Tradurre i log di sicurezza non elaborati in informazioni dettagliate sul comportamento usando comportamenti UEBA in Microsoft Sentinel

Il livello di comportamento UEBA (User and Entity Behavior Analytics) in Microsoft Sentinel aggrega e riepiloga i log non elaborati con volumi elevati in modelli chiari e semplici di azioni di sicurezza, spiegando "chi ha fatto cosa a chi" in modo strutturato.

A differenza di avvisi o anomalie, i comportamenti non indicano necessariamente il rischio: creano un livello di astrazione che ottimizza i dati per le indagini, la ricerca e il rilevamento migliorando:

• Efficienza: ridurre i tempi di indagine unendo gli eventi correlati in storie coese.
• Clarity: convertire i log rumorosi e di basso livello in riepiloghi in linguaggio normale.
• Contesto: aggiunta della mappatura MITRE ATT&CK e dei ruoli delle entità per una pertinenza immediata in ambito sicurezza.
• Coerenza: fornire uno schema unificato tra origini di log diverse.

Il livello di comportamenti UEBA consente un rilevamento, un'analisi e una risposta più veloci delle minacce nelle operazioni di sicurezza, senza richiedere una profonda familiarità con ogni origine log.

Questo articolo illustra il funzionamento del livello dei comportamenti UEBA, come abilitare il livello dei comportamenti e come usare i comportamenti per migliorare le operazioni di sicurezza.

Guardare il webinar dei comportamenti UEBA per una panoramica completa e una demo del livello dei comportamenti UEBA.

Come funziona il livello comportamentale UEBA

I comportamenti fanno parte delle funzionalità UEBA (User and Entity Behavior Analytics) di Microsoft Sentinel, fornendo riepiloghi di attività normalizzati e contestualizzati che integrano il rilevamento anomalie e arricchiscono le indagini.

Confrontare comportamenti, anomalie e avvisi

La tabella seguente illustra come i comportamenti differiscono da anomalie e avvisi:

Tipi di comportamento e record

Quando si abilita il livello dei comportamenti UEBA, Microsoft Sentinel elabora i log di sicurezza supportati raccolti nell'area di lavoro Sentinel quasi in tempo reale e riepiloga due tipi di modelli comportamentali:

Il livello comportamenti UEBA riepiloga i comportamenti a intervalli di tempo personalizzati specifici per la logica di ogni comportamento, creando record di comportamento immediatamente quando identifica i modelli o quando le finestre temporali si chiudono.

Ogni record comportamentale comprende:

• Una descrizione semplice e contestuale: una spiegazione in linguaggio naturale di ciò che è successo in termini rilevanti per la sicurezza, ad esempio chi ha fatto cosa a chi e perché è importante.
• Schema unificato e riferimenti ai log non elaborati sottostanti: tutti i comportamenti usano una struttura di dati coerente tra prodotti e tipi di log diversi, quindi gli analisti non devono tradurre formati di log diversi o aggiungere tabelle a volumi elevati.
• Mappatura MITRE ATT&CK: Ogni comportamento è associato alle tattiche e alle tecniche MITRE pertinenti, fornendo un contesto standard di settore a colpo d'occhio. Non si vede solo cosa è successo, ma anche come si adatta a un framework di attacco o a una sequenza temporale.
• Mapping delle relazioni tra entità: ogni comportamento identifica le entità coinvolte (utenti, host, indirizzi IP) e i relativi ruoli (attore, destinazione o altro).

Livello di astrazione dei comportamenti

Questo diagramma illustra come il livello dei comportamenti UEBA trasforma i log non elaborati in record di comportamento strutturato che migliorano le operazioni di sicurezza:

Archiviazione del comportamento e tabelle

Il livello comportamenti UEBA archivia i record di comportamento in due tipi di tabelle:

• Una tabella di informazioni sul comportamento , che contiene il titolo del comportamento, la descrizione, i mapping MITRE, le categorie e i collegamenti ai log non elaborati e
• Tabella delle entità correlate al comportamento , che elenca tutte le entità coinvolte nel comportamento e i relativi ruoli.

Le tabelle relative alle informazioni sul comportamento e alle entità correlate al comportamento si integrano perfettamente con i flussi di lavoro esistenti per le regole di rilevamento, le indagini e l'analisi degli eventi imprevisti. Elaborano tutti i tipi di attività di sicurezza, non solo eventi sospetti, e forniscono visibilità completa sui modelli di comportamento normale e anomalo.

Per informazioni sull'uso di tabelle dei comportamenti, vedere Procedure consigliate e suggerimenti per la risoluzione dei problemi per