Você deseja que o Microsoft Sentinel exiba anomalias de usuário, como logons RDP raros e padrões incomuns de acesso a dados, e mostre insights de usuário em incidentes. Seu ambiente já transmite logs de entrada do Azure AD, Eventos de Segurança do Windows e logs de auditoria do Microsoft 365 para o Sentinel. Quais duas ações você deve realizar?

Para que o Microsoft Sentinel exiba anomalias de usuário e insights de incidentes, é fundamental habilitar a Análise de Comportamento de Usuários e Entidades (UEBA). A UEBA no Sentinel analisa os logs de identidade e atividade (como Azure AD, Eventos de Segurança do Windows e logs do Microsoft 365, que já estão sendo transmitidos) para criar perfis de comportamento de usuários e entidades, identificando desvios que podem indicar atividades maliciosas. Após a habilitação, é necessário aguardar um período para que a UEBA estabeleça uma linha de base do comportamento normal. Uma vez estabelecida, as anomalias serão exibidas na lâmina "Entity behavior" e na pasta de trabalho "Anomalies". Criar uma regra de análise Fusion manual não é o método principal para detectar anomalias de comportamento de usuário, pois a UEBA é projetada especificamente para isso. Substituir regras agendadas por NRT melhora a velocidade de detecção, mas não habilita a análise de comportamento de usuário em si. Habilitar o conector TAXII é para inteligência de ameaças, não para análise de comportamento de usuário.