Informations de référence sur microsoft Sentinel User and Entity Behavior Analytics (UEBA)

Cet article de référence répertorie les sources de données d’entrée pour le service User and Entity Behavior Analytics dans Microsoft Sentinel. Il décrit également les enrichissements ajoutés par UEBA aux entités, fournissant le contexte nécessaire aux alertes et aux incidents.

Sources de données UEBA

Il s’agit des sources de données à partir desquelles le moteur UEBA collecte et analyse les données pour entraîner ses modèles ML et définir des bases de référence comportementales pour les utilisateurs, les appareils et d’autres entités. UEBA examine ensuite les données de ces sources pour rechercher des anomalies et des insights glanés.

Enrichissements UEBA

Cette section décrit les enrichissements qu’UEBA ajoute aux entités Microsoft Sentinel, que vous pouvez utiliser pour concentrer et affiner vos enquêtes sur les incidents de sécurité. Ces enrichissements sont affichés sur les pages d’entité et se trouvent dans les tableaux Log Analytics suivants, le contenu et le schéma qui sont répertoriés ci-dessous :

• La table BehaviorAnalytics est l’emplacement où les informations de sortie d’UEBA sont stockées.

  Les trois champs dynamiques suivants de la table BehaviorAnalytics sont décrits dans la section des champs dynamiques des enrichissements d’entités ci-dessous.

  • Les champs UsersInsights et DevicesInsights contiennent des informations d’entité provenant des sources Active Directory / Microsoft Entra ID et Microsoft Threat Intelligence.

  • Le champ ActivityInsights contient des informations d’entité basées sur les profils comportementaux générés par l’analytique du comportement d’entité de Microsoft Sentinel.

    Les activités utilisateur sont analysées par rapport à une base de référence compilée dynamiquement chaque fois qu’elle est utilisée. Chaque activité a sa propre période de recherche définie à partir de laquelle la base de référence dynamique est dérivée. La période de recherche est spécifiée dans la colonne Base de référence de cette table.

• La table IdentityInfo est l’emplacement où les informations d’identité synchronisées avec UEBA à partir de l’ID Microsoft Entra (et à partir d’Active Directory local via Microsoft Defender pour Identity) sont stockées.

Table BehaviorAnalytics

Le tableau suivant décrit les données d’analyse du comportement affichées sur chaque page de détails d’entité dans Microsoft Sentinel.

Champs dynamiques des enrichissements d’entités

Champ UsersInsights

Le tableau suivant décrit les enrichissements proposés dans le champ dynamique UsersInsights dans la table BehaviorAnalytics :

Champ DevicesInsights

Le tableau suivant décrit les enrichissements proposés dans le champ dynamique DevicesInsights dans la table BehaviorAnalytics :

Champ ActivityInsights

Les tableaux suivants décrivent les enrichissements proposés dans le champ dynamique ActivityInsights dans la table BehaviorAnalytics :

Action effectuée

Application utilisée

Navigateur utilisé

Pays/région connectés à partir de

Appareil utilisé pour se connecter

Autres appareils connexes

Fournisseur de services Internet utilisé pour la connexion

Ressource accessible

Miscellaneous

Table IdentityInfo

Une fois que vous avez activé et configuré UEBA pour votre espace de travail Microsoft Sentinel, les données utilisateur de vos fournisseurs d’identité Microsoft sont synchronisées avec la table IdentityInfo dans Log Analytics pour une utilisation dans Microsoft Sentinel.

Ces fournisseurs d’identité sont soit les deux suivants, en fonction de ceux que vous avez sélectionnés lorsque vous avez configuré UEBA :

• ID Microsoft Entra (basé sur le cloud)
• Microsoft Active Directory (local, nécessite Microsoft Defender pour Identity))

Vous pouvez interroger la table IdentityInfo dans les règles d’analyse, les requêtes de repérage et les classeurs, en améliorant votre analytique pour répondre à vos cas d’usage et réduire les faux positifs.

