Sumber data dan pengayaan skema Analitik Perilaku Pengguna dan Entitas Microsoft Sentinel (UEBA)

  • Berlaku untuk: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Artikel ini mencantumkan sumber data input untuk layanan Analitik Perilaku Pengguna dan Entitas di Microsoft Azure Sentinel. Ini juga menjelaskan pengayaan yang ditambahkan UEBA ke entitas, memberikan konteks yang diperlukan untuk pemberitahuan dan insiden.

Penting

Setelah 31 Maret 2027, Microsoft Sentinel tidak akan lagi didukung di portal Microsoft Azure dan hanya akan tersedia di portal Pertahanan Microsoft. Semua pelanggan yang menggunakan Microsoft Sentinel di portal Microsoft Azure akan dialihkan ke portal Defender dan hanya akan menggunakan Microsoft Sentinel di portal Defender.

Jika Anda masih menggunakan Microsoft Sentinel di portal Microsoft Azure, kami sarankan Anda mulai merencanakan transisi ke portal Defender untuk memastikan transisi yang lancar dan memanfaatkan sepenuhnya pengalaman operasi keamanan terpadu yang ditawarkan oleh Pertahanan Microsoft.

Sumber data UEBA

Ini adalah sumber data tempat mesin UEBA mengumpulkan dan menganalisis data untuk melatih model ML-nya dan mengatur garis besar perilaku untuk pengguna, perangkat, dan entitas lainnya. UEBA kemudian melihat data dari sumber-sumber ini untuk menemukan anomali dan wawasan glean.

Sumber data Connector Tabel Analitik Log Kategori peristiwa yang dianalisis
Log masuk identitas terkelola AAD (Pratinjau) Microsoft Entra ID AADManagedIdentitySignInLogs Semua peristiwa masuk identitas terkelola
Log masuk perwakilan layanan AAD (Pratinjau) Microsoft Entra ID AADServicePrincipalSignInLogs Semua peristiwa masuk perwakilan layanan
Log Audit Microsoft Entra ID AuditLogs PengelolaanAplikasi
PengelolaanDirektori
PengelolaanGrup
Device
Pengelolaan Peran
UserManagementCategory
AWS CloudTrail (Pratinjau) Amazon Web Services
Amazon Web Services S3		 AWSCloudTrail Peristiwa masuk konsol.
Diidentifikasi oleh EventName = "ConsoleLogin" dan EventSource = "signin.amazonaws.com". Peristiwa harus memiliki UserIdentityPrincipalId.
AWS GuardDuty (Pratinjau) Amazon Web Services S3 AWSGuardDuty Temuan AWS GuardDuty terkait identitas AWS. Peristiwa harus memiliki field , ActivityType, dan AccountId yang validResourceDetails, termasuk .accessKeyDetails.principalId
Aktivitas Azure Aktivitas Azure AzureActivity Authorization
AzureActiveDirectory
Billing
Compute
Konsumsi
KeyVault
Perangkat
Network
Resources
Intune
Logic
Sql
Storage
Peristiwa Masuk Perangkat (Pratinjau) Microsoft Defender XDR DeviceLogonEvents Semua peristiwa masuk perangkat
Log Audit GCP (Pratinjau) Log Pemeriksaan GCP Pub/Sub GCPAuditLogs apigee.googleapis.com - Platform API Management
iam.googleapis.com - Layanan Manajemen Identitas dan Akses (IAM)
iamcredentials.googleapis.com - API Kredensial Akun Layanan IAM
cloudresourcemanager.googleapis.com - API Cloud Resource Manager
compute.googleapis.com - API Mesin Komputasi
storage.googleapis.com - API Cloud Storage
container.googleapis.com - API Mesin Kubernetes
k8s.io - API Kubernetes
cloudsql.googleapis.com - API SQL Cloud
bigquery.googleapis.com - BIGQuery API
bigquerydatatransfer.googleapis.com - API Layanan Transfer Data BigQuery
cloudfunctions.googleapis.com - API Cloud Functions
appengine.googleapis.com - API App Engine
dns.googleapis.com - API DNS Cloud
bigquerydatapolicy.googleapis.com - API Kebijakan Data BigQuery
firestore.googleapis.com - API Firestore
dataproc.googleapis.com - API Dataproc
osconfig.googleapis.com - API Konfigurasi OS
cloudkms.googleapis.com - CLOUD KMS API
secretmanager.googleapis.com - SECRET Manager API
Peristiwa harus memiliki:
- PrincipalEmail - Pengguna atau akun layanan yang memanggil API
- MethodName - Metode Google API tertentu yang disebut
- Email utama, dalam user@domain.com format.
Okta CL (Pratinjau) Okta Single Sign-On (menggunakan Azure Functions) Okta_CL, OktaV2_CL Autentikasi, autentikasi multifaktor (MFA), dan peristiwa sesi, termasuk:
app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.deactivate
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify
user.session.impersonation.grant
user.session.impersonation.initiate
user.session.start
Peristiwa harus memiliki ID Pengguna yang valid (actor_id_s).
Peristiwa Keamanan Peristiwa Keamanan Windows melalui AMA
Peristiwa Windows yang Diteruskan		 WindowsEvent
SecurityEvent		 4624: Akun berhasil masuk
4625: Akun gagal masuk
4648: Masuk dicoba menggunakan kredensial eksplisit
4672: Hak spesial tertentu ditetapkan ke masuk baru
4688: Proses baru telah dibuat
Catatan Masuk Microsoft Entra ID SigninLogs Semua peristiwa masuk
CommonSecurityLog (Pratinjau) Format Acara Umum (CEF) CommonSecurityLog Acara firewall, VPN, dan web proxy dari vendor dan produk berikut:

