Connecter les sources de données à UEBA avec Microsoft 365 E5 (aperçu)

L’analyse du comportement des utilisateurs et des entités (UEBA) analyse l’activité des utilisateurs et d’autres entités afin d’identifier les comportements anormaux et de fournir un contexte supplémentaire pour les enquêtes de sécurité.

UEBA est une capacité optionnelle payante Microsoft Sentinel et n'est pas incluse avec Microsoft 365 E5. Avec Microsoft 365 E5, vous pouvez connecter les sources de données Microsoft Defender XDR compatibles à UEBA sans intégrer les mêmes données de première partie dans Microsoft Sentinel. Vous pouvez également connecter des données tierces éligibles qui sont intégrées dans un espace de travail Microsoft Sentinel.

Vous devez absolument avoir un espace de travail Microsoft Sentinel car les résultats UEBA sont écrits dans son espace de travail Log Analytics associé. Les frais Log Analytics s’appliquent.

Important

Cette avant-première est disponible pour les nouveaux déploiements UEBA et les existants.

Si vous utilisez déjà UEBA avec des données Microsoft Sentinel, vous devez réintégrer UEBA depuis votre espace de travail principal Microsoft Sentinel avant de pouvoir connecter les sources de données Microsoft Defender XDR.

Ce que l’UEBA propose

Après avoir connecté les sources de données prises en charge, vous pouvez utiliser les résultats UEBA pour :

  • Identifier les anomalies et activités inhabituelles dans les données Microsoft Defender XDR.
  • Examinez le contexte des anomalies pour les utilisateurs et autres entités.
  • Examiner les anomalies depuis les pages des entités.
  • Cherchez toute activité suspecte.
  • Créez des règles d’analyse basées sur les résultats de l’UEBA.
  • Consultez les informations de l’UEBA dans des cahiers d’exercices.
  • Analysez les comportements générés à partir de données éligibles de tiers et autres données non liées au XDR.

Prerequisites

Avant de commencer, assurez-vous que :

  • Vous disposez d’un client Microsoft Defender XDR E5.
  • Vous avez intégré Microsoft Sentinel. Pour connecter les sources de données Microsoft Defender XDR, vous devez sélectionner votre espace de travail principal Microsoft Sentinel.
  • Si vous utilisez déjà UEBA avec des données Microsoft Sentinel, vous avez réintégré UEBA depuis votre espace de travail principal Microsoft Sentinel.
  • Vous avez le rôle d’Administrateur Global ou d’Administrateur de la Sécurité dans Microsoft Entra ID.
  • Au moins une synchronisation des services d’annuaire est activée pour Active Directory ou Microsoft Entra ID.
  • Pour les données tierces et autres données non XDR, ces données sont intégrées dans une table éligible de l’espace de travail Microsoft Sentinel où vous souhaitez activer UEBA.

Vous n'avez pas besoin d'intégrer les données supportées de Microsoft Defender XDR dans votre espace de travail Microsoft Sentinel.

Les données tierces peuvent être ingérées via n’importe quelle méthode prise en charge. Un connecteur de données Microsoft Sentinel n'est pas nécessaire si les données sont déjà disponibles dans une table éligible.

Sources de données prises en charge par Microsoft Defender XDR

Vous pouvez connecter les sources de données suivantes pour Microsoft Defender XDR à UEBA :

Source des données affichée dans UEBA Tableau de Microsoft Defender XDR
Journaux de connexion de principal de service AAD EntraIdSpnSignInEvents
Journaux d’audit EntraIdDirectoryAuditEvents
Événements de connexion de l’appareil DeviceLogonEvents
Événements de sécurité DeviceLogonEvents
Journaux de connexion EntraIdSignInEvents

La section Microsoft XDR sources de données montre les sources disponibles pour votre organisation.

Sélectionnez votre espace de travail principal Microsoft Sentinel

  1. Connectez-vous au portail Microsoft Defender.

  2. Accédez à Configuration et paramétrage>Paramètres.

  3. Sélectionnez Microsoft Sentinel.

  4. Sélectionnez UEBA.

  5. Dans l’espace de travail sélectionné en cours, sélectionnez votre espace de travail principal Microsoft Sentinel.

  6. Cliquez sur Appliquer.

Activez UEBA et configurez la synchronisation des services d’annuaire

  1. Connectez-vous au portail Microsoft Defender.

  2. Accédez à Configuration et paramétrage>Paramètres.

  3. Sélectionnez Microsoft Sentinel.

  4. Sélectionnez UEBA.

  5. Activez l’option Activer la fonctionnalité UEBA.

  6. Dans la section Synchronisation des services d’annuaire, activez au moins l’un des services d’annuaire suivants :

    • Active Directory
    • Microsoft Entra ID

  7. Confirmez que le service d’annuaire sélectionné a un statut de Synchronisation activé.

Vous devez activer au moins une synchronisation de services d’annuaire avant de pouvoir connecter les sources de données Microsoft Defender XDR ou Microsoft Sentinel à UEBA. Pour connecter les sources de données Microsoft Defender XDR, vous devez également sélectionner votre espace de travail principal.

Connectez les sources de données Microsoft Defender XDR

Tip

Pour sélectionner et connecter automatiquement toutes les sources de données actuellement éligibles, sélectionnez Connecter les sources de données disponibles dans Paramètres recommandés. Les sources de données nécessitant une configuration supplémentaire sur la page Microsoft Sentinel Data Connectors sont indiquées dans la liste.

