Si desidera che Microsoft Sentinel rilevi anomalie utente come accessi RDP rari e modelli di accesso ai dati insoliti, e che visualizzi approfondimenti sugli utenti all'interno degli incidenti. L'ambiente trasmette già i log di accesso di Azure AD, gli eventi di sicurezza di Windows e i log di audit di Microsoft 365 a Sentinel. Quali due azioni è necessario eseguire?

Per rilevare anomalie utente e ottenere approfondimenti, è fondamentale abilitare User and Entity Behavior Analytics (UEBA) in Microsoft Sentinel. UEBA utilizza algoritmi di machine learning per creare profili comportamentali di utenti ed entità basandosi sulle origini dati di identità e attività esistenti (come i log di Azure AD, gli eventi di sicurezza di Windows e i log di Microsoft 365), identificando deviazioni da questi profili come accessi RDP rari o modelli di accesso ai dati insoliti. Dopo l'abilitazione, è necessario concedere tempo per il baselining affinché UEBA apprenda i comportamenti normali. Successivamente, è possibile rivedere i risultati nel pannello "Entity behavior" e nella cartella di lavoro "Anomalies" per analizzare le anomalie rilevate. Creare una regola di analisi Fusion manuale non è necessario in questo contesto, poiché UEBA gestisce automaticamente il rilevamento delle anomalie comportamentali. Sostituire le regole di analisi pianificate con regole NRT non è direttamente correlato al rilevamento delle anomalie comportamentali tramite UEBA. Abilitare il connettore di threat intelligence TAXII serve a importare indicatori di compromissione, non a rilevare anomalie comportamentali basate sui log interni.