Titik Pemeriksaan (DeviceVendor adalah Check Point)
- VPN-1 & FireWall-1 - Acara login VPN
- URL Filtering - Acara akses web
- Kejadian pencegahan IPS, Anti-Bot, dan Anti-Virus dengan tingkat keparahan sedang atau lebih tinggi

Fortinet (DeviceVendor adalah Fortinet)
- FortiGate - Acara autentikasi VPN
- FortiGate - Event penyaringan web
- FortiGate - perubahan kebijakan firewall administratif

Zscaler (DeviceVendor adalah Zscaler)
- NSSWeblog - Event proxy web
- Zscaler Private Access - Peristiwa autentikasi VPN
- Portal Zscaler - tindakan administratif (SIGN_IN, SIGN_OUT, CREATE, UPDATE, DELETE)

Peristiwa harus memiliki nilai yang valid SourceUserName untuk deteksi berbasis pengguna, atau nilai yang valid Computer untuk deteksi berbasis perangkat.

Pengayaan UEBA

Bagian ini menjelaskan pengayaan yang ditambahkan UEBA ke entitas Microsoft Sentinel, yang dapat Anda gunakan untuk memfokuskan dan mempertajam penyelidikan insiden keamanan Anda. Pengayaan ini ditampilkan di halaman entitas dan dapat ditemukan di tabel Analitik Log berikut, konten dan skema yang tercantum di bawah ini:

  • Tabel BehaviorAnalytics adalah tempat informasi output UEBA disimpan.

    Tiga bidang dinamis berikut dari tabel BehaviorAnalytics dijelaskan di bagian bidang dinamis pengayaan entitas di bawah ini.

    • Bidang UsersInsights dan DevicesInsights berisi informasi entitas dari Direktori Aktif/ID Microsoft Entra dan sumber Inteligensi Ancaman Microsoft.

    • Bidang ActivityInsights berisi informasi entitas berdasarkan profil perilaku yang dibangun oleh analitik perilaku entitas Microsoft Sentinel.

      Aktivitas pengguna dianalisis terhadap garis besar yang dikompilasi secara dinamis setiap kali digunakan. Setiap aktivitas memiliki periode lookback yang ditentukan sendiri dari mana garis besar dinamis diturunkan. Periode lookback ditentukan dalam kolom Garis Besar dalam tabel ini.

  • Tabel IdentityInfo adalah tempat informasi identitas disinkronkan ke UEBA dari ID Microsoft Entra (dan dari Direktori Aktif lokal melalui Pertahanan Microsoft untuk Identitas) disimpan.

Tabel BehaviorAnalytics

Tabel berikut ini menjelaskan data analitik perilaku yang ditampilkan di setiap halaman detail entitas di Microsoft Azure Sentinel.

