Traduzir registos de segurança em bruto em informações analíticas comportamentais com os comportamentos UEBA no Microsoft Sentinel

A camada de comportamento ueBA (User and Entity Behavior Analytics) no Microsoft Sentinel agrega e resume registos não processados de grande volume em padrões claros e simples de ações de segurança, explicando "quem fez o quê a quem" de forma estruturada.

Ao contrário de alertas ou anomalias, comportamentos não indicam necessariamente risco — criam uma camada de abstração que otimiza os seus dados para investigações, pesquisa de ameaças e deteção, através da melhoria de:

• Eficiência: reduza o tempo de investigação ao coser eventos relacionados em histórias coesas.
• Clarity: traduza registos ruidosos e de baixo nível em resumos de linguagem simples.
• Contexto: adicione o mapeamento MITRE ATT&CK e os papéis das entidades para relevância imediata em termos de segurança.
• Consistência: fornecer um esquema unificado em várias fontes de registos.

A camada de comportamentos da UEBA permite uma deteção, investigação e resposta de ameaças mais rápidas em todas as suas operações de segurança, sem exigir um conhecimento profundo de cada fonte de registo.

Esta secção explica como funciona a camada de comportamentos da UEBA, como ativar a camada de comportamentos e como usar comportamentos para melhorar as operações de segurança.

Veja o webinar de comportamentos UEBA para obter uma descrição geral e demonstração completas da camada de comportamentos UEBA.

Como funciona a camada de comportamentos UEBA

Os comportamentos fazem parte das capacidades ueBA (User and Entity Behavior Analytics) do Microsoft Sentinel, fornecendo resumos de atividade normalizados e contextualizados que complementam a deteção de anomalias e enriquecem as investigações.

Comparar comportamentos, anomalias e alertas

A tabela seguinte mostra como os comportamentos diferem de anomalias e alertas:

O Microsoft Sentinel também pode adicionar insights de anomalias diretamente aos registos de comportamento, incluindo atividade vista pela primeira vez, volumes comportamentais invulgarmente elevados, valores incomuns e correspondências de inteligência de ameaças. Para mais informações, consulte Investigar anomalias nos comportamentos da UEBA.

Tipos de comportamento e registos

Quando ativa a camada de comportamentos UEBA, o Microsoft Sentinel processa os registos de segurança suportados que recolhe na sua área de trabalho do Sentinel quase em tempo real e resume dois tipos de padrões de comportamento:

A camada de comportamentos da UEBA resume os comportamentos em intervalos de tempo adaptados e específicos à lógica de cada comportamento, criando registos de comportamento imediatamente quando a camada de comportamentos da UEBA identifica padrões ou quando as janelas de tempo se fecham.

Cada registo de comportamento inclui:

• Uma descrição simples e contextual: uma explicação em linguagem natural do que aconteceu em termos relevantes para a segurança - por exemplo, quem fez o quê a quem e por que é importante.
• Esquema unificado e referências aos registos não processados subjacentes: todos os comportamentos utilizam uma estrutura de dados consistente em diferentes produtos e tipos de registo, pelo que os analistas não precisam de traduzir diferentes formatos de registo ou de associar tabelas de elevado volume.
• Mapeamento MITRE ATT&CK: Todos os comportamentos estão identificados com táticas e técnicas MITRE relevantes, fornecendo, de imediato, contexto padrão do setor. Não se vê apenas o que aconteceu, mas também como se encaixa numa estrutura de ataque ou linha cronológica.
• Mapeamento de relações entre entidades: cada comportamento identifica entidades envolvidas (utilizadores, anfitriões, endereços IP) e as respetivas funções (ator, destino ou outro).

A camada de abstração de comportamentos

O seguinte diagrama de fluxo de dados mostra como a camada de comportamentos da UEBA transforma registos brutos em registos estruturados que melhoram as operações de segurança:

Armazenamento de comportamentos e tabelas

A camada de comportamentos UEBA armazena registos de comportamento em dois tipos de tabelas:

• Uma tabela de informações de comportamento , que contém o título de comportamento, descrição, mapeamentos MITRE, categorias e ligações para registos não processados e
• Uma tabela de entidades relacionadas com o comportamento , que lista todas as entidades envolvidas no comportamento e nas respetivas funções.

