Referência da UEBA do Microsoft Sentinel

Este artigo de referência lista as fontes de dados de entrada para o serviço de Análise de Comportamento de Usuário e Entidade no Microsoft Sentinel. Ele também descreve os enriquecimentos que a UEBA adiciona às entidades, fornecendo o contexto necessário para alertas e incidentes.

Fontes de dados da UEBA

Essas são as fontes de dados das quais o mecanismo da UEBA coleta e analisa dados para treinar seus modelos de ML e definir linhas de base comportamentais para usuários, dispositivos e outras entidades. Em seguida, a UEBA examina os dados dessas fontes para encontrar anomalias e obter insights glean.

UEBA enrichments

Esta seção descreve os enriquecimentos que a UEBA adiciona às entidades do Microsoft Sentinel, juntamente com todos os seus detalhes, que você pode usar para concentrar e aprimorar suas investigações de incidentes de segurança. These enrichments are displayed on entity pages and can be found in the following Log Analytics tables, the contents and schema of which are listed below:

• The BehaviorAnalytics table is where UEBA's output information is stored.

  Os três campos dinâmicos a seguir da tabela BehaviorAnalytics são descritos na seção campos dinâmicos de enriquecimentos de entidade abaixo.

  • The UsersInsights and DevicesInsights fields contain entity information from Active Directory / Microsoft Entra ID and Microsoft Threat Intelligence sources.

  • The ActivityInsights field contains entity information based on the behavioral profiles built by Microsoft Sentinel's entity behavior analytics.

    As atividades do usuário são analisadas em relação a uma linha de base que é compilada dinamicamente cada vez que é usada. Cada atividade tem seu próprio período de pesquisa definido do qual a linha de base dinâmica é derivada. The lookback period is specified in the Baseline column in this table.

• The IdentityInfo table is where identity information synchronized to UEBA from Microsoft Entra ID (and from on-premises Active Directory via Microsoft Defender for Identity) is stored.

BehaviorAnalytics table

A tabela a seguir descreve os dados de análise de comportamento exibidos em cada página de detalhes da entidade no Microsoft Sentinel.

Campos dinâmicos de enriquecimentos de entidade

UsersInsights field

The following table describes the enrichments featured in the UsersInsights dynamic field in the BehaviorAnalytics table:

DevicesInsights field

The following table describes the enrichments featured in the DevicesInsights dynamic field in the BehaviorAnalytics table:

ActivityInsights field

The following tables describe the enrichments featured in the ActivityInsights dynamic field in the BehaviorAnalytics table:

Action performed

App used

Browser used

País/região conectado a partir de

Dispositivo usado para se conectar

Other device-related

Provedor de serviços de Internet usado para se conectar

Resource accessed

Miscellaneous

IdentityInfo table

Depois de habilitar e configurar o UEBA para seu workspace do Microsoft Sentinel, os dados do usuário de seus provedores de identidade da Microsoft serão sincronizados com a tabela IdentityInfo no Log Analytics para uso no Microsoft Sentinel.

Esses provedores de identidade são ou ambos os seguintes, dependendo do que você selecionou quando configurou o UEBA:

• ID do Microsoft Entra (baseada em nuvem)
• O Microsoft Active Directory (local, requer o Microsoft Defender para Identidade))

You can query the IdentityInfo table in analytics rules, hunting queries, and workbooks, enhancing your analytics to fit your use cases and reducing false positives.

Embora a sincronização inicial possa levar alguns dias, depois que os dados estiverem totalmente sincronizados:

• A cada 14 dias, o Microsoft Sentinel sincroniza novamente com toda a ID do Microsoft Entra (e seu Active Directory local, se aplicável) para garantir que os registros obsoletos sejam totalmente atualizados.

• Besides these regular full synchronizations, whenever changes are made to your user profiles, groups, and built-in roles in Microsoft Entra ID, the affected user records are re-ingested and updated in the IdentityInfo table within 15-30 minutes. Essa ingestão é cobrada a taxas regulares. For example:

  • Um atributo de usuário, como nome de exibição, cargo ou endereço de email, foi alterado. A new record for this user is ingested into the IdentityInfo table, with the relevant fields updated.

  • O grupo A tem 100 usuários. Cinco usuários são adicionados ao grupo ou removidos do grupo. In this case, those 5 user records are re-ingested, and their GroupMembership fields updated.