Ladang Type Deskripsi
TenantId string Nomor ID unik penyewa.
SourceRecordId string Nomor ID unik peristiwa EBA.
TimeGenerated tanggalwaktu Tanda waktu terjadinya aktivitas.
Waktu Diproses tanggalwaktu Tanda waktu pemrosesan aktivitas oleh mesin EBA.
ActivityType string Kategori aktivitas tingkat tinggi.
Jenis Tindakan string Nama aktivitas yang dinormalkan.
UserName string Nama pengguna dari pengguna yang memulai aktivitas.
UserPrincipalName string Nama pengguna lengkap dari pengguna yang memulai aktivitas.
EventSource string Sumber data yang menyediakan peristiwa asli.
SourceIPAddress string Alamat IP tempat aktivitas dimulai.
SourceIPLocation string Negara/wilayah tempat aktivitas dimulai, diperkaya dari alamat IP.
SourceDevice string Nama host perangkat yang memulai aktivitas.
DestinationIPAddress string Alamat IP dari target aktivitas.
DestinationIPLocation string Negara/wilayah target aktivitas, diperkaya dari alamat IP.
DestinationDevice string Nama perangkat target.
UsersInsights dynamic Pengayaan kontekstual pengguna yang terlibat (detail di bawah).
DevicesInsights dynamic Pengayaan kontekstual perangkat yang terlibat (detail di bawah).
ActivityInsights dynamic Analisis kontekstual aktivitas berdasarkan pembuatan profil kami (detail di bawah).
InvestigationPriority int Skor anomali, antara 0-10 (0=tidak berbahaya, 10=anomali sangat tinggi). Skor ini mengukur tingkat penyimpangan dari perilaku yang diharapkan. Skor yang lebih tinggi menunjukkan penyimpangan yang lebih besar dari garis besar dan lebih mungkin menunjukkan anomali sejati. Skor yang lebih rendah mungkin masih anomali, tetapi cenderung tidak signifikan atau dapat ditindakkan.

Bidang dinamis pengayaan entitas

Note

Kolom Nama pengayaan dalam tabel di bagian ini menampilkan dua baris informasi.

  • Yang pertama, tebal, adalah "nama yang ramah" dari pengayaan.
  • Yang kedua (dalam miring dan tanda kurung) adalah nama bidang pengayaan seperti yang disimpan dalam tabel Analitik Perilaku.

Bidang UsersInsights

Tabel berikut ini menjelaskan pengayaan yang ditampilkan di bidang dinamis UsersInsights dalam tabel BehaviorAnalytics:

Nama pengayaan Deskripsi Nilai sampel
Nama tampilan akun
(AccountDisplayName)		 Nama tampilan akun pengguna. Admin, Hayden Cook
Domain akun
(AccountDomain)		 Nama domain akun pengguna.
ID objek akun
(AccountObjectID)		 ID objek akun pengguna. aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
Radius ledakan
(BlastRadius)		 Radius ledakan dihitung berdasarkan beberapa faktor: posisi pengguna di pohon org, dan peran dan izin Microsoft Entra pengguna. Pengguna harus memiliki properti Manajer yang diisi di ID Microsoft Entra agar BlastRadius dihitung. Rendah, Sedang, Tinggi
Apakah akun tidak aktif
(IsDormantAccount)		 Akun belum digunakan selama 180 hari terakhir. Benar, Salah
Adalah admin lokal
(IsLocalAdmin)		 Akun ini memiliki hak administrator lokal. Benar, Salah
Adalah akun baru
(IsNewAccount)		 Akun dibuat dalam 30 hari terakhir. Benar, Salah
SID lokal
(OnPremisesSID)		 SID lokal pengguna yang terkait dengan tindakan. S-1-5-21-1112946627-1321165628-2437342228-1103

Bidang DevicesInsights

Tabel berikut ini menjelaskan pengayaan yang ditampilkan di bidang dinamis DevicesInsights dalam tabel BehaviorAnalytics:

Nama pengayaan Deskripsi Nilai sampel
Browser
(Browser)		 Browser yang digunakan dalam tindakan. Microsoft Edge, Chrome
Kelompok perangkat
(DeviceFamily)		 Rangkaian perangkat yang digunakan dalam aksi. Windows
Jenis perangkat
(DeviceType)		 Jenis perangkat klien yang digunakan dalam tindakan Desktop
ISP
(ISP)		 Penyedia layanan internet yang digunakan dalam tindakan tersebut.
Sistem operasi
(OperatingSystem)		 Sistem operasi yang digunakan dalam tindakan. Windows 10
Deskripsi indikator intel ancaman
(ThreatIntelIndicatorDescription)		 Deskripsi indikator ancaman yang diamati diselesaikan dari alamat IP yang digunakan dalam tindakan. Hostnya adalah anggota botnet: azorult
Jenis indikator intel ancaman
(ThreatIntelIndicatorType)		 Jenis indikator ancaman yang diselesaikan dari alamat IP yang digunakan dalam tindakan. Botnet, C2, CryptoMining, Darknet, Ddos, MaliciousUrl, Malware, Phishing, Proksi, PUA, Daftar tonton
Agen pengguna
(UserAgent)		 Agen pengguna yang digunakan dalam tindakan. Pustaka Klien Microsoft Azure Graph 1.0,
​Swagger-Codegen/1.4.0.0/csharp,
EvoSTS
Keluarga agen pengguna
(UserAgentFamily)		 Rangkaian pengguna yang digunakan dalam tindakan. Chrome, Microsoft Edge, Firefox