As tabelas de informação comportamental e entidades relacionadas com o comportamento integram-se perfeitamente com os seus fluxos de trabalho existentes para regras de deteção, investigações e análise de incidentes. Processam todos os tipos de atividade de segurança , não apenas eventos suspeitos, e fornecem visibilidade abrangente sobre padrões de comportamento normais e anómalos.

Para obter informações sobre como utilizar tabelas de comportamentos, veja Melhores práticas e sugestões de resolução de problemas para comportamentos de consulta.

Casos de utilização e exemplos

Os exemplos seguintes mostram como analistas, caçadores e engenheiros de deteção podem usar comportamentos durante investigações, caças e criação de alertas.

Investigação e enriquecimento de incidentes

Os comportamentos dão aos analistas do SOC uma compreensão imediata do que aconteceu em torno de um alerta, sem terem de alternar entre várias tabelas de registos em bruto.

• Fluxo de trabalho sem comportamentos: Muitas vezes, os analistas precisam de reconstruir as linhas cronológicas manualmente ao consultar tabelas específicas de eventos e coser resultados em conjunto.

  Exemplo: um alerta é acionado numa atividade suspeita do AWS. O analista consulta a tabela AWSCloudTrail e depois passa para os dados da firewall para compreender o que o utilizador ou o host fez. Isto requer conhecimento de cada esquema e a triagem lenta.

• Fluxo de trabalho com comportamentos: A camada de comportamentos UEBA agrega automaticamente eventos relacionados em entradas de comportamento que podem ser anexadas a um incidente ou consultadas a pedido.

  Exemplo: Um alerta indica uma possível exfiltração de credenciais. Na tabela BehaviorInfo, o analista vê o comportamento Acesso em massa suspeito a segredos através do AWS IAM por User123 associado à Técnica MITRE T1552 (Credenciais Não Protegidas). A camada de comportamentos UEBA gerou este comportamento ao agregar 20 entradas de registo do AWS. O analista compreende imediatamente que o Utilizador123 acedeu a muitos segredos – contexto crucial para escalar o incidente – sem rever manualmente todas as 20 entradas de registo.

Investigação de ameaças

Os comportamentos permitem que os caçadores procurem TTPs e resumos de atividade, em vez de escreverem associações complexas ou normalizarem os registos não processados sozinhos.

• Fluxo de trabalho sem comportamentos: As investigações requerem consultas KQL complexas, junções de tabelas e familiaridade com o formato de cada origem de dados. A atividade importante pode estar enterrada em grandes conjuntos de dados com pouco contexto de segurança incorporado.

  Exemplo: Procurar sinais de reconhecimento pode exigir a análise separada de AWSCloudTrail eventos e de certos padrões de ligação à firewall. O contexto existe principalmente em incidentes e alertas, dificultando a investigação proativa.

• Fluxo de trabalho com comportamentos: Os comportamentos são normalizados, enriquecidos e mapeados para táticas e técnicas MITRE. Os caçadores podem procurar padrões significativos sem depender do esquema de cada origem.

  Um caçador pode filtrar a tabela BehaviorInfo por tática (Categories), técnica, título ou entidade. Por exemplo:

  BehaviorInfo 
  | where Categories has "Discovery" 
  | summarize count() by Title 
  

  Os caçadores também podem:

  • Identifique comportamentos raros ao utilizar count distinct no Title campo.
  • Explore um tipo de comportamento interessante, identifique as entidades envolvidas e investigue mais aprofundadamente.
  • Aceda aos registos brutos utilizando as colunas BehaviorId e AdditionalFields, que frequentemente fazem referência aos registos brutos subjacentes.

  Exemplo: Um caçador que procura acesso furtivo a credenciais consulta comportamentos com "enumerar credenciais" na coluna Title. Os resultados devolvem algumas ocorrências de "Tentativa de extração de credenciais do Vault pelo utilizador AdminJoe" (derivadas dos registos CyberArk). Embora os alertas não tenham sido acionados, este comportamento é incomum no AdminJoe e motiva uma investigação mais aprofundada — algo difícil de detetar nos registos de auditoria detalhados do Vault.

