Übersetzen von unformatierten Sicherheitsprotokollen in Verhaltenserkenntnisse mithilfe von UEBA-Verhaltensweisen in Microsoft Sentinel

Die Verhaltensschicht "User and Entity Behavior Analytics" (UEBA) in Microsoft Sentinel aggregiert und fasst unformatierte Protokolle mit großem Volumen in klaren, klarsprachigen Mustern von Sicherheitsaktionen zusammen und erklärt, "wer was mit wem getan hat" auf strukturierte Weise.

Im Gegensatz zu Warnungen oder Anomalien weisen Verhaltensweisen nicht unbedingt auf Risiken hin– sie erstellen eine Abstraktionsebene, die Ihre Daten für Untersuchungen, Suche und Erkennung optimiert, indem sie Folgendes verbessern:

• Effizienz: Reduzieren Sie die Untersuchungszeit, indem Sie verwandte Ereignisse in zusammenhängende Geschichten zusammenfügen.
• Clarity: Übersetzen Sie unübersichtliche, niedrigstufige Protokolle in verständliche Zusammenfassungen in Klartext.
• Kontext: Fügen Sie MITRE-ATT&CK-Zuordnungen und Rollen für Entitäten hinzu, um einen unmittelbaren Sicherheitsbezug herzustellen.
• Konsistenz: Stellen Sie ein einheitliches Schema für verschiedene Protokollquellen bereit.

Die UEBA-Verhaltensschicht ermöglicht eine schnellere Bedrohungserkennung, Ermittlung und Reaktion in Ihren Sicherheitsabläufen, ohne dass eine tiefgehende Vertrautheit mit jeder einzelnen Protokollquelle erforderlich ist.

Dieser Abschnitt erklärt, wie die UEBA-Verhaltensschicht funktioniert, wie man die Verhaltensschicht aktiviert und wie Verhaltensweisen genutzt werden können, um Sicherheitsoperationen zu verbessern.

Sehen Sie sich das Webinar zu UEBA-Verhalten an, um eine vollständige Übersicht und Demo der UEBA-Verhaltensebene zu erhalten.

Funktionsweise der UEBA-Verhaltensschicht

Verhaltensweisen sind Teil der UEBA-Funktionen (User and Entity Behavior Analytics) von Microsoft Sentinel und bieten normalisierte, kontextbezogene Aktivitätszusammenfassungen, die die Anomalieerkennung ergänzen und Untersuchungen bereichern.

Vergleichen von Verhaltensweisen, Anomalien und Warnungen

Die folgende Tabelle zeigt, wie sich Verhaltensweisen von Anomalien und Warnungen unterscheiden:

Microsoft Sentinel kann auch Anomalie-Einblicke direkt zu Verhaltensaufzeichnungen hinzufügen, einschließlich zuerst sichtbarer Aktivität, ungewöhnlich hohen Verhaltensmengen, ungewöhnlichen Werten und Bedrohungsintelligenz-Übereinstimmungen. Weitere Informationen finden Sie unter Untersuchen von Anomalien im UEBA-Verhalten.

Verhaltenstypen und Datensätze

Wenn Sie die UEBA-Verhaltensschicht aktivieren, verarbeitet Microsoft Sentinel unterstützte Sicherheitsprotokolle, die Sie nahezu in Echtzeit in Ihrem Sentinel Arbeitsbereich sammeln, und fasst zwei Arten von Verhaltensmustern zusammen:

Die UEBA-Verhaltensschicht fasst Verhaltensmuster in maßgeschneiderten Zeitintervallen zusammen, die spezifisch für die Logik jedes Verhaltens sind, und erstellt sofort Verhaltensdatensätze, sobald die UEBA-Verhaltensschicht Muster erkennt oder die Zeitfenster schließen.

