datakilder og skjemaberikelser for Microsoft Sentinel bruker- og enhetsatferdsanalyse (UEBA)

Denne artikkelen viser inndatadatakildene for bruker- og enhetsatferdsanalysetjenesten i Microsoft Sentinel. Den beskriver også berikelsene som UEBA legger til i enheter, noe som gir nødvendig kontekst til varsler og hendelser.

UEBA-datakilder

Dette er datakildene som UEBA-motoren samler inn og analyserer data fra for å lære opp ML-modellene og angi atferdsmessige grunnlinjer for brukere, enheter og andre enheter. UEBA ser deretter på data fra disse kildene for å finne avvik og få innsikt.

UEBA-berikelser

Denne delen beskriver berikelsene UEBA legger til i Microsoft Sentinel enheter, som du kan bruke til å fokusere og gjøre undersøkelser av sikkerhetshendelser skarpere. Disse berikelsene vises på enhetssider og finnes i følgende Log Analytics-tabeller, hvor innholdet og skjemaet er oppført nedenfor:

• BehaviorAnalytics-tabellen er der UEBAs utdatainformasjon lagres.

  De følgende tre dynamiske feltene fra Tabellen BehaviorAnalytics er beskrevet i delen dynamiske felt for enhetsberikelser nedenfor.

  • Feltene UsersInsights og DevicesInsights inneholder enhetsinformasjon fra Active Directory-/Microsoft Entra ID- og Microsoft Threat Intelligence-kilder.

  • ActivityInsights-feltet inneholder enhetsinformasjon basert på atferdsprofilene som er bygget av Microsoft Sentinel enhetsatferdsanalyse.

    Brukeraktiviteter analyseres mot en opprinnelig plan som kompileres dynamisk hver gang den brukes. Hver aktivitet har sin egen definerte tilbakeslagsperiode som den dynamiske grunnlinjen er avledet fra. Tilbakeslagsperioden er angitt i Kolonnen Opprinnelig plan i denne tabellen.

• IdentityInfo-tabellen er der identitetsinformasjon som synkroniseres til UEBA fra Microsoft Entra ID (og fra lokal Active Directory via Microsoft Defender for identitet) lagres.

BehaviorAnalytics-tabell

Tabellen nedenfor beskriver virkemåteanalysedataene som vises på hver enhetsdetaljside i Microsoft Sentinel.

Dynamiske felt for enhetsberikelser

UsersInsights-feltet

Tabellen nedenfor beskriver berikelsene som er utvalgt i det dynamiske feltet UsersInsights i Tabellen BehaviorAnalytics:

DevicesInsights-feltet

Tabellen nedenfor beskriver berikelsene som er utvalgt i det dynamiske feltet DevicesInsights i Tabellen BehaviorAnalytics:

ActivityInsights-feltet

Tabellene nedenfor beskriver berikelsene som er utvalgt i det dynamiske Feltet ActivityInsights i Tabellen BehaviorAnalytics:

Handling utført

Appen er brukt

Nettleser brukt

Land/område tilkoblet fra

Enhet som brukes til å koble til

Annen enhetsrelatert

Internett-leverandør som brukes til å koble til

Ressurs åpnet

Diverse

IdentityInfo-tabell

Når du har aktivert og konfigurert UEBA for Microsoft Sentinel arbeidsområdet, synkroniseres brukerdata fra Microsofts identitetsleverandører til IdentityInfo-tabellen i Log Analytics for bruk i Microsoft Sentinel.

Disse identitetsleverandørene er enten eller begge av følgende, avhengig av hvilken du valgte da du konfigurerte UEBA:

• Microsoft Entra ID (skybasert)
• Microsoft Active Directory (lokalt krever Microsoft Defender for identitet))

Du kan spørre IdentityInfo-tabellen i analyseregler, jakte spørringer og arbeidsbøker, forbedre analysene slik at de passer til brukstilfellene og redusere falske positiver.

Selv om den første synkroniseringen kan ta noen dager, synkroniseres dataene fullstendig:

• Hver 14. dag Microsoft Sentinel synkroniseres på nytt med hele Microsoft Entra ID (og lokal Active Directory, hvis aktuelt) for å sikre at foreldede poster oppdateres fullstendig.

• I tillegg til disse vanlige fullstendige synkroniseringene, blir de berørte brukerpostene gjeninntatt og oppdatert i IdentityInfo-tabellen innen 15–30 minutter når det gjøres endringer i brukerprofiler, grupper og innebygde roller i Microsoft Entra ID. Denne inntak faktureres til vanlige priser. Eksempel:

  • Et brukerattributt, for eksempel visningsnavn, stilling eller e-postadresse, ble endret. En ny post for denne brukeren blir inntatt i IdentityInfo-tabellen , med de relevante feltene oppdatert.