  Os caçadores também podem caçar das seguintes formas:

  • Tática MITRE:

    // Find behaviors by MITRE tactic
    BehaviorInfo
    | where Categories == "Lateral Movement"
    

  • Técnica:

    // Find behaviors by MITRE technique
    BehaviorInfo
    | where AttackTechniques has "T1078" // Valid Accounts
    | extend AF = parse_json(AdditionalFields)
    | extend TableName = tostring(AF.TableName)
    | project TimeGenerated, Title, Description, TableName
    

  • Utilizador específico — juntar registos de comportamento com dados de entidades para listar os comportamentos de um utilizador específico nos últimos 7 dias, mostrando o carimbo temporal, título, descrição e categoria de cada comportamento:

    // Find all behaviors for a specific user over last 7 days
    BehaviorInfo
    | join kind=inner BehaviorEntities on BehaviorId
    | where TimeGenerated >= ago(7d)
    | where EntityType == "User" and AccountUpn == "user@domain.com"
    | project TimeGenerated, Title, Description, Categories
    | order by TimeGenerated desc
    

  • Comportamentos raros (potenciais anomalias):

    // Find rare behaviors (potential anomalies)
    BehaviorInfo
    | where TimeGenerated >= ago(30d)
    | summarize Count=count() by Title
    | where Count < 5 // Behaviors seen less than 5 times
    | order by Count asc
    

Alertas e automatização

Os comportamentos simplificam a lógica das regras ao fornecer sinais normalizados e de alta qualidade com contexto incorporado e permitem novas possibilidades de correlação.

• Fluxo de trabalho sem comportamentos: As regras de correlação entre origens são complexas porque cada formato de registo é diferente. Geralmente, as regras requerem:

  • Lógica de normalização
  • Condições específicas do esquema
  • Várias regras separadas
  • Confiar em alertas em vez de atividade não processada

  A automatização também pode ser acionada com demasiada frequência se for impulsionada por eventos de baixo nível.

• Fluxo de trabalho com comportamentos: Os comportamentos já agregam eventos relacionados e incluem mapeamentos MITRE, funções de entidade e esquemas consistentes, para que os engenheiros de deteção possam criar regras de deteção mais simples e claras.

  Exemplo: Para alertar para um potencial comprometimento de chave e uma sequência de escalada de privilégios, um engenheiro de deteção cria uma regra de deteção com esta lógica: "Gerar um alerta se um utilizador tiver um comportamento de 'Criação de uma nova chave de acesso da AWS' seguido de um comportamento de 'Elevação de privilégios na AWS' no prazo de 1 hora."

  Sem a camada de comportamentos UEBA, esta regra exigiria juntar eventos não processados AWSCloudTrail e interpretá-los na lógica da regra. Com os comportamentos, é simples e resiliente registar alterações ao esquema porque o esquema está unificado.

  Os comportamentos também servem como acionadores fiáveis para automatização. Em vez de criar alertas para atividades não arriscadas, utilize comportamentos para acionar a automatização, por exemplo, para enviar um e-mail ou iniciar a verificação.

Origens e comportamentos de dados suportados

A lista de origens de dados e fornecedores ou serviços suportados que enviam registos para estas origens de dados está a evoluir. A camada de comportamentos UEBA agrega automaticamente as informações de todos os fornecedores suportados com base nos registos que recolhe.

A camada de comportamentos UEBA concentra-se atualmente nestas origens de dados que não são da Microsoft que tradicionalmente carecem de contexto comportamental fácil no Microsoft Sentinel:

¹CommonSecurityLog pode conter registos de muitos fornecedores. A camada de comportamentos UEBA só gera comportamentos para fornecedores e tipos de registo suportados. Se a tabela receber registos de um fornecedor não suportado, não verá nenhum comportamento, mesmo que a origem de dados esteja ligada.

