Je wilt dat Microsoft Sentinel gebruikersafwijkingen, zoals zeldzame RDP-aanmeldingen en ongebruikelijke toegangspatronen voor gegevens, naar boven haalt en gebruikersinzichten binnen incidenten weergeeft. Je omgeving streamt al Azure AD-aanmeldingslogboeken, Windows Security Events en Microsoft 365-auditlogboeken naar Sentinel. Welke twee acties moet je uitvoeren?

Om gebruikersafwijkingen te detecteren en inzichten te verkrijgen, moet User and Entity Behavior Analytics (UEBA) in Microsoft Sentinel worden ingeschakeld. Dit is cruciaal omdat UEBA specifiek is ontworpen om gedragspatronen van gebruikers en entiteiten te analyseren en afwijkingen te identificeren die duiden op potentiële bedreigingen. Na het inschakelen van UEBA is het essentieel om tijd te geven voor baselining. UEBA heeft een periode nodig om normaal gedrag te leren voordat het afwijkingen effectief kan detecteren. De resultaten kunnen vervolgens worden beoordeeld in de Entity behavior blade en de Anomalies workbook. Het maken van een handmatige Fusion analytics-regel is niet nodig, aangezien UEBA automatisch afwijkingen detecteert. Het vervangen van geplande analytics-regels door NRT-regels verbetert de detectiesnelheid, maar is geen directe vereiste voor het detecteren van gebruikersafwijkingen met UEBA. Het inschakelen van de TAXII threat intelligence connector is gericht op het integreren van bedreigingsinformatie, niet op het detecteren van gebruikersafwijkingen op basis van gedrag.