Desea que Microsoft Sentinel muestre anomalías de usuario, como inicios de sesión RDP poco frecuentes y patrones de acceso a datos inusuales, y que muestre información del usuario dentro de los incidentes. Su entorno ya transmite registros de inicio de sesión de Azure AD, eventos de seguridad de Windows y registros de auditoría de Microsoft 365 a Sentinel. ¿Qué dos acciones debe realizar?

Para que Microsoft Sentinel detecte anomalías de usuario y muestre información de usuario en los incidentes, es fundamental habilitar User and Entity Behavior Analytics (UEBA). UEBA utiliza algoritmos de aprendizaje automático para construir una línea base del comportamiento normal de los usuarios y entidades, identificando desviaciones que podrían indicar amenazas. Al habilitar UEBA, debe seleccionar las fuentes de datos relevantes (como los registros de inicio de sesión de Azure AD y los eventos de seguridad de Windows que ya se están ingiriendo) para que Sentinel pueda perfilar adecuadamente a los usuarios. Una vez habilitado, UEBA necesita tiempo para establecer esta línea base de comportamiento. Después de este período, podrá revisar las anomalías detectadas en la hoja de comportamiento de la entidad y el libro de anomalías. Crear una regla de análisis de Fusion manual no es el método principal para detectar anomalías de comportamiento de usuario; Fusion se enfoca en correlacionar alertas de diferentes fuentes. Reemplazar reglas programadas por NRT no mejora directamente la detección de anomalías de comportamiento de usuario, sino la latencia de detección. Habilitar el conector TAXII es para inteligencia de amenazas externa, no para perfilar el comportamiento interno de los usuarios.