Pré-requisitos

Para utilizar a camada de comportamentos UEBA, precisa de:

• Um espaço de trabalho do Microsoft Sentinel integrado no portal do Defender.
• Ligue-se e envie ativamente registos de pelo menos uma fonte de dados suportada para o nível de Analytics. A camada de comportamentos UEBA só gera comportamentos quando as fontes de dados suportadas estão ligadas e a enviar registos ativamente. Para obter mais informações sobre camadas de dados, veja Gerir camadas de dados e retenção no Microsoft Sentinel.

Permissões necessárias

Para ativar e utilizar a camada de comportamentos UEBA, precisa destas permissões:

Para obter mais informações sobre o RBAC unificado no portal do Defender, veja Microsoft Defender XDR Controlo de acesso baseado em funções (RBAC) unificado.

Ativar a camada de comportamentos UEBA

Para começar a agregar comportamentos UEBA, certifique-se de que liga pelo menos uma origem de dados suportada. A camada de comportamentos UEBA só agrega comportamentos quando as origens de dados suportadas estão ligadas e enviam ativamente registos para a camada Análise.

Para ativar a camada de comportamentos UEBA na área de trabalho:

1. No portal Defender, selecione Definições > Microsoft Sentinel > UEBA.

2. Selecione Novo! Camada de comportamentos.

3. Ative a camada de comportamentos.

4. Selecione Ligar todas as origens de dados ou selecione as origens de dados específicas na lista.

   Se ainda não tiver ligado origens de dados suportadas à área de trabalho Sentinel, selecione Aceder ao Hub de Conteúdos para localizar e ligar os conectores relevantes.

   

5. Selecione Ligar.

Modelo de preços

A utilização da camada de comportamentos UEBA resulta nos seguintes custos:

• Sem custos adicionais de licença: Os comportamentos são incluídos como parte do Microsoft Sentinel. Não necessita de um SKU separado, de um add-on do UEBA nem de licenciamento adicional. Se o seu espaço de trabalho estiver ligado ao Sentinel e integrado no portal do Defender, pode utilizar comportamentos sem custos adicionais de funcionalidade.

• Custos de ingestão de dados de registo: Os registos de comportamento são armazenados nas tabelas SentinelBehaviorInfo e SentinelBehaviorEntities na sua área de trabalho do Sentinel. Cada comportamento contribui para o volume de ingestão de dados do seu espaço de trabalho e é cobrado de acordo com a taxa de ingestão atualmente aplicada ao Log Analytics/Sentinel. Os comportamentos são cumulativos — não substituem os seus registos brutos existentes.

Melhores práticas e sugestões de resolução de problemas para comportamentos de consulta

A orientação seguinte explica como consultar comportamentos tanto do portal Defender como do seu espaço de trabalho Sentinel. Embora os esquemas sejam idênticos, o âmbito de dados difere:

• No portal do Defender, as tabelas de comportamentos incluem comportamentos UEBA e comportamentos de serviços Defender conectados, como o Microsoft Defender for Cloud Apps e o Microsoft Defender para a Cloud.
• Na área de trabalho Sentinel, as tabelas de comportamento incluem apenas comportamentos UEBA gerados a partir de registos ingeridos nessa área de trabalho específica.

A tabela seguinte lista quais as tabelas de comportamento a usar em cada ambiente:

Para obter exemplos mais práticos de utilização de comportamentos, veja Casos de utilização e exemplos.

Para obter mais informações sobre Linguagem de Pesquisa Kusto (KQL), veja Descrição geral da linguagem de consulta Kusto.

• Filtrar por comportamentos UEBA no portal do Defender

  As tabelas BehaviorInfo e BehaviorEntities incluem todos os comportamentos UEBA e também podem incluir comportamentos de serviços do Microsoft Defender.

  Para filtrar os comportamentos da camada de comportamentos UEBA do Microsoft Sentinel, utilize a coluna ServiceSource. Por exemplo:

  BehaviorInfo
  | where ServiceSource == "Microsoft Sentinel"
  

  

• Aprofundar dos comportamentos aos registos brutos

  Utilize a coluna AdditionalFields em BehaviorInfo, que contém referências aos IDs de evento originais no campo SupportingEvidence.

