Microsoft Sentinel käyttäjän ja entiteetin käyttäytymisanalytiikan (UEBA) tietolähteet ja rakenteen täydennykset

Tässä artikkelissa luetellaan käyttäjän ja entiteetin toiminnan analysointipalvelun syötetietolähteet Microsoft Sentinel. Siinä kuvataan myös rikastukset, joita UEBA lisää entiteetteihin tarjoten tarvittavan kontekstin hälytyksiin ja tapauksiin.

UEBA-tietolähteet

Nämä ovat tietolähteitä, joista UEBA-moduuli kerää ja analysoi tietoja koneoppimismallien harjoittamiseksi ja käyttäjien, laitteiden ja muiden entiteettien käyttäytymisen perustason määrittämiseksi. UEBA tarkastelee sitten näiden lähteiden tietoja löytääkseen poikkeavuuksia ja merkityksellisiä tietoja.

UEBA-täydennykset

Tässä osiossa kuvataan UEBA:n lisäykset Microsoft Sentinel entiteetteihin, joiden avulla voit keskittää ja terävöittää tietoturvatapausten tutkimuksia. Nämä täydennykset näkyvät entiteettisivuilla , ja ne löytyvät seuraavista Log Analytics -taulukoista, joiden sisältö ja rakenne on lueteltu alla:

• BehaviorAnalytics-taulukkoon tallennetaan UEBA:n tulostiedot.

  Seuraavat kolme dynaamista kenttää BehaviorAnalytics-taulukosta on kuvattu alla olevassa entiteetin täydennykset dynaamisten kenttien osassa.

  • UsersInsights- ja DevicesInsights-kentät sisältävät entiteettitietoja Active Directory/ Microsoft Entra ID- ja Microsoft Threat Intelligence -lähteistä.

  • ActivityInsights-kenttä sisältää entiteettitietoja, jotka perustuvat Microsoft Sentinel entiteetin toiminta-analytiikan luomiin käyttäytymisprofiileihin.

    Käyttäjän toimet analysoidaan perusaikatauluun, joka käännetaan dynaamisesti aina, kun sitä käytetään. Jokaisella toiminnolla on oma määritetty hakujakso, josta dynaaminen perusaikataulu johdetaan. Hakujakso on määritetty tämän taulukon Perusaikataulu-sarakkeessa .

• IdentityInfo-taulukkoon tallennetaan käyttäjätiedot, jotka on synkronoitu UEBA:han Microsoft Entra ID (ja paikallinen Active Directory kautta Microsoft Defender for Identity).

BehaviorAnalytics-taulukko

Seuraavassa taulukossa kuvataan toiminta-analytiikkatiedot, jotka näytetään Microsoft Sentinel kunkin entiteetin tietosivulla.

Entiteetin täydennykset dynaamisille kentille

UsersInsights-kenttä

Seuraavassa taulukossa kuvataan dynaaminen UsersInsights-kentän lisäykset BehaviorAnalytics-taulukossa:

DevicesInsights-kenttä

Seuraavassa taulukossa kuvataan BehaviorAnalytics-taulukon DevicesInsights-dynaamisessa kentässä esitellyt lisäykset:

ActivityInsights-kenttä

Seuraavissa taulukoissa kuvataan ActivityInsightsin dynaamisessa kentässä olevat lisäykset BehaviorAnalytics-taulukossa:

Suoritettu toiminto

Käytetty sovellus

Käytettävä selain

Maa tai alue, josta yhteys on muodostettu

Yhteyden muodostamiseen käytetty laite

Muut laitteeseen liittyvät

Yhteyden muodostamisessa käytettävä Internet-palveluntarjoaja

Resurssia on käytettävissä

Muut

IdentityInfo-taulukko

Kun olet ottanut UEBA:n käyttöön ja määrittänyt sen Microsoft Sentinel työtilaan, Microsoftin käyttäjätietojentarjoajien käyttäjätiedot synkronoidaan Log Analyticsin IdentityInfo-taulukkoon käytettäväksi Microsoft Sentinel.

Nämä tunnistetietopalvelut ovat joko seuraavia sen mukaan, kumman valitsit määrittäessäsi UEBA:ta:

• Microsoft Entra ID (pilvipohjainen)
• Microsoft Active Directory (paikallinen, edellyttää Microsoft Defender for Identity))

Voit tehdä IdentityInfo-taulukkoon kyselyn analytiikkasäännöissä, metsästyskyselyissä ja työkirjoissa, mikä parantaa analytiikkaa käyttötapauksiasi varten ja vähentää false-positiivisia arvoja.

Ensimmäinen synkronointi voi kestää muutamia päiviä, kun tiedot on täysin synkronoitu:

• Microsoft Sentinel synkronoida koko Microsoft Entra ID (ja tarvittaessa paikallinen Active Directory) uudelleen 14 päivän välein, jotta vanhentuneet tietueet päivittyvät täysin.

• Näiden säännöllisten täydellisten synkronointien lisäksi aina, kun käyttäjäprofiileihin, ryhmiin ja sisäisiin rooleihin tehdään muutoksia Microsoft Entra ID, kyseiset käyttäjätietueet otetaan uudelleen käyttöön ja päivitetään IdentityInfo-taulukkoon 15–30 minuutin kuluessa. Tätä tietojen käsittelylaskutetaan säännöllisesti. Esimerkki:

  • Käyttäjän määritettä, kuten näyttönimeä, työnimikettä tai sähköpostiosoitetta, muutettiin. Tämän käyttäjän uusi tietue lisätään IdentityInfo-taulukkoon , johon liittyvät kentät on päivitetty.

