Povolení analýzy chování uživatelů a entit (UEBA) v Microsoft Sentinel

  • Platí pro: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Analýza chování uživatelů a entit (UEBA) v Microsoft Sentinel analyzuje protokoly a výstrahy z připojených zdrojů dat a vytváří základní profily chování entit vaší organizace, jako jsou uživatelé, hostitelé, IP adresy a aplikace. Pomocí strojového učení identifikuje rozhraní UEBA neobvyklou aktivitu, která může indikovat ohrožený prostředek.

UEBA můžete povolit a nakonfigurovat zdroje dat přímo na kartě UEBA. Viz Access UEBA na kartě UEBA.

Tento článek vysvětluje, jak povolit UEBA a nakonfigurovat zdroje dat z nastavení Microsoft Sentinel pracovního prostoru a z podporovaných datových konektorů. Než začnete, prostudujte si sekci Předpoklady pro požadované role a oprávnění.

Další informace o rozhraní UEBA najdete v tématu Identifikace hrozeb pomocí analýzy chování entit.

Poznámka

Informace o dostupnosti funkcí v cloudech státní správy USA najdete v tabulkách Microsoft Sentinel v tématu Dostupnost cloudových funkcí pro zákazníky státní správy USA.

Důležité

Po 31. březnu 2027 už se Microsoft Sentinel nebudou v Azure Portal podporovat a budou dostupné jenom na portálu Microsoft Defender. Všichni zákazníci používající Microsoft Sentinel v Azure Portal budou přesměrováni na portál Defender a budou používat Microsoft Sentinel jenom na portálu Defender.

Pokud v Azure Portal stále používáte Microsoft Sentinel, doporučujeme začít plánovat přechod na portál Defender, abyste zajistili hladký přechod a plně využili jednotné prostředí operací zabezpečení, které nabízí Microsoft Defender.

Požadavky

Povolení nebo zakázání analýzy chování uživatelů a entit (UEBA) (pro použití UEBA se nevyžadují tyto požadavky):

  • Váš uživatel musí mít ve vašem tenantovi přiřazenou roli Microsoft Entra ID Security Administrator nebo ekvivalentní oprávnění.

  • Uživatel musí mít přiřazenou alespoň jednu z následujících rolí Azure (Azure RBAC):

    • Vlastník na úrovni skupiny prostředků nebo na vyšší úrovni.
    • Přispěvatel na úrovni skupiny prostředků nebo na vyšší úrovni.
    • (Nejnižší úroveň oprávnění) Microsoft Sentinel Contributor na úrovni pracovního prostoru nebo vyšší a Log Analytics Contributor na úrovni skupiny prostředků nebo vyšší.

  • Váš pracovní prostor nesmí mít na sobě použité žádné zámky prostředků Azure. Další informace najdete v tématu uzamčení prostředků Azure.

Poznámka

  • K přidání funkcí UEBA do Microsoft Sentinel se nevyžaduje žádná speciální licence a za její používání se nenákladí žádné další náklady.
  • Vzhledem k tomu, že rozhraní UEBA generuje nová data a ukládá je do nových tabulek, které UEBA vytvoří ve vašem pracovním prostoru služby Log Analytics, účtují se další poplatky za úložiště dat .

Přístup k UEBA z karty UEBA

Pokud se chcete dostat na stránku konfigurace chování entit :

  1. V navigační nabídce Microsoft Defender portálu vyberteNastavení>systému>Microsoft Sentinel.
  2. Vyberte kartu UEBA .

Snímek karty UEBA.