Bidang ActivityInsights

Tabel berikut ini menjelaskan pengayaan yang ditampilkan di bidang dinamis ActivityInsights dalam tabel BehaviorAnalytics:

Pemeriksaan dilakukan
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna melakukan tindakan
(FirstTimeUserPerformedAction)		 180 Tindakan ini dilakukan untuk pertama kalinya oleh pengguna. Benar, Salah
Tindakan yang jarang dilakukan oleh pengguna
(ActionUncommonlyPerformedByUser)		 10 Tindakan ini biasanya tidak dilakukan oleh pengguna. Benar, Salah
Tindakan jarang dilakukan di antara rekan-rekan
(ActionUncommonlyPerformedAmongPeers)		 180 Tindakan ini biasanya tidak dilakukan di antara rekan-rekan pengguna. Benar, Salah
Tindakan pertama kali dilakukan di penyewa
(FirstTimeActionPerformedInTenant)		 180 Tindakan itu dilakukan untuk pertama kalinya oleh siapa pun dalam organisasi. Benar, Salah
Tindakan yang jarang dilakukan di penyewa
(ActionUncommonlyPerformedInTenant)		 180 Tindakan ini umumnya tidak dilakukan di organisasi. Benar, Salah
Aplikasi yang digunakan
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna menggunakan aplikasi
(FirstTimeUserUsedApp)		 180 Aplikasi ini pertama kali digunakan oleh pengguna. Benar, Salah
Aplikasi jarang digunakan oleh pengguna
(AppUncommonlyUsedByUser)		 10 Aplikasi ini tidak umum digunakan oleh pengguna. Benar, Salah
Aplikasi jarang digunakan di antara rekan-rekan
(AppUncommonlyUsedAmongPeers)		 180 Aplikasi ini biasanya tidak digunakan di antara rekan-rekan pengguna. Benar, Salah
Aplikasi pertama kali diamati di penyewa
(FirstTimeAppObservedInTenant)		 180 Aplikasi ini diamati untuk pertama kalinya dalam organisasi. Benar, Salah
Aplikasi jarang digunakan dalam penyewa
(AppUncommonlyUsedInTenant)		 180 Aplikasi ini umumnya tidak digunakan dalam organisasi. Benar, Salah
Browser yang digunakan
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna terhubung melalui browser
(FirstTimeUserConnectedViaBrowser)		 30 Browser diamati untuk pertama kalinya oleh pengguna. Benar, Salah
Browser jarang digunakan oleh pengguna
(BrowserUncommonlyUsedByUser)		 10 Browser umumnya tidak digunakan oleh pengguna. Benar, Salah
Browser jarang digunakan di antara rekan-rekan
(BrowserUncommonlyUsedAmongPeers)		 30 Browser umumnya tidak digunakan di antara rekan-rekan pengguna. Benar, Salah
Browser pertama kali diamati di penyewa
(FirstTimeBrowserObservedInTenant)		 30 Browser ini diamati untuk pertama kalinya dalam organisasi. Benar, Salah
Browser jarang digunakan dalam penyewa
(BrowserUncommonlyUsedInTenant)		 30 Browser umumnya tidak digunakan dalam organisasi. Benar, Salah
Negara/wilayah yang tersambung dari
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna tersambung dari negara
(FirstTimeUserConnectedFromCountry)		 90 Lokasi geografis, seperti yang diselesaikan dari alamat IP, tersambung untuk pertama kalinya oleh pengguna. Benar, Salah
Negara jarang tersambung dari oleh pengguna
(CountryUncommonlyConnectedFromByUser)		 10 Lokasi geografis, seperti yang diselesaikan dari alamat IP, biasanya tidak disambungkan oleh pengguna. Benar, Salah
Negara jarang terhubung dari kalangan serekan
(CountryUncommonlyConnectedFromAmongPeers)		 90 Lokasi geografis, seperti yang diselesaikan dari alamat IP, biasanya tidak terhubung dari antara rekan pengguna. Benar, Salah
Koneksi pertama kali dari negara yang diamati dalam penyewa
(FirstTimeConnectionFromCountryObservedInTenant)		 90 Negara/wilayah dihubungkan untuk pertama kalinya oleh siapa pun di organisasi. Benar, Salah
Negara jarang tersambung dari dalam penyewa
(CountryUncommonlyConnectedFromInTenant)		 90 Lokasi geografis, seperti yang diselesaikan dari alamat IP, biasanya tidak terhubung dari dalam organisasi. Benar, Salah
Perangkat yang digunakan untuk menyambungkan
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna tersambung dari perangkat
(FirstTimeUserConnectedFromDevice)		 30 Perangkat sumber tersambung untuk pertama kalinya oleh pengguna. Benar, Salah
