Microsoft Sentinel orígenes de datos y enriquecimientos de esquema de Análisis de comportamiento de usuario y entidad (UEBA)

En este artículo se enumeran los orígenes de datos de entrada del servicio Análisis de comportamiento de usuarios y entidades en Microsoft Sentinel. También describe los enriquecimientos que UEBA agrega a las entidades, lo que proporciona el contexto necesario para alertas e incidentes.

Orígenes de datos de UEBA

Estos son los orígenes de datos desde los que el motor de UEBA recopila y analiza datos para entrenar sus modelos de ML y establecer líneas base de comportamiento para usuarios, dispositivos y otras entidades. A continuación, UEBA examina los datos de estos orígenes para encontrar anomalías e información general.

Enriquecimientos de UEBA

En esta sección se describen los enriquecimientos que UEBA agrega a Microsoft Sentinel entidades, que puede usar para centrarse y mejorar las investigaciones de incidentes de seguridad. Estos enriquecimientos se muestran en las páginas de entidad y se pueden encontrar en las siguientes tablas de Log Analytics, cuyo contenido y esquema se enumeran a continuación:

• La tabla BehaviorAnalytics es donde se almacena la información de salida de UEBA.

  Los tres campos dinámicos siguientes de la tabla BehaviorAnalytics se describen en la sección campos dinámicos de enriquecimientos de entidades que se muestra a continuación.

  • Los campos UsersInsights y DevicesInsights contienen información de entidad de orígenes de Active Directory/Microsoft Entra ID y Microsoft Threat Intelligence.

  • El campo ActivityInsights contiene información de entidad basada en los perfiles de comportamiento creados por el análisis de comportamiento de entidades de Microsoft Sentinel.

    Las actividades del usuario se analizan en una línea base que se compila dinámicamente cada vez que se usa. Cada actividad tiene su propio período de reversión definido desde el que se deriva la línea base dinámica. El período de reversión se especifica en la columna Línea base de esta tabla.

• La tabla IdentityInfo es donde se almacena la información de identidad sincronizada con UEBA desde Microsoft Entra ID (y desde Active Directory local a través de Microsoft Defender for Identity).

Tabla BehaviorAnalytics

En la tabla siguiente se describen los datos de análisis de comportamiento que se muestran en cada página de detalles de entidad de Microsoft Sentinel.

Campos dinámicos de enriquecimientos de entidades

Campo UsersInsights

En la tabla siguiente se describen los enriquecimientos que se muestran en el campo dinámico UsersInsights de la tabla BehaviorAnalytics:

Campo DispositivosInsights

En la tabla siguiente se describen los enriquecimientos que se muestran en el campo dinámico DevicesInsights de la tabla BehaviorAnalytics:

Campo ActivityInsights

En las tablas siguientes se describen los enriquecimientos que se muestran en el campo dinámico ActivityInsights de la tabla BehaviorAnalytics:

Acción realizada

Aplicación usada

Explorador utilizado

País o región conectado desde

Dispositivo usado para conectarse

Otros dispositivos relacionados

Proveedor de servicios de Internet que se usa para conectarse

Recurso al que se accede

Varios

Tabla IdentityInfo

Después de habilitar y configurar UEBA para el área de trabajo de Microsoft Sentinel, los datos de usuario de los proveedores de identidades de Microsoft se sincronizan con la tabla IdentityInfo de Log Analytics para su uso en Microsoft Sentinel.

Esos proveedores de identidades son o ambos de lo siguiente, dependiendo de la opción que haya seleccionado al configurar UEBA:

• Microsoft Entra ID (basado en la nube)
• Microsoft Active Directory (local, requiere Microsoft Defender for Identity))

Puede consultar la tabla IdentityInfo en reglas de análisis, consultas de búsqueda y libros, lo que mejora el análisis para ajustarse a los casos de uso y reduce los falsos positivos.

Aunque la sincronización inicial puede tardar unos días, una vez que los datos están totalmente sincronizados:

• Cada 14 días, Microsoft Sentinel se vuelve a sincronizar con toda la Microsoft Entra ID (y el Active Directory local, si procede) para asegurarse de que los registros obsoletos están totalmente actualizados.

• Además de estas sincronizaciones completas normales, cada vez que se realizan cambios en los perfiles de usuario, grupos y roles integrados en Microsoft Entra ID, los registros de usuario afectados se vuelven a modificar y actualizar en la tabla IdentityInfo en un plazo de entre 15 y 30 minutos. Esta ingesta se factura a tarifas regulares. Por ejemplo:

  • Se cambió un atributo de usuario, como el nombre para mostrar, el título del trabajo o la dirección de correo electrónico. Se ingiere un nuevo registro para este usuario en la tabla IdentityInfo , con los campos pertinentes actualizados.

