Microsoft Sentinel UEBA 參考

本參考文章列出 Microsoft Sentinel 中使用者和實體行為分析服務的輸入數據源。 它也會描述 UEBA 新增至實體的擴充，以提供警示和事件所需的內容。

UEBA 數據源

這些是 UEBA 引擎收集和分析數據的數據源，用來定型 ML 模型，併為使用者、裝置和其他實體設定行為基準。 然後，UEBA 會查看來自這些來源的數據，以尋找異常和擷取見解。

UEBA 擴充

本節說明 UEBA 新增至 Microsoft Sentinel 實體的擴充，以及其所有詳細數據，可讓您用來專注並強化安全性事件調查。 這些擴充會顯示在 實體頁面上 ，可以在下列Log Analytics資料表中找到，其內容和架構如下所列：

• BehaviorAnalytics 數據表是 UEBA 輸出資訊的儲存位置。

  下列來自 BehaviorAnalytics 數據表的三個動態欄位會在下列實體擴充動態欄位一節中說明。

  • UsersInsights 和 DevicesInsights 字段包含 Active Directory /Microsoft Entra ID 和 Microsoft Threat Intelligence 來源的實體資訊。

  • ActivityInsights 字段會根據 Microsoft Sentinel 實體行為分析所建立的行為配置檔，包含實體資訊。

    用戶活動會根據每次使用時動態編譯的基準進行分析。 每個活動都有其定義的回溯期間，動態基準是從中衍生而來。 回溯期間是在下表的 [比較基準] 數據行中指定。

• IdentityInfo 數據表是將身分識別資訊從 Microsoft Entra ID 同步處理至 UEBA 的位置（以及透過 適用於身分識別的 Microsoft Defender 從 內部部署的 Active Directory 進行儲存。

BehaviorAnalytics 數據表

下表描述 Microsoft Sentinel 中每個 實體詳細數據頁面上 顯示的行為分析數據。

實體擴充動態欄位

UsersInsights 欄位

下表描述 BehaviorAnalytics 數據表中 UsersInsights 動態字段中精選的擴充：

DevicesInsights 欄位

下表描述 BehaviorAnalytics 數據表中 DevicesInsights 動態字段中精選的擴充：

ActivityInsights 欄位

下表描述 BehaviorAnalytics 數據表中 ActivityInsights 動態字段中精選的擴充：

執行動作

使用的應用程式

使用的瀏覽器

從連線的國家/地區

用來連線的裝置

其他裝置相關

用來連線的因特網服務提供者

資源已存取

其他

IdentityInfo 數據表

為 Microsoft Sentinel 工作區啟用 UEBA 之後，Microsoft Entra ID 中的數據會同步處理至 Log Analytics 中的 IdentityInfo 數據表，以用於 Microsoft Sentinel。 您可以在分析規則中內嵌從 Microsoft Entra ID 同步處理的用戶數據，以增強分析以符合使用案例並減少誤判。

雖然初始同步處理可能需要幾天的時間，但一旦數據完全同步處理：

• Microsoft Entra ID 中對使用者配置檔所做的變更會在 15 分鐘內在 IdentityInfo 數據表中更新。

• 群組和角色資訊會在 IdentityInfo 數據表與 Microsoft Entra ID 之間每日同步處理。

• 每 14 天，Microsoft Sentinel 會重新與您的整個 Microsoft Entra 標識符同步處理，以確保過時的記錄已完整更新。

• IdentityInfo 數據表中的預設保留時間是 30 天。

下表描述 log Analytics Azure 入口網站 中 IdentityInfo 數據表中包含的使用者身分識別數據。 第四欄會顯示 Microsoft Sentinel 在 Defender 入口網站中使用的數據表進 階搜捕 版本中對應的欄位。 粗體中的功能變數名稱在進階搜捕架構中的名稱與 Microsoft Sentinel Log Analytics 版本中的名稱不同。

下一步

本文件說明 Microsoft Sentinel 實體行為分析數據表架構。

• 深入瞭解 實體行為分析。
• 在 Microsoft Sentinel 中啟用 UEBA。
• 將 UEBA 用於 您的調查。