Alors que la synchronisation initiale peut prendre quelques jours, une fois les données entièrement synchronisées :

• Tous les 14 jours, Microsoft Sentinel resynchronise avec l’ensemble de votre ID Microsoft Entra (et votre Active Directory local, le cas échéant) pour vous assurer que les enregistrements obsolètes sont entièrement mis à jour.

• Outre ces synchronisations complètes régulières, chaque fois que des modifications sont apportées à vos profils utilisateur, groupes et rôles intégrés dans Microsoft Entra ID, les enregistrements utilisateur affectés sont réinitialisé et mis à jour dans la table IdentityInfo dans les 15 à 30 minutes. Cette ingestion est facturée à des tarifs réguliers. Par exemple:

  • Un attribut utilisateur, tel que le nom d’affichage, le titre du travail ou l’adresse e-mail, a été modifié. Un nouvel enregistrement pour cet utilisateur est ingéré dans la table IdentityInfo , avec les champs pertinents mis à jour.

  • Le groupe A compte 100 utilisateurs. 5 utilisateurs sont ajoutés au groupe ou supprimés du groupe. Dans ce cas, ces cinq enregistrements utilisateur sont reingestés et leurs champs GroupMembership sont mis à jour.

  • Le groupe A compte 100 utilisateurs. Dix utilisateurs sont ajoutés au groupe A. En outre, les groupes A1 et A2, chacun avec 10 utilisateurs, sont ajoutés au groupe A. Dans ce cas, 30 enregistrements utilisateur sont réinitérés et leurs champs GroupMembership mis à jour. Cela se produit parce que l’appartenance au groupe est transitive, de sorte que les modifications apportées aux groupes affectent tous leurs sous-groupes.

  • Le groupe B (avec 50 utilisateurs) est renommé Groupe BeGood. Dans ce cas, 50 enregistrements utilisateur sont reingestés et leurs champs GroupMembership mis à jour. S’il existe des sous-groupes dans ce groupe, la même chose se produit pour tous les enregistrements de leurs membres.

• Le temps de rétention par défaut dans la table IdentityInfo est de 30 jours.

Limitations

• Le champ AssignedRoles prend uniquement en charge les rôles intégrés.

• Le champ GroupMembership prend en charge la liste jusqu’à 500 groupes par utilisateur, y compris les sous-groupes. Si un utilisateur est membre de plus de 500 groupes, seuls les 500 premiers sont synchronisés avec la table IdentityInfo . Les groupes ne sont pas évalués dans un ordre particulier. Toutefois, à chaque nouvelle synchronisation (tous les 14 jours), il est possible qu’un autre ensemble de groupes soit mis à jour vers l’enregistrement utilisateur.

• Lorsqu’un utilisateur est supprimé, l’enregistrement de cet utilisateur n’est pas immédiatement supprimé de la table IdentityInfo . La raison en est que l’un des objectifs de cette table est d’auditer les modifications apportées aux enregistrements utilisateur. Par conséquent, nous voulons que cette table ait un enregistrement d’un utilisateur supprimé, ce qui peut se produire uniquement si l’enregistrement utilisateur dans la table IdentityInfo existe toujours, même si l’utilisateur réel (par exemple, dans Entra ID) est supprimé.

  Les utilisateurs supprimés peuvent être identifiés par la présence d’une valeur dans le deletedDateTime champ. Par conséquent, si vous avez besoin d’une requête pour afficher une liste d’utilisateurs, vous pouvez filtrer les utilisateurs supprimés en ajoutant | where IsEmpty(deletedDateTime) à la requête.

  À un certain intervalle de temps après la suppression d’un utilisateur, l’enregistrement de l’utilisateur est finalement supprimé de la table IdentityInfo .

• Lorsqu’un groupe est supprimé ou si un groupe avec plus de 100 membres a son nom modifié, les enregistrements d’utilisateurs membres de ce groupe ne sont pas mis à jour. Si une modification différente entraîne la mise à jour de l’un des enregistrements de ces utilisateurs, les informations de groupe mises à jour sont incluses à ce stade.

Autres versions de la table IdentityInfo

Il existe plusieurs versions de la table IdentityInfo :

• La version du schéma Log Analytics , décrite dans cet article, sert Microsoft Sentinel dans le portail Azure. Il est disponible pour les clients qui ont activé UEBA.

