Настройка аналитики поведения пользователей и сущностей в Microsoft Sentinel

Аналитика поведения пользователей и сущностей (UEBA) в Microsoft Sentinel анализирует журналы и оповещения из подключенных источников данных для создания базовых профилей поведения сущностей вашей организации, таких как пользователи, узлы, IP-адреса и приложения. С помощью машинного обучения UEBA определяет аномальное действие, которое может указывать на скомпрометированный ресурс.

Вы можете включить аналитику поведения пользователей и сущностей двумя способами с одинаковым результатом:

• В параметрах рабочей области Microsoft Sentinel: включите UEBA для рабочей области и выберите источники данных для подключения на портале Microsoft Defender или на портале Azure.
• Из поддерживаемых соединителей данных: Включите UEBA при настройке соединителей данных, поддерживающих UEBA, на портале Microsoft Defender.

В этой статье объясняется, как включить UEBA и настроить источники данных из параметров рабочей области Microsoft Sentinel и из поддерживаемых соединителей данных.

Дополнительные сведения об UEBA см. в статье "Определение угроз с помощью аналитики поведения сущностей".

Необходимые компоненты

Чтобы включить или отключить эту функцию (эти предварительные требования не требуются для использования этой функции):

• Пользователь должен быть назначен на роль Администратора безопасности Microsoft Entra ID в вашем клиенте или иметь эквивалентные разрешения.

• Пользователю необходимо назначить по крайней мере одну из следующих ролей Azure (дополнительные сведения о Azure RBAC):

  • Владелец на уровне группы ресурсов или выше.
  • Участник на уровне группы ресурсов или выше.
  • (Наименее привилегированный) Участник Microsoft Sentinel на уровне рабочей области или выше и участник Log Analytics на уровне группы ресурсов или выше.

• К рабочей области не должны быть применены блокировки ресурсов Azure. Дополнительные сведения о блокировке ресурсов Azure.

Включение UEBA из параметров рабочей области

Чтобы включить UEBA из параметров рабочей области Microsoft Sentinel, выполните следующие действия.

1. Перейдите на страницу конфигурации поведения сущностей .

   • Портал Azure
   • Портал Defender

   Используйте один из трех способов, чтобы получить доступ к странице конфигурации поведения сущности :

   • Выберите поведение сущности в меню навигации Microsoft Sentinel, а затем выберите параметры поведения сущностей в верхней строке меню.

   • Выберите "Параметры" в меню навигации Microsoft Sentinel, перейдите на вкладку Параметры, а затем в раскрывающемся элементе аналитика поведения сущностей выберите "Задать UEBA".

   • На странице соединителя данных XDR в Microsoft Defender выберите ссылку на страницу конфигурации UEBA .

2. На странице конфигурации поведения сущностей переключите функцию включения функции UEBA.

   

3. Выберите службы каталогов, из которых требуется синхронизировать сущности пользователей с Microsoft Sentinel.

   • Локальная установка Active Directory (предварительная версия)
   • Идентификатор Microsoft Entra

   Чтобы синхронизировать сущности пользователей из локальной службы Active Directory, необходимо подключить клиент Azure к Microsoft Defender для удостоверений (автономный или как часть XDR в Microsoft Defender), а датчик MDI должен быть установлен на контроллере домена Active Directory. Дополнительные сведения см. в разделе "Предварительные требования Microsoft Defender для удостоверений".

4. Выберите "Подключить все источники данных ", чтобы подключить все подходящие источники данных или выбрать определенные источники данных из списка.

   Эти источники данных можно включить только из Defender и порталов Azure:

   • Журналы входа
   • Журналы аудита
   • Действие Azure
   • События безопасности

   Эти источники данных можно включить только на портале Defender (предварительная версия):

   • Журналы входа управляемого удостоверения AAD (идентификатор Microsoft Entra)
   • Журналы входа субъекта-службы AAD (идентификатор Microsoft Entra)
   • AWS CloudTrail
   • События входа устройства
   • Okta CL
   • Журналы аудита GCP

   Дополнительные сведения об источниках данных и аномалиях UEBA см. в справочнике по Microsoft Sentinel UEBA и аномалиях UEBA.

   Примечание.

   После включения UEBA можно включить поддерживаемые источники данных для UEBA непосредственно из области соединителя данных или на странице параметров портала Defender, как описано в этой статье.

5. Нажмите Подключиться.

6. Включите обнаружение аномалий в рабочей области Microsoft Sentinel:

   1. В меню навигации на портале Microsoft Defender выберите параметры рабочих>областей SIEM>.
   2. Выберите рабочую область, которую вы хотите настроить.
   3. На странице конфигурации рабочей области выберите аномалии и переключите переключатель для обнаружения аномалий.

Включение UEBA с помощью поддерживаемых коннекторов

Чтобы включить UEBA из поддерживаемых коннекторов данных на портале Microsoft Defender:

1. В меню навигации портала Microsoft Defender выберите Microsoft Sentinel > Конфигурация > Соединители данных.

2. Выберите поддерживаемый соединитель данных UEBA, поддерживающий UEBA. Дополнительные сведения о поддерживаемых соединителях данных и таблицах UEBA см. в справочнике по Microsoft Sentinel UEBA.

3. На панели соединителя данных выберите Открыть страницу коннектора.

4. На странице сведений о соединителе выберите дополнительные параметры.

5. В разделе "Настройка UEBA" переключитесь на таблицы, которые необходимо включить для UEBA.

   

Дополнительные сведения о настройке соединителей данных Microsoft Sentinel см. в статье "Подключение источников данных к Microsoft Sentinel с помощью соединителей данных".

Включить уровень поведения UEBA (предварительная версия)

Уровень поведения UEBA создает обогащенные сводки действий, наблюдаемых в нескольких источниках данных. В отличие от оповещений или аномалий, поведения не обязательно указывают на риск - они создают слой абстракции, который оптимизирует ваши данные для исследований, охоты и обнаружения, повышая их эффективность.

Дополнительные сведения о уровне поведения UEBA и его включении см. в разделе "Включение уровня поведения UEBA" в Microsoft Sentinel.

Следующие шаги

Из этой статьи вы узнали, как включить и настроить аналитику поведения пользователей и сущностей (UEBA) в Microsoft Sentinel. Дополнительные сведения об UEBA: