Vous souhaitez que Microsoft Sentinel détecte les anomalies utilisateur telles que les connexions RDP rares et les modèles d'accès aux données inhabituels, et affiche des informations sur les utilisateurs au sein des incidents. Votre environnement diffuse déjà les journaux de connexion Azure AD, les événements de sécurité Windows et les journaux d'audit Microsoft 365 vers Sentinel. Quelles sont les deux actions à effectuer ?

Pour détecter les anomalies utilisateur et afficher des informations sur les utilisateurs dans les incidents, vous devez activer l'analyse du comportement des utilisateurs et des entités (UEBA) dans Microsoft Sentinel. L'UEBA utilise l'apprentissage automatique pour créer des profils de comportement de base pour les utilisateurs et les entités, puis identifie les activités déviantes. Il est crucial de laisser du temps à l'UEBA pour établir une ligne de base comportementale avant de générer des anomalies significatives. Les résultats peuvent ensuite être examinés dans le panneau de comportement des entités et le classeur d'anomalies. Créer une règle d'analyse Fusion manuelle n'est pas la méthode principale pour la détection automatique d'anomalies comportementales. Remplacer les règles planifiées par des règles NRT améliore la rapidité, mais ne fournit pas l'analyse comportementale requise. Le connecteur TAXII est utilisé pour le renseignement sur les menaces externes, pas pour l'analyse comportementale interne des utilisateurs.