Perangkat jarang digunakan oleh pengguna
(DeviceUncommonlyUsedByUser)		 10 Perangkat tidak umum digunakan oleh pengguna. Benar, Salah
Perangkat jarang digunakan di antara rekan-rekan
(DeviceUncommonlyUsedAmongPeers)		 180 Perangkat ini umumnya tidak digunakan di antara rekan pengguna. Benar, Salah
Perangkat pertama kali diamati di penyewa
(FirstTimeDeviceObservedInTenant)		 30 Perangkat ini diamati untuk pertama kalinya dalam organisasi. Benar, Salah
Perangkat jarang digunakan dalam penyewa
(DeviceUncommonlyUsedInTenant)		 180 Perangkat tidak umum digunakan dalam organisasi. Benar, Salah
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna masuk ke perangkat
(FirstTimeUserLoggedOnToDevice)		 180 Perangkat tujuan tersambung untuk pertama kalinya oleh pengguna. Benar, Salah
Keluarga perangkat jarang digunakan dalam penyewa
(DeviceFamilyUncommonlyUsedInTenant)		 30 Keluarga perangkat umumnya tidak digunakan dalam organisasi. Benar, Salah
Penyedia Layanan Internet yang digunakan untuk tersambung
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pengguna pertama kali terhubung melalui ISP
(FirstTimeUserConnectedViaISP)		 30 ISP diamati untuk pertama kalinya oleh pengguna. Benar, Salah
ISP jarang digunakan oleh pengguna
(ISPUncommonlyUsedByUser)		 10 ISP umumnya tidak digunakan oleh pengguna. Benar, Salah
ISP jarang digunakan di antara rekan-rekan
(ISPUncommonlyUsedAmongPeers)		 30 ISP umumnya tidak digunakan di antara rekan pengguna. Benar, Salah
Koneksi pertama kali melalui ISP di penyewa
(FirstTimeConnectionViaISPInTenant)		 30 ISP ini diamati untuk pertama kalinya dalam organisasi. Benar, Salah
ISP jarang digunakan dalam penyewa
(ISPUncommonlyUsedInTenant)		 30 ISP umumnya tidak digunakan dalam organisasi. Benar, Salah
Sumber daya diakses
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Pertama kali pengguna mengakses sumber daya
(FirstTimeUserAccessedResource)		 180 Sumber daya diakses untuk pertama kalinya oleh pengguna. Benar, Salah
Sumber daya jarang diakses oleh pengguna
(ResourceUncommonlyAccessedByUser)		 10 Sumber daya umumnya tidak diakses oleh pengguna. Benar, Salah
Sumber daya jarang diakses di antara rekan-rekan
(ResourceUncommonlyAccessedAmongPeers)		 180 Sumber daya tidak biasanya diakses di antara serekan pengguna. Benar, Salah
Sumber daya pertama kali diakses di penyewa
(FirstTimeResourceAccessedInTenant)		 180 Sumber daya diakses untuk pertama kalinya oleh siapa pun dalam organisasi. Benar, Salah
Sumber daya jarang diakses di penyewa
(ResourceUncommonlyAccessedInTenant)		 180 Sumber daya umumnya tidak diakses di organisasi. Benar, Salah
Miscellaneous
Nama pengayaan Garis besar (hari) Deskripsi Nilai sampel
Terakhir kali pengguna melakukan tindakan
(LastTimeUserPerformedAction)		 180 Terakhir kali pengguna melakukan tindakan yang sama. <Stempel waktu>
Tindakan serupa tidak dilakukan di masa lalu
(SimilarActionWasn'tPerformedInThePast)		 30 Tidak ada tindakan di penyedia sumber daya yang sama yang dilakukan oleh pengguna. Benar, Salah
Lokasi IP sumber
(SourceIPLocation)		 N/A Negara/wilayah diselesaikan dari IP sumber tindakan. [Surrey, Inggris]
Volume operasi tinggi yang jarang
(UncommonHighVolumeOfOperations)		 7 Pengguna melakukan lonjakan operasi serupa dalam penyedia yang sama Benar, Salah
Jumlah kegagalan Akses Bersyar Microsoft Entra yang tidak biasa
(UnusualNumberOfAADConditionalAccessFailures)		 5 Jumlah pengguna yang tidak biasa gagal untuk mengautentikasi karena akses bersyarat Benar, Salah
Jumlah perangkat yang tidak biasa ditambahkan
(UnusualNumberOfDevicesAdded)		 5 Seorang pengguna menambahkan sejumlah perangkat yang tidak biasa. Benar, Salah
Jumlah perangkat yang tidak biasa dihapus
(UnusualNumberOfDevicesDeleted)		 5 Seorang pengguna menghapus sejumlah perangkat yang tidak biasa. Benar, Salah
Jumlah pengguna yang tidak biasa ditambahkan ke grup
(UnusualNumberOfUsersAddedToGroup)		 5 Seorang pengguna menambahkan jumlah pengguna yang tidak biasa ke grup. Benar, Salah