  • El grupo A tiene 100 usuarios. 5 usuarios se agregan al grupo o se quitan del grupo. En este caso, esos cinco registros de usuario se vuelven a generar y sus campos GroupMembership se actualizan.

  • El grupo A tiene 100 usuarios. Se agregan diez usuarios al grupo A. Además, los grupos A1 y A2, cada uno con 10 usuarios, se agregan al grupo A. En este caso, se vuelven a agregar 30 registros de usuario y se actualizan sus campos GroupMembership . Esto sucede porque la pertenencia a grupos es transitiva, por lo que los cambios en los grupos afectan a todos sus subgrupos.

  • El nombre del grupo B (con 50 usuarios) se cambia a Group BeGood. En este caso, se vuelven a generar 50 registros de usuario y se actualizan sus campos GroupMembership . Si hay subgrupos en ese grupo, ocurre lo mismo para todos los registros de sus miembros.

• El tiempo de retención predeterminado de la tabla IdentityInfo es de 30 días.

Limitaciones

• El campo AssignedRoles solo admite roles integrados.

• El campo GroupMembership admite la enumeración de hasta 500 grupos por usuario, incluidos los subgrupos. Si un usuario es miembro de más de 500 grupos, solo los primeros 500 se sincronizan con la tabla IdentityInfo . Sin embargo, los grupos no se evalúan en ningún orden determinado, por lo que en cada nueva sincronización (cada 14 días), es posible que se actualice un conjunto diferente de grupos al registro de usuario.

• Cuando se elimina un usuario, el registro de ese usuario no se elimina inmediatamente de la tabla IdentityInfo . El motivo es que uno de los propósitos de esta tabla es auditar los cambios en los registros de usuario. Por lo tanto, queremos que esta tabla tenga un registro de un usuario que se va a eliminar, lo que solo puede ocurrir si el registro de usuario de la tabla IdentityInfo sigue existiendo, aunque se elimine el usuario real (por ejemplo, en Entra identificador).

  Los usuarios eliminados se pueden identificar por la presencia de un valor en el deletedDateTime campo. Por lo tanto, si necesita una consulta para mostrar una lista de usuarios, puede filtrar los usuarios eliminados agregando | where IsEmpty(deletedDateTime) a la consulta.

  En un intervalo de tiempo determinado después de eliminar un usuario, el registro del usuario también se quita de la tabla IdentityInfo .

• Cuando se elimina un grupo o si se cambia el nombre de un grupo con más de 100 miembros, los registros de usuario de miembro de ese grupo no se actualizan. Si un cambio diferente hace que uno de los registros de esos usuarios se actualice, la información actualizada del grupo se incluirá en ese momento.

Otras versiones de la tabla IdentityInfo

Hay varias versiones de la tabla IdentityInfo :

• La versión del esquema de Log Analytics, que se describe en este artículo, sirve Microsoft Sentinel en el Azure Portal. Está disponible para los clientes que habilitaron UEBA.

• La versión del esquema de búsqueda avanzada sirve al portal de Microsoft Defender a través de Microsoft Defender for Identity. Está disponible para los clientes de Microsoft Defender XDR, con o sin Microsoft Sentinel y para los clientes de Microsoft Sentinel por sí mismos en el portal de Defender.

  UEBA no tiene que estar habilitado para tener acceso a esta tabla. Sin embargo, para los clientes sin UEBA habilitado, los campos rellenados por los datos de UEBA no están visibles ni están disponibles.

  Para obtener más información, consulte la documentación de la versión de búsqueda avanzada de esta tabla.

• A partir de mayo de 2025, los clientes de Microsoft Sentinel en el portal de Microsoft Defendercon UEBA habilitadocomienzan a usar una nueva versión de la versión de búsqueda avanzada. Esta nueva versión incluye todos los campos UEBA de la versión de Log Analytics, así como algunos campos nuevos, y se conoce como la versión unificada o la tabla IdentityInfo unificada.

  Los clientes del portal de Defender sin UEBA habilitado o sin Microsoft Sentinel, siguen usando la versión anterior de la versión de búsqueda avanzada, sin los campos generados por UEBA.

  Para obtener más información sobre la versión unificada, consulte IdentityInfo en la documentación de búsqueda avanzada.

Esquema

En la tabla de la siguiente pestaña "Esquema de Log Analytics" se describen los datos de identidad de usuario incluidos en la tabla IdentityInfo de Log Analytics en el Azure Portal.

Si va a incorporar Microsoft Sentinel al portal de Defender, seleccione la pestaña "Comparar con el esquema unificado" para ver los cambios que podrían afectar potencialmente a las consultas en las reglas y búsquedas de detección de amenazas.