  • O grupo A tem 100 usuários. Ten users are added to Group A. Also, groups A1 and A2, each with 10 users, are added to Group A. In this case, 30 user records are re-ingested and their GroupMembership fields updated. Isso acontece porque a associação ao grupo é transitiva, portanto, as alterações nos grupos afetam todos os seus subgrupos.

  • O grupo B (com 50 usuários) é renomeado para Grupo BeGood. In this case, 50 user records are re-ingested and their GroupMembership fields updated. Se houver subgrupos nesse grupo, o mesmo acontecerá para todos os registros de seus membros.

• Default retention time in the IdentityInfo table is 30 days.

Limitations

• The AssignedRoles field supports only built-in roles.

• The GroupMembership field supports listing up to 500 groups per user, including subgroups. If a user is a member of more than 500 groups, only the first 500 are synchronized with the IdentityInfo table. No entanto, os grupos não são avaliados em nenhuma ordem específica, portanto, a cada nova sincronização (a cada 14 dias), é possível que um conjunto diferente de grupos seja atualizado para o registro do usuário.

• When a user is deleted, that user's record is not immediately deleted from the IdentityInfo table. O motivo disso é que uma das finalidades desta tabela é auditar as alterações nos registros de usuário. Therefore, we want this table to have a record of a user being deleted, which can only happen if the user record in the IdentityInfo table still exists, even though the actual user (say, in Entra ID) is deleted.

  Os usuários excluídos podem ser identificados pela presença de um valor no deletedDateTime campo. Portanto, se você precisar de uma consulta para mostrar uma lista de usuários, poderá filtrar usuários excluídos adicionando | where IsEmpty(deletedDateTime) à consulta.

  At a certain interval of time after a user was deleted, the user's record is eventually removed from the IdentityInfo table as well.

• Quando um grupo é excluído ou se um grupo com mais de 100 membros tiver seu nome alterado, os registros de usuário membro desse grupo não serão atualizados. Se uma alteração diferente fizer com que um dos registros desses usuários seja atualizado, as informações de grupo atualizadas serão incluídas nesse ponto.

Outras versões da tabela IdentityInfo

There are actually multiple versions of the IdentityInfo table:

• The Log Analytics schema version, discussed in this article, serves Microsoft Sentinel in the Azure portal. Ele está disponível para os clientes que habilitaram o UEBA.

• The Advanced hunting schema version serves the Microsoft Defender portal via Microsoft Defender for Identity. Ele está disponível para clientes do Microsoft Defender XDR, com ou sem o Microsoft Sentinel, e para clientes do Microsoft Sentinel sozinhos no portal do Defender.

  A UEBA não precisa ser habilitada para ter acesso a esta tabela. No entanto, para clientes sem UEBA habilitado, os campos preenchidos por dados UEBA não estão visíveis ou disponíveis.

  Para obter mais informações, consulte a documentação da versão de busca avançada desta tabela.

• A partir de maio de 2025, os clientes do Microsoft Sentinel no portal do Microsoft Defendercom UEBA habilitadocomeçam a usar uma nova versão de busca avançada . This new release includes all the UEBA fields from the Log Analytics version as well as some new fields, and is referred to as the unified version or the unified IdentityInfo table.

  Os clientes do portal do Defender sem UEBA habilitado ou sem o Microsoft Sentinel continuam a usar a versão anterior da versão de busca avançada, sem os campos gerados pela UEBA.

  Para obter mais informações sobre a versão unificada, consulte IdentityInfo na documentação de busca avançada.

Schema

The table in the following "Log Analytics schema" tab describes the user identity data included in the IdentityInfo table in Log Analytics in the Azure portal.

Se você estiver integrando o Microsoft Sentinel ao portal do Defender, selecione a guia "Comparar com o esquema unificado" para exibir as alterações que podem afetar potencialmente as consultas em suas regras e buscas de detecção de ameaças.

Next steps

Este documento descreveu o esquema da tabela da análise de comportamento de entidade do Microsoft Azure Sentinel.

• Saiba mais sobre a análise de comportamento da entidade.
• Habilite o UEBA no Microsoft Sentinel.
• Coloque a UEBA para usar em suas investigações.