Referenz zu Microsoft Sentinel-Benutzer- und Entitätsverhaltensanalysen (UEBA)

In diesem Referenzartikel werden die Eingabedatenquellen für den Benutzer- und Entitätsverhaltensanalysedienst in Microsoft Sentinel aufgeführt. Außerdem werden die Anreicherungen beschrieben, die UEBA zu den Entitäten hinzufügt, um den Warnungen und Vorfällen den nötigen Kontext zu geben.

UEBA-Datenquellen

Dies sind die Datenquellen, aus denen die UEBA-Engine Daten sammelt und analysiert, um ihre ML-Modelle zu trainieren und Verhaltens-Baselines für Benutzer, Geräte und andere Entitäten festzulegen. UEBA untersucht dann die Daten aus diesen Quellen, um Anomalien zu finden und Erkenntnisse zu gewinnen.

UEBA-Anreicherungen

In diesem Abschnitt werden die Anreicherungen von UEBA zu Microsoft Sentinel-Entitäten beschrieben, die Sie verwenden können, um Ihre Untersuchungen zu Sicherheitsvorfällen zu konzentrieren und zu schärfen. Diese Anreicherungen werden auf Entitätsseiten angezeigt und finden Sie in den folgenden Log Analytics-Tabellen, deren Inhalt und Schema unten aufgeführt sind:

• In der Tabelle "BehaviorAnalytics " werden die Ausgabeinformationen der UEBA gespeichert.

  Die folgenden drei dynamischen Felder aus der BehaviorAnalytics-Tabelle werden im Abschnitt " Entitätserweiterungen dynamische Felder " weiter unten beschrieben.

  • Die Felder "UsersInsights " und "DevicesInsights" enthalten Entitätsinformationen aus Active Directory/Microsoft Entra ID und Microsoft Threat Intelligence-Quellen.

  • Das Feld "ActivityInsights" enthält Entitätsinformationen basierend auf den Verhaltensprofilen, die von der Verhaltensanalyse von Microsoft Sentinel erstellt wurden.

    Benutzeraktivitäten werden anhand eines Basisplans analysiert, der bei jeder Verwendung dynamisch kompiliert wird. Jede Aktivität verfügt über einen eigenen definierten Lookbackzeitraum, von dem die dynamische Basislinie abgeleitet wird. Der Lookbackzeitraum wird in der Spalte "Basisplan " in dieser Tabelle angegeben.

• In der Tabelle "IdentityInfo " werden Identitätsinformationen gespeichert, die von microsoft Entra ID (und von lokalem Active Directory über Microsoft Defender for Identity) mit UEBA synchronisiert werden.

BehaviorAnalytics-Tabelle

In der folgenden Tabelle werden die Verhaltensanalysedaten beschrieben, die auf jeder Entitätsdetailseite in Microsoft Sentinel angezeigt werden.

Dynamische Felder für Entitätsanreicherungen

UsersInsights-Feld

In der folgenden Tabelle werden die Im dynamischen Feld "UsersInsights " in der Tabelle "BehaviorAnalytics" aufgeführten Anreicherungen beschrieben:

DevicesInsights-Feld

In der folgenden Tabelle werden die Im dynamischen Feld "DevicesInsights " in der Tabelle "BehaviorAnalytics" aufgeführten Anreicherungen beschrieben:

ActivityInsights-Feld

In den folgenden Tabellen werden die Im dynamischen Feld "ActivityInsights " in der Tabelle "BehaviorAnalytics" aufgeführten Anreicherungen beschrieben:

Aktion ausgeführt

Verwendete App

Verwendeter Browser

Land/Region verbunden von

Zum Herstellen der Verbindung verwendetes Gerät

Andere gerätebezogene Geräte

Zum Herstellen der Verbindung verwendeter Internetdienstanbieter (ISP)

Zugriff auf Ressource

Miscellaneous

IdentityInfo-Tabelle

Nachdem Sie UEBA für Ihren Microsoft Sentinel-Arbeitsbereich aktiviert und konfiguriert haben, werden Benutzerdaten von Ihren Microsoft-Identitätsanbietern zur Verwendung in Microsoft Sentinel mit der IdentityInfo-Tabelle in Log Analytics synchronisiert.

Diese Identitätsanbieter sind entweder oder beide der folgenden, je nachdem, welche Sie bei der Konfiguration von UEBA ausgewählt haben:

• Microsoft Entra ID (cloudbasiert)
• Microsoft Active Directory (lokal, erfordert Microsoft Defender for Identity))

Sie können die IdentityInfo-Tabelle in Analyseregeln, Suchabfragen und Arbeitsmappen abfragen, Ihre Analysen verbessern, um Ihre Anwendungsfälle anzupassen und falsch positive Ergebnisse zu reduzieren.

