Referencia de Análisis de comportamiento de entidades y usuarios de Microsoft Sentinel (UEBA)

En este artículo de referencia se enumeran los orígenes de datos de entrada para el servicio Análisis de comportamiento de entidades y usuarios en Microsoft Sentinel. También describe los enriquecimientos que UEBA agrega a las entidades, lo que proporciona el contexto necesario para alertas e incidentes.

Orígenes de datos de UEBA

Estos son los orígenes de datos de los que el motor de UEBA recopila y analiza datos para entrenar sus modelos de ML y establecer bases de referencia de comportamiento para usuarios, dispositivos y otras entidades. Después, UEBA examina los datos de estos orígenes para buscar anomalías y obtener información detallada.

Enriquecimientos ueba

En esta sección se describen los enriquecimientos que UEBA agrega a las entidades de Microsoft Sentinel, que puede usar para centrarse y afilar las investigaciones de incidentes de seguridad. Estos enriquecimientos se muestran en páginas de entidad y se pueden encontrar en las siguientes tablas de Log Analytics, el contenido y el esquema de los cuales se enumeran a continuación:

• La tabla BehaviorAnalytics es donde se almacena la información de salida de UEBA.

  Los tres campos dinámicos siguientes de la tabla BehaviorAnalytics se describen en la sección campos dinámicos de enriquecimiento de entidades a continuación.

  • Los campos UsersInsights y DevicesInsights contienen información de entidad de Active Directory/ Id. de Microsoft Entra y orígenes de Inteligencia sobre amenazas de Microsoft.

  • El campo ActivityInsights contiene información de entidad basada en los perfiles de comportamiento creados por el análisis de comportamiento de entidades de Microsoft Sentinel.

    Las actividades del usuario se analizan en una línea base que se compila dinámicamente cada vez que se usa. Cada actividad tiene su propio período de búsqueda definido desde el que se deriva la línea base dinámica. El período de búsqueda se especifica en la columna Línea base de esta tabla.

• La tabla IdentityInfo es donde se almacena la información de identidad sincronizada con UEBA desde el identificador de Microsoft Entra (y desde Active Directory local a través de Microsoft Defender for Identity).

Tabla BehaviorAnalytics

En la tabla siguiente se describen los datos de análisis de comportamiento que se muestran en cada página de detalles de entidad de Microsoft Sentinel.

Campos dinámicos de enriquecimiento de entidades

Campo UsersInsights

En la tabla siguiente se describen los enriquecimientos que se incluyen en el campo dinámico UsersInsights de la tabla BehaviorAnalytics:

Campo DevicesInsights

En la tabla siguiente se describen los enriquecimientos que se incluyen en el campo dinámico DevicesInsights de la tabla BehaviorAnalytics:

Campo ActivityInsights

En las tablas siguientes se describen los enriquecimientos que se incluyen en el campo dinámico ActivityInsights de la tabla BehaviorAnalytics:

Acción realizada

Aplicación usada

Explorador usado

País o región conectado desde

Dispositivo usado para conectarse

Otros dispositivos relacionados con el dispositivo

Proveedor de servicios de Internet que se usa para conectarse

Recurso al que se accede

Miscellaneous

Tabla IdentityInfo

Después de habilitar y configurar UEBA para el área de trabajo de Microsoft Sentinel, los datos de usuario de los proveedores de identidades de Microsoft se sincronizan con la tabla IdentityInfo de Log Analytics para su uso en Microsoft Sentinel.

Esos proveedores de identidades son o ambos de los siguientes, según cuál haya seleccionado al configurar UEBA:

• Id. de Microsoft Entra (basado en la nube)
• Microsoft Active Directory (local, requiere Microsoft Defender for Identity))

Puede consultar la tabla IdentityInfo en reglas de análisis, consultas de búsqueda y libros, lo que mejora el análisis para ajustarse a los casos de uso y reducir los falsos positivos.