Konfigurace UEBA

Pokud chcete nakonfigurovat UEBA na stránce konfigurace chování entity , proveďte následující kroky:

  1. Na stránce Konfigurace chování entit zapněte možnost Zapnout funkci UEBA.

    Snímek obrazovky s nastavením konfigurace UEBA

  2. Vyberte adresářové služby, ze kterých chcete synchronizovat entity uživatelů s Microsoft Sentinel.

    • služba Active Directory místně
    • Microsoft Entra ID

    Pokud chcete synchronizovat entity uživatelů z místní služby služba Active Directory, musíte připojit svého tenanta Azure k Microsoft Defender for Identity (buď samostatně, nebo jako součást Microsoft Defender XDR) a na řadiči domény služby služba Active Directory musíte mít nainstalovaný senzor MDI. Další informace najdete v tématu požadavky Microsoft Defender for Identity.

  3. Vyberte Připojit všechny zdroje dat a připojte všechny oprávněné zdroje dat nebo vyberte konkrétní zdroje dat ze seznamu.

    Tyto zdroje dat můžete povolit jenom z portálů Defender a Azure:

    • Protokoly přihlášení
    • Protokoly auditu
    • Aktivita Azure
    • Události zabezpečení

    Tyto zdroje dat můžete povolit jenom na portálu Defender:

    • Protokoly přihlášení spravované identity AAD (Microsoft Entra ID)
    • Protokoly přihlášení instančních objektů služby AAD (Microsoft Entra ID)
    • AWS CloudTrail
    • Amazon GuardDuty
    • CommonSecurityLog pro podporované akce Check Point, Fortinet a Zscaler
    • Události přihlášení k zařízení
    • Okta CL
    • Protokoly auditu GCP

    UEBA analyzuje identifikační signály a podporované síťové a cloudové signály. Pro autoritativní seznam zdrojů, požadované tabulky, podporované logy dodavatelů a požadavky polí viz referenční stránka Microsoft Sentinel UEBA. Pro podrobnosti o anomáliích viz anomálie UEBA.

    Poznámka

    Po povolení UEBA můžete povolit podporované zdroje dat pro UEBA přímo z podokna datového konektoru nebo na stránce Nastavení portálu Defender.

  4. Vyberte Připojit.

  5. Povolení detekce anomálií v pracovním prostoru Microsoft Sentinel:

    1. V navigační nabídce Microsoft Defender portálu vyberte Nastavení>Microsoft Sentinel>SIEM pracovní prostory.
    2. Vyberte pracovní prostor, který chcete nakonfigurovat.
    3. Na stránce konfigurace pracovního prostoru vyberte Anomálie a zapněte možnost Zjistit anomálie.

    Data o vyšetřování a lovu od UEBA jsou dostupná v tabulkách jako BehaviorAnalytics a .BehaviorInfo Pro schémata tabulek a pokyny k používání viz Microsoft Sentinel UEBA reference a Translate raw security logs na behaviorální poznatky pomocí chování UEBA.

Instalace řešení UEBA Essentials (volitelné)

Řešení UEBA Essentials je kolekce desítek předem připravených proaktivních dotazů kurátorovaných a spravovaných odborníky na zabezpečení Microsoftu. Řešení zahrnuje dotazy na detekci multicloudových anomálií napříč Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP) a Okta.

Nainstalujte řešení, abyste mohli rychle začít s proaktivního vyhledáváním hrozeb a vyšetřováním s využitím dat UEBA, místo abyste tyto možnosti detekce vytvářeli úplně od začátku.

Další informace najdete v tématu Instalace nebo aktualizace řešení Microsoft Sentinel.

Povolení vrstvy chování UEBA

Vrstva chování UEBA generuje obohacené souhrny aktivit pozorovaných ve více zdrojích dat. Na rozdíl od upozornění nebo anomálií chování nemusí nutně znamenat riziko. Vytvářejí abstrakční vrstvu, která optimalizuje vaše data pro vyšetřování, vyhledávání a detekci tím, že zlepšuje jasnost, kontext a korelaci. Záznamy o chování mohou také zahrnovat poznatky o anomáliích a kontextové obohacení spojené s danou aktivitou.

Další informace o vrstvě chování UEBA a jejím povolení najdete v tématu Povolení vrstvy chování UEBA v Microsoft Sentinel.

  • Last updated on