Jeder Verhaltensdatensatz enthält Folgendes:

• Eine einfache, kontextbezogene Beschreibung: Eine Erklärung in natürlicher Sprache, was in sicherheitsrelevanten Begriffen passiert ist - zum Beispiel, wer was mit wem gemacht hat und warum es wichtig ist.
• Einheitliches Schema und Verweise auf die zugrunde liegenden Rohprotokolle: Alle Verhaltensweisen verwenden eine konsistente Datenstruktur für verschiedene Produkte und Protokolltypen, sodass Analysten keine unterschiedlichen Protokollformate übersetzen oder Tabellen mit hohem Volumen verknüpfen müssen.
• MITRE ATT&CK-Zuordnung: Jedes Verhalten ist mit relevanten MITRE-Taktiken und -Techniken gekennzeichnet, sodass branchenüblicher Kontext auf einen Blick bereitgestellt wird. Sie sehen nicht nur, was passiert ist, sondern auch, wie es in ein Angriffsframework oder Zeitleiste passt.
• Entitätsbeziehungszuordnung: Jedes Verhalten identifiziert die beteiligten Entitäten (Benutzer, Hosts, IP-Adressen) und deren Rollen (Akteur, Ziel oder andere).

Die Abstraktionsebene für Verhaltensweisen

Das folgende Datenflussdiagramm zeigt, wie die UEBA-Verhaltensschicht rohe Logs in strukturierte Verhaltensaufzeichnungen umwandelt, die die Sicherheitsoperationen verbessern:

Speicherung von Verhalten und Tabellen

Die UEBA-Verhaltensschicht speichert Verhaltensdatensätze in zwei Arten von Tabellen:

• Eine Verhaltensinformationstabelle , die den Verhaltenstitel, die Beschreibung, MITRE-Zuordnungen, Kategorien und Links zu unformatierten Protokollen enthält, und
• Eine Verhaltensbezogene Entitätstabelle , in der alle am Verhalten beteiligten Entitäten und ihre Rollen aufgelistet sind.

Die Tabellen mit Verhaltensinformationen und verhaltensbezogenen Entitäten integrieren sich nahtlos in Ihre vorhandenen Workflows für Erkennungsregeln, Untersuchungen und Vorfallanalysen. Sie verarbeiten alle Arten von Sicherheitsaktivitäten – nicht nur verdächtige Ereignisse – und bieten einen umfassenden Einblick in normale und anomale Verhaltensmuster.

Informationen zur Verwendung von Verhaltenstabellen finden Sie unter Bewährte Methoden und Tipps zur Problembehandlung für Abfrageverhalten.

Anwendungsfälle und Beispiele

Die folgenden Beispiele zeigen, wie Analysten, Jäger und Erkennungstechniker Verhaltensweisen während Untersuchungen, Jagd und Warnungserstellung verwenden können.

Untersuchung und Incidentanreicherung

Verhaltensmuster verschaffen SOC-Analysten sofort Klarheit darüber, was rund um einen Alarm passiert ist, ohne zwischen mehreren Rohprotokolltabellen wechseln zu müssen.

• Workflow ohne Verhalten: Analysten müssen Zeitachsen häufig manuell rekonstruieren, indem sie ereignisspezifische Tabellen abfragen und Ergebnisse zusammenfügen.

  Beispiel: Eine Warnung wird bei einer verdächtigen AWS-Aktivität ausgelöst. Der Analyst fragt die AWSCloudTrail Tabelle ab und pivotiert dann zu Firewalldaten, um zu verstehen, was der Benutzer oder Host getan hat. Dies erfordert Kenntnisse der einzelnen Schemas und verlangsamt die Selektierung.

• Workflow mit Verhalten: Die UEBA-Verhaltensebene aggregiert verwandte Ereignisse automatisch zu Verhaltenseinträgen, die an einen Incident angefügt oder bei Bedarf abgefragt werden können.

  Beispiel: Eine Warnung weist auf eine mögliche Exfiltration von Anmeldeinformationen hin. In der BehaviorInfo Tabelle sieht der Analyst das Verhalten Verdächtiger Massenzugriff auf Geheimnisse über AWS IAM von User123 , das MITRE-Technik T1552 (Unsecured Credentials) zugeordnet ist. Die UEBA-Verhaltensschicht hat dieses Verhalten durch Aggregieren von 20 AWS-Protokolleinträgen generiert. Der Analyst versteht sofort, dass User123 auf viele Geheimnisse zugegriffen hat – ein entscheidender Kontext, um den Incident zu eskalieren – ohne alle 20 Protokolleinträge manuell zu überprüfen.

Bedrohungsjagd

Verhaltensweisen ermöglichen es Jägern, nach TTPs und Aktivitätszusammenfassungen zu suchen, anstatt komplexe Joins zu schreiben oder rohe Protokolle selbst zu normalisieren.