  • Gruppe A har 100 brukere. Fem brukere legges til i gruppen eller fjernes fra gruppen. I dette tilfellet blir disse fem brukerpostene inntatt på nytt, og gruppemedlemsfeltene deres oppdateres .

  • Gruppe A har 100 brukere. Ti brukere legges til i gruppe A. Grupper A1 og A2, hver med 10 brukere, legges også til gruppe A. I dette tilfellet blir 30 brukerposter inntatt på nytt og groupmembership-feltene oppdatert. Dette skjer fordi gruppemedlemskap er transitivt, slik at endringer i grupper påvirker alle undergruppene.

  • Gruppe B (med 50 brukere) har fått nytt navn til Gruppe BeGood. I dette tilfellet blir 50 brukerposter inntatt på nytt og gruppemedlemsfeltene oppdatert. Hvis det finnes undergrupper i gruppen, skjer det samme for alle medlemmenes poster.

• Standard oppbevaringstid i IdentityInfo-tabellen er 30 dager.

Begrensninger

• AssignedRoles-feltet støtter bare innebygde roller.

• GroupMembership-feltet støtter oppføring av opptil 500 grupper per bruker, inkludert undergrupper. Hvis en bruker er medlem av mer enn 500 grupper, synkroniseres bare de første 500 med IdentityInfo-tabellen . Gruppene evalueres imidlertid ikke i en bestemt rekkefølge, så ved hver nye synkronisering (hver 14. dag) er det mulig at et annet sett med grupper oppdateres til brukerposten.

• Når en bruker slettes, slettes ikke denne brukerens post umiddelbart fra IdentityInfo-tabellen . Årsaken til dette er at et av formålet med denne tabellen er å overvåke endringer i brukerposter. Derfor vil vi at denne tabellen skal ha en post over en bruker som slettes, noe som bare kan skje hvis brukerposten i IdentityInfo-tabellen fremdeles finnes, selv om den faktiske brukeren (for eksempel i Entra-ID) slettes.

  Slettede brukere kan identifiseres ved tilstedeværelsen av en verdi i feltet deletedDateTime . Så hvis du trenger en spørring for å vise deg en liste over brukere, kan du filtrere ut slettede brukere ved å legge | where IsEmpty(deletedDateTime) til spørringen.

  Ved et bestemt tidsintervall etter at en bruker ble slettet, blir brukerens post etter hvert også fjernet fra IdentityInfo-tabellen .

• Når en gruppe slettes, eller hvis en gruppe med mer enn 100 medlemmer har endret navn, oppdateres ikke gruppens medlemsbrukeroppføringer. Hvis en annen endring fører til at en av disse brukernes poster oppdateres, inkluderes den oppdaterte gruppeinformasjonen på dette tidspunktet.

Andre versjoner av IdentityInfo-tabellen

Det finnes flere versjoner av IdentityInfo-tabellen :

• Log Analytics-skjemaversjonen, som beskrives i denne artikkelen, fungerer Microsoft Sentinel i Azure Portal. Den er tilgjengelig for de kundene som aktiverte UEBA.

• Skjemaversjonen avansert jakt betjener Microsoft Defender-portalen via Microsoft Defender for identitet. Den er tilgjengelig for kunder av Microsoft Defender XDR, med eller uten Microsoft Sentinel, og for kunder av Microsoft Sentinel alene i Defender-portalen.

  UEBA trenger ikke å være aktivert for å få tilgang til denne tabellen. Men for kunder uten UEBA aktivert, er feltene som fylles ut av UEBA-data, ikke synlige eller tilgjengelige.

  Hvis du vil ha mer informasjon, kan du se dokumentasjonen for Avansert jakt-versjonen av denne tabellen.

• Fra og med mai 2025 begynner kunder av Microsoft Sentinel i Microsoft Defender-portalenmed UEBA aktivert å bruke en ny utgivelse av avansert jaktversjon. Denne nye versjonen inkluderer alle UEBA-feltene fra Log Analytics-versjonen samt noen nye felt, og kalles den enhetlige versjonen eller den enhetlige IdentityInfo-tabellen.

  Defender Portal-kunder uten UEBA aktivert, eller uten Microsoft Sentinel i det hele tatt, fortsetter å bruke den tidligere utgivelsen av avansert jaktversjon, uten UEBA-genererte felt.

  Hvis du vil ha mer informasjon om den enhetlige versjonen, kan du se IdentityInfo i dokumentasjonen for avansert jakt.

Skjemaet

Tabellen i følgende «Log Analytics schema»-fane beskriver brukeridentitetsdataene som er inkludert i IdentityInfo-tabellen i Log Analytics i Azure Portal.

Hvis du er pålasting Microsoft Sentinel til Defender-portalen, velger du fanen Sammenlign med enhetlig skjema for å vise endringene som potensielt kan påvirke spørringene i regler og jakter på trusler.