Referência do Microsoft Sentinel UEBA

Este artigo de referência lista as fontes de dados de entrada para o serviço User and Entity Behavior Analytics no Microsoft Sentinel. Também descreve os enriquecimentos que a UEBA acrescenta às entidades, fornecendo o contexto necessário para alertas e incidentes.

Fontes de dados da UEBA

Essas são as fontes de dados a partir das quais o mecanismo da UEBA coleta e analisa dados para treinar seus modelos de ML e definir linhas de base comportamentais para usuários, dispositivos e outras entidades. Em seguida, a UEBA analisa os dados dessas fontes para encontrar anomalias e obter insights.

Melhoramentos da UEBA

Esta seção descreve os enriquecimentos que a UEBA adiciona às entidades do Microsoft Sentinel, juntamente com todos os seus detalhes, que você pode usar para focar e aprimorar suas investigações de incidentes de segurança. Esses enriquecimentos são exibidos em páginas de entidades e podem ser encontrados nas seguintes tabelas do Log Analytics, cujo conteúdo e esquema estão listados abaixo:

• A tabela BehaviorAnalytics é onde as informações de saída da UEBA são armazenadas.

  Os três campos dinâmicos a seguir da tabela BehaviorAnalytics são descritos na seção de campos dinâmicos de enriquecimento de entidade abaixo.

  • Os campos UsersInsights e DevicesInsights contêm informações de entidade de fontes do Ative Directory / Microsoft Entra ID e Microsoft Threat Intelligence.

  • O campo ActivityInsights contém informações de entidade com base nos perfis comportamentais criados pela análise de comportamento de entidade do Microsoft Sentinel.

    As atividades do usuário são analisadas em relação a uma linha de base que é compilada dinamicamente cada vez que é usada. Cada atividade tem seu período de retrospetiva definido a partir do qual a linha de base dinâmica é derivada. O período de retrospetiva é especificado na coluna Linha de base nesta tabela.

• A tabela IdentityInfo é onde as informações de identidade sincronizadas com o UEBA a partir do Microsoft Entra ID (e do Ative Directory local por meio do Microsoft Defender for Identity) são armazenadas.

Tabela BehaviorAnalytics

A tabela a seguir descreve os dados de análise de comportamento exibidos em cada página de detalhes da entidade no Microsoft Sentinel.

Campos dinâmicos de enriquecimento de entidades

Campo UsersInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico UsersInsights na tabela BehaviorAnalytics:

Campo DevicesInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico DevicesInsights na tabela BehaviorAnalytics:

Campo ActivityInsights

As tabelas a seguir descrevem os enriquecimentos apresentados no campo dinâmico do ActivityInsights na tabela do BehaviorAnalytics:

Ação executada

Aplicação utilizada

Navegador usado

País/região conectado a partir de

Dispositivo utilizado para ligar

Outros dispositivos relacionados

Provedor de serviços de Internet usado para se conectar

Recurso acedido

Diversos

Tabela IdentityInfo

Depois de habilitar o UEBA para seu espaço de trabalho do Microsoft Sentinel, os dados da sua ID do Microsoft Entra são sincronizados com a tabela IdentityInfo no Log Analytics para uso no Microsoft Sentinel. Você pode incorporar dados do usuário sincronizados a partir de sua ID do Microsoft Entra em suas regras de análise para aprimorar suas análises para se adequar aos seus casos de uso e reduzir falsos positivos.

Embora a sincronização inicial possa levar alguns dias, uma vez que os dados estão totalmente sincronizados:

• As alterações feitas em seus perfis de usuário, grupos e funções no ID do Microsoft Entra são atualizadas na tabela IdentityInfo dentro de 15 a 30 minutos.

• A cada 14 dias, o Microsoft Sentinel sincroniza novamente com toda a sua ID do Microsoft Entra para garantir que os registros obsoletos sejam totalmente atualizados.

• O tempo de retenção padrão na tabela IdentityInfo é de 30 dias.

Limitações

• Atualmente, apenas funções internas são suportadas.

• Os dados sobre grupos excluídos, nos quais um usuário foi removido de um grupo, não são suportados no momento.

Versões da tabela IdentityInfo

Na verdade, existem duas versões da tabela IdentityInfo :

• A versão do esquema do Log Analytics serve o Microsoft Sentinel no portal do Azure.
• A versão do esquema de caça avançada serve o Microsoft Sentinel no portal do Microsoft Defender através do Microsoft Defender for Identity.

Ambas as versões desta tabela são alimentadas pelo ID do Microsoft Entra, mas a versão do Log Analytics adicionou alguns campos.

O Microsoft Sentinel no portal do Microsoft Defender usa a versão de caça avançada desta tabela. Para minimizar as diferenças entre as duas versões da tabela, a maioria dos campos exclusivos na versão do Log Analytics também está sendo adicionada gradualmente à versão de caça avançada. Independentemente de qual portal você estiver usando o Microsoft Sentinel, você terá acesso a quase todas as mesmas informações, embora possa haver um pequeno intervalo de tempo na sincronização entre as versões. Para obter mais informações, consulte a documentação da versão de caça avançada desta tabela.

A tabela a seguir descreve os dados de identidade do usuário incluídos na tabela IdentityInfo no Log Analytics no portal do Azure. A quarta coluna mostra os campos correspondentes na versão de caça avançada da tabela, que o Microsoft Sentinel usa no portal do Defender. Os nomes de campo em negrito são nomeados de forma diferente no esquema de caça avançada do que na versão do Microsoft Sentinel Log Analytics.

Próximos passos

Este documento descreveu o esquema da tabela de análise de comportamento de entidade do Microsoft Sentinel.

• Saiba mais sobre a análise do comportamento da entidade.
• Habilite o UEBA no Microsoft Sentinel.
• Coloque a UEBA para usar em suas investigações.