• Workflow ohne Verhalten: Hunts erfordern komplexe KQL, Tabellenjoins und Vertrautheit mit jedem Datenquellenformat. Wichtige Aktivitäten können in großen Datasets mit wenig integriertem Sicherheitskontext verborgen werden.

  Beispiel: Die Suche nach Anzeichen von Reconnaissance kann eine separate Überprüfung AWSCloudTrail von Ereignissen und bestimmten Firewallverbindungsmustern erfordern. Der Kontext ist hauptsächlich in Incidents und Warnungen vorhanden, was die proaktive Suche erschwert.

• Workflow mit Verhalten: Verhaltensweisen werden normalisiert, angereichert und den MITRE-Taktiken und -Techniken zugeordnet. Jäger können nach aussagekräftigen Mustern suchen, ohne vom Schema der einzelnen Quellen abhängig zu sein.

  Ein Jäger kann die BehaviorInfo-Tabelle nach Taktik (Categories), Technik, Titel oder Entität filtern. Zum Beispiel:

  BehaviorInfo 
  | where Categories has "Discovery" 
  | summarize count() by Title 
  

  Jäger können auch:

  • Identifizieren Sie seltenes Verhalten mithilfe von count distinct im Feld Title.
  • Untersuchen Sie einen interessanten Verhaltenstyp, identifizieren Sie die beteiligten Entitäten, und untersuchen Sie es weiter.
  • Führen Sie einen Drilldown zu rohen Protokollen mithilfe der BehaviorId Spalten und AdditionalFields aus, die häufig auf die zugrunde liegenden rohen Protokolle verweisen.

  Beispiel: Ein Hunter, der nach heimlichem Zugriff auf Anmeldeinformationen sucht, fragt nach Verhaltensweisen mit „Anmeldeinformationen auflisten“ in der Spalte Title ab. Die Ergebnisse liefern einige Vorkommen von "Versuchtes Auslesen von Anmeldeinformationen aus Vault durch Benutzer AdminJoe" (abgeleitet aus den Protokollen von CyberArk). Obwohl keine Alarme ausgelöst wurden, ist dieses Verhalten für AdminJoe ungewöhnlich und gibt Anlass zu weiteren Untersuchungen – etwas, das in ausführlichen Vault-Audit-Protokollen schwer zu erkennen ist.

  Jäger können auch jagen, indem sie:

  • MITRE-Taktik:

    // Find behaviors by MITRE tactic
    BehaviorInfo
    | where Categories == "Lateral Movement"
    

  • Technik:

    // Find behaviors by MITRE technique
    BehaviorInfo
    | where AttackTechniques has "T1078" // Valid Accounts
    | extend AF = parse_json(AdditionalFields)
    | extend TableName = tostring(AF.TableName)
    | project TimeGenerated, Title, Description, TableName
    

  • Spezifischer Benutzer – verknüpfe Verhaltensdatensätze mit Entitätsdaten, um Verhaltensweisen eines bestimmten Benutzers der letzten 7 Tage aufzulisten, wobei der Zeitstempel, Titel, Beschreibung und Kategorie jedes Verhaltens angezeigt wird:

    // Find all behaviors for a specific user over last 7 days
    BehaviorInfo
    | join kind=inner BehaviorEntities on BehaviorId
    | where TimeGenerated >= ago(7d)
    | where EntityType == "User" and AccountUpn == "user@domain.com"
    | project TimeGenerated, Title, Description, Categories
    | order by TimeGenerated desc
    

  • Seltene Verhaltensweisen (potenzielle Anomalien):

    // Find rare behaviors (potential anomalies)
    BehaviorInfo
    | where TimeGenerated >= ago(30d)
    | summarize Count=count() by Title
    | where Count < 5 // Behaviors seen less than 5 times
    | order by Count asc
    

Warnungen und Automatisierung

Verhaltensweisen vereinfachen die Regellogik, indem sie normalisierte, hochwertige Signale mit integriertem Kontext bereitstellen und neue Korrelationsmöglichkeiten ermöglichen.

• Workflow ohne Verhalten: Quellübergreifende Korrelationsregeln sind komplex, da jedes Protokollformat anders ist. Regeln erfordern häufig Folgendes:

  • Normalisierungslogik
  • Schemaspezifische Bedingungen
  • Mehrere separate Regeln
  • Verlass auf Warnmeldungen statt auf Rohdaten zu Aktivitäten

  Automatisierung kann auch zu häufig ausgelöst werden, wenn sie von Ereignissen auf niedriger Ebene gesteuert wird.