Tabel IdentityInfo

Setelah Anda mengaktifkan dan mengonfigurasi UEBA untuk ruang kerja Microsoft Azure Sentinel, data pengguna dari penyedia identitas Microsoft Anda disinkronkan ke tabel IdentityInfo di Log Analytics untuk digunakan di Microsoft Azure Sentinel.

Penyedia identitas tersebut adalah salah satu atau kedua hal berikut, tergantung pada mana yang Anda pilih saat Mengonfigurasi UEBA:

  • ID Microsoft Entra (berbasis cloud)
  • Microsoft Direktori Aktif (lokal, memerlukan Pertahanan Microsoft untuk Identitas))

Anda dapat mengkueri tabel IdentityInfo dalam aturan analitik, kueri berburu, dan buku kerja, meningkatkan analitik agar sesuai dengan kasus penggunaan Anda dan mengurangi positif palsu.

Meskipun sinkronisasi awal mungkin memakan waktu beberapa hari, setelah data disinkronkan sepenuhnya:

  • Setiap 14 hari, Microsoft Sentinel menyinkronkan ulang dengan seluruh ID Microsoft Entra Anda (dan Active Directory lokal Anda, jika berlaku) untuk memastikan bahwa catatan kedaluarsa sepenuhnya diperbarui.

  • Selain sinkronisasi penuh reguler ini, setiap kali perubahan dilakukan pada profil pengguna, grup, dan peran bawaan Anda dalam ID Microsoft Entra, catatan pengguna yang terpengaruh diserap kembali dan diperbarui dalam tabel IdentityInfo dalam waktu 15-30 menit. Penyerapan ini ditagih dengan tarif reguler. Contohnya:

    • Atribut pengguna, seperti nama tampilan, jabatan, atau alamat email, diubah. Rekaman baru untuk pengguna ini diserap ke dalam tabel IdentityInfo , dengan bidang yang relevan diperbarui.

    • Grup A memiliki 100 pengguna di dalamnya. 5 pengguna ditambahkan ke grup atau dihapus dari grup. Dalam hal ini, kelima catatan pengguna tersebut diserap kembali, dan bidang GroupMembership mereka diperbarui.

    • Grup A memiliki 100 pengguna di dalamnya. Sepuluh pengguna ditambahkan ke Grup A. Selain itu, grup A1 dan A2, masing-masing dengan 10 pengguna, ditambahkan ke Grup A. Dalam hal ini, 30 rekaman pengguna diserap ulang dan bidang GroupMembership mereka diperbarui. Ini terjadi karena keanggotaan grup transitif, sehingga perubahan pada grup memengaruhi semua subgrup mereka.

    • Grup B (dengan 50 pengguna) diganti namanya menjadi Group BeGood. Dalam hal ini, 50 rekaman pengguna diserap ulang dan bidang GroupMembership mereka diperbarui. Jika ada subgrup dalam grup tersebut, hal yang sama terjadi untuk semua rekaman anggota mereka.

  • Waktu retensi default dalam tabel IdentityInfo adalah 30 hari.

Limitations

  • Bidang AssignedRoles hanya mendukung peran bawaan.

  • Bidang GroupMembership mendukung daftar hingga 500 grup per pengguna, termasuk subgrup. Jika pengguna adalah anggota lebih dari 500 grup, hanya 500 pertama yang disinkronkan dengan tabel IdentityInfo . Namun, grup tidak dievaluasi dalam urutan tertentu, jadi pada setiap sinkronisasi baru (setiap 14 hari), ada kemungkinan bahwa sekumpulan grup yang berbeda akan diperbarui ke catatan pengguna.

