Verbind databronnen met UEBA met Microsoft 365 E5 (preview)

Gebruikers- en entiteitsgedragsanalyse (UEBA) analyseert activiteiten van gebruikers en andere entiteiten om afwijkend gedrag te identificeren en extra context te bieden voor beveiligingsonderzoeken.

UEBA is een optionele betaalde Microsoft Sentinel-functie en is niet inbegrepen in Microsoft 365 E5. Met Microsoft 365 E5 kun je ondersteunde Microsoft Defender XDR-databronnen verbinden met UEBA zonder dezelfde gegevens van de eerste partij in Microsoft Sentinel te importeren. Je kunt ook in aanmerking komende gegevens van derden die zijn ingevoerd in een Microsoft Sentinel-werkruimte koppelen.

Je moet een Microsoft Sentinel-werkruimte hebben omdat UEBA-uitvoer wordt geschreven naar de bijbehorende Log Analytics-werkruimte. Log Analytics kosten zijn van toepassing.

Wat UEBA biedt

Nadat je ondersteunde databronnen hebt gekoppeld, kun je UEBA-resultaten gebruiken om:

• Identificeer afwijkingen en ongebruikelijke activiteit in Microsoft Defender XDR-gegevens.
• Bekijk de context van de anomalie voor gebruikers en andere entiteiten.
• Onderzoek anomalieën op entiteitspagina's.
• Zoek op verdachte activiteiten.
• Maak analyseregels op basis van UEBA-resultaten.
• Bekijk UEBA-inzichten in werkboeken.
• Analyseer gedragingen die zijn gegenereerd uit in aanmerking komende derdepartij- en andere niet-XDR-gegevens.

Prerequisites

Voordat u begint, moet u ervoor zorgen dat:

• Je hebt een Microsoft Defender XDR E5-tenant.
• Je hebt Microsoft Sentinel ingesteld. Om Microsoft Defender XDR-gegevensbronnen te verbinden, moet je je primaire Microsoft Sentinel-werkruimte selecteren.
• Als je UEBA al gebruikt met Microsoft Sentinel-data, heb je UEBA opnieuw geïnboarded vanuit je primaire Microsoft Sentinel-werkruimte.
• Je hebt de rol van Global Administrator of Security Administrator in Microsoft Entra ID.
• Er is ten minste één directoryservices-synchronisatie ingeschakeld voor Active Directory of Microsoft Entra ID.
• Voor externe en andere niet-XDR-gegevens worden de gegevens ingevoerd in een geschikte tabel in de Microsoft Sentinel-werkruimte waar je UEBA wilt inschakelen.

Je hoeft de ondersteunde Microsoft Defender XDR-data niet in je Microsoft Sentinel-werkruimte te importeren.

Gegevens van derden kunnen via elke ondersteunde methode worden ingevoerd. Een Microsoft Sentinel dataconnector is niet nodig als de data al beschikbaar is in een geschikte tabel.

Ondersteunde Microsoft Defender XDR-gegevensbronnen

Je kunt de volgende Microsoft Defender XDR-databronnen verbinden met UEBA:

De sectie Microsoft XDR databronnen toont de bronnen die beschikbaar zijn voor jouw organisatie.

Selecteer je primaire Microsoft Sentinel-werkruimte

1. Meld u aan bij de Microsoft Defender-portal.

2. Ga naar Instellingen en configuratie>.

3. Selecteer Microsoft Sentinel.

4. Selecteer UEBA.

5. Selecteer in Current selected workspace uw primaire Microsoft Sentinel-werkruimte.

6. Selecteer de optie Toepassen.

Schakel UEBA in en configureer directoryservices-synchronisatie

1. Meld u aan bij de Microsoft Defender-portal.

2. Ga naar Instellingen en configuratie>.

3. Selecteer Microsoft Sentinel.

4. Selecteer UEBA.

5. Zet de UEBA-functie aan.

6. Onder Directoryservices sync schakel je ten minste één van de volgende directoryservices in:

   • Active Directory
   • Microsoft Entra ID

7. Bevestig dat de geselecteerde directoryservice de status Synchronisatie ingeschakeld heeft.

Je moet ten minste één directoryservices-synchronisatie inschakelen voordat je Microsoft Defender XDR of Microsoft Sentinel databronnen kunt verbinden met UEBA. Om Microsoft Defender XDR-gegevensbronnen te verbinden, moet je ook je primaire werkruimte selecteren.