• Workflow mit Verhalten: Verhaltensweisen aggregieren bereits verwandte Ereignisse und umfassen MITRE-Zuordnungen, Entitätsrollen und konsistente Schemas, sodass Erkennungstechniker einfachere, klarere Erkennungsregeln erstellen können.

  Beispiel: Ein Erkennungstechniker schreibt eine Erkennungsregel mit dieser Logik: "Warnung, wenn ein Benutzer das Verhalten "Erstellung eines neuen AWS-Zugriffsschlüssels" aufweist, gefolgt von einem "Rechteerweiterungsverhalten in AWS" innerhalb von 1 Stunde."

  Ohne die UEBA-Verhaltensschicht würde diese Regel das Zusammenfügen von Rohereignissen AWSCloudTrail und deren Interpretation in der Regellogik erfordern. Mit Verhaltensweisen ist es einfach und robust gegenüber Änderungen am Protokollschema, da das Schema vereinheitlicht ist.

  Verhaltensweisen dienen auch als zuverlässige Trigger für die Automatisierung. Anstatt Warnungen für nicht riskante Aktivitäten zu erstellen, verwenden Sie Verhaltensweisen, um die Automatisierung auszulösen, z. B. um eine E-Mail zu senden oder die Überprüfung zu initiieren.

Unterstützte Datenquellen und Verhaltensweisen

Die Liste der unterstützten Datenquellen und Anbieter oder Dienste, die Protokolle an diese Datenquellen senden, wird ständig weiterentwickelt. Die UEBA-Verhaltensebene aggregiert automatisch Erkenntnisse für alle unterstützten Anbieter basierend auf den von Ihnen erfassten Protokollen.

Die UEBA-Verhaltensschicht konzentriert sich derzeit auf diese nicht von Microsoft stammenden Datenquellen, denen in Microsoft Sentinel traditionell kein einfacher Verhaltenskontext fehlt:

¹CommonSecurityLog kann Protokolle von vielen Anbietern enthalten. Die UEBA-Verhaltensebene generiert nur Verhalten für unterstützte Anbieter und Protokolltypen. Wenn die Tabelle Protokolle von einem nicht unterstützten Anbieter empfängt, werden keine Verhaltensweisen angezeigt, obwohl die Datenquelle verbunden ist.

Voraussetzungen

Um die UEBA-Verhaltensschicht verwenden zu können, benötigen Sie Folgendes:

• Ein Microsoft Sentinel Arbeitsbereich, der in das Defender-Portal integriert ist.
• Verbinden Sie sich und senden Sie aktiv Logs von mindestens einer unterstützten Datenquelle in die Analytics-Schicht. Die UEBA-Verhaltensschicht erzeugt Verhaltensweisen nur, wenn unterstützte Datenquellen verbunden sind und aktiv Logs senden. Weitere Informationen zu Datenebenen finden Sie unter Verwalten von Datenebenen und Aufbewahrung in Microsoft Sentinel.

Erforderliche Berechtigungen

Zum Aktivieren und Verwenden der UEBA-Verhaltensebene benötigen Sie die folgenden Berechtigungen:

Weitere Informationen zur einheitlichen rollenbasierten Zugriffssteuerung (RBAC) im Defender-Portal finden Sie unter Microsoft Defender XDR Einheitliche rollenbasierte Zugriffssteuerung (RBAC).

Aktivieren der UEBA-Verhaltensebene

Stellen Sie sicher, dass Sie mindestens eine unterstützte Datenquelle verbinden, um mit dem Aggregieren von UEBA-Verhalten zu beginnen. Die UEBA-Verhaltensschicht aggregiert Verhaltensmuster nur, wenn unterstützte Datenquellen verbunden sind und aktiv Protokolle an die Analytics-Ebene senden.

So aktivieren Sie die UEBA-Verhaltensebene in Ihrem Arbeitsbereich:

1. Wählen Sie im Defender-Portal "Einstellungen > " Microsoft Sentinel > UEBA aus.

2. Wählen Sie Neu! Verhaltensebene aus.

3. Aktivieren Sie die Ebene „Verhaltensweisen aktivieren“.

4. Wählen Sie Alle Datenquellen verbinden aus, oder wählen Sie die spezifischen Datenquellen aus der Liste aus.

   Wenn Sie noch keine unterstützten Datenquellen mit Ihrem Sentinel Arbeitsbereich verbunden haben, wählen Sie Zum Inhaltshub wechseln aus, um die relevanten Connectors zu suchen und zu verbinden.