  • Saat pengguna dihapus, rekaman pengguna tersebut tidak segera dihapus dari tabel IdentityInfo . Alasan untuk ini adalah bahwa salah satu tujuan tabel ini adalah untuk mengaudit perubahan pada rekaman pengguna. Oleh karena itu, kami ingin tabel ini memiliki catatan pengguna yang dihapus, yang hanya dapat terjadi jika rekaman pengguna di tabel IdentityInfo masih ada, meskipun pengguna yang sebenarnya (misalnya, dalam ID Entra) dihapus.

    Pengguna yang dihapus dapat diidentifikasi dengan adanya nilai di deletedDateTime bidang . Jadi, jika Anda memerlukan kueri untuk memperlihatkan daftar pengguna, Anda bisa memfilter pengguna yang dihapus dengan menambahkan | where IsEmpty(deletedDateTime) ke kueri.

    Pada interval waktu tertentu setelah pengguna dihapus, rekaman pengguna akhirnya dihapus dari tabel IdentityInfo juga.

  • Saat grup dihapus, atau jika grup dengan lebih dari 100 anggota telah berubah namanya, rekaman pengguna anggota grup tersebut tidak diperbarui. Jika perubahan yang berbeda menyebabkan salah satu catatan pengguna tersebut diperbarui, informasi grup yang diperbarui akan disertakan pada saat itu.

Versi lain dari tabel IdentityInfo

Ada beberapa versi tabel IdentityInfo :

  • Versi skema Analitik Log , yang dibahas dalam artikel ini, melayani Microsoft Azure Sentinel di portal Microsoft Azure. Ini tersedia untuk pelanggan yang mengaktifkan UEBA.

  • Versi skema perburuan tingkat lanjut melayani portal Pertahanan Microsoft melalui Pertahanan Microsoft untuk Identitas. Ini tersedia untuk pelanggan Microsoft Defender XDR, dengan atau tanpa Microsoft Sentinel, dan untuk pelanggan Microsoft Sentinel dengan sendirinya di portal Pertahanan.

    UEBA tidak harus diaktifkan untuk memiliki akses ke tabel ini. Namun, untuk pelanggan tanpa UEBA diaktifkan, bidang yang diisi oleh data UEBA tidak terlihat atau tersedia.

    Untuk informasi selengkapnya, lihat dokumentasi versi perburuan tingkat lanjut dari tabel ini.

  • Pada Mei 2025, pelanggan Microsoft Sentinel di portal Pertahanan Microsoftdengan UEBA diaktifkanmulai menggunakan rilis baru versi perburuan Tingkat Lanjut . Rilis baru ini mencakup semua bidang UEBA dari versi Analitik Log serta beberapa bidang baru, dan disebut sebagai versi terpadu atau tabel IdentityInfo terpadu.

    Pelanggan portal defender tanpa UEBA diaktifkan, atau tanpa Microsoft Sentinel sama sekali, terus gunakan rilis sebelumnya dari versi perburuan Tingkat Lanjut, tanpa bidang yang dihasilkan UEBA.

    Untuk informasi selengkapnya tentang versi terpadu, lihat IdentityInfo dalam dokumentasi Perburuan tingkat lanjut.

Penting

Saat Anda beralih ke portal Defender, IdentityInfo tabel menjadi tabel Defender asli yang tidak mendukung RBAC tingkat tabel (Role-Based Access Control). Jika organisasi Anda menggunakan RBAC tingkat tabel untuk membatasi akses ke tabel IdentityInfo di portal Azure, kontrol akses ini tidak akan lagi tersedia setelah Anda beralih ke portal Defender.

Schema

Tabel di tab "Skema Analitik Log" berikut ini menjelaskan data identitas pengguna yang disertakan dalam tabel IdentityInfo di Analitik Log di portal Microsoft Azure.

Jika Anda melakukan onboarding Microsoft Sentinel ke portal Defender, pilih tab "Bandingkan dengan skema terpadu" untuk melihat perubahan yang berpotensi memengaruhi kueri dalam aturan dan perburuan deteksi ancaman Anda.