  • Ryhmässä A on 100 käyttäjää. Viisi käyttäjää lisätään ryhmään tai poistetaan ryhmästä. Tässä tapauksessa nämä viisi käyttäjätietuetta käsitellään uudelleen ja niiden GroupMembership-kentät päivitetään.

  • Ryhmässä A on 100 käyttäjää. Ryhmään A lisätään kymmenen käyttäjää. Lisäksi ryhmään A lisätään ryhmät A1 ja A2, joissa jokaisessa on 10 käyttäjää. Tässä tapauksessa uudelleenkäytetään 30 käyttäjätietuetta ja niiden GroupMembership-kentät päivitetään. Näin tapahtuu, koska ryhmän jäsenyys on transitiivinen, joten ryhmien muutokset vaikuttavat kaikkiin niiden aliryhmiin.

  • Ryhmä B (jossa on 50 käyttäjää) nimetään uudelleen ryhmäksi BeGood. Tässä tapauksessa uudelleenkäytetään 50 käyttäjätietuetta ja niiden GroupMembership-kentät päivitetään. Jos ryhmässä on aliryhmiä, sama tapahtuu kaikkien jäsenten tietueille.

• IdentityInfo-taulukon oletussäilytysaika on 30 päivää.

Rajoitukset

• AssignedRoles-kenttä tukee vain sisäisiä rooleja.

• GroupMembership-kenttä tukee enintään 500 ryhmän listaamista käyttäjää kohden, mukaan lukien aliryhmät. Jos käyttäjä on yli 500 ryhmän jäsen, vain ensimmäiset 500 synkronoidaan IdentityInfo-taulukon kanssa. Ryhmiä ei kuitenkaan arvioida missään tietyssä järjestyksessä, joten jokaisen uuden synkronoinnin yhteydessä (14 päivän välein) käyttäjätietueen päivitys voi olla eri ryhmä.

• Kun käyttäjä poistetaan, kyseisen käyttäjän tietuetta ei poisteta heti IdentityInfo-taulukosta . Syynä tähän on se, että yksi tämän taulukon tarkoituksesta on valvoa käyttäjätietueiden muutoksia. Tämän vuoksi haluamme, että tämä taulukko sisältää käyttäjän tietueen, joka voi tapahtua vain, jos IdentityInfo-taulukon käyttäjätietue on edelleen olemassa, vaikka todellinen käyttäjä (esimerkiksi Entra tunnuksella) poistetaan.

  Poistetut käyttäjät voidaan tunnistaa, jos kentässä on arvo deletedDateTime . Jos siis tarvitset kyselyn, joka näyttää käyttäjäluettelon, voit suodattaa poistetut käyttäjät pois lisäämällä | where IsEmpty(deletedDateTime) kyselyn.

  Tietyllä aikavälillä käyttäjän poistamisen jälkeen käyttäjän tietue poistetaan lopulta myös IdentityInfo-taulukosta .

• Kun ryhmä poistetaan tai jos ryhmän, jossa on yli 100 jäsentä, nimi on muuttunut, kyseisen ryhmän jäsenkäyttäjätietueita ei päivitetä. Jos eri muutos aiheuttaa yhden näiden käyttäjien tietueiden päivittämisen, päivitetyt ryhmätiedot sisällytetään tässä vaiheessa.

IdentityInfo-taulukon muut versiot

IdentityInfo-taulukosta on useita versioita:

• Tässä artikkelissa käsitelty Log Analytics -rakenneversio palvelee Microsoft Sentinel Azure-portaali. Se on saatavilla asiakkaille, jotka ovat mahdollistaneet UEBA:n käytön.

• Kehittynyt metsästysrakenneversio toimii Microsoft Defender portaalissa Microsoft Defender for Identity kautta. Se on saatavilla Microsoft Defender XDR asiakkaille, Microsoft Sentinel kanssa tai ilman niitä, sekä Microsoft Sentinel asiakkaille Defender-portaalissa.

  UEBA:ta ei tarvitse ottaa käyttöön, jotta se voi käyttää tätä taulukkoa. Asiakkaille, joilla ei ole käytössä UEBA:ta, UEBA-tietojen täyttämät kentät eivät kuitenkaan ole näkyvissä tai käytettävissä.

  Lisätietoja on tämän taulukon kehittyneen metsästyksen version dokumentaatiossa.

• Toukokuusta 2025 alkaen Microsoft Sentinel asiakkaat Microsoft Defender-portaalissa, jossa UEBA on otettu käyttöön, alkavat käyttää lisämetsästysversion uutta versiota. Tämä uusi julkaisu sisältää kaikki Log Analytics -version UEBA-kentät sekä joitakin uusia kenttiä, ja sitä kutsutaan yhdistetyksi versioksi tai yhdistetyksi IdentityInfo-taulukoksi.

  Defender-portaaliasiakkaat, joilla ei ole UEBA:ta käytössä tai joilla ei ole Microsoft Sentinel, jatkavat lisämetsästysversion aiemman julkaisun käyttöä ilman UEBA:n luomia kenttiä.

  Lisätietoja yhdistetystä versiosta on Kohdassa IdentityInfo kehittyneen metsästyksen dokumentaatiossa.

Rakenteen

Seuraavassa Log Analytics -rakenteen välilehden taulukossa kuvataan käyttäjätiedot, jotka sisältyvät Azure-portaali Log Analyticsin IdentityInfo-taulukkoon.

Jos olet lisäämässä Microsoft Sentinel Defender-portaaliin, valitse Vertaa yhdistettyyn rakenteeseen -välilehti, jotta näet muutokset, jotka voivat mahdollisesti vaikuttaa uhkien havaitsemissääntöjen ja -metsästysten kyselyihin.