   

5. Wählen Sie Verbinden aus.

Preismodell

Die Verwendung der UEBA-Verhaltensschicht führt zu den folgenden Kosten:

• Keine zusätzlichen Lizenzkosten: Verhaltensweisen sind teil von Microsoft Sentinel. Sie benötigen keine separate SKU, kein UEBA-Add-On oder keine zusätzliche Lizenzierung. Wenn Ihr Arbeitsbereich mit Sentinel verbunden und in das Defender-Portal integriert ist, können Sie Verhaltensweisen ohne zusätzliche Featurekosten verwenden.

• Gebühren für die Erfassung von Protokolldaten: Verhaltensdatensätze werden in den Tabellen SentinelBehaviorInfo und SentinelBehaviorEntities in Ihrem Sentinel-Arbeitsbereich gespeichert. Jedes Verhalten trägt zum Datenerfassungsvolumen Ihres Arbeitsbereichs bei und wird zu Ihrer vorhandenen Log Analytics/Sentinel Erfassungsrate abgerechnet. Verhaltensweisen sind additiv – sie ersetzen Ihre vorhandenen Rohprotokolle nicht.

Bewährte Methoden und Tipps zur Problembehandlung für Abfrageverhalten

In den folgenden Anleitungen wird erläutert, wie Sie Verhalten sowohl im Defender-Portal als auch im Sentinel-Arbeitsbereich abfragen. Während die Schemas identisch sind, unterscheidet sich der Datenbereich:

• Im Defender-Portal enthalten die Verhaltenstabellen UEBA-Verhaltensweisen und -Verhaltensweisen von verbundenen Defender-Diensten, z. B. Microsoft Defender for Cloud Apps und Microsoft Defender für Cloud.
• Im Sentinel Arbeitsbereich enthalten die Verhaltenstabellen nur UEBA-Verhaltensweisen, die aus Protokollen generiert werden, die in diesem bestimmten Arbeitsbereich erfasst wurden.

In der folgenden Tabelle sind die Verhaltenstabellen aufgeführt, die in jeder Umgebung verwendet werden sollen:

Weitere praktische Beispiele für die Verwendung von Verhaltensweisen finden Sie unter Anwendungsfälle und Beispiele.

Weitere Informationen zu Kusto-Abfragesprache (KQL) finden Sie unter Übersicht über die Kusto-Abfragesprache.

• Filtern nach UEBA-Verhalten im Defender-Portal

  Die BehaviorInfo Tabellen und BehaviorEntities enthalten alle UEBA-Verhaltensweisen und können auch Verhaltensweisen von Microsoft Defender-Diensten enthalten.

  Verwenden Sie die ServiceSource -Spalte, um nach Verhalten aus der Microsoft Sentinel UEBA-Verhaltensebene zu filtern. Zum Beispiel:

  BehaviorInfo
  | where ServiceSource == "Microsoft Sentinel"
  

  

• Von Verhaltensdaten zu Rohprotokollen drilldown ausführen

  Verwenden Sie die AdditionalFields Spalte in BehaviorInfo, die Verweise auf die ursprünglichen Ereignis-IDs im SupportingEvidence Feld enthält.

  

  Führen Sie eine Abfrage für den SupportingEvidence Feldwert aus, um die unformatierten Protokolle zu finden, die zu einem Verhalten beigetragen haben.

  

• BehaviorInfo und BehaviorEntities verknüpfen

  Verwenden Sie das BehaviorId-Feld, um BehaviorInfo mit BehaviorEntities zu verbinden.

  Die folgende Abfrage ergänzt BehaviorInfoBehaviorEntities die Verhaltensdatensätze des letzten Tages mit zugehörigen Entitätsdetails, sodass Sie jedes Verhalten zusammen mit den Nutzern, Hosts oder IP-Adressen sehen können, die während einer Untersuchung beteiligt sind:

  BehaviorInfo
  | join kind=inner BehaviorEntities on BehaviorId
  | where TimeGenerated >= ago(1d)
  | project TimeGenerated, Title, Description, EntityType, EntityRole, AccountUpn
  

  Dadurch erhalten Sie jedes Verhalten und jede daran beteiligte Entität. Die AccountUpn oder die Identifizierungsinformationen für die Entität stehen in BehaviorEntities, während sich BehaviorInfo im Text möglicherweise auf „Benutzer“ oder „Host“ bezieht.

