Microsoft Sentinel UEBA-datakällor (User and Entity Behavior Analytics) och schemaanrikning

Den här artikeln listar indatakällorna för tjänsten Användar- och entitetsbeteendeanalys i Microsoft Sentinel. Den beskriver också de berikanden som UEBA lägger till i entiteter, vilket ger nödvändig kontext till aviseringar och incidenter.

UEBA-datakällor

Det här är de datakällor som UEBA-motorn samlar in och analyserar data från för att träna sina ML-modeller och ange beteendebaslinjer för användare, enheter och andra entiteter. UEBA tittar sedan på data från dessa källor för att hitta avvikelser och få insikter.

UEBA-berikningar

Det här avsnittet beskriver de berikanden som UEBA lägger till i Microsoft Sentinel entiteter, som du kan använda för att fokusera och vässa dina undersökningar av säkerhetsincidenter. Dessa berikanden visas på entitetssidor och finns i följande Log Analytics-tabeller, vars innehåll och schema visas nedan:

• Tabellen BehaviorAnalytics är den plats där UEBA:s utdatainformation lagras.

  Följande tre dynamiska fält från tabellen BehaviorAnalytics beskrivs i avsnittet dynamiska fält för entitetsberikning nedan.

  • Fälten UsersInsights och DevicesInsights innehåller entitetsinformation från Active Directory/Microsoft Entra ID- och Microsoft Threat Intelligence-källor.

  • Fältet ActivityInsights innehåller entitetsinformation baserat på beteendeprofiler som skapats av Microsoft Sentinel entitetsbeteendeanalys.

    Användaraktiviteter analyseras mot en baslinje som kompileras dynamiskt varje gång den används. Varje aktivitet har en egen definierad återblicksperiod som den dynamiska baslinjen härleds från. Återblicksperioden anges i kolumnen Originalplan i den här tabellen.

• IdentityInfo-tabellen är den plats där identitetsinformation som synkroniseras med UEBA från Microsoft Entra ID (och från lokal Active Directory via Microsoft Defender for Identity) lagras.

Tabellen BehaviorAnalytics

I följande tabell beskrivs beteendeanalysdata som visas på varje entitetsinformationssida i Microsoft Sentinel.

Dynamiska fält för entitetsberikning

Fältet UsersInsights

I följande tabell beskrivs berikandena i fältet UsersInsights dynamic i tabellen BehaviorAnalytics:

Fältet DevicesInsights

I följande tabell beskrivs berikandena i det dynamiska fältet DevicesInsights i tabellen BehaviorAnalytics:

Fältet ActivityInsights

I följande tabeller beskrivs berikandena i det dynamiska fältet ActivityInsights i tabellen BehaviorAnalytics:

Åtgärden har utförts

App som används

Webbläsare som används

Land/region som är ansluten från

Enhet som används för att ansluta

Andra enhetsrelaterade

Internetleverantör som används för att ansluta

Resursen har använts

Diverse

IdentityInfo-tabell

När du har aktiverat och konfigurerat UEBA för din Microsoft Sentinel arbetsyta synkroniseras användardata från dina Microsoft-identitetsprovidrar till tabellen IdentityInfo i Log Analytics för användning i Microsoft Sentinel.

Dessa identitetsprovidrar är antingen eller båda av följande, beroende på vilken du valde när du konfigurerade UEBA:

• Microsoft Entra ID (molnbaserad)
• Microsoft Active Directory (lokalt, kräver Microsoft Defender for Identity))

Du kan köra frågor mot tabellen IdentityInfo i analysregler, jaktfrågor och arbetsböcker, förbättra din analys så att den passar dina användningsfall och minska falska positiva identifieringar.

Den inledande synkroniseringen kan ta några dagar, men när data är helt synkroniserade:

• Var 14:e dag synkroniseras Microsoft Sentinel om med hela Microsoft Entra ID (och din lokal Active Directory, om tillämpligt) för att säkerställa att inaktuella poster uppdateras fullständigt.

• Förutom dessa vanliga fullständiga synkroniseringar, när ändringar görs i dina användarprofiler, grupper och inbyggda roller i Microsoft Entra ID, kommer de berörda användarposterna att omesteras och uppdateras i tabellen IdentityInfo inom 15–30 minuter. Den här inmatningen faktureras till vanliga priser. Till exempel:

  • Ett användarattribut, till exempel visningsnamn, befattning eller e-postadress, har ändrats. En ny post för den här användaren matas in i tabellen IdentityInfo med relevanta fält uppdaterade.

