Esercitazione: Analizzare gli eventi imprevisti con dati UEBA

Questo articolo descrive i metodi comuni e le procedure di esempio per l'uso dell'analisi del comportamento delle entità utente (UEBA) nei flussi di lavoro di analisi regolari.

Prerequisiti

Prima di poter usare i dati UEBA nelle indagini, è necessario abilitare User and Entity Behavior Analytics (UEBA) in Microsoft Sentinel.

Inizia a cercare informazioni dettagliate basate su computer circa una settimana dopo l'abilitazione di UEBA.

Individuare e analizzare le anomalie utente nel portale di Defender (anteprima)

Nel portale di Defender un tag ANOMALIE UEBA identifica gli utenti con anomalie, semplificando la definizione delle priorità delle indagini.

La sezione Top anomalie UEBA , che appare nel pannello lato Utente e nella scheda Panoramica della pagina User entity, mostra le tre principali anomalie dell'utente negli ultimi 30 giorni. Selezionare i collegamenti nella parte inferiore della sezione Principali anomalie UEBA per cercare tutte le anomalie dell'utente e visualizzare la sequenza temporale degli eventi di Sentinel.

Analizzare le anomalie degli utenti da un evento imprevisto

Per analizzare un utente in un incidente, selezionare Go Hunt > Tutte le anomalie utente nell'entità utente del grafico dell'incidente per ottenere tutte le anomalie correlate all'utente degli ultimi 30 giorni.

Per maggiori informazioni sull'indagine sulle anomalie utente e sulla pagina dell'entità utente, consulta Indagare sugli incidenti nel portale Microsoft Defender e nella pagina dell'entità utente in Microsoft Defender.

Eseguire ricerche proattive e di routine sui dati delle entità

È consigliabile eseguire ricerche regolari e proattive tramite l'attività dell'utente per creare lead per ulteriori indagini.

Usare la soluzione Microsoft Sentinel UEBA Essentials per eseguire query sui dati per una serie di informazioni dettagliate, ad esempio:

• Utenti più rischiosi, con anomalie o eventi imprevisti collegati.
• Dati su utenti specifici, per determinare se l'utente è stato effettivamente compromesso o se esiste una minaccia Insider basata su azioni che si discostano dal profilo dell'utente.

Acquisire azioni non di routine nella cartella di lavoro UEBA e usarle per trovare attività anomale e procedure potenzialmente non conformi.

Analizzare un accesso anomalo

Ad esempio, i passaggi seguenti seguono l'indagine di un utente che si è connesso a una VPN che non aveva mai usato prima. Questa connessione VPN sconosciuta è un'attività anomala.

1. Nell'area Cartelle di lavoro di Sentinel, cercare e aprire la cartella di lavoro Analisi del comportamento di utenti ed entità.

2. Cercare un nome utente specifico da analizzare e selezionare il relativo nome nella tabella Top users to investigate.

3. Scorrere verso il basso le tabelle Suddivisione eventi imprevisti e Anomalie per visualizzare gli eventi imprevisti e le anomalie associate all'utente selezionato.

4. Nell'anomalia, ad esempio una denominata Accesso anomalo riuscito, esaminare i dettagli visualizzati nella tabella per analizzare. Ad esempio:

