Referência da UEBA (Análise de Comportamento de Entidade e Usuário) do Microsoft Sentinel

Este artigo de referência lista as fontes de dados de entrada para o serviço de Análise de Comportamento de Usuário e Entidade no Microsoft Sentinel. Ele também descreve os enriquecimentos que a UEBA adiciona às entidades, fornecendo o contexto necessário para alertas e incidentes.

Fontes de dados da UEBA

Essas são as fontes de dados das quais o mecanismo da UEBA coleta e analisa dados para treinar seus modelos de ML e definir linhas de base comportamentais para usuários, dispositivos e outras entidades. Em seguida, a UEBA examina os dados dessas fontes para encontrar anomalias e obter insights glean.

Enriquecimentos ueba

Esta seção descreve os enriquecimentos que a UEBA adiciona às entidades do Microsoft Sentinel, que você pode usar para se concentrar e aprimorar suas investigações de incidentes de segurança. Esses enriquecimentos são exibidos em páginas de entidade e podem ser encontrados nas seguintes tabelas do Log Analytics, o conteúdo e o esquema dos quais estão listados abaixo:

• A tabela BehaviorAnalytics é onde as informações de saída da UEBA são armazenadas.

  Os três campos dinâmicos a seguir da tabela BehaviorAnalytics são descritos na seção campos dinâmicos de enriquecimentos de entidade abaixo.

  • Os campos UsersInsights e DevicesInsights contêm informações de entidade do Active Directory/Microsoft Entra ID e fontes de Inteligência contra Ameaças da Microsoft.

  • O campo ActivityInsights contém informações de entidade com base nos perfis comportamentais criados pela análise de comportamento de entidade do Microsoft Sentinel.

    As atividades do usuário são analisadas em relação a uma linha de base que é compilada dinamicamente cada vez que é usada. Cada atividade tem seu próprio período de pesquisa definido do qual a linha de base dinâmica é derivada. O período de pesquisa é especificado na coluna Linha de Base nesta tabela.

• A tabela IdentityInfo é onde as informações de identidade sincronizadas com o UEBA da ID do Microsoft Entra (e do Active Directory local por meio do Microsoft Defender para Identidade) são armazenadas.

Tabela BehaviorAnalytics

A tabela a seguir descreve os dados de análise de comportamento exibidos em cada página de detalhes da entidade no Microsoft Sentinel.

Campos dinâmicos de enriquecimentos de entidade

Campo UsersInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico UsersInsights na tabela BehaviorAnalytics:

Campo DevicesInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico DevicesInsights na tabela BehaviorAnalytics:

Campo ActivityInsights

As tabelas a seguir descrevem os enriquecimentos apresentados no campo dinâmico ActivityInsights na tabela BehaviorAnalytics:

Ação executada

Aplicativo usado

Navegador usado

País/região conectado a partir de

Dispositivo usado para se conectar

Outros dispositivos relacionados

Provedor de serviços de Internet usado para se conectar

Recurso acessado

Miscellaneous

Tabela IdentityInfo

Depois de habilitar e configurar o UEBA para seu workspace do Microsoft Sentinel, os dados do usuário de seus provedores de identidade da Microsoft serão sincronizados com a tabela IdentityInfo no Log Analytics para uso no Microsoft Sentinel.

Esses provedores de identidade são ou ambos os seguintes, dependendo do que você selecionou quando configurou o UEBA:

• ID do Microsoft Entra (baseada em nuvem)
• O Microsoft Active Directory (local, requer o Microsoft Defender para Identidade))

Você pode consultar a tabela IdentityInfo em regras de análise, consultas de busca e pastas de trabalho, aprimorando sua análise para atender aos casos de uso e reduzindo falsos positivos.

Embora a sincronização inicial possa levar alguns dias, depois que os dados estiverem totalmente sincronizados:

• A cada 14 dias, o Microsoft Sentinel ressincroniza com toda a ID do Microsoft Entra (e seu Active Directory local, se aplicável) para garantir que os registros obsoletos sejam totalmente atualizados.

• Além dessas sincronizações completas regulares, sempre que são feitas alterações em seus perfis de usuário, grupos e funções internas na ID do Microsoft Entra, os registros de usuário afetados são redimensionados e atualizados na tabela IdentityInfo dentro de 15 a 30 minutos. Essa ingestão é cobrada a taxas regulares. Por exemplo:

  • Um atributo de usuário, como nome de exibição, cargo ou endereço de email, foi alterado. Um novo registro para esse usuário é ingerido na tabela IdentityInfo , com os campos relevantes atualizados.

  • O grupo A tem 100 usuários. Cinco usuários são adicionados ao grupo ou removidos do grupo. Nesse caso, esses cinco registros de usuário são reingessados e seus campos groupMembership atualizados.

  • O grupo A tem 100 usuários. Dez usuários são adicionados ao Grupo A. Além disso, os grupos A1 e A2, cada um com 10 usuários, são adicionados ao Grupo A. Nesse caso, 30 registros de usuário são reingessados e seus campos groupMembership atualizados. Isso acontece porque a associação ao grupo é transitiva, portanto, as alterações nos grupos afetam todos os seus subgrupos.

  • O grupo B (com 50 usuários) é renomeado para Grupo BeGood. Nesse caso, 50 registros de usuário são reingessados e seus campos groupMembership atualizados. Se houver subgrupos nesse grupo, o mesmo acontecerá para todos os registros de seus membros.

• O tempo de retenção padrão na tabela IdentityInfo é de 30 dias.

Limitations

• O campo AssignedRoles dá suporte apenas a funções internas.