Aunque la sincronización inicial puede tardar unos días, una vez que los datos estén totalmente sincronizados ocurre lo siguiente:

• Cada 14 días, Microsoft Sentinel vuelve a sincronizar con todo el identificador de Entra de Microsoft (y su Active Directory local, si procede) para asegurarse de que los registros obsoletos están completamente actualizados.

• Además de estas sincronizaciones completas normales, siempre que se realicen cambios en los perfiles de usuario, los grupos y los roles integrados en el id. de Microsoft Entra, los registros de usuario afectados se vuelven a aplicar y actualizan en la tabla IdentityInfo en un plazo de 15 a 30 minutos. Esta ingesta se factura a tarifas regulares. Por ejemplo:

  • Se cambió un atributo de usuario, como el nombre para mostrar, el puesto o la dirección de correo electrónico. Se ingiere un nuevo registro para este usuario en la tabla IdentityInfo , con los campos pertinentes actualizados.

  • El grupo A tiene 100 usuarios en él. 5 usuarios se agregan al grupo o se quitan del grupo. En este caso, esos cinco registros de usuario se vuelven a calcular y sus campos GroupMembership se actualizan.

  • El grupo A tiene 100 usuarios en él. Se agregan diez usuarios al grupo A. Además, los grupos A1 y A2, cada uno con 10 usuarios, se agregan al grupo A. En este caso, se actualizan 30 registros de usuario y se actualizan sus campos GroupMembership . Esto sucede porque la pertenencia a grupos es transitiva, por lo que los cambios en los grupos afectan a todos sus subgrupos.

  • Se cambia el nombre del grupo B (con 50 usuarios) a Group BeGood. En este caso, se actualizan 50 registros de usuario y se actualizan sus campos GroupMembership . Si hay subgrupos en ese grupo, ocurre lo mismo para todos los registros de sus miembros.

• El tiempo de retención predeterminado en la tabla IdentityInfo es de 30 días.

Limitations

• El campo AssignedRoles solo admite roles integrados.

• El campo GroupMembership admite la enumeración de hasta 500 grupos por usuario, incluidos los subgrupos. Si un usuario es miembro de más de 500 grupos, solo los primeros 500 se sincronizan con la tabla IdentityInfo . Sin embargo, los grupos no se evalúan en ningún orden determinado, por lo que en cada nueva sincronización (cada 14 días), es posible que se actualice un conjunto diferente de grupos al registro de usuario.

• Cuando se elimina un usuario, el registro del usuario no se elimina inmediatamente de la tabla IdentityInfo . El motivo de esto es que uno de los propósitos de esta tabla es auditar los cambios en los registros de usuario. Por lo tanto, queremos que esta tabla tenga un registro de un usuario que se va a eliminar, lo que solo puede ocurrir si el registro de usuario de la tabla IdentityInfo sigue existiendo, aunque se elimine el usuario real (por ejemplo, en Id. de Entra).

  Los usuarios eliminados se pueden identificar mediante la presencia de un valor en el deletedDateTime campo . Por lo tanto, si necesita una consulta para mostrar una lista de usuarios, puede filtrar los usuarios eliminados agregando | where IsEmpty(deletedDateTime) a la consulta.

  A un intervalo de tiempo determinado después de eliminar un usuario, el registro del usuario también se quita de la tabla IdentityInfo .

• Cuando se elimina un grupo o si un grupo con más de 100 miembros tiene su nombre cambiado, los registros de usuario miembro del grupo no se actualizan. Si un cambio diferente hace que se actualicen uno de los registros de esos usuarios, la información del grupo actualizada se incluirá en ese momento.

Otras versiones de la tabla IdentityInfo

Hay varias versiones de la tabla IdentityInfo :

• La versión del esquema de Log Analytics , que se describe en este artículo, sirve a Microsoft Sentinel en Azure Portal. Está disponible para aquellos clientes que han habilitado UEBA.

