Enriquecimentos de esquema e fontes de dados da Análise do Comportamento de Entidades e Usuários do Microsoft Sentinel (UEBA)

Este artigo lista as fontes de dados de entrada para o serviço de Análise do Comportamento de Usuários e Entidades no Microsoft Sentinel. Ele também descreve os enriquecimentos que a UEBA adiciona às entidades, fornecendo o contexto necessário para alertas e incidentes.

Fontes de dados da UEBA

Essas são as fontes de dados das quais o mecanismo UEBA coleta e analisa dados para treinar seus modelos de ML e definir linhas de base comportamentais para usuários, dispositivos e outras entidades. A UEBA então analisa os dados dessas fontes para encontrar anomalias e obter insights.

Enriquecimentos da UEBA

Esta seção descreve os enriquecimentos que a UEBA adiciona às entidades do Microsoft Sentinel, que você pode usar para focar e aprimorar suas investigações de incidentes de segurança. Esses enriquecimentos são exibidos em páginas de entidade e podem ser encontrados nas seguintes tabelas do Log Analytics, cujo conteúdo e esquema estão listados abaixo:

• A tabela BehaviorAnalytics é onde as informações de saída da UEBA são armazenadas.

  Os três campos dinâmicos a seguir da tabela BehaviorAnalytics são descritos na seção campos dinâmicos de enriquecimento de entidade abaixo.

  • Os campos UsersInsights e DevicesInsights contêm informações de entidade de fontes do Active Directory/Microsoft Entra ID e da Inteligência contra Ameaças da Microsoft.

  • O campo ActivityInsights contém informações de entidade com base nos perfis comportamentais criados pela análise do comportamento de entidades do Microsoft Sentinel.

    As atividades do usuário são analisadas em relação a uma linha de base que é compilada dinamicamente sempre que é usada. Cada atividade tem seu próprio período de lookback definido do qual a linha de base dinâmica é derivada. O período de lookback é especificado na coluna Linha de base desta tabela.

• A tabela IdentityInfo é onde as informações de identidade sincronizadas com a UEBA do Microsoft Entra ID (e do Active Directory local por meio do Microsoft Defender para Identidade) são armazenadas.

tabela BehaviorAnalytics

A tabela a seguir descreve os dados de análise de comportamento exibidos na página de detalhes de cada entidade no Microsoft Sentinel.

Enriquecimentos de entidades campos dinâmicos

campo UsersInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico UsersInsights na tabela BehaviorAnalytics:

campo DevicesInsights

A tabela a seguir descreve os enriquecimentos apresentados no campo dinâmico DevicesInsights na tabela BehaviorAnalytics:

campo ActivityInsights

As tabelas a seguir descrevem os enriquecimentos apresentados no campo dinâmico ActivityInsights na tabela BehaviorAnalytics:

Ação executada

Aplicativo usado

Navegador usado

País/região conectado de

Dispositivo usado para conectar

Outros dispositivos

Provedor de serviços de Internet usado para se conectar

Recurso acessado

Diversos

Tabela IdentityInfo

Depois de habilitar e configurar o UEBA para seu espaço de trabalho do Microsoft Sentinel, os dados do usuário de seus provedores de identidade da Microsoft são sincronizados com a tabela IdentityInfo no Log Analytics para uso no Microsoft Sentinel.

Esses provedores de identidade são um ou ambos os seguintes, dependendo de qual você selecionou ao configurar o UEBA:

• Microsoft Entra ID (baseado em nuvem)
• Microsoft Active Directory (local, requer o Microsoft Defender para Identidade))

Você pode consultar a tabela IdentityInfo em regras de análise, consultas de busca e pastas de trabalho, aprimorando suas análises para se ajustar aos seus casos de uso e reduzindo falsos positivos.

Embora a sincronização inicial possa demorar alguns dias, depois que os dados estiverem totalmente sincronizados:

• A cada 14 dias, o Microsoft Sentinel sincroniza novamente com todo o seu Microsoft Entra ID (e seu Active Directory local, se aplicável) para garantir que os registros obsoletos sejam totalmente atualizados.

• Além dessas sincronizações completas regulares, sempre que são feitas alterações em seus perfis de usuário, grupos e funções internas no Microsoft Entra ID, os registros de usuário afetados são reingestados e atualizados na tabela IdentityInfo dentro de 15 a 30 minutos. Essa ingestão é cobrada de acordo com as taxas regulares. Por exemplo:

  • Um atributo do usuário, como nome de exibição, cargo ou endereço de email, foi alterado. Um novo registro para esse usuário é inserido na tabela IdentityInfo , com os campos relevantes atualizados.