Verbind Microsoft Defender XDR-gegevensbronnen

1. Meld u aan bij de Microsoft Defender-portal.

2. Ga naar Instellingen en configuratie>.

3. Selecteer Microsoft Sentinel.

4. Selecteer UEBA.

5. Controleer onder Directoryservices sync of ten minste één directoryservice de status Sync ingeschakeld heeft.

6. Selecteer onder Microsoft XDR databronnen de databronnen die je wilt dat UEBA analyseert.

   Om alle beschikbare bronnen te selecteren, selecteer je het vakje in de tabelkop.

7. Selecteer Maak verbinding met.

8. Bevestig dat elke geselecteerde bron de status Verbonden heeft.

   

Koppel Microsoft Defender XDR-databronnen los

1. Meld u aan bij de Microsoft Defender-portal.

2. Ga naar Instellingen en configuratie>.

3. Selecteer Microsoft Sentinel.

4. Selecteer UEBA.

5. Selecteer onder Microsoft XDR-gegevensbronnen de verbonden databronnen die je niet langer wilt dat UEBA analyseert.

6. Selecteer Verbinding verbreken.

7. Bevestig dat elke geselecteerde bron de status Losgekoppeld heeft.

Verbind databronnen van derden

Je kunt in aanmerking komende derdepartij- en andere niet-XDR-gegevens die worden ingevoerd koppelen aan een geschikte tabel in een Microsoft Sentinel-werkruimte.

1. Meld u aan bij de Microsoft Defender-portal.

2. Ga naar Instellingen en configuratie>.

3. Selecteer Microsoft Sentinel.

4. Selecteer UEBA.

5. Controleer onder Directoryservices sync of ten minste één directoryservice de status Sync ingeschakeld heeft.

6. Vind onder Microsoft Sentinel databronnen de bron die je wilt verbinden.

7. Als de bron niet beschikbaar is, bevestig dan dat data wordt opgenomen in een geschikte tabel in de geselecteerde werkruimte.

8. Selecteer de bron en selecteer vervolgens Verbinden.

9. Bevestig dat de bron de status Verbonden heeft.

Een bron blijft onbeschikbaar wanneer data niet wordt ingevoerd in een geschikte tabel in de geselecteerde werkruimte.

Bekijk de UEBA-resultaten

Nadat UEBA begint met het verwerken van data van de aangesloten bronnen, kun je de resulterende inzichten bekijken in het Microsoft Defender-portaal.

Voor verbonden Microsoft Defender XDR-bronnen genereert UEBA anomalieën die extra context bieden voor gebruikers en andere entiteiten. Je kunt de volgende tabellen gebruiken voor jacht en onderzoek:

• BehaviorAnalytics
• Anomalies

Voor in aanmerking komende derdepartij- en andere niet-XDR-databronnen zijn gedragsgegevens beschikbaar in:

• BehaviorInfo
• BehaviorEntities

Gebruik deze resultaten om verdachte activiteiten te onderzoeken, de context van entiteiten te bekijken, dreigingen te zoeken en analyseregels te maken.

UEBA-uitvoeren worden geschreven naar de Log Analytics-werkruimte die is gekoppeld aan de Microsoft Sentinel-werkruimte waar UEBA is ingeschakeld. Log Analytics kosten zijn van toepassing.

Limitations

De volgende beperkingen zijn van toepassing tijdens de preview:

• Microsoft Defender XDR-gegevensbronnen kunnen alleen worden verbonden vanaf je primaire Microsoft Sentinel-werkruimte.
• De sectie Microsoft XDR gegevensbronnen wordt uitgeschakeld wanneer een andere werkruimte wordt geselecteerd.
• Ten minste één directoryservices-synchronisatie voor Active Directory of Microsoft Entra ID moet ingeschakeld zijn.
• Alleen de ondersteunde Microsoft Defender XDR databronnen die in dit artikel worden genoemd, kunnen via deze ervaring direct worden verbonden.
• UEBA-uitkomsten worden geschreven naar Log Analytics, en Log Analytics-kosten worden gerekend.
• Gegevens van de eerste partij die niet beschikbaar zijn via een ondersteunde Microsoft Defender XDR-tabel, moeten nog steeds worden ingevoerd in Microsoft Sentinel.
• Gegevens van derden en andere niet-XDR data moeten in een geschikte tabel worden opgenomen voordat je deze kunt koppelen aan UEBA.