Habilitación de Análisis de comportamiento de usuarios y entidades (UEBA) en Microsoft Sentinel

  • Se aplica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

User and Entity Behavior Analytics (UEBA) en Microsoft Sentinel analiza registros y alertas de orígenes de datos conectados para crear perfiles de comportamiento de línea base de las entidades de la organización, como usuarios, hosts, direcciones IP y aplicaciones. Mediante el aprendizaje automático, UEBA identifica la actividad anómala que podría indicar un recurso en peligro.

Puede habilitar UEBA y configurar orígenes de datos directamente desde la pestaña UEBA. Consulte Acceso a UEBA desde la pestaña UEBA.

En este artículo se explica cómo habilitar UEBA y configurar orígenes de datos a partir de la configuración del área de trabajo de Microsoft Sentinel y de los conectores de datos admitidos.

Para obtener más información sobre UEBA, consulte Identificación de amenazas con análisis de comportamiento de entidad.

Nota:

Para obtener información sobre la disponibilidad de características en las nubes del Gobierno de EE. UU., consulte las tablas de Microsoft Sentinel en disponibilidad de características en la nube para los clientes de US Government.

Importante

Después del 31 de marzo de 2027, Microsoft Sentinel ya no se admitirá en el Azure Portal y solo estará disponible en el portal de Microsoft Defender. Todos los clientes que usen Microsoft Sentinel en el Azure Portal se redirigirán al portal de Defender y solo usarán Microsoft Sentinel en el portal de Defender.

Si sigue usando Microsoft Sentinel en el Azure Portal, le recomendamos que empiece a planear la transición al portal de Defender para garantizar una transición sin problemas y aprovechar al máximo la experiencia de operaciones de seguridad unificadas que ofrece Microsoft Defender.

Requisitos previos

Para habilitar o deshabilitar el Análisis del comportamiento de usuarios y entidades (UEBA) (estos requisitos previos no son necesarios para usar UEBA):

  • Su usuario debe tener asignado el rol de Microsoft Entra ID Administrador de seguridad en su inquilino o los permisos equivalentes.

  • Al usuario se le debe asignar al menos uno de los siguientes roles de Azure (Azure RBAC):

    • Propietario en el nivel del grupo de recursos o superior.
    • Colaborador en el nivel de grupo de recursos o superior.
    • (Mínimo privilegio) Colaborador de Microsoft Sentinel a nivel del área de trabajo o un nivel superior y Colaborador de Log Analytics a nivel del grupo de recursos o un nivel superior.

  • El área de trabajo no debe tener ningún bloqueo de recursos de Azure aplicado. Para obtener más información, consulte Azure bloqueo de recursos.

Nota:

  • No se requiere ninguna licencia especial para agregar la funcionalidad de UEBA a Microsoft Sentinel y no hay ningún costo adicional por usarla.
  • Sin embargo, dado que UEBA genera nuevos datos y los almacena en tablas nuevas que UEBA crea en el área de trabajo de Log Analytics, se aplican cargos de almacenamiento de datos adicionales .

Acceso a UEBA desde la pestaña UEBA

Para acceder a la página Configuración del comportamiento de la entidad :

  1. En el menú de navegación del portal de Microsoft Defender, seleccioneConfiguración del>sistema>Microsoft Sentinel.
  2. Seleccione la pestaña UEBA .

Captura de pantalla de la pestaña UEBA.

Configuración de UEBA

Para configurar UEBA en la página Configuración del comportamiento de la entidad, siga estos pasos:

  1. En la página Configuración del comportamiento de la entidad, active Activar la característica UEBA.

    Captura de pantalla de la configuración de UEBA.

  2. Seleccione los servicios de directorio desde los que desea sincronizar las entidades de usuario con Microsoft Sentinel.

    • Active Directory local
    • Microsoft Entra ID

    Para sincronizar entidades de usuario desde Active Directory local, debe incorporar su tenant de Azure a Microsoft Defender for Identity (ya sea de forma independiente o como parte de Microsoft Defender XDR) y debe tener instalado el sensor de MDI en el controlador de dominio de Active Directory. Para obtener más información, consulte Microsoft Defender for Identity requisitos previos.

  3. Seleccione Conectar todos los orígenes de datos para conectar todos los orígenes de datos aptos o seleccione orígenes de datos específicos de la lista.

    Solo puede habilitar estos orígenes de datos desde defender y los portales de Azure:

    • Registros de inicio de sesión
    • Registros de auditoría
    • Actividad de Azure
    • Eventos de seguridad

    Puede habilitar estos orígenes de datos solo desde el portal de Defender:

    • Registros de inicio de sesión de identidad administrada de AAD (Microsoft Entra ID)
    • Registros de inicio de sesión de la entidad de servicio de AAD (Microsoft Entra ID)
    • AWS CloudTrail
    • Eventos de inicio de sesión de dispositivo
    • Okta CL
    • Registros de auditoría de GCP

    Para obtener más información sobre los orígenes de datos y las anomalías de UEBA, consulte Microsoft Sentinel referencia de UEBA y anomalías de UEBA.

    Nota:

    Después de habilitar UEBA, puede habilitar los orígenes de datos admitidos para UEBA directamente desde el panel del conector de datos o desde la página Configuración del portal de Defender.

  4. Seleccione Conectar.

  5. Habilite la detección de anomalías en el área de trabajo de Microsoft Sentinel:

    1. En el menú de navegación del portal de Microsoft Defender, seleccione Configuración>Microsoft Sentinel>ÁREAS de trabajo deSIEM.
    2. Seleccione el área de trabajo que desea configurar.
    3. En la página de configuración del área de trabajo, seleccione Anomalías y active Detectar anomalías.

Instalación de la solución UEBA Essentials (opcional)

La solución UEBA Essentials es una colección de docenas de consultas de búsqueda precompiladas curadas y mantenidas por expertos en seguridad de Microsoft. La solución incluye consultas de detección de anomalías multinube en Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP) y Okta.

Instale la solución para empezar a trabajar rápidamente con la búsqueda de amenazas y las investigaciones mediante datos de UEBA, en lugar de compilar estas funcionalidades de detección desde cero.

Para obtener más información, vea Instalar o actualizar soluciones de Microsoft Sentinel.

Habilitación de la capa de comportamientos de UEBA

La capa de comportamientos de UEBA genera resúmenes enriquecidos de la actividad observada en varios orígenes de datos. A diferencia de las alertas o anomalías, los comportamientos no indican necesariamente el riesgo: crean una capa de abstracción que optimiza los datos para las investigaciones, la búsqueda y la detección mediante la mejora de la claridad, el contexto y la correlación.

Para obtener más información sobre la capa de comportamientos de UEBA y cómo habilitarla, consulte Habilitación de la capa de comportamientos de UEBA en Microsoft Sentinel.

Pasos siguientes

Obtenga información sobre cómo investigar anomalías de UEBA y usar datos de UEBA en las investigaciones:

  • Last updated on