   Fase	Descrizione
   Si noti la descrizione a destra	Ogni anomalia ha una descrizione, con un collegamento per altre informazioni in MITRE ATT&CK knowledge base. Ad esempio: Accesso iniziale L'avversario sta cercando di entrare nella rete. L'accesso iniziale è costituito da tecniche che usano vari vettori di ingresso per ottenere l'appiglio iniziale all'interno di una rete. Le tecniche usate per ottenere un punto d'appoggio includono il phishing spear mirato e lo sfruttamento delle debolezze sui server Web pubblici. Gli appigli ottenuti tramite l'accesso iniziale possono consentire l'accesso continuo, ad esempio account validi e l'uso di servizi remoti esterni, oppure possono essere limitati a causa della modifica delle password.
   Si noti il testo nella colonna Descrizione	Nella riga anomalie scorrere verso destra per visualizzare una descrizione aggiuntiva. Selezionare il collegamento per visualizzare il testo completo. Ad esempio: Gli avversari possono rubare le credenziali di un account utente o di servizio specifico usando tecniche di accesso alle credenziali o acquisire le credenziali in precedenza nel processo di ricognizione tramite social engineering per ottenere l'accesso iniziale. APT33, ad esempio, ha usato account validi per l'accesso iniziale. La query seguente restituisce un risultato relativo a un accesso riuscito effettuato da un utente da una nuova posizione geografica da cui né lui né alcuno dei suoi pari si erano mai connessi in precedenza.
   Prendere nota dei dati di UsersInsights	Scorri ulteriormente verso destra nella riga dell'anomalia per visualizzare i dati di approfondimento sull'utente, ad esempio il nome visualizzato dell'account e l'ID oggetto dell'account. Selezionare il testo per visualizzare i dati completi a destra.
   Prendere nota dei dati dell'evidenza	Scorrere ulteriormente verso destra nella riga anomalie per visualizzare i dati di evidenza per l'anomalia. Selezionare la visualizzazione testo dei dati completi a destra, ad esempio i campi seguenti: - Azione Inusualmente Eseguita dall'Utente - VolumeElevatoDiAzioniNonComune - UtenteConnessoPerLaPrimaVoltaDalPaese - PaeseInsolitamenteConnessoTraIPari - UtenteConnessoPerLaPrimaVoltaAttraversoISP - ISPNonComunementeUsatoTraPari - PaeseIncomuneCollegatoDaLaInTenant - ISPUncommonlyUsedInTenant

Usare i dati trovati nella cartella di lavoro Analisi del comportamento di utenti ed entità per determinare se l'attività dell'utente è sospetta e richiede ulteriori azioni.

Usare i dati UEBA per analizzare i falsi positivi

A volte, un incidente rilevato nel corso di un'indagine è un falso positivo.

Un esempio comune di falso positivo è quando viene rilevata un'attività di viaggio impossibile, ad esempio un utente che ha eseguito l'accesso a un'applicazione o a un portale da New York e Londra entro la stessa ora. Mentre Microsoft Sentinel nota il viaggio impossibile come un'anomalia, un'indagine con l'utente potrebbe chiarire che una VPN è stata usata con una posizione alternativa alla posizione in cui l'utente si trovava effettivamente.

Analizzare un falso positivo

Ad esempio, per un evento imprevisto di viaggio impossibile, dopo avere confermato con l'utente che è stata usata una VPN, passare dalla pagina dell'evento imprevisto all'entità utente. Utilizzare i dati visualizzati nella pagina dell'entità utente per determinare se le località catturate sono incluse nelle posizioni comunemente note dell'utente.

Ad esempio:

La pagina dell’entità utente è collegata anche dalla pagina dell’incidente e dal grafico di indagine.

Incorporare i dati IdentityInfo nelle regole di analisi (anteprima pubblica)

Poiché gli utenti malintenzionati usano spesso gli account utente e del servizio dell'organizzazione, i dati relativi a tali account utente, inclusi l'identificazione e i privilegi dell'utente, sono fondamentali per gli analisti nel processo di un'indagine.

La tabella IdentityInfo è una tabella UEBA Microsoft Sentinel che archivia attributi di identità, ad esempio metadati utente, appartenenze ai gruppi e ruoli Microsoft Entra sincronizzati dall'area di lavoro Microsoft Entra. Incorporare dati dalla tabella IdentityInfo per ottimizzare le regole di analisi in base ai casi d'uso, ridurre i falsi positivi e velocizzare il processo di indagine.