Die Erstsynchronisierung kann einige Tage dauern. Nachdem die Daten vollständig synchronisiert wurden, gilt Folgendes:

• Alle 14 Tage synchronisiert Microsoft Sentinel ihre gesamte Microsoft Entra-ID (und gegebenenfalls Ihr lokales Active Directory), um sicherzustellen, dass veraltete Datensätze vollständig aktualisiert werden.

• Abgesehen von diesen regelmäßigen vollständigen Synchronisierungen werden die betroffenen Benutzerdatensätze innerhalb von 15-30 Minuten bei Änderungen an Ihren Benutzerprofilen, Gruppen und integrierten Rollen in der Microsoft Entra-ID erneut aufgenommen und aktualisiert. Diese Aufnahme wird in regelmäßigen Tarifen abgerechnet. Beispiel:

  • Ein Benutzerattribute, z. B. Anzeigename, Position oder E-Mail-Adresse, wurde geändert. Ein neuer Datensatz für diesen Benutzer wird in die Tabelle "IdentityInfo " aufgenommen, wobei die relevanten Felder aktualisiert wurden.

  • Gruppe A enthält 100 Benutzer. 5 Benutzer werden der Gruppe hinzugefügt oder aus der Gruppe entfernt. In diesem Fall werden diese fünf Benutzerdatensätze erneut aufgenommen, und ihre GroupMembership-Felder wurden aktualisiert.

  • Gruppe A enthält 100 Benutzer. Zehn Benutzer werden der Gruppe A hinzugefügt. Außerdem werden gruppen A1 und A2 mit jeweils 10 Benutzern zu Gruppe A hinzugefügt. In diesem Fall werden 30 Benutzerdatensätze erneut aufgenommen, und ihre GroupMembership-Felder werden aktualisiert. Dies geschieht, da die Gruppenmitgliedschaft transitiv ist, sodass sich Änderungen an Gruppen auf alle ihre Untergruppen auswirken.

  • Gruppe B (mit 50 Benutzern) wird in "Group BeGood" umbenannt. In diesem Fall werden 50 Benutzerdatensätze erneut aufgenommen, und ihre GroupMembership-Felder werden aktualisiert. Wenn in dieser Gruppe Untergruppen vorhanden sind, geschieht dies für alle Datensätze ihrer Mitglieder.

• Die Standardaufbewahrungszeit in der IdentityInfo-Tabelle beträgt 30 Tage.

Limitations

• Das Feld "AssignedRoles " unterstützt nur integrierte Rollen.

• Das Feld "GroupMembership " unterstützt die Auflistung von bis zu 500 Gruppen pro Benutzer, einschließlich Untergruppen. Wenn ein Benutzer Mitglied von mehr als 500 Gruppen ist, werden nur die ersten 500 mit der IdentityInfo-Tabelle synchronisiert. Die Gruppen werden jedoch nicht in einer bestimmten Reihenfolge ausgewertet, sodass bei jeder neuen Synchronisierung (alle 14 Tage) eine andere Gruppe von Gruppen auf den Benutzerdatensatz aktualisiert wird.

• Wenn ein Benutzer gelöscht wird, wird der Datensatz dieses Benutzers nicht sofort aus der IdentityInfo-Tabelle gelöscht. Der Grund dafür ist, dass einer der Zwecke dieser Tabelle darin besteht, Änderungen an Benutzerdatensätzen zu überwachen. Daher soll diese Tabelle einen Datensatz eines Benutzers aufweisen, der gelöscht wird, was nur passieren kann, wenn der Benutzerdatensatz in der IdentityInfo-Tabelle noch vorhanden ist, auch wenn der tatsächliche Benutzer (z. B. in entra ID) gelöscht wird.

  Gelöschte Benutzer können durch das Vorhandensein eines Werts deletedDateTime im Feld identifiziert werden. Wenn Sie also eine Abfrage benötigen, um Eine Liste der Benutzer anzuzeigen, können Sie gelöschte Benutzer herausfiltern, indem Sie sie der Abfrage hinzufügen | where IsEmpty(deletedDateTime) .

  Nach dem Löschen eines Benutzers wird der Datensatz des Benutzers in einem bestimmten Zeitraum auch aus der IdentityInfo-Tabelle entfernt.

• Wenn eine Gruppe gelöscht wird oder eine Gruppe mit mehr als 100 Mitgliedern ihren Namen geändert hat, werden die Benutzerdatensätze dieser Gruppe nicht aktualisiert. Wenn eine andere Änderung bewirkt, dass eines der Datensätze dieser Benutzer aktualisiert wird, werden die aktualisierten Gruppeninformationen zu diesem Zeitpunkt einbezogen.

Andere Versionen der IdentityInfo-Tabelle

Es gibt mehrere Versionen der IdentityInfo-Tabelle :

• Die in diesem Artikel erläuterte Log Analytics-Schemaversion dient Microsoft Sentinel im Azure-Portal. Es ist für kunden verfügbar, die UEBA aktiviert haben.

