Microsoft Sentinel UEBA 参考

本参考文章列出了 Microsoft Sentinel 中的用户和实体行为分析服务的输入数据源。 它还介绍了 UEBA 添加到实体的扩充，为警报和事件提供所需的上下文。

UEBA 数据源

这些是 UEBA 引擎从中收集和分析数据的数据源，用于训练其 ML 模型，并为用户、设备和其他实体设置行为基线。 然后，UEBA 会查看来自这些源的数据，以查找异常并收集见解。

UEBA 扩充

本部分介绍 UEBA 添加到 Microsoft Sentinel 实体的扩充及其所有详细信息，可用于集中和强化安全事件调查。 这些扩充将显示在实体页上，可在以下 Log Analytics 表中找到，其中的内容和架构如下所示：

• BehaviorAnalytics 表是 UEBA 的输出信息存储的位置。

  下面的实体扩充动态字段部分中介绍了 BehaviorAnalytics 表中的以下三个动态字段。

  • UsersInsights 和 DevicesInsights 字段包含来自 Active Directory/Microsoft Entra ID 和 Microsoft 威胁情报源的实体信息。

  • ActivityInsights 字段包含的实体信息基于 Microsoft Sentinel 的实体行为分析生成的行为配置文件。

    根据每次使用时都会动态编译的基线来分析用户活动。 每个活动都有其定义的回溯期，动态基线从该回溯期中派生。 此表的基线列中指定了该回溯期。

• IdentityInfo 表用于存储从 Microsoft Entra ID（以及通过 Microsoft Defender for Identity 从本地 Active Directory）同步到 UEBA 的身份信息。

BehaviorAnalytics 表

下表说明了 Microsoft Sentinel 中每个实体详细信息页上显示的行为分析数据。

实体扩充动态字段

UsersInsights 字段

下表说明了 BehaviorAnalytics 表中 UsersInsights 动态字段中提供的扩充：

DevicesInsights 字段

下表说明了 BehaviorAnalytics 表中 DevicesInsights 动态字段中提供的扩充：

ActivityInsights 字段

下表说明了 BehaviorAnalytics 表中 ActivityInsights 动态字段中提供的扩充：

已执行的操作

使用的应用

使用的浏览器

从其连接的国家/地区

用于连接的设备

其他相关设备

用于连接的 Internet 服务提供商

访问的资源

杂项

IdentityInfo 表

为 Microsoft Sentinel 工作区启用 UEBA 后，来自 Microsoft Entra ID 的数据将同步到 Log Analytics 中的 IdentityInfo 表以在 Microsoft Sentinel 中使用。 可以在分析规则中嵌入从 Microsoft Entra ID 同步的用户数据，以增强分析来适应你的用例并减少误报。

虽然初始同步可能需要几天时间，但在数据完全同步后，将获得以下优势：

• 对 Microsoft Entra ID 中的用户配置文件、组或角色所做的更改会在 15到30 分钟内更新到 IdentityInfo 表中。

• 每 14 天，Microsoft Sentinel 会与整个 Microsoft Entra ID 重新同步，以确保过时的记录将完全更新。

• IdentityInfo 表中的默认保留时间为 30 天。

限制

• 目前，仅支持内置角色。

• 目前不支持有关已删除组（从组中删除了用户）的数据。

IdentityInfo 表的版本

下表描述了 Log Analytics 的 IdentityInfo 表中包含的用户身份数据。

后续步骤

本文档介绍了 Microsoft Sentinel 实体行为分析表架构。

• 详细了解实体行为分析。
• 在 Microsoft Sentinel 中启用 UEBA。
• 放置要在调查中使用的 UEBA。