenlign med samlet skema" for at få vist de ændringer, der potentielt kan påvirke forespørgslerne i dine regler for trusselsregistrering og jagter.