• Überwachen der Verhaltensdatenerfassung

  Um die Aufnahme von Verhaltensdaten zu überwachen, fragen Sie die Tabelle Usage nach Einträgen im Zusammenhang mit SentinelBehaviorInfo und SentinelBehaviorEntities ab.

• Erstellen von Automatisierungs-, Arbeitsmappen- und Erkennungsregeln basierend auf Verhaltensweisen

  • Verwenden Sie die BehaviorInfo Tabelle als Datenquelle für Erkennungsregeln oder Automatisierungsplaybooks im Defender-Portal. Erstellen Sie beispielsweise eine geplante Abfrageregel, die ausgelöst wird, wenn ein bestimmtes Verhalten angezeigt wird.
  • Für Azure Monitor-Arbeitsmappen und alle Artefakte, die direkt auf Ihrem Sentinel-Arbeitsbereich basieren, stellen Sie sicher, dass Sie die Tabellen SentinelBehaviorInfo und SentinelBehaviorEntities in Ihrem Sentinel-Arbeitsbereich abfragen.

Problembehandlung

Verwenden Sie die folgenden Tipps, um häufige Probleme mit UEBA-Verhalten zu beheben.

• Wenn keine Verhaltensmuster generiert werden: Stellen Sie sicher, dass unterstützte Datenquellen aktiv Protokolle an die Analytics-Ebene senden, bestätigen Sie, dass der Schalter für die Datenquelle aktiviert ist, und warten Sie nach der Aktivierung 15 bis 30 Minuten.
• Ich sehe weniger Verhaltensweisen als erwartet: Unsere Abdeckung unterstützter Verhaltenstypen ist teilweise und wächst. Weitere Informationen finden Sie unter Unterstützte Datenquellen und Verhaltensweisen. Die UEBA-Verhaltensschicht kann möglicherweise auch kein Verhaltensmuster erkennen, wenn nur sehr wenige Instanzen eines bestimmten Verhaltenstyps vorhanden sind.
• Verhaltenszählung: Eine einzelne Verhaltensweise kann Dutzende oder Hunderte von Rohereignissen darstellen - dies dient dazu, Datenrauschen zu reduzieren.

Begrenzungen

Diese Einschränkungen gelten derzeit für die UEBA-Verhaltensschicht:

• Sie können Verhaltensweisen für einen einzelnen Sentinel Arbeitsbereich pro Mandant aktivieren.
• Die UEBA-Verhaltensschicht generiert Verhaltensweisen für eine begrenzte Anzahl unterstützter Datenquellen und Anbieter oder Dienste.
• Die UEBA-Verhaltensebene erfasst derzeit nicht jede mögliche Aktion oder Angriffstechnik, auch nicht für unterstützte Quellen. Einige Ereignisse erzeugen möglicherweise kein entsprechendes Verhalten. Gehen Sie nicht davon aus, dass das Fehlen eines Verhaltens bedeutet, dass keine Aktivität aufgetreten ist. Überprüfen Sie immer unformatierte Protokolle, wenn Sie vermuten, dass etwas fehlt.
• Verhalten zielen darauf ab, Rauschen durch Aggregieren und Sequenzieren von Ereignissen zu reduzieren, aber möglicherweise werden immer noch zu viele Verhaltensdatensätze angezeigt. Wir freuen uns über Ihr Feedback zu bestimmten Verhaltenstypen, um die Abdeckung und Relevanz zu verbessern.
• Verhaltensweisen sind keine Warnungen oder Anomalien. Es handelt sich um neutrale Beobachtungen, die nicht als böswillig oder gutartig eingestuft werden. Das Vorhandensein eines Verhaltens bedeutet "dies ist passiert", nicht "dies ist eine Bedrohung". Die Anomalieerkennung bleibt in UEBA separat. Verwenden Sie Beurteilungsverhalten, oder kombinieren Sie Verhaltensweisen mit UEBA-Anomaliedaten, um beachtenswerte Muster zu identifizieren.