Microsoft Sentinel UEBA 参考

本参考文章列出了 Microsoft Sentinel 中的用户和实体行为分析服务的输入数据源。 它还介绍了 UEBA 添加到实体的扩充，为警报和事件提供所需的上下文。

这些是 UEBA 引擎从中收集和分析数据的数据源，用于训练其 ML 模型，并为用户、设备和其他实体设置行为基线。 然后，UEBA 会查看来自这些源的数据，以查找异常并收集见解。

本部分介绍 UEBA 添加到 Microsoft Sentinel 实体的扩充及其所有详细信息，可用于集中和强化安全事件调查。 这些扩充将显示在实体页上，可在以下 Log Analytics 表中找到，其中的内容和架构如下所示：

• BehaviorAnalytics 表是 UEBA 的输出信息存储的位置。

  下面的实体扩充动态字段部分中介绍了 BehaviorAnalytics 表中的以下三个动态字段。

  • UsersInsights 和 DevicesInsights 字段包含来自 Active Directory/Microsoft Entra ID 和 Microsoft 威胁情报源的实体信息。

  • ActivityInsights 字段包含的实体信息基于 Microsoft Sentinel 的实体行为分析生成的行为配置文件。

    根据每次使用时都会动态编译的基线来分析用户活动。 每个活动都有其定义的回溯期，动态基线从该回溯期中派生。 此表的基线列中指定了该回溯期。

• IdentityInfo 表用于存储从 Microsoft Entra ID（以及通过 Microsoft Defender for Identity 从本地 Active Directory）同步到 UEBA 的身份信息。

下表说明了 Microsoft Sentinel 中每个实体详细信息页上显示的行为分析数据。

下表说明了 BehaviorAnalytics 表中 UsersInsights 动态字段中提供的扩充：

下表说明了 BehaviorAnalytics 表中 DevicesInsights 动态字段中提供的扩充：

下表说明了 BehaviorAnalytics 表中 ActivityInsights 动态字段中提供的扩充：

为 Microsoft Sentinel 工作区 启用和配置 UEBA 后，Microsoft标识提供者中的数据将同步到 Log Analytics 中的 IdentityInfo 表，以便在 Microsoft Sentinel 中使用。

这些标识提供者是以下任一或两者，具体取决于配置 UEBA 时选择的标识提供者：

• Microsoft Entra ID （基于云的）
• Microsoft Active Directory（本地，需要Microsoft Defender for Identity）

可以在分析规则、搜寻查询和工作簿中查询 IdentityInfo 表，增强分析以适应用例并减少误报。

虽然初始同步可能需要几天时间，但在数据完全同步后，将获得以下优势：

• 每隔 14 天，Microsoft Sentinel 重新与整个Microsoft Entra ID（以及本地 Active Directory（如果适用）同步，以确保过期记录完全更新。

• 除了这些常规的完全同步之外，每当对 Microsoft Entra ID 中的用户配置文件、组和内置角色进行更改时，受影响的用户记录将在 15-30 分钟内在 IdentityInfo 表中重新引入和更新。 此引入按常规费率计费。 例如：

  • 用户属性（如显示名称、职务或电子邮件地址）已更改。 此用户的新记录将引入 IdentityInfo 表，并更新相关字段。

  • 组 A 有 100 个用户。将 5 个用户添加到组或从组中删除。 在这种情况下，将重新引入这 5 个用户记录并更新其 GroupMembership 字段。

  • 组 A 有 100 个用户。 10 个用户被添加到组 A。此外，A1 和 A2 组（每个组有 10 个用户）将添加到组 A。在这种情况下，将重新引入 30 个用户记录并更新其 GroupMembership 字段。 发生这种情况是因为组成员身份是可传递的，因此对组的更改会影响其所有子组。

  • 组 B（包含 50 个用户）重命名为 Group BeGood。 在这种情况下，将重新引入 50 个用户记录并更新其 GroupMembership 字段。 如果该组中有子组，则所有成员的记录都会出现相同的情况。

• IdentityInfo 表中的默认保留时间为 30 天。

• AssignedRoles 字段仅支持内置角色。

• GroupMembership 字段支持列出每个用户最多 500 个组，包括子组。 如果用户是 500 多个组的成员，则只有前 500 个组与 IdentityInfo 表同步。 不过，不会按任何特定顺序评估组，因此，在每个新同步（每 14 天）中，可能会将不同的组集更新到用户记录。

• 删除组时，或者如果超过 100 个成员的组的名称已更改，则不会更新该组的成员用户记录。 如果不同的更改导致其中一条用户记录更新，则此时将包含更新后的组信息。

下表描述了 log Analytics Azure 门户 的 IdentityInfo 表中包含的用户标识数据。

本文档介绍了 Microsoft Sentinel 实体行为分析表架构。

• 详细了解实体行为分析。
• 在 Microsoft Sentinel 中启用 UEBA。
• 放置要在调查中使用的 UEBA。