sources de données et enrichissements de schémas Microsoft Sentinel user and Entity Behavior Analytics (UEBA)

Cet article répertorie les sources de données d’entrée pour le service Analyse du comportement des utilisateurs et des entités dans Microsoft Sentinel. Il décrit également les enrichissements qu’UEBA ajoute aux entités, en fournissant le contexte nécessaire aux alertes et aux incidents.

Sources de données UEBA

Il s’agit des sources de données à partir desquelles le moteur UEBA collecte et analyse les données pour entraîner ses modèles ML et définir des bases de référence comportementales pour les utilisateurs, les appareils et d’autres entités. UEBA examine ensuite les données de ces sources pour trouver des anomalies et obtenir des insights.

Enrichissements UEBA

Cette section décrit les enrichissements qu’UEBA ajoute à Microsoft Sentinel entités, que vous pouvez utiliser pour concentrer et affiner vos enquêtes sur les incidents de sécurité. Ces enrichissements sont affichés sur les pages d’entité et se trouvent dans les tables Log Analytics suivantes, dont le contenu et le schéma sont répertoriés ci-dessous :

• La table BehaviorAnalytics est l’emplacement où les informations de sortie d’UEBA sont stockées.

  Les trois champs dynamiques suivants de la table BehaviorAnalytics sont décrits dans la section champs dynamiques enrichissements d’entité ci-dessous.

  • Les champs UsersInsights et DevicesInsights contiennent des informations d’entité provenant des sources Active Directory/Microsoft Entra ID et Microsoft Threat Intelligence.

  • Le champ ActivityInsights contient des informations d’entité basées sur les profils comportementaux créés par l’analytique du comportement d’entité de Microsoft Sentinel.

    Les activités des utilisateurs sont analysées par rapport à une base de référence qui est compilée dynamiquement chaque fois qu’elle est utilisée. Chaque activité a sa propre période de recherche arrière définie à partir de laquelle la ligne de base dynamique est dérivée. La période de recherche arrière est spécifiée dans la colonne Ligne de base de cette table.

• La table IdentityInfo est l’emplacement où les informations d’identité synchronisées avec UEBA à partir de Microsoft Entra ID (et de Active Directory local via Microsoft Defender pour Identity) sont stockées.

Table BehaviorAnalytics

Le tableau suivant décrit les données d’analyse du comportement affichées sur chaque page de détails d’entité dans Microsoft Sentinel.

Enrichissements d’entités - Champs dynamiques

Champ UsersInsights

Le tableau suivant décrit les enrichissements proposés dans le champ dynamique UsersInsights de la table BehaviorAnalytics :

Champ DevicesInsights

Le tableau suivant décrit les enrichissements proposés dans le champ dynamique DevicesInsights de la table BehaviorAnalytics :

Champ ActivityInsights

Les tableaux suivants décrivent les enrichissements proposés dans le champ dynamique ActivityInsights de la table BehaviorAnalytics :

Action effectuée

Application utilisée

Navigateur utilisé

Pays/région connecté à partir de

Appareil utilisé pour se connecter

Autres appareils

Fournisseur de services Internet utilisé pour se connecter

Ressource consultée

Divers

Table IdentityInfo

Une fois que vous avez activé et configuré UEBA pour votre espace de travail Microsoft Sentinel, les données utilisateur de vos fournisseurs d’identité Microsoft sont synchronisées avec la table IdentityInfo dans Log Analytics pour une utilisation dans Microsoft Sentinel.

Ces fournisseurs d’identité sont l’un ou l’autre des suivants, ou les deux, selon que vous avez sélectionné lorsque vous avez configuré UEBA :

• Microsoft Entra ID (cloud)
• Microsoft Active Directory (local, nécessite Microsoft Defender pour Identity))

Vous pouvez interroger la table IdentityInfo dans les règles d’analyse, les requêtes de chasse et les classeurs, en améliorant vos analyses pour les adapter à vos cas d’usage et en réduisant les faux positifs.

Bien que la synchronisation initiale puisse prendre quelques jours, une fois les données entièrement synchronisées :

• Tous les 14 jours, Microsoft Sentinel resynchronise avec l’ensemble de votre Microsoft Entra ID (et votre Active Directory local, le cas échéant) pour vous assurer que les enregistrements obsolètes sont entièrement mis à jour.

• En plus de ces synchronisations complètes régulières, chaque fois que des modifications sont apportées à vos profils utilisateur, groupes et rôles intégrés dans Microsoft Entra ID, les enregistrements utilisateur concernés sont réinsérés et mis à jour dans la table IdentityInfo dans un délai de 15 à 30 minutes. Cette ingestion est facturée à des tarifs réguliers. Par exemple :

  • Un attribut utilisateur, tel que le nom d’affichage, le poste ou l’adresse e-mail, a été modifié. Un nouvel enregistrement pour cet utilisateur est ingéré dans la table IdentityInfo , avec les champs appropriés mis à jour.

