Microsoft Sentinel UEBA-gegevensbronnen (User and Entity Behavior Analytics) en schemaverrijkingen

In dit artikel vindt u een overzicht van de invoergegevensbronnen voor de service User and Entity Behavior Analytics in Microsoft Sentinel. Het beschrijft ook de verrijkingen die UEBA toevoegt aan entiteiten, waardoor de benodigde context wordt geboden voor waarschuwingen en incidenten.

UEBA-gegevensbronnen

Dit zijn de gegevensbronnen van waaruit de UEBA-engine gegevens verzamelt en analyseert om de ML-modellen te trainen en gedragsbasislijnen voor gebruikers, apparaten en andere entiteiten in te stellen. UEBA kijkt vervolgens naar gegevens uit deze bronnen om afwijkingen en inzichten te vinden.

UEBA-verrijkingen

In deze sectie worden de verrijkingen beschreven die UEBA toevoegt aan Microsoft Sentinel entiteiten, die u kunt gebruiken om uw beveiligingsincidentonderzoeken te richten en te verscherpen. Deze verrijkingen worden weergegeven op entiteitspagina's en zijn te vinden in de volgende Log Analytics-tabellen, waarvan de inhoud en het schema hieronder worden vermeld:

• In de tabel BehaviorAnalytics worden de uitvoergegevens van UEBA opgeslagen.

  De volgende drie dynamische velden uit de tabel BehaviorAnalytics worden beschreven in de sectie dynamische velden voor entiteitenverrijking hieronder.

  • De velden UsersInsights en DevicesInsights bevatten entiteitsgegevens uit Active Directory/Microsoft Entra ID- en Microsoft Threat Intelligence-bronnen.

  • Het veld ActivityInsights bevat entiteitsgegevens op basis van de gedragsprofielen die zijn gebouwd door de analyse van het entiteitsgedrag van Microsoft Sentinel.

    Gebruikersactiviteiten worden geanalyseerd op basis van een basislijn die telkens dynamisch wordt gecompileerd wanneer deze wordt gebruikt. Elke activiteit heeft een eigen gedefinieerde lookbackperiode waaruit de dynamische basislijn wordt afgeleid. De terugblikperiode wordt opgegeven in de kolom Basislijn in deze tabel.

• In de tabel IdentityInfo worden identiteitsgegevens opgeslagen die vanuit Microsoft Entra ID (en vanuit on-premises Active Directory via Microsoft Defender for Identity) met UEBA worden gesynchroniseerd.

BehaviorAnalytics-tabel

In de volgende tabel worden de gedragsanalysegegevens beschreven die worden weergegeven op elke pagina met entiteitsdetails in Microsoft Sentinel.

Dynamische velden voor entiteitsverrijking

UsersInsights-veld

In de volgende tabel worden de verrijkingen beschreven die worden weergegeven in het dynamische veld UsersInsights in de tabel BehaviorAnalytics:

Het veld DevicesInsights

In de volgende tabel worden de verrijkingen beschreven die worden weergegeven in het dynamische veld DevicesInsights in de tabel BehaviorAnalytics:

ActivityInsights-veld

In de volgende tabellen worden de verrijkingen beschreven die worden weergegeven in het dynamische veld ActivityInsights in de tabel BehaviorAnalytics:

Uitgevoerde actie

App gebruikt

Gebruikte browserknoppen

Land/regio verbonden vanuit

Apparaat dat wordt gebruikt om verbinding te maken

Andere apparaatgerelateerde

Internetprovider die wordt gebruikt om verbinding te maken

Geopende resource

Diverse

Tabel IdentityInfo

Nadat u UEBA hebt ingeschakeld en geconfigureerd voor uw Microsoft Sentinel werkruimte, worden gebruikersgegevens van uw Microsoft-id-providers gesynchroniseerd met de tabel IdentityInfo in Log Analytics voor gebruik in Microsoft Sentinel.

Deze id-providers zijn of beide van de volgende, afhankelijk van welke u hebt geselecteerd bij het configureren van UEBA:

• Microsoft Entra ID (cloud)
• Microsoft Active Directory (on-premises, vereist Microsoft Defender for Identity))

U kunt query's uitvoeren op de tabel IdentityInfo in analyseregels, opsporingsquery's en werkmappen, waardoor uw analyses worden verbeterd om aan uw gebruiksvoorbeelden te voldoen en fout-positieven te verminderen.

De eerste synchronisatie kan enkele dagen duren, nadat de gegevens volledig zijn gesynchroniseerd:

• Elke 14 dagen wordt Microsoft Sentinel opnieuw gesynchroniseerd met uw hele Microsoft Entra ID (en uw on-premises Active Directory, indien van toepassing) om ervoor te zorgen dat verouderde records volledig worden bijgewerkt.

• Naast deze regelmatige volledige synchronisaties worden de betrokken gebruikersrecords binnen 15-30 minuten opnieuw opgenomen en bijgewerkt in de tabel IdentityInfo wanneer er wijzigingen worden aangebracht in uw gebruikersprofielen, groepen en ingebouwde rollen in Microsoft Entra ID. Deze opname wordt gefactureerd tegen normale tarieven. Bijvoorbeeld:

  • Een gebruikerskenmerk, zoals weergavenaam, functie of e-mailadres, is gewijzigd. Een nieuwe record voor deze gebruiker wordt opgenomen in de tabel IdentityInfo , waarbij de relevante velden zijn bijgewerkt.