• La version avancée du schéma de repérage sert le portail Microsoft Defender via Microsoft Defender pour Identity. Il est disponible pour les clients de Microsoft Defender XDR, avec ou sans Microsoft Sentinel, et aux clients de Microsoft Sentinel lui-même dans le portail Defender.

  UEBA n’a pas besoin d’être activé pour avoir accès à cette table. Toutefois, pour les clients sans UEBA activé, les champs renseignés par les données UEBA ne sont pas visibles ou disponibles.

  Pour plus d’informations, consultez la documentation de la version de repérage avancée de ce tableau.

• Depuis mai 2025, les clients de Microsoft Sentinel dans le portail Microsoft Defenderavec UEBA activécommencent à utiliser une nouvelle version de la version de chasse avancée . Cette nouvelle version inclut tous les champs UEBA de la version Log Analytics ainsi que certains nouveaux champs, et est appelé version unifiée ou table IdentityInfo unifiée.

  Les clients du portail Defender sans UEBA activés ou sans Microsoft Sentinel continuent d’utiliser la version antérieure de la chasse avancée, sans les champs générés par UEBA.

  Pour plus d’informations sur la version unifiée, consultez IdentityInfo dans la documentation de repérage avancée.

Schema

Le tableau de l’onglet « Schéma Log Analytics » suivant décrit les données d’identité utilisateur incluses dans la table IdentityInfo dans Log Analytics dans le portail Azure.

Si vous intégrez Microsoft Sentinel au portail Defender, sélectionnez l’onglet « Comparer au schéma unifié » pour afficher les modifications susceptibles d’affecter les requêtes dans vos règles de détection des menaces et les chasses.

Intégration UEBA avec les flux de travail Microsoft Sentinel

Les insights UEBA sont intégrés dans Microsoft Sentinel pour améliorer vos flux de travail opérationnels de sécurité :

Pages d’entités et enquête utilisateur

• Anomalies dans le panneau utilisateur : Consultez directement les 3 principales anomalies utilisateur des 30 derniers jours dans le panneau côté utilisateur et dans l’onglet aperçu des pages utilisateur. Cela fournit un contexte UEBA immédiat lors de l’enquête sur les utilisateurs à travers différents portails. Pour plus d’informations, voir Enquêter sur les entités avec les pages d’entité.

Amélioration de la chasse et de la détection

• Requête Go Hunt Anomalies : Accéder directement aux requêtes intégrées d’anomalies à partir des graphiques d’incidents lors de l’investigation des entités utilisateurs, permettant une chasse contextuelle immédiate basée sur les résultats UEBA.
• Recommandations de table des anomalies : Recevez des suggestions intelligentes pour améliorer les requêtes de chasse en ajoutant la table des anomalies UEBA lors de l’interrogation de sources de données éligibles.

Pour plus d’informations sur ces améliorations de chasse, voir Chasse aux menaces dans Microsoft Sentinel.

Flux de travail d’investigation

• Graphique d’investigation amélioré : Lorsque vous enquêtez sur des incidents impliquant des entités utilisateurs, accédez directement aux requêtes d’anomalies UEBA depuis le graphe d’investigation pour obtenir un contexte comportemental immédiat.

Pour plus d’informations sur les améliorations des enquêtes, consultez en détail Enquêter sur les incidents Microsoft Sentinel.

Prérequis pour une intégration améliorée de l’UEBA

Pour accéder à ces capacités améliorées de l’UEBA :

• UEBA doit être activé dans votre espace de travail Microsoft Sentinel
• Votre espace de travail doit être intégré au portail Microsoft Defender (pour certaines fonctionnalités)
• Autorisations appropriées pour consulter les données UEBA et lancer des requêtes de chasse

Étapes suivantes

Dans ce document, nous avons décrit le schéma de la table d’analyse du comportement des entités Microsoft Sentinel.

• En savoir plus sur l’analytique du comportement des entités.
• Activez UEBA dans Microsoft Sentinel.
• Placez UEBA à utiliser dans vos enquêtes.