• Die Schemaversion der erweiterten Suche dient dem Microsoft Defender-Portal über Microsoft Defender for Identity. Es ist für Kunden von Microsoft Defender XDR mit oder ohne Microsoft Sentinel und für Kunden von Microsoft Sentinel selbst im Defender-Portal verfügbar.

  UEBA muss nicht aktiviert sein, um Zugriff auf diese Tabelle zu haben. Für Kunden ohne aktivierte UEBA sind die felder, die von UEBA-Daten aufgefüllt werden, jedoch nicht sichtbar oder verfügbar.

  Weitere Informationen finden Sie in der Dokumentation der Erweiterten Suchversion dieser Tabelle.

• Ab Mai 2025 beginnen Kunden von Microsoft Sentinel im Microsoft Defender-Portalmit aktivierter UEBA-Versionmit einer neuen Version der Erweiterten Bedrohungssuche . Diese neue Version enthält alle UEBA-Felder aus der Log Analytics-Version sowie einige neue Felder und wird als einheitliche Version oder die einheitliche IdentityInfo-Tabelle bezeichnet.

  Defender-Portalkunden ohne UEBA-Aktivierung oder überhaupt ohne Microsoft Sentinel verwenden weiterhin die vorherige Version der Erweiterten Bedrohungssuche ohne die von der UEBA generierten Felder.

  Weitere Informationen zur einheitlichen Version finden Sie in der Dokumentation zur erweiterten Suche unter IdentityInfo.

Schema

Die Tabelle auf der folgenden Registerkarte "Log Analytics-Schema" beschreibt die Benutzeridentitätsdaten, die in der Tabelle "IdentityInfo " in Log Analytics im Azure-Portal enthalten sind.

Wenn Sie Microsoft Sentinel in das Defender-Portal integrieren, wählen Sie die Registerkarte "Vergleichen mit einheitlichem Schema" aus, um die Änderungen anzuzeigen, die sich möglicherweise auf die Abfragen in Ihren Bedrohungserkennungsregeln und -jagden auswirken könnten.

UEBA-Integration mit Microsoft Sentinel-Workflows

UEBA-Einblicke sind in Microsoft Sentinel integriert, um Ihre Sicherheitsabläufe zu verbessern:

Entitätsseiten und Benutzeruntersuchung

• Anomalien im Benutzerpanel: Sehen Sie sich die drei wichtigsten Benutzeranomalien der letzten 30 Tage direkt im Benutzerseitenbereich und im Übersichtstab der Benutzerseiten an. Dies liefert unmittelbaren UEBA-Kontext bei der Untersuchung von Nutzern an verschiedenen Portalstandorten. Für weitere Informationen siehe Seiten Entitäten mit Entitäten untersuchen.

Verbesserung der Jagd und Erkennung

• Go Hunt Anomalien-Abfrage: Greifen Sie bei der Untersuchung von Benutzerentitäten direkt aus den Incident-Graphen auf integrierte Anomalienabfragen zu, was sofortige kontextuelle Jagd basierend auf UEBA-Ergebnissen ermöglicht.
• Empfehlungen zur Anomalientabelle: Erhalten Sie intelligente Vorschläge zur Verbesserung von Jagdanfragen, indem Sie bei Abfragen geeigneter Datenquellen die UEBA-Anomalien-Tabelle hinzufügen.

Weitere Informationen zu diesen Jagdverbesserungen finden Sie unter Bedrohungsjagd in Microsoft Sentinel.

Untersuchungs-Arbeitsabläufe

• Verbesserter Untersuchungsgraph: Bei der Untersuchung von Vorfällen mit Nutzerentitäten greifen Sie direkt auf UEBA-Anomalienanfragen aus dem Untersuchungsgraphen zu, um unmittelbaren Verhaltenskontext zu erhalten.

Weitere Informationen zu Untersuchungsverbesserungen finden Sie unter Microsoft Sentinel Incidents in Depth.

Voraussetzungen für eine verbesserte UEBA-Integration

Um auf diese erweiterten UEBA-Fähigkeiten zuzugreifen:

• UEBA muss in deinem Microsoft Sentinel-Arbeitsbereich aktiviert sein
• Dein Arbeitsbereich muss für einige Funktionen in das Microsoft Defender Portal integriert werden.
• Angemessene Berechtigungen zur Anzeige von UEBA-Daten und zur Durchführung von Suchanfragen

Nächste Schritte

In diesem Dokument wurde das Tabellenschema der Entitätsverhaltensanalyse in Microsoft Sentinel beschrieben.

• Erfahren Sie mehr über die Analyse des Entitätsverhaltens.
• Aktivieren Sie UEBA in Microsoft Sentinel.
• Legen Sie UEBA in Ihre Untersuchungen ein.