  • Groep A heeft 100 gebruikers. 5 gebruikers worden toegevoegd aan de groep of verwijderd uit de groep. In dit geval worden deze vijf gebruikersrecords opnieuw opgenomen en worden de velden GroupMembership bijgewerkt.

  • Groep A heeft 100 gebruikers. Tien gebruikers worden toegevoegd aan groep A. Ook worden groepen A1 en A2, elk met 10 gebruikers, toegevoegd aan groep A. In dit geval worden 30 gebruikersrecords opnieuw opgenomen en worden hun GroupMembership-velden bijgewerkt. Dit gebeurt omdat groepslidmaatschap tijdelijk is, waardoor wijzigingen in groepen van invloed zijn op al hun subgroepen.

  • De naam van groep B (met 50 gebruikers) wordt gewijzigd in Groep BeGood. In dit geval worden 50 gebruikersrecords opnieuw opgenomen en worden hun GroupMembership-velden bijgewerkt. Als er subgroepen in die groep zijn, gebeurt hetzelfde voor alle records van hun leden.

• De standaardretentietijd in de tabel IdentityInfo is 30 dagen.

Beperkingen

• Het veld AssignedRoles ondersteunt alleen ingebouwde rollen.

• Het veld GroupMembership ondersteunt het weergeven van maximaal 500 groepen per gebruiker, inclusief subgroepen. Als een gebruiker lid is van meer dan 500 groepen, worden alleen de eerste 500 gesynchroniseerd met de tabel IdentityInfo . De groepen worden echter niet in een bepaalde volgorde geëvalueerd, dus bij elke nieuwe synchronisatie (elke 14 dagen), is het mogelijk dat een andere set groepen wordt bijgewerkt naar de gebruikersrecord.

• Wanneer een gebruiker wordt verwijderd, wordt de record van die gebruiker niet onmiddellijk verwijderd uit de tabel IdentityInfo . De reden hiervoor is dat een van de doeleinden van deze tabel is om wijzigingen in gebruikersrecords te controleren. Daarom willen we dat deze tabel een record bevat van een gebruiker die wordt verwijderd. Dit kan alleen gebeuren als de gebruikersrecord in de tabel IdentityInfo nog steeds bestaat, zelfs als de werkelijke gebruiker (bijvoorbeeld in Entra-id) is verwijderd.

  Verwijderde gebruikers kunnen worden geïdentificeerd door de aanwezigheid van een waarde in het deletedDateTime veld. Dus als u een query nodig hebt om u een lijst met gebruikers weer te geven, kunt u verwijderde gebruikers eruit filteren door toe te voegen aan | where IsEmpty(deletedDateTime) de query.

  Na een bepaald tijdsinterval nadat een gebruiker is verwijderd, wordt de record van de gebruiker uiteindelijk ook verwijderd uit de tabel IdentityInfo .

• Wanneer een groep wordt verwijderd of als de naam van een groep met meer dan 100 leden is gewijzigd, worden de gebruikersrecords van leden van die groep niet bijgewerkt. Als een andere wijziging ervoor zorgt dat de records van een van deze gebruikers worden bijgewerkt, worden de bijgewerkte groepsinformatie op dat moment opgenomen.

Andere versies van de tabel IdentityInfo

Er zijn meerdere versies van de tabel IdentityInfo :

• De Log Analytics-schemaversie, die in dit artikel wordt besproken, dient Microsoft Sentinel in de Azure Portal. Het is beschikbaar voor klanten die UEBA hebben ingeschakeld.

• De geavanceerde opsporingsschemaversie dient de Microsoft Defender portal via Microsoft Defender for Identity. Het is beschikbaar voor klanten van Microsoft Defender XDR, met of zonder Microsoft Sentinel, en voor klanten van Microsoft Sentinel op zichzelf in de Defender-portal.

  UEBA hoeft niet te zijn ingeschakeld om toegang te krijgen tot deze tabel. Voor klanten waarvoor UEBA niet is ingeschakeld, zijn de velden die worden ingevuld met UEBA-gegevens echter niet zichtbaar of beschikbaar.

  Zie de documentatie van de geavanceerde opsporingsversie van deze tabel voor meer informatie.

• Vanaf mei 2025 gebruiken klanten van Microsoft Sentinel in de Microsoft Defender portalmet UEBAeen nieuwe versie van de geavanceerde opsporingsversie. Deze nieuwe release bevat alle UEBA-velden uit de Log Analytics-versie, evenals enkele nieuwe velden, en wordt de unified-versie of de unified IdentityInfo-tabel genoemd.

  Defender Portal-klanten zonder UEBA ingeschakeld of helemaal zonder Microsoft Sentinel, blijven de eerdere versie van de geavanceerde opsporingsversie gebruiken, zonder de door UEBA gegenereerde velden.

  Zie IdentityInfo in de geavanceerde opsporingsdocumentatie voor meer informatie over de geïntegreerde versie.

Schema

In de tabel op het volgende tabblad 'Log Analytics-schema' worden de gebruikersidentiteitsgegevens beschreven die zijn opgenomen in de tabel IdentityInfo in Log Analytics in de Azure Portal.

Als u Microsoft Sentinel onboardt naar de Defender-portal, selecteert u het tabblad Vergelijken met geïntegreerd schema om de wijzigingen weer te geven die mogelijk van invloed kunnen zijn op de query's in uw regels voor het detecteren van bedreigingen en opsporingen.