Microsoft Sentinel 使用者和實體行為分析 （UEBA） 參考

此參考文章列出 Microsoft Sentinel 中使用者和實體行為分析服務的輸入資料來源。 它也會描述 UEBA 新增至實體的擴充，以提供警示和事件所需的內容。

UEBA 數據源

這些是 UEBA 引擎收集和分析數據的數據源，用來定型 ML 模型，併為使用者、裝置和其他實體設定行為基準。 然後，UEBA 會查看來自這些來源的數據，以尋找異常和擷取見解。

UEBA 擴充

本節說明 UEBA 新增至 Microsoft Sentinel 實體的擴充功能，您可以使用這些擴充來集中和加強安全性事件調查。 這些擴充會顯示在 實體頁面 上，並可在下列 Log Analytics 資料表中找到，其內容和結構描述如下：

• BehaviorAnalytics 表格是儲存 UEBA 輸出資訊的位置。

  下列來自 BehaviorAnalytics 數據表的三個動態欄位會在下列 實體擴充動態欄位 一節中說明。

  • UsersInsights 和 DevicesInsights 欄位包含來自 Active Directory/Microsoft Entra ID 和 Microsoft 威脅情報來源的實體資訊。

  • ActivityInsights 欄位包含實體資訊，以 Microsoft Sentinel 實體行為分析所建置的行為配置檔為基礎。

    用戶活動會根據每次使用時動態編譯的基準進行分析。 每個活動都有自己的定義回溯期間，動態基準是從中衍生而來。 回顧期間在此表格的「 基準線 」直欄中指定。

• IdentityInfo 數據表是儲存從 Microsoft Entra ID 同步處理至 UEBA 的身分識別資訊的位置 （，以及透過適用於身分識別的 Microsoft Defender） 從內部部署 Active Directory 同步處理的身分識別資訊。

BehaviorAnalytics 表格

下表描述Microsoft Sentinel 中每個 實體詳細數據頁面上 顯示的行為分析數據。

實體擴充動態欄位

UsersInsights 欄位

下表說明 BehaviorAnalytics 表格中 UsersInsights 動態欄位中所包含的擴充功能：

DevicesInsights 欄位

下表說明 BehaviorAnalytics 表格中 DevicesInsights 動態欄位中的擴充功能：

ActivityInsights 欄位

下表說明 BehaviorAnalytics 表格中 ActivityInsights 動態欄位中所具有的擴充功能：

執行的動作

使用的應用程式

使用的瀏覽器

從連線的國家/地區

用來連線的裝置

其他設備相關

用來連線的因特網服務提供者

存取的資源

Miscellaneous

IdentityInfo 資料表

啟用 並設定 Microsoft Sentinel 工作區的 UEBA 之後，來自您Microsoft識別提供者的用戶數據會同步處理至 Log Analytics 中的 IdentityInfo 數據表，以用於 Microsoft Sentinel。

根據您在設定 UEBA 時選取的身分識別提供者，這些識別提供者是下列兩者之一：

• Microsoft Entra ID （雲端式）
• Microsoft Active Directory （內部部署，需要適用於身分識別的 Defender Microsoft）

您可以在分析規則、搜捕查詢和活頁簿中查詢 IdentityInfo 資料表，以增強分析以符合您的使用案例，並減少誤判。

雖然初始同步處理可能需要幾天的時間，但一旦數據完全同步處理：

• 每 14 天，Microsoft Sentinel 會與您的整個 Microsoft Entra ID （和內部部署 Active Directory，如果適用） 重新同步處理，以確保過時的記錄已完全更新。

• 除了這些一般完整同步處理之外，每當對 Microsoft Entra ID 中的使用者配置檔、群組和內建角色進行變更時，受影響的使用者記錄都會在 15-30 分鐘內重新擷取並更新 IdentityInfo 資料表。 此擷取是以一般費率計費。 例如：

  • 已變更使用者屬性，例如顯示名稱、職稱或電子郵件位址。 此使用者的新記錄會擷取到 IdentityInfo 資料表中，並更新相關欄位。

  • 群組 A 中有 100 位使用者。5 位使用者會新增至群組或從群組中移除。 在此情況下，會重新擷取這五個使用者記錄，並更新其 GroupMembership 欄位。

  • 群組 A 中有 100 位使用者。 十個使用者會新增至群組 A。此外，群組 A1 和 A2 （每個群組有 10 個使用者） 會新增至群組 A。在此情況下，會重新擷取 30 個使用者記錄，並更新其 GroupMembership 欄位。 這是因為群組成員資格是可轉移的，因此群組的變更會影響其所有子群組。

  • 群組 B （有 50 個使用者） 已重新命名為 Group BeGood。 在此情況下，會重新擷取 50 個使用者記錄，並更新其 GroupMembership 欄位。 如果該群組中有子群組，則所有成員記錄都會發生相同的動作。