  • Le groupe A compte 100 utilisateurs. 5 utilisateurs sont ajoutés au groupe ou supprimés du groupe. Dans ce cas, ces cinq enregistrements utilisateur sont réinstésés et leurs champs GroupMembership sont mis à jour.

  • Le groupe A compte 100 utilisateurs. Dix utilisateurs sont ajoutés au groupe A. En outre, les groupes A1 et A2, chacun avec 10 utilisateurs, sont ajoutés au groupe A. Dans ce cas, 30 enregistrements utilisateur sont réinstésés et leurs champs GroupMembership mis à jour. Cela se produit étant donné que l’appartenance au groupe est transitive, les modifications apportées aux groupes affectent tous leurs sous-groupes.

  • Le groupe B (avec 50 utilisateurs) est renommé Groupe BeGood. Dans ce cas, 50 enregistrements utilisateur sont réinstésés et leurs champs GroupMembership sont mis à jour. S’il existe des sous-groupes dans ce groupe, il en va de même pour tous les enregistrements de leurs membres.

• La durée de rétention par défaut dans la table IdentityInfo est de 30 jours.

Limitations

• Le champ AssignedRoles prend uniquement en charge les rôles intégrés.

• Le champ GroupMembership prend en charge la liste jusqu’à 500 groupes par utilisateur, y compris les sous-groupes. Si un utilisateur est membre de plus de 500 groupes, seuls les 500 premiers sont synchronisés avec la table IdentityInfo . Toutefois, les groupes ne sont pas évalués dans un ordre particulier. Par conséquent, à chaque nouvelle synchronisation (tous les 14 jours), il est possible qu’un autre ensemble de groupes soit mis à jour vers l’enregistrement utilisateur.

• Lorsqu’un utilisateur est supprimé, l’enregistrement de cet utilisateur n’est pas immédiatement supprimé de la table IdentityInfo . La raison en est que l’un des objectifs de cette table est d’auditer les modifications apportées aux enregistrements utilisateur. Par conséquent, nous voulons que cette table ait un enregistrement d’un utilisateur en cours de suppression, ce qui ne peut se produire que si l’enregistrement utilisateur dans la table IdentityInfo existe toujours, même si l’utilisateur réel (par exemple, dans l’ID Entra) est supprimé.

  Les utilisateurs supprimés peuvent être identifiés par la présence d’une valeur dans le deletedDateTime champ . Par conséquent, si vous avez besoin d’une requête pour afficher une liste d’utilisateurs, vous pouvez filtrer les utilisateurs supprimés en ajoutant | where IsEmpty(deletedDateTime) à la requête.

  À un certain intervalle de temps après la suppression d’un utilisateur, l’enregistrement de l’utilisateur est également supprimé de la table IdentityInfo .

• Lorsqu’un groupe est supprimé, ou si son nom a changé pour un groupe de plus de 100 membres, les enregistrements utilisateur des membres de ce groupe ne sont pas mis à jour. Si une modification différente entraîne la mise à jour des enregistrements de l’un de ces utilisateurs, les informations de groupe mises à jour sont alors incluses.

Autres versions de la table IdentityInfo

Il existe plusieurs versions de la table IdentityInfo :

• La version du schéma Log Analytics, décrite dans cet article, sert Microsoft Sentinel dans le Portail Azure. Il est disponible pour les clients qui ont activé UEBA.

• La version du schéma de repérage avancé sert le portail Microsoft Defender via Microsoft Defender pour Identity. Il est disponible pour les clients de Microsoft Defender XDR, avec ou sans Microsoft Sentinel, et pour les clients de Microsoft Sentinel seul dans le portail Defender.

  UEBA n’a pas besoin d’être activé pour avoir accès à cette table. Toutefois, pour les clients sans UEBA activé, les champs remplis par les données UEBA ne sont pas visibles ou disponibles.

  Pour plus d’informations, consultez la documentation de la version de repérage avancée de ce tableau.

• À compter de mai 2025, les clients de Microsoft Sentinel dans le portail Microsoft Defenderavec UEBA activécommencent à utiliser une nouvelle version de la version de chasse avancée. Cette nouvelle version inclut tous les champs UEBA de la version de Log Analytics, ainsi que certains nouveaux champs, et est appelée version unifiée ou table IdentityInfo unifiée.

  Les clients du portail Defender sans UEBA activé, ou sans Microsoft Sentinel du tout, continuent d’utiliser la version antérieure de la version de repérage avancée, sans les champs générés par UEBA.

  Pour plus d’informations sur la version unifiée, consultez IdentityInfo dans la documentation sur la chasse avancée.

Schéma

Le tableau de l’onglet « Schéma Log Analytics » suivant décrit les données d’identité utilisateur incluses dans la table IdentityInfo de Log Analytics dans le Portail Azure.

Si vous intégrez Microsoft Sentinel au portail Defender, sélectionnez l’onglet « Comparer au schéma unifié » pour afficher les modifications susceptibles d’affecter les requêtes dans vos règles et chasses de détection des menaces.