  

  Execute uma consulta no valor do SupportingEvidence campo para localizar os registos não processados que contribuíram para um comportamento.

  

• Unir BehaviorInfo e BehaviorEntities

  Utilize o BehaviorId campo para associar BehaviorInfo com BehaviorEntities.

  A consulta seguinte junta-se BehaviorInfo a para BehaviorEntities enriquecer registos de comportamento do último dia com detalhes relacionados da entidade, para que possa ver cada comportamento juntamente com os utilizadores, hosts ou endereços IP envolvidos durante uma investigação:

  BehaviorInfo
  | join kind=inner BehaviorEntities on BehaviorId
  | where TimeGenerated >= ago(1d)
  | project TimeGenerated, Title, Description, EntityType, EntityRole, AccountUpn
  

  Isto dá-lhe cada comportamento e cada entidade envolvida no mesmo. O AccountUpn ou as informações de identificação da entidade encontram-se em BehaviorEntities, ao passo que BehaviorInfo pode referir-se a "Utilizador" ou "Host" no texto.

• Monitorizar a ingestão de dados de comportamento

  Para monitorizar a ingestão de dados de comportamento, consulte a Usage tabela para obter entradas relacionadas com SentinelBehaviorInfo e SentinelBehaviorEntities.

• Criar automação, livros de trabalho e regras de deteção com base no comportamento

  • Utilize a BehaviorInfo tabela como origem de dados para regras de deteção ou manuais de procedimentos de automatização no portal do Defender. Por exemplo, crie uma regra de consulta agendada que acione quando é apresentado um comportamento específico.
  • Para livros do Azure Monitor e quaisquer artefactos criados diretamente no seu espaço de trabalho do Sentinel, certifique-se de que consulta as tabelas SentinelBehaviorInfo e SentinelBehaviorEntities no seu espaço de trabalho do Sentinel.

Resolução de Problemas

Utilize as seguintes sugestões para resolver problemas comuns relacionados com os comportamentos da UEBA.

• Se não estiverem a ser gerados comportamentos: certifique-se de que as origens de dados suportadas estão a enviar ativamente registos para a camada Análise, confirme que o botão de alternar da origem de dados está ativado e aguarde 15 a 30 minutos após a ativação.
• Vejo menos comportamentos do que o esperado: a nossa cobertura de tipos de comportamento suportados é parcial e crescente. Para obter mais informações, veja Origens e comportamentos de dados suportados. A camada de comportamentos UEBA também poderá não conseguir detetar um padrão de comportamento se existirem muito poucas instâncias de um tipo de comportamento específico.
• Contagens de comportamento: um único comportamento pode representar dezenas ou centenas de eventos não processados, o que foi concebido para reduzir o ruído.

Limitações

Estas limitações aplicam-se atualmente à camada de comportamentos UEBA:

• Pode ativar os comportamentos numa única área de trabalho do Sentinel por locatário.
• A camada de comportamentos UEBA gera comportamentos para um conjunto limitado de origens de dados e fornecedores ou serviços suportados.
• A camada de comportamentos UEBA não captura atualmente todas as técnicas de ataque ou ação possíveis, mesmo para origens suportadas. Alguns eventos podem não produzir comportamentos correspondentes. Não suponha que a ausência de um comportamento significa que não ocorreu nenhuma atividade. Reveja sempre os registos não processados se suspeitar que algo pode estar em falta.
• Os comportamentos visam reduzir o ruído ao agregar e sequenciar eventos, mas ainda poderá ver demasiados registos de comportamento. Agradecemos o seu feedback sobre tipos de comportamento específicos para ajudar a melhorar a cobertura e a relevância.
• Os comportamentos não são alertas ou anomalias. São observações neutras, não classificadas como maliciosas ou benignas. A presença de um comportamento significa "isto aconteceu", não "isto é uma ameaça". A deteção de anomalias permanece separada no UEBA. Utilize o julgamento ou combine comportamentos com dados de anomalias UEBA para identificar padrões notáveis.