  • Grupp A har 100 användare i den. 5 användare läggs till i gruppen eller tas bort från gruppen. I det här fallet har dessa fem användarposter återesterats och deras GroupMembership-fält uppdateras.

  • Grupp A har 100 användare i den. Tio användare läggs till i grupp A. Dessutom läggs grupperna A1 och A2, var och en med 10 användare, till i grupp A. I det här fallet är 30 användarposter omregistrerade och deras GroupMembership-fält uppdateras. Detta beror på att gruppmedlemskapet är transitivt, så ändringar i grupper påverkar alla deras undergrupper.

  • Grupp B (med 50 användare) har bytt namn till Grupp BeGood. I det här fallet är 50 användarposter omregistrerade och deras GroupMembership-fält uppdateras. Om det finns undergrupper i gruppen händer samma sak för alla deras medlemmars poster.

• Standardkvarhållningstiden i tabellen IdentityInfo är 30 dagar.

Begränsningar

• Fältet AssignedRoles stöder endast inbyggda roller.

• Fältet GroupMembership stöder listning av upp till 500 grupper per användare, inklusive undergrupper. Om en användare är medlem i fler än 500 grupper synkroniseras endast de första 500 med tabellen IdentityInfo . Grupperna utvärderas dock inte i någon viss ordning, så vid varje ny synkronisering (var 14:e dag) är det möjligt att en annan uppsättning grupper uppdateras till användarposten.

• När en användare tas bort tas inte användarens post bort omedelbart från tabellen IdentityInfo . Anledningen till detta är att ett av tabellens syfte är att granska ändringar i användarposter. Därför vill vi att den här tabellen ska ha en post för en användare som tas bort, vilket bara kan ske om användarposten i tabellen IdentityInfo fortfarande finns, även om den faktiska användaren (t.ex. i Entra-ID) tas bort.

  Borttagna användare kan identifieras med ett värde i deletedDateTime fältet. Så om du behöver en fråga för att visa en lista över användare kan du filtrera bort borttagna användare genom att lägga | where IsEmpty(deletedDateTime) till i frågan.

  Vid ett visst tidsintervall efter att en användare har tagits bort tas även användarens post bort från tabellen IdentityInfo .

• När en grupp tas bort, eller om en grupp med fler än 100 medlemmar får sitt namn ändrat, uppdateras inte den gruppens användarposter för medlemmar. Om en annan ändring gör att en av användarnas poster uppdateras inkluderas den uppdaterade gruppinformationen vid den tidpunkten.

Andra versioner av tabellen IdentityInfo

Det finns flera versioner av tabellen IdentityInfo :

• Log Analytics-schemaversionen, som beskrivs i den här artikeln, innehåller Microsoft Sentinel i Azure Portal. Den är tillgänglig för de kunder som har aktiverat UEBA.

• Schemaversionen avancerad jakt hanterar Microsoft Defender-portalen via Microsoft Defender for Identity. Den är tillgänglig för kunder med Microsoft Defender XDR, med eller utan Microsoft Sentinel och för kunder till Microsoft Sentinel på egen hand i Defender-portalen.

  UEBA behöver inte aktiveras för att ha åtkomst till den här tabellen. Men för kunder utan UEBA aktiverat är fälten som fylls i med UEBA-data inte synliga eller tillgängliga.

  Mer information finns i dokumentationen för avancerad jaktversion av den här tabellen.

• Från och med maj 2025 börjar kunder med Microsoft Sentinel i Microsoft Defender-portalenmed UEBA aktiveratatt använda en ny version av avancerad jaktversion. Den här nya versionen innehåller alla UEBA-fält från Log Analytics-versionen samt några nya fält och kallas för den enhetliga versionen eller den enhetliga IdentityInfo-tabellen.

  Kunder i Defender-portalen utan UEBA aktiverat, eller utan Microsoft Sentinel alls, fortsätter att använda den tidigare versionen av avancerad jaktversion utan de UEBA-genererade fälten.

  Mer information om den enhetliga versionen finns i IdentityInfo i dokumentationen för avancerad jakt.

Schemat

Tabellen på fliken Log Analytics-schema beskriver användaridentitetsdata som ingår i tabellen IdentityInfo i Log Analytics i Azure Portal.

Om du registrerar Microsoft Sentinel till Defender-portalen väljer du fliken Jämför med enhetligt schema för att visa de ändringar som potentiellt kan påverka frågorna i dina hotidentifieringsregler och -jakter.