Referência do Microsoft Sentinel User and Entity Behavior Analytics (UEBA)

Este artigo de referência lista as fontes de dados de entrada para o serviço User and Entity Behavior Analytics no Microsoft Sentinel. Também descreve os enriquecimentos que a UEBA acrescenta às entidades, fornecendo o contexto necessário para alertas e incidentes.

Fontes de dados da UEBA

Essas são as fontes de dados a partir das quais o mecanismo da UEBA coleta e analisa dados para treinar seus modelos de ML e definir linhas de base comportamentais para usuários, dispositivos e outras entidades. Em seguida, a UEBA analisa os dados dessas fontes para encontrar anomalias e obter insights.

Enriquecimento UEBA

Esta seção descreve os enriquecimentos que o UEBA adiciona às entidades do Microsoft Sentinel, que você pode usar para focar e aprimorar suas investigações de incidentes de segurança. Esses enriquecimentos são exibidos em páginas de entidades e podem ser encontrados nas seguintes tabelas do Log Analytics, cujo conteúdo e esquema estão listados abaixo:

• A tabela BehaviorAnalytics é onde as informações de saída da UEBA são armazenadas.

  Os três campos dinâmicos a seguir da tabela BehaviorAnalytics são descritos na seção de campos dinâmicos de enriquecimento de entidade abaixo.

  • Os campos UsersInsights e DevicesInsights contêm informações de entidade de fontes do Ative Directory / Microsoft Entra ID e Microsoft Threat Intelligence.

  • O campo ActivityInsights contém informações de entidade com base nos perfis comportamentais criados pela análise de comportamento de entidade do Microsoft Sentinel.

    As atividades do usuário são analisadas em relação a uma linha de base que é compilada dinamicamente cada vez que é usada. Cada atividade tem seu próprio período de retrospetiva definido a partir do qual a linha de base dinâmica é derivada. O período de retrospetiva é especificado na coluna Linha de base nesta tabela.

• A tabela IdentityInfo é onde as informações de identidade sincronizadas com o UEBA a partir do Microsoft Entra ID (e do Ative Directory local por meio do Microsoft Defender for Identity) são armazenadas.

Tabela BehaviorAnalytics

A tabela a seguir descreve os dados de análise de comportamento exibidos em cada página de detalhes da entidade no Microsoft Sentinel.

Campos dinâmicos de enriquecimento de entidades

Campo UsersInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico UsersInsights na tabela BehaviorAnalytics:

Campo DevicesInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico DevicesInsights na tabela BehaviorAnalytics:

Campo ActivityInsights

As tabelas a seguir descrevem os enriquecimentos apresentados no campo dinâmico do ActivityInsights na tabela do BehaviorAnalytics:

Ação executada

Aplicação utilizada

Navegador usado

País/região conectado a partir de

Dispositivo utilizado para ligar

Outros dispositivos relacionados

Provedor de serviços de Internet usado para se conectar

Recurso acessado

Miscellaneous

Tabela IdentityInfo

Depois de habilitar e configurar o UEBA para seu espaço de trabalho do Microsoft Sentinel, os dados do usuário de seus provedores de identidade da Microsoft são sincronizados com a tabela IdentityInfo no Log Analytics para uso no Microsoft Sentinel.

Esses provedores de identidade são um ou ambos os seguintes, dependendo do que você selecionou quando configurou o UEBA:

• Microsoft Entra ID (baseado na nuvem)
• Microsoft Ative Directory (local, requer o Microsoft Defender for Identity))

Você pode consultar a tabela IdentityInfo em regras de análise, consultas de busca e pastas de trabalho, aprimorando suas análises para se adequar aos seus casos de uso e reduzindo falsos positivos.

Embora a sincronização inicial possa levar alguns dias, uma vez que os dados estão totalmente sincronizados:

• A cada 14 dias, o Microsoft Sentinel ressincroniza com toda a sua ID do Microsoft Entra (e com o Ative Directory local, se aplicável) para garantir que os registros obsoletos sejam totalmente atualizados.

• Além dessas sincronizações completas regulares, sempre que são feitas alterações em seus perfis de usuário, grupos e funções internas no Microsoft Entra ID, os registros de usuário afetados são reintroduzidos e atualizados na tabela IdentityInfo dentro de 15 a 30 minutos. Esta ingestão é cobrada a taxas regulares. Por exemplo:

  • Um atributo de usuário, como nome para exibição, cargo ou endereço de email, foi alterado. Um novo registro para esse usuário é ingerido na tabela IdentityInfo , com os campos relevantes atualizados.

  • O Grupo A tem 100 usuários. 5 usuários são adicionados ao grupo ou removidos do grupo. Nesse caso, esses cinco registros de usuário são reintroduzidos e seus campos GroupMembership são atualizados.

  • O Grupo A tem 100 usuários. Dez usuários são adicionados ao Grupo A. Além disso, os grupos A1 e A2, cada um com 10 usuários, são adicionados ao Grupo A. Nesse caso, 30 registros de usuário são reintroduzidos e seus campos GroupMembership atualizados. Isso acontece porque a associação ao grupo é transitiva, portanto, as alterações nos grupos afetam todos os seus subgrupos.

  • O Grupo B (com 50 usuários) é renomeado para Grupo BeGood. Nesse caso, 50 registros de usuário são reintroduzidos e seus campos GroupMembership atualizados. Se houver subgrupos nesse grupo, o mesmo acontece com todos os registros de seus membros.

• O tempo de retenção padrão na tabela IdentityInfo é de 30 dias.

Limitations

• O campo AssignedRoles suporta apenas funções internas.

