Microsoft Sentinel이 드문 RDP 로그온 및 특이한 데이터 액세스 패턴과 같은 사용자 이상을 표면화하고 인시던트 내에서 사용자 통찰력을 표시하도록 하려고 합니다. 환경은 이미 Azure AD 로그인 로그, Windows 보안 이벤트 및 Microsoft 365 감사 로그를 Sentinel로 스트리밍하고 있습니다. 어떤 두 가지 작업을 수행해야 합니까?

사용자 이상 감지 및 인시던트 내 사용자 통찰력 표시를 위해 Microsoft Sentinel의 UEBA(User and Entity Behavior Analytics) 기능을 활용해야 합니다. 첫 번째 단계는 Sentinel에서 UEBA를 활성화하고 Azure AD 로그인 로그, Windows 보안 이벤트, Microsoft 365 감사 로그와 같이 이미 스트리밍되고 있는 관련 ID 및 활동 데이터 소스를 선택하여 사용자 및 엔터티 프로파일링을 가능하게 하는 것입니다. UEBA는 이러한 데이터를 분석하여 기준선을 설정하고 비정상적인 행동을 식별합니다. 두 번째 단계는 UEBA가 기준선을 설정하고 이상을 생성할 시간을 허용한 다음, 엔터티 동작 블레이드와 이상 통합 문서에서 결과를 검토하여 이러한 이상을 확인하고 이해하는 것입니다. 수동 Fusion 분석 규칙 생성이나 NRT 규칙 교체는 UEBA의 자동화된 행동 분석 기능을 대체하지 못하며, TAXII 커넥터는 위협 인텔리전스에 중점을 두므로 사용자 이상 감지와는 직접적인 관련이 적습니다.