Chcesz, aby Microsoft Sentinel wykrywał anomalie użytkowników, takie jak rzadkie logowania RDP i nietypowe wzorce dostępu do danych, oraz wyświetlał informacje o użytkownikach w incydentach. Twoje środowisko przesyła już dzienniki logowania Azure AD, zdarzenia zabezpieczeń systemu Windows i dzienniki audytu Microsoft 365 do Sentinela. Jakie dwie czynności należy wykonać?

Aby Microsoft Sentinel wykrywał anomalie użytkowników i wyświetlał informacje o nich w incydentach, należy włączyć User and Entity Behavior Analytics (UEBA). UEBA jest kluczowe do profilowania użytkowników i encji na podstawie dostarczonych danych, takich jak logowania Azure AD, zdarzenia zabezpieczeń Windows i dzienniki audytu Microsoft 365. Po włączeniu UEBA, system potrzebuje czasu na zbudowanie punktu odniesienia normalnego zachowania. Po tym okresie, anomalie będą generowane i widoczne w bloku "Entity behavior" oraz skoroszycie "Anomalies". Tworzenie ręcznej reguły analitycznej Fusion nie jest konieczne, ponieważ UEBA automatycznie wykrywa anomalie. Zastępowanie reguł zaplanowanych regułami NRT nie jest bezpośrednio związane z wykrywaniem anomalii przez UEBA. Włączenie konektora TAXII służy do importowania wskaźników zagrożeń, a nie do wykrywania anomalii zachowań użytkowników.