• O campo GroupMembership dá suporte à listagem de até 500 grupos por usuário, incluindo subgrupos. Se um usuário for membro de mais de 500 grupos, somente os primeiros 500 serão sincronizados com a tabela IdentityInfo . No entanto, os grupos não são avaliados em nenhuma ordem específica, portanto, a cada nova sincronização (a cada 14 dias), é possível que um conjunto diferente de grupos seja atualizado para o registro do usuário.

• Quando um usuário é excluído, o registro desse usuário não é excluído imediatamente da tabela IdentityInfo . O motivo disso é que uma das finalidades desta tabela é auditar as alterações nos registros de usuário. Portanto, queremos que essa tabela tenha um registro de um usuário sendo excluído, o que só poderá acontecer se o registro de usuário na tabela IdentityInfo ainda existir, mesmo que o usuário real (digamos, na ID do Entra) seja excluído.

  Os usuários excluídos podem ser identificados pela presença de um valor no deletedDateTime campo. Portanto, se você precisar de uma consulta para mostrar uma lista de usuários, poderá filtrar usuários excluídos adicionando | where IsEmpty(deletedDateTime) à consulta.

  Em um determinado intervalo de tempo depois que um usuário foi excluído, o registro do usuário também é removido da tabela IdentityInfo .

• Quando um grupo é excluído ou se um grupo com mais de 100 membros tiver seu nome alterado, os registros de usuário membro desse grupo não serão atualizados. Se uma alteração diferente fizer com que um dos registros desses usuários seja atualizado, as informações de grupo atualizadas serão incluídas nesse ponto.

Outras versões da tabela IdentityInfo

Há várias versões da tabela IdentityInfo :

• A versão do esquema do Log Analytics , discutida neste artigo, atende ao Microsoft Sentinel no portal do Azure. Ele está disponível para os clientes que habilitaram o UEBA.

• A versão avançada do esquema de busca atende ao portal do Microsoft Defender por meio do Microsoft Defender para Identidade. Ele está disponível para clientes do Microsoft Defender XDR, com ou sem o Microsoft Sentinel, e para clientes do Microsoft Sentinel sozinhos no portal do Defender.

  A UEBA não precisa ser habilitada para ter acesso a esta tabela. No entanto, para clientes sem UEBA habilitado, os campos preenchidos por dados UEBA não estão visíveis ou disponíveis.

  Para obter mais informações, consulte a documentação da versão de busca avançada desta tabela.

• A partir de maio de 2025, os clientes do Microsoft Sentinel no portal do Microsoft Defendercom UEBA habilitadocomeçam a usar uma nova versão de busca avançada . Esta nova versão inclui todos os campos UEBA da versão do Log Analytics, bem como alguns novos campos, e é conhecida como a versão unificada ou a tabela IdentityInfo unificada.

  Os clientes do portal do Defender sem UEBA habilitado ou sem o Microsoft Sentinel continuam a usar a versão anterior da versão de busca avançada, sem os campos gerados pela UEBA.

  Para obter mais informações sobre a versão unificada, consulte IdentityInfo na documentação de busca avançada.

Schema

A tabela na guia "Esquema do Log Analytics" a seguir descreve os dados de identidade do usuário incluídos na tabela IdentityInfo no Log Analytics no portal do Azure.

Se você estiver integrando o Microsoft Sentinel ao portal do Defender, selecione a guia "Comparar com o esquema unificado" para exibir as alterações que podem afetar potencialmente as consultas em suas regras e buscas de detecção de ameaças.

Integração UEBA com fluxos de trabalho Microsoft Sentinel

Os insights da UEBA estão integrados em todo o Microsoft Sentinel para aprimorar seus fluxos de trabalho de operações de segurança:

Páginas de entidades e investigação de usuários

• Anomalias no Painel de Usuário: Veja as 3 principais anomalias de usuários dos últimos 30 dias diretamente no painel do lado do usuário e na aba de visão geral das páginas de usuário. Isso fornece um contexto imediato da UEBA ao investigar usuários em várias localizações de portais. Para mais informações, veja Investigar páginas de entidades com entidades.

Aprimoramento da caça e detecção

• Consulta de Anomalias Go Hunt: Acesse consultas de anomalias embutidas diretamente a partir de grafos de incidentes ao investigar entidades de usuário, permitindo uma busca contextual imediata baseada nos resultados da UEBA.
• Recomendações de Tabelas de Anomalias: Receba sugestões inteligentes para aprimorar consultas de caça adicionando a tabela de Anomalias da UEBA ao consultar fontes de dados elegíveis.

Para mais informações sobre essas melhorias de caça, veja Caça a Ameaças no Microsoft Sentinel.

Fluxos de trabalho de investigação

• Gráfico de investigação aprimorada: Ao investigar incidentes com entidades usuários, acesse as consultas de anomalias da UEBA diretamente do grafo de investigação para obter contexto comportamental imediato.

Para mais informações sobre melhorias na investigação, veja Investigue incidentes Microsoft Sentinel em profundidade.

Pré-requisitos para uma integração aprimorada com a UEBA

Para acessar essas capacidades aprimoradas da UEBA:

• O UEBA deve estar ativado no seu workspace Microsoft Sentinel
• Seu espaço de trabalho deve estar integrado ao portal Microsoft Defender (para alguns recursos)
• Permissões apropriadas para visualizar dados da UEBA e executar consultas de caça

Próximas etapas

Este documento descreveu o esquema da tabela da análise de comportamento de entidade do Microsoft Azure Sentinel.

• Saiba mais sobre a análise de comportamento da entidade.
• Habilite o UEBA no Microsoft Sentinel.
• Coloque a UEBA para usar em suas investigações.