Sie möchten, dass Microsoft Sentinel Benutzeranomalien wie seltene RDP-Anmeldungen und ungewöhnliche Datenzugriffsmuster aufdeckt und Benutzereinblicke in Incidents anzeigt. Ihre Umgebung streamt bereits Azure AD-Anmeldeereignisse, Windows-Sicherheitsereignisse und Microsoft 365-Überwachungsprotokolle an Sentinel. Welche zwei Aktionen sollten Sie ausführen?

Um Benutzeranomalien in Microsoft Sentinel zu erkennen und Einblicke zu erhalten, müssen Sie User and Entity Behavior Analytics (UEBA) aktivieren. UEBA nutzt maschinelles Lernen, um Baseline-Verhalten zu etablieren und Abweichungen zu identifizieren. Dabei wählen Sie die relevanten Identitäts- und Aktivitätsdatenquellen aus, die bereits in Sentinel gestreamt werden (Azure AD-Anmeldeereignisse, Windows-Sicherheitsereignisse, Microsoft 365-Überwachungsprotokolle). Nach der Aktivierung benötigt UEBA Zeit, um ein Baseline-Verhalten zu lernen. Anschließend können Sie die Ergebnisse in der Entity behavior-Blade und der Anomalies-Arbeitsmappe überprüfen, um die erkannten Anomalien zu sehen. Das Erstellen einer manuellen Fusion-Analyse-Regel ist nicht der primäre Weg für die UEBA-Erkennung, da UEBA dies automatisch übernimmt. Das Ersetzen geplanter Analyseregeln durch NRT-Regeln verbessert zwar die Erkennungsgeschwindigkeit, ist aber keine Voraussetzung für die UEBA-Funktionalität selbst. Der TAXII-Bedrohungsdaten-Konnektor dient dem Import von Bedrohungsdaten, nicht der Erkennung von Benutzeranomalien basierend auf Verhaltensmustern.