Nama bidang Type Deskripsi
AccountCloudSID string Pengidentifikasi keamanan Microsoft Entra akun.
AccountCreationTime tanggalwaktu Tanggal akun pengguna dibuat (UTC).
AccountDisplayName string Nama tampilan akun pengguna.
AccountDomain string Nama domain akun pengguna.
AccountName string Nama pengguna dari akun pengguna.
AccountObjectId string ID objek Microsoft Entra untuk akun pengguna.
AccountSID string Pengidentifikasi keamanan lokal dari akun pengguna.
AccountTenantId string ID penyewa Microsoft Entra dari akun pengguna.
AccountUPN string Nama utama pengguna dari akun pengguna.
AdditionalMailAddresses dynamic Alamat email tambahan pengguna.
AssignedRoles dynamic Peran Microsoft Entra tempat akun pengguna ditetapkan. Hanya peran bawaan yang didukung.
BlastRadius string Perhitungan berdasarkan posisi pengguna di pohon org dan peran dan izin Microsoft Entra pengguna.
Nilai yang mungkin: Rendah, Sedang, Tinggi
ChangeSource string Sumber perubahan terbaru pada entitas.
Nilai yang mungkin:
  • AzureActiveDirectory
  • ActiveDirectory
  • UEBA
  • Watchlist
  • FullSync
    		•
    Kota string Kota akun pengguna.
    Nama perusahaan string Nama perusahaan tempat pengguna berada.
    Negara string Negara/wilayah akun pengguna.
    DeletedDateTime tanggalwaktu Tanggal dan waktu pengguna dihapus.
    Departemen string Departemen akun pengguna.
    EmployeeId string Pengidentifikasi karyawan yang ditetapkan untuk pengguna oleh organisasi.
    GivenName string Nama akun pengguna yang diberikan.
    GroupMembership dynamic Grup ID Microsoft Entra tempat akun pengguna adalah anggota.
    IsAccountEnabled bool Indikasi apakah akun pengguna diaktifkan di ID Microsoft Entra atau tidak.
    JobTitle string Judul pekerjaan akun pengguna.
    MailAddress string Alamat email utama akun pengguna.
    Manajer string Alias pengelola akun pengguna.
    OnPremisesDistinguishedName string Nama khusus ID Microsoft Entra (DN). Nama khusus adalah urutan dari nama khusus relatif (RDN), yang dihubungkan dengan koma.
    Telepon string Nomor telepon akun pengguna.
    RiskLevel string Tingkat risiko ID Microsoft Entra dari akun pengguna.
    Nilai yang mungkin:
  • Low
  • Medium
  • High
    		•
    RiskLevelDetails string Detail mengenai tingkat risiko ID Microsoft Entra.
    RiskState string Indikasi apakah akun berisiko sekarang atau jika risikonya telah diperbaiki.
    SourceSystem string Sistem tempat pengguna dikelola.
    Nilai yang mungkin:
  • AzureActiveDirectory
  • ActiveDirectory
  • Hibrida
    		•
    Status string Keadaan geografis akun pengguna.
    StreetAddress string Alamat jalan kantor dari akun pengguna.
    Surname string Nama belakang pengguna. akun.
    TenantId string ID penyewa pengguna.
    TimeGenerated tanggalwaktu Waktu saat peristiwa dibuat (UTC).
    Jenis string Nama dari tabel tersebut.
    UserAccountControl dynamic Atribut keamanan akun pengguna di domain AD.
    Nilai yang mungkin (mungkin berisi lebih dari satu):
  • AccountDisabled
  • HomedirRequired
  • AccountLocked
  • PasswordNotRequired
  • CannotChangePassword
  • EncryptedTextPasswordAllowed
  • TemporaryDuplicateAccount
  • NormalAccount
  • InterdomainTrustAccount
  • WorkstationTrustAccount
  • ServerTrustAccount
  • PasswordNeverExpires
  • MnsLogonAccount
  • SmartcardRequired
  • TrustedForDelegation
  • DelegationNotAllowed
  • UseDesKeyOnly
  • DontRequirePreauthentication
  • PasswordExpired
  • TrustedToAuthenticationForDelegation
  • PartialSecretsAccount
  • UseAesKeys
    		•
    UserState string Status akun pengguna saat ini di ID Microsoft Entra.
    Nilai yang mungkin:
  • Active
  • Nonaktif
  • Tidak aktif
  • Lockout
    		•
    UserStateChangedOn tanggalwaktu Tanggal terakhir kali status akun diubah (UTC).
    UserType string Tipe pengguna.

    Bidang berikut, saat ada di skema Analitik Log, harus diabaikan, karena tidak digunakan atau didukung oleh Microsoft Azure Sentinel:

    • Applications
    • EntityRiskScore
    • ExtensionProperty
    • InvestigationPriority
    • InvestigationPriorityPercentile
    • IsMFARegistered
    • IsServiceAccount
    • LastSeenDate
    • OnPremisesExtensionAttributes
    • RelatedAccounts
    • ServicePrincipals
    • Tags
    • UACFlags
    • Last updated on