Ad esempio:

• Per correlare gli eventi di sicurezza con la tabella IdentityInfo in un avviso attivato se un server è accessibile da un utente esterno al reparto IT :

  SecurityEvent
  | where EventID in ("4624","4672")
  | where Computer == "My.High.Value.Asset"
  | join kind=inner  (
      IdentityInfo
      | summarize arg_max(TimeGenerated, *) by AccountObjectId) on $left.SubjectUserSid == $right.AccountSID
  | where Department != "IT"
  

• Per correlare Microsoft Entra log di accesso con la tabella IdentityInfo in un avviso attivato se a un'applicazione accede un utente che non è membro di un gruppo di sicurezza specifico:

  SigninLogs
  | where AppDisplayName == "GitHub.Com"
  | join kind=inner  (
      IdentityInfo
      | summarize arg_max(TimeGenerated, *) by AccountObjectId) on $left.UserId == $right.AccountObjectId
  | where GroupMembership !contains "Developers"
  

La tabella IdentityInfo viene sincronizzata con l'area di lavoro Microsoft Entra per creare uno snapshot dei dati del profilo utente, ad esempio metadati utente, informazioni di gruppo e ruoli Microsoft Entra assegnati a ogni utente. Per altre informazioni, vedere tabella IdentityInfo nel riferimento agli arricchimenti UEBA.

Per dettagli sugli operatori e le funzioni usati negli esempi di query SecurityEvent e SigninLogs, consulta la seguente documentazione Kusto:

• operatore where
• Operatore join
• summarize operatore
• render operatore
• operatore sort
• Funzione iff()
• funzione ago()
• Funzione now()
• funzione bin()
• startofday() funzione
• Funzione di aggregazione count()
• funzione di aggregazione sum()

Per altre informazioni su KQL, vedi panoramica di Kusto Query Language (KQL).

Altre risorse:

• Guida rapida a KQL
• Risorse di apprendimento per il linguaggio di query Kusto

Identificare i tentativi di password spraying e di spear phishing

Senza l'autenticazione a più fattori abilitata, le credenziali utente sono vulnerabili agli utenti malintenzionati che cercano di compromettere gli attacchi con l'irrorazione di password o i tentativi di spear phishing .

Analizzare un incidente di password spray con informazioni dettagliate fornite da UEBA

Ad esempio, per indagare su un incidente di password spray con informazioni dettagliate di UEBA, potresti eseguire le operazioni seguenti per saperne di più:

1. Nell'evento imprevisto, in basso a sinistra, selezionare Analizza per visualizzare gli account, i computer e altri punti dati potenzialmente mirati in un attacco.

   Esplorando i dati, è possibile che venga visualizzato un account amministratore con un numero relativamente elevato di errori di accesso. Anche se questo è sospetto, potrebbe non essere necessario limitare l'account senza ulteriori conferme.

2. Selezionare l'entità utente amministrativa nella mappa e quindi selezionare Informazioni dettagliate a destra per trovare altri dettagli, ad esempio il grafico degli accessi nel tempo.

3. Selezionare Info a destra e quindi selezionare Visualizza dettagli completi per passare alla pagina dell'entità utente per eseguire il drill-down.

   Ad esempio, verifica se questo è il primo potenziale tentativo di password spray dell'utente oppure controlla la cronologia degli accessi dell'utente per capire se i tentativi non riusciti fossero anomali.

Detonazione URL (anteprima pubblica)

Quando sono presenti URL nei log inseriti in Microsoft Sentinel, questi URL vengono automaticamente detonati per accelerare il processo di valutazione.

Il grafico di analisi include un nodo per l'URL detonato, nonché i dettagli seguenti:

• DetonazioneVerdetto: La determinazione booleana di alto livello dalla detonazione. Ad esempio, Bad significa che il sito è stato classificato come sito che ospita malware o contenuti di phishing.
• DetonationFinalURL: L'URL finale della pagina di destinazione osservato, dopotutto reindirizza dall'URL originale.

Ad esempio:

Contenuti correlati

• Rilevamento avanzato delle minacce con l'Analisi del Comportamento degli Utenti e delle Entità (UEBA) in Microsoft Sentinel
• Fonti dati e arricchimenti di schema Microsoft Sentinel User and Entity Behavior Analytics (UEBA)
• Indagare su incidenti con Microsoft Sentinel (legacy)
• Ricerca di minacce in Microsoft Sentinel