  • O grupo A tem 100 usuários. 5 usuários são adicionados ao grupo ou removidos do grupo. Nesse caso, esses cinco registros de usuário são reintroduzidos e seus campos GroupMembership atualizados.

  • O grupo A tem 100 usuários. Dez usuários são adicionados ao Grupo A. Além disso, os grupos A1 e A2, cada um com 10 usuários, são adicionados ao Grupo A. Nesse caso, 30 registros de usuário são redefinidos e seus campos GroupMembership atualizados. Isso acontece porque a associação a um grupo é transitiva, portanto, as alterações nos grupos afetam todos os seus subgrupos.

  • O Grupo B (com 50 usuários) é renomeado para Grupo BeGood. Nesse caso, 50 registros de usuário são redefinidos e seus campos GroupMembership atualizados. Se houver subgrupos nesse grupo, o mesmo acontecerá com todos os registros de seus membros.

• O tempo de retenção padrão na tabela IdentityInfo é de 30 dias.

Limitações

• O campo AssignedRoles suporta apenas funções internas.

• O campo GroupMembership dá suporte à listagem de até 500 grupos por usuário, incluindo subgrupos. Se um usuário for membro de mais de 500 grupos, somente os primeiros 500 serão sincronizados com a tabela IdentityInfo . Os grupos não são avaliados em nenhuma ordem específica, portanto, a cada nova sincronização (a cada 14 dias), é possível que um conjunto diferente de grupos seja atualizado para o registro do usuário.

• Quando um usuário é excluído, o registro desse usuário não é excluído imediatamente da tabela IdentityInfo . A razão para isso é que uma das finalidades desta tabela é auditar as alterações nos registros do usuário. Portanto, queremos que essa tabela tenha um registro de um usuário sendo excluído, o que só pode acontecer se o registro de usuário na tabela IdentityInfo ainda existir, mesmo que o usuário real (digamos, na ID de Entra) seja excluído.

  Os usuários excluídos podem ser identificados pela presença de um valor no deletedDateTime campo. Portanto, se você precisar de uma consulta para mostrar uma lista de usuários, poderá filtrar os usuários excluídos adicionando | where IsEmpty(deletedDateTime) à consulta.

  Em um determinado intervalo de tempo após a exclusão de um usuário, o registro do usuário também é removido da tabela IdentityInfo .

• Quando um grupo é excluído ou se o nome de um grupo com mais de 100 membros é alterado, os registros de usuário dos membros desse grupo não são atualizados. Se uma alteração diferente fizer com que um dos registros de um desses usuários seja atualizado, as informações atualizadas do grupo serão incluídas nesse ponto.

Outras versões da tabela IdentityInfo

Há várias versões da tabela IdentityInfo :

• A versão do esquema do Log Analytics, discutida neste artigo, fornece o Microsoft Sentinel no portal do Azure. Está disponível para os clientes que habilitaram a UEBA.

• A versão do esquema de busca avançada atende ao portal do Microsoft Defender por meio do Microsoft Defender para Identidade. Ele está disponível para clientes do Microsoft Defender XDR, com ou sem o Microsoft Sentinel, e para clientes do próprio Microsoft Sentinel no portal do Defender.

  O UEBA não precisa estar habilitado para ter acesso a esta tabela. No entanto, para clientes sem a UEBA habilitada, os campos preenchidos por dados da UEBA não estão visíveis ou disponíveis.

  Para obter mais informações, consulte a documentação da versão de busca avançada desta tabela.

• A partir de maio de 2025, os clientes do Microsoft Sentinel no portal do Microsoft Defender com aUEBA habilitadacomeçarão a usar uma nova versão da versão de busca avançada. Essa nova versão inclui todos os campos UEBA da versão do Log Analytics, bem como alguns campos novos, e é conhecida como a versão unificada ou a tabela unificada IdentityInfo.

  Os clientes do portal Defender sem a UEBA habilitada ou sem o Microsoft Sentinel continuam usando a versão anterior da versão de busca avançada, sem os campos gerados pela UEBA.

  Para obter mais informações sobre a versão unificada, consulte IdentityInfo na documentação de busca avançada.

Esquema

A tabela na guia "Esquema do Log Analytics" a seguir descreve os dados de identidade do usuário incluídos na tabela IdentityInfo no Log Analytics no portal do Azure.

Se você estiver integrando o Microsoft Sentinel ao portal do Defender, selecione a guia "Comparar com o esquema unificado" para exibir as alterações que podem afetar as consultas em suas regras de detecção de ameaças e buscas.