在 Microsoft Sentinel 中启用用户和实体行为分析 (UEBA)

重要

注意： 2026 年 8 月 18 日，根据世纪互联发布的公告，所有Microsoft Sentinel 功能将在中国 Azure 正式停用。

Microsoft Sentinel 中的用户和实体行为分析（UEBA）通过分析连接数据源的日志和警报，为组织内的实体构建基线行为模型，例如用户、主机、IP 地址和应用程序。使用机器学习，UEBA 可识别可能指示已泄露资产的异常活动。

可以启用用户和实体行为分析：

在Microsoft Sentinel 工作区设置中：为工作区启用 UEBA，并选择在 Microsoft Defender 门户或 Azure 门户中连接的数据源。本文介绍如何启用 UEBA 并配置数据源。

有关 UEBA 的详细信息，请参阅使用实体行为分析识别威胁。

先决条件

若要启用或禁用此功能（使用该功能不需要满足以下先决条件）：

用户必须分配有租户中的 Microsoft Entra ID 安全管理员角色或等效的权限。
必须至少为用户分配以下“Azure 角色”之一（了解有关 Azure RBAC 的详细信息）：
- 工作区或资源组级别的“Microsoft Sentinel 参与者”。
- 资源组或订阅级别的“Log Analytics 参与者”。
工作区不得应用任何 Azure 资源锁。了解有关 Azure 资源锁的详细信息。

注意

若要从 Microsoft Sentinel 工作区设置启用 UEBA，请执行以下作：

转到“实体行为配置”页。

使用以下三种方法之一访问“实体行为配置”页：
- 从 Microsoft Sentinel 导航菜单中选择“实体行为”，然后从顶部菜单栏中选择“实体行为设置”。
- 从 Microsoft Sentinel 导航菜单中选择“设置”，选择“设置”选项卡，然后在“实体行为分析”展开器下，选择“设置 UEBA”。
在“实体行为配置”页面上，切换“启用 UEBA 功能”为开启状态。
选择要与 Microsoft Sentinel 同步用户实体的目录服务。
- 本地 Active Directory（预览）
- Microsoft Entra ID
若要从本地 Active Directory 同步用户实体，必须将 Azure 租户加入 Microsoft Defender for Identity，并且必须在 Active Directory 域控制器上安装 MDI 传感器。有关详细信息，请参阅 Microsoft Defender for Identity 先决条件。
选择“ 连接所有数据源 ”以连接所有符合条件的数据源，或从列表中选择特定数据源。

只能启用这些数据源：
- 登录日志
- 审核日志
- Azure 活动
- 安全事件
有关 UEBA 数据源和异常的详细信息，请参阅 Microsoft Sentinel UEBA 参考。

注意

启用 UEBA 后，可以直接从数据连接器窗格为 UEBA 启用受支持的数据源，如本文所述。
选择连接。

本文介绍了如何在 Microsoft Sentinel 中启用并配置用户和实体行为分析 (UEBA)。有关 UEBA 的详细信息：

使用 UEBA 识别威胁