• La versión del esquema de búsqueda avanzada sirve al portal de Microsoft Defender a través de Microsoft Defender for Identity. Está disponible para los clientes de XDR de Microsoft Defender, con o sin Microsoft Sentinel, y para los clientes de Microsoft Sentinel por sí mismo en el portal de Defender.

  UEBA no tiene que habilitarse para tener acceso a esta tabla. Sin embargo, para los clientes sin UEBA habilitado, los campos rellenados por datos UEBA no están visibles ni disponibles.

  Para obtener más información, consulte la documentación de la versión de búsqueda avanzada de esta tabla.

• A partir de mayo de 2025, los clientes de Microsoft Sentinel en el portal de Microsoft Defendercon UEBA habilitadocomienzan a usar una nueva versión de la versión de búsqueda avanzada . Esta nueva versión incluye todos los campos UEBA de la versión de Log Analytics, así como algunos campos nuevos, y se conoce como la versión unificada o la tabla unified IdentityInfo.

  Los clientes del portal de Defender sin UEBA habilitado, o sin Microsoft Sentinel, siguen usando la versión anterior de la versión de búsqueda avanzada, sin los campos generados por UEBA.

  Para obtener más información sobre la versión unificada, consulte IdentityInfo en la documentación de búsqueda avanzada.

Schema

La tabla de la siguiente pestaña "Esquema de Log Analytics" describe los datos de identidad de usuario incluidos en la tabla IdentityInfo de Log Analytics en Azure Portal.

Si va a incorporar Microsoft Sentinel al portal de Defender, seleccione la pestaña "Comparar con el esquema unificado" para ver los cambios que podrían afectar potencialmente a las consultas en las reglas y las cacerías de detección de amenazas.

Integración UEBA con flujos de trabajo Microsoft Sentinel

Los insights de UEBA están integrados en todo Microsoft Sentinel para mejorar tus flujos de trabajo de operaciones de seguridad:

Páginas de entidades e investigación de usuarios

• Anomalías en el panel de usuario: Consulta las 3 principales anomalías de usuario de los últimos 30 días directamente en el panel del lado de usuario y en la pestaña de resumen de las páginas de usuario. Esto proporciona un contexto inmediato de UEBA al investigar usuarios en distintas ubicaciones de portales. Para más información, consulte Investigar las páginas de entidades con entidad.

Mejora de la caza y la detección

• Consulta de anomalías de Go Hunt: Accede directamente a consultas de anomalías integradas desde los gráficos de incidentes al investigar entidades de usuario, permitiendo una búsqueda contextual inmediata basada en los resultados de UEBA.
• Recomendaciones de Tabla de Anomalías: Recibe sugerencias inteligentes para mejorar las consultas de caza añadiendo la tabla de Anomalías de la UEBA al consultar fuentes de datos elegibles.

Para más información sobre estas mejoras de caza, consulta Caza de amenazas en Microsoft Sentinel.

Flujos de trabajo de investigación

• Gráfico de investigación mejorado: Al investigar incidentes con entidades usuario, accede directamente a las consultas de anomalías UEBA desde el grafo de investigación para obtener contexto conductual inmediato.

Para más información sobre mejoras en la investigación, consulte Investigar incidentes Microsoft Sentinel en profundidad.

Requisitos previos para una integración mejorada de la UEBA

Para acceder a estas capacidades mejoradas de la UEBA:

• UEBA debe estar habilitado en tu espacio de trabajo Microsoft Sentinel
• Tu espacio de trabajo debe estar integrado en el portal Microsoft Defender (para algunas funciones)
• Permisos apropiados para ver datos UEBA y realizar consultas de búsqueda

Pasos siguientes

En este documento se describía el esquema de la tabla de análisis del comportamiento de entidades de Microsoft Sentinel.

• Obtenga más información sobre el análisis de comportamiento de entidades.
• Habilite UEBA en Microsoft Sentinel.
• Coloque UEBA para usarla en sus investigaciones.