• IdentityInfo 資料表中的預設保留時間為 30 天。

Limitations

• AssignedRoles 欄位僅支援內建角色。

• GroupMembership 欄位支援列出每個使用者最多 500 個群組，包括子群組。 如果使用者是超過 500 個群組的成員，則只有前 500 個群組會與 IdentityInfo 資料表同步。 不過，群組不會以任何特定順序進行評估，因此在每次新的同步處理 （每 14 天一次） 時，可能會將一組不同的群組更新至使用者記錄。

• 刪除使用者時，不會立即從 IdentityInfo 資料表中刪除該使用者的記錄。 這是因為此數據表的其中一個用途是稽核用戶記錄的變更。 因此，我們希望此資料表具有刪除使用者的記錄，只有在 IdentityInfo 資料表中的使用者記錄仍然存在時，才會發生這種情況，即使實際使用者 （例如，在 Entra ID 中） 已刪除。

  刪除的使用者可以藉由欄位中的值 deletedDateTime 存在來識別。 因此，如果您需要查詢來顯示使用者清單，您可以藉由新增 | where IsEmpty(deletedDateTime) 至查詢來篩選掉已刪除的使用者。

  在刪除使用者之後的特定時間間隔內，使用者的記錄最終也會從 IdentityInfo 資料表中移除。

• 刪除群組時，或成員超過 100 人的群組名稱變更時，不會更新該群組的成員使用者記錄。 如果不同的變更導致其中一個用戶記錄更新，則會在該時間點包含更新的群組資訊。

IdentityInfo 數據表的其他版本

IdentityInfo 資料表有多個版本：

• 本文所討論的 Log Analytics 架構版本會在 Azure 入口網站中提供 Microsoft Sentinel。 啟用 UEBA 的客戶可以使用。

• 進階搜捕架構版本會透過適用於身分識別的 Microsoft Defender 提供 Microsoft Defender 入口網站。 它可供Microsoft Defender XDR 的客戶使用，無論是否Microsoft Sentinel，以及在Defender入口網站中自行Microsoft Sentinel的客戶。

  UEBA 不需要啟用，才能存取此數據表。 不過，對於未啟用 UEBA 的客戶，UEBA 數據所填入的欄位不會顯示或可用。

  如需詳細資訊，請參閱 此數據表的 進階搜捕 版本檔。

• 自 2025 年 5 月起，啟用 UEBA 的 Microsoft Defender 入口網站中Microsoft Sentinel 的客戶開始使用新版本的進階搜捕版本。 此新版本包含 Log Analytics 版本中的所有 UEBA 欄位，以及一些新欄位，稱為 統一版本 或 統一 IdentityInfo 資料表。

  未啟用 UEBA 的 Defender 入口網站客戶，或完全沒有Microsoft Sentinel，繼續使用 舊版進 階搜捕 版本，而不需要 UEBA 產生的欄位。

  如需統一版本的詳細資訊，請參閱進階搜捕檔中的 IdentityInfo。

Schema

下列 [Log Analytics 架構] 索引標籤中的資料表描述 Azure 入口網站中 Log Analytics 中 IdentityInfo 資料表中包含的使用者身分識別資料。

如果您要將Microsoft Sentinel 上線至 Defender 入口網站，請選取 [與統一架構比較] 索引標籤，以檢視可能會影響威脅偵測規則和搜捕中查詢的變更。

UEBA 與 Microsoft Sentinel 工作流程的整合

UEBA 洞察整合於 Microsoft Sentinel 中，以提升您的安全營運工作流程：

實體頁面與使用者調查

• 使用者面板異常：直接在使用者側面板及用戶頁面的總覽分頁中查看過去 30 天內最嚴重的三項使用者異常。 這在調查不同入口網站地點的用戶時，立即提供 UEBA 的上下文。 欲了解更多資訊，請參閱 「調查具有實體的實體頁面」。

狩獵與偵測增強

• Go Hunt 異常查詢：在調查使用者實體時，可直接從事件圖存取內建異常查詢，並根據 UEBA 結果即時進行情境搜尋。
• 異常表建議：在查詢合格資料來源時加入 UEBA 異常表，獲得智慧建議以提升搜尋查詢。

欲了解更多關於這些獵捕功能的資訊，請參閱 Microsoft Sentinel 中的威脅獵捕。

調查工作流程

• 強化調查圖表：在調查使用者實體事件時，直接從調查圖表存取 UEBA 異常查詢，以獲得即時行為上下文。

欲了解更多調查強化資訊，請參閱 「深入調查 Microsoft Sentinel 事件」。

強化 UEBA 整合的前提條件

要存取這些增強的 UEBA 功能：

• UEBA 必須在您的 Microsoft Sentinel 工作空間中啟用
• 你的工作空間必須接入 Microsoft Defender 入口網站（部分功能）
• 查看 UEBA 資料及執行搜尋查詢的適當權限

後續步驟

本文件說明 sentinel 實體行為分析數據表架構Microsoft。

• 深入瞭解 實體行為分析。
• 在 sentinel Microsoft 中啟用 UEBA。
• 將 UEBA 用於 您的調查。