• O campo GroupMembership suporta a listagem de até 500 grupos por usuário, incluindo subgrupos. Se um usuário for membro de mais de 500 grupos, somente os primeiros 500 serão sincronizados com a tabela IdentityInfo . No entanto, os grupos não são avaliados em nenhuma ordem específica, portanto, a cada nova sincronização (a cada 14 dias), é possível que um conjunto diferente de grupos seja atualizado para o registro do usuário.

• Quando um usuário é excluído, o registro desse usuário não é excluído imediatamente da tabela IdentityInfo . A razão para isso é que um dos objetivos desta tabela é auditar alterações nos registros de usuários. Portanto, queremos que esta tabela tenha um registro de um usuário sendo excluído, o que só pode acontecer se o registro de usuário na tabela IdentityInfo ainda existir, mesmo que o usuário real (digamos, no Entra ID) seja excluído.

  Os usuários excluídos podem ser identificados pela presença de um valor no deletedDateTime campo. Portanto, se você precisar de uma consulta para mostrar uma lista de usuários, poderá filtrar os usuários excluídos adicionando | where IsEmpty(deletedDateTime) à consulta.

  Em um determinado intervalo de tempo depois que um usuário foi excluído, o registro do usuário também é removido da tabela IdentityInfo .

• Quando um grupo é excluído, ou se um grupo com mais de 100 membros tem seu nome alterado, os registros de usuário membro desse grupo não são atualizados. Se uma alteração diferente fizer com que os registros de um desses usuários sejam atualizados, as informações atualizadas do grupo serão incluídas nesse ponto.

Outras versões da tabela IdentityInfo

Existem várias versões da tabela IdentityInfo :

• A versão do esquema do Log Analytics , discutida neste artigo, serve o Microsoft Sentinel no portal do Azure. Está disponível para os clientes que habilitaram o UEBA.

• A versão do esquema de caça avançada serve o portal do Microsoft Defender através do Microsoft Defender for Identity. Está disponível para clientes do Microsoft Defender XDR, com ou sem Microsoft Sentinel, e para clientes do Microsoft Sentinel por si só no portal Defender.

  A UEBA não precisa estar habilitada para ter acesso a essa tabela. No entanto, para clientes sem UEBA habilitado, os campos preenchidos por dados UEBA não são visíveis ou disponíveis.

  Para obter mais informações, consulte a documentação da versão de caça avançada desta tabela.

• A partir de maio de 2025, os clientes do Microsoft Sentinel no portal Microsoft Defender com aUEBA habilitadacomeçam a usar uma nova versão da versão de caça avançada . Esta nova versão inclui todos os campos UEBA da versão do Log Analytics, bem como alguns campos novos, e é referida como a versão unificada ou a tabela unificada IdentityInfo.

  Os clientes do portal Defender sem UEBA habilitada, ou sem o Microsoft Sentinel, continuam a usar a versão anterior da versão de caça avançada, sem os campos gerados pela UEBA.

  Para obter mais informações sobre a versão unificada, consulte IdentityInfo na documentação de caça avançada.

Schema

A tabela na guia "Esquema do Log Analytics" a seguir descreve os dados de identidade do usuário incluídos na tabela IdentityInfo no Log Analytics no portal do Azure.

Se você estiver integrando o Microsoft Sentinel ao portal do Defender, selecione a guia "Comparar com esquema unificado" para exibir as alterações que podem afetar as consultas em suas regras de deteção de ameaças e caçadas.

Integração UEBA com fluxos de trabalho Microsoft Sentinel

Os insights UEBA estão integrados em todo o Microsoft Sentinel para melhorar os seus fluxos de trabalho de operações de segurança:

Páginas de entidades e investigação de utilizadores

• Anomalias no Painel de Utilizador: Veja as 3 principais anomalias dos últimos 30 dias diretamente no painel do lado do utilizador e no separador de visão geral das páginas de utilizador. Isto fornece contexto imediato da UEBA ao investigar utilizadores em várias localizações de portais. Para mais informações, consulte Investigar páginas de entidades com entidades.

Aprimoramento da caça e deteção

• Go Hunt Anomalies Query: Acede às consultas de anomalias integradas diretamente a partir de grafos de incidentes ao investigar entidades do utilizador, permitindo uma caça contextual imediata com base nos resultados da UEBA.
• Recomendações da Tabela de Anomalias: Receba sugestões inteligentes para melhorar as consultas de caça adicionando a tabela de Anomalias da UEBA ao consultar fontes de dados elegíveis.

Para mais informações sobre estas melhorias de caça, consulte Caça de Ameaças no Microsoft Sentinel.

Fluxos de trabalho de investigação

• Gráfico de investigação melhorado: Ao investigar incidentes com entidades utilizadoras, aceda diretamente às consultas de anomalias UEBA a partir do grafo de investigação para obter contexto comportamental imediato.

Para mais informações sobre melhorias na investigação, consulte Investigar incidentes Microsoft Sentinel em detalhe.

Pré-requisitos para uma integração melhorada com a UEBA

Para aceder a estas capacidades melhoradas da UEBA:

• O UEBA deve estar ativado no seu espaço de trabalho Microsoft Sentinel
• O seu espaço de trabalho deve estar integrado no portal Microsoft Defender (para algumas funcionalidades)
• Permissões apropriadas para visualizar dados UEBA e executar consultas de caça

Próximos passos

Este documento descreveu o esquema da tabela de análise de comportamento de entidade do Microsoft Sentinel.

• Saiba mais sobre a análise do comportamento da entidade.
• Habilite o UEBA no Microsoft Sentinel.
• Coloque a UEBA para usar em suas investigações.