Activer l’analyse comportementale des utilisateurs et des entités (UEBA) dans Microsoft Sentinel

À l’étape précédente du déploiement, vous avez activé le contenu de sécurité Microsoft Sentinel dont vous avez besoin pour protéger vos systèmes. Dans cet article, vous apprenez à activer et utiliser la fonctionnalité UEBA pour simplifier le processus d’analyse. Cet article fait partie du Guide de déploiement de Microsoft Sentinel.

Au fur et à mesure que Microsoft Sentinel collecte les journaux et les alertes de toutes ses sources de données connectées, il les analyse et établit des profils comportementaux de base des entités de votre organisation (telles que les utilisateurs, hôtes, adresses IP et applications), ainsi qu’un horizon des groupes de pairs. L’utilisation de diverses techniques et fonctionnalités de Machine Learning peut permettre à Microsoft Sentinel d’identifier une activité inhabituelle et vous aider à déterminer si une ressource est compromise. En savoir plus sur UEBA.

Prérequis

Si vous souhaitez activer ou désactiver cette fonctionnalité (ces prérequis ne sont pas nécessaires pour utiliser la fonctionnalité) :

• Votre utilisateur(-trice) doit être assigné au rôle d’administrateur(-trice) de sécurité Microsoft Entra ID dans votre locataire ou avoir des autorisations équivalentes.

• Vous devez attribuer au moins l’un des rôles Azure suivants à votre utilisateur (en savoir plus sur Azure RBAC) :

  • Contributeur Microsoft Sentinel au niveau de l’espace de travail ou du groupe de ressources.
  • Contributeur Log Analytics au niveau du groupe de ressources ou de l’abonnement.

• Aucun verrou de ressource Azure ne doit être appliqué à votre espace de travail. Apprenez-en davantage sur le verrouillage des ressources Azure.

Activer l'Analyse comportementale des utilisateurs et des entités

• Utilisateurs de Microsoft Sentinel dans le Portail Azure : suivez les instructions de l’onglet portail Azure.
• Pour les utilisateurs de Microsoft Sentinel dans le cadre du portail Microsoft Defender, suivez les instructions sous l’onglet Portail Defender.

1. Accédez à la page Configuration du comportement des entités.

   • portail Azure
   • Portail Defender

   Utilisez l’une de ces trois façons d’accéder à la page Configuration du comportement de l’entité :

   • Sélectionnez Comportement des entités dans le menu de navigation de Microsoft Sentinel, puis sélectionnez Paramètres de comportement des entités sur la barre de menus supérieure.

   • Sélectionnez Paramètres dans le menu de navigation de Microsoft Sentinel, puis l’onglet Paramètres et, sous Analyse comportementale des entités, sélectionnez Définir l’Analyse comportementale des utilisateurs et des entités.

   • Sur la page du connecteur de données XDR de Microsoft Defender, sélectionnez le lien Accéder à la page de configuration de l’Analyse comportementale des utilisateurs et des entités.

2. Dans la page Configuration du comportement des entités, activez la fonctionnalité Activer UEBA.

   

3. Sélectionnez les services d’annuaire à partir desquels vous souhaitez synchroniser les entités d’utilisateurs avec Microsoft Sentinel.

   • Instance locale d’Active Directory (préversion)
   • Microsoft Entra ID

   Pour synchroniser les entités d’utilisateurs à partir d’Active Directory local, vous devez intégrer votre locataire Azure à Microsoft Defender pour Identity (autonome ou dans le cadre de Microsoft Defender XDR) et vous devez installer le capteur MDI sur votre contrôleur de domaine Active Directory. Pour découvrir plus d’informations, consultez Prérequis pour Microsoft Defender pour Identity.

4. Sélectionnez Connecter toutes les sources de données pour connecter toutes les sources de données éligibles, ou sélectionnez des sources de données spécifiques dans la liste.

   Vous pouvez uniquement activer ces sources de données à partir de Defender et des Portails Azure :

   • Journaux de connexion
   • Journaux d’audit
   • Activité Azure
   • Événements de sécurité

   Vous pouvez activer ces sources de données à partir du portail Defender uniquement (préversion) :

   • Journaux de connexion d’identité managée AAD (Microsoft Entra ID)
   • Journaux de connexion du principal du service AAD (Microsoft Entra ID)
   • AWS CloudTrail
   • Événements d’ouverture de session des appareils
   • Okta CL
   • Journaux d’audit GCP

   Pour découvrir plus d’informations sur les sources de données et les anomalies UEBA, consultez Référence UEBA Microsoft Sentinel et Anomalies UEBA.

   Remarque

   Une fois l’UEBA activée, vous pouvez activer les sources de données prises en charge pour l’UEBA directement à partir du volet connecteur de données ou à partir de la page Paramètres du portail Defender, comme décrit dans cet article.

5. Sélectionnez Se connecter.

6. Activez la détection des anomalies dans votre espace de travail Sentinel :

   1. Dans le menu de navigation du portail Microsoft Defender, sélectionnez Paramètres des>Microsoft Sentinel>Espaces de travail SIEM.
   2. Sélectionnez l’espace de travail que vous souhaitez configurer.
   3. Dans la page de configuration de l’espace de travail, sélectionnez Anomalies et activez Détecter les anomalies.

Étapes suivantes

Dans cet article, vous avez appris à activer et configurer l’analyse du comportement des utilisateurs et des entités (UEBA) dans Microsoft Sentinel. Pour plus d’informations sur l’analyse du comportement des utilisateurs et des entités, ou processus UEBA (User and Entity Behavior Analytics) :