  1. Connectez-vous au portail Microsoft Defender.

  2. Accédez à Configuration et paramétrage>Paramètres.

  3. Sélectionnez Microsoft Sentinel.

  4. Sélectionnez UEBA.

  5. Dans la section Synchronisation des services d’annuaire, confirmez qu’au moins un service d’annuaire a le statut de Synchronisation activé.

  6. Dans les sources de données Microsoft XDR, sélectionnez les sources que vous souhaitez que l’UEBA analyse.

    Pour sélectionner toutes les sources disponibles, sélectionnez la case à cocher dans l’en-tête du tableau.

  7. Sélectionnez Se connecter.

  8. Confirmez que chaque source sélectionnée a un statut de Connecté.

    Capture d’écran montrant les paramètres UEBA avec l’espace de travail principal Microsoft Sentinel sélectionné et les sources de données Microsoft XDR disponibles.

Note

Les sources Microsoft Defender XDR sont associées à votre espace de travail principal. Si un autre espace de travail est sélectionné, la section des sources de données Microsoft XDR est désactivée et vous invite à passer à votre espace de travail principal.

Capture d’écran montrant les paramètres UEBA avec un espace de travail secondaire Microsoft Sentinel sélectionné et les sources de données Microsoft XDR désactivées.

La section est également désactivée tant que vous n’activez pas au moins une synchronisation des services d’annuaire.

Déconnecter les sources de données Microsoft Defender XDR

  1. Connectez-vous au portail Microsoft Defender.

  2. Accédez à Configuration et paramétrage>Paramètres.

  3. Sélectionnez Microsoft Sentinel.

  4. Sélectionnez UEBA.

  5. Dans les sources de données Microsoft XDR, sélectionnez les sources de données connectées que vous ne souhaitez plus que UEBA analyse.

  6. Sélectionnez Déconnecter.

  7. Confirmez que chaque source sélectionnée a un statut de Déconnecté.

Connecter des sources de données tierces

Vous pouvez connecter des données tierces éligibles et d’autres données non XDR qui sont ingérées dans une table éligible dans un espace de travail Microsoft Sentinel.

Note

Les sources Microsoft Defender XDR sont mises à disposition en fonction de votre éligibilité à Microsoft 365 E5 et à la préversion. Vous devez toujours sélectionner et connecter les sources que vous souhaitez analyser par UEBA.

Des sources tierces et autres sources non XDR deviennent disponibles après que les données éligibles ont été ingérées dans l’espace de travail Microsoft Sentinel sélectionné. Vous devez connecter ces sources séparément. Les données peuvent être ingérées par n'importe quelle méthode prise en charge ; un connecteur de données Microsoft Sentinel n'est pas nécessaire.

  1. Connectez-vous au portail Microsoft Defender.

  2. Accédez à Configuration et paramétrage>Paramètres.

  3. Sélectionnez Microsoft Sentinel.

  4. Sélectionnez UEBA.

  5. Dans la section Synchronisation des services d’annuaire, confirmez qu’au moins un service d’annuaire a le statut de Synchronisation activé.

  6. Dans les sources de données Microsoft Sentinel, trouvez la source que vous souhaitez connecter.

  7. Si la source n’est pas disponible, confirmez que les données sont ingérées dans une table éligible de l’espace de travail sélectionné.

  8. Sélectionnez la source, puis sélectionnez Connecter.

  9. Confirmez que la source a un statut de Connecté.

Une source reste indisponible lorsque les données ne sont pas ingérées dans une table éligible de l’espace de travail sélectionné.

Consultez les résultats de l’UEBA

Une fois que l’UEBA commence à traiter les données provenant des sources connectées, vous pouvez consulter les informations résultantes sur le portail Microsoft Defender.

Pour les sources Microsoft Defender XDR connectées, UEBA génère des anomalies qui fournissent un contexte supplémentaire aux utilisateurs et autres entités. Vous pouvez utiliser les tableaux suivants pour la chasse et l’enquête :

  • BehaviorAnalytics
  • Anomalies

Pour les sources de données tierces et autres sources non XDR éligibles, les enregistrements de comportement sont disponibles dans :

  • BehaviorInfo
  • BehaviorEntities

Utilisez ces résultats pour enquêter sur des activités suspectes, examiner le contexte de l’entité, rechercher les menaces et créer des règles d’analyse.

Les résultats UEBA sont écrits dans l’espace de travail Log Analytics associé à l’espace de travail Microsoft Sentinel où UEBA est activé. Les frais Log Analytics s’appliquent.

Limitations

Les limitations suivantes s’appliquent à la préversion .

  • Les sources de données Microsoft Defender XDR ne peuvent être connectées qu’à partir de votre espace de travail principal Microsoft Sentinel.
  • La section des sources de données Microsoft XDR est désactivée lorsqu’un autre espace de travail est sélectionné.
  • Au moins une synchronisation des services d’annuaire pour Active Directory ou Microsoft Entra ID doit être activée.
  • Seules les sources de données Microsoft Defender XDR prises en charge listées dans cet article peuvent être connectées directement via cette expérience.
  • Les données de sortie UEBA sont consignées dans Log Analytics, et les frais associés à Log Analytics s’appliquent.
  • Les données de première partie qui ne sont pas disponibles via une table Microsoft Defender XDR prise en charge doivent toujours être intégrées dans Microsoft Sentinel.
  • Les données tierces et autres données non XDR doivent être intégrées dans une table éligible avant de pouvoir les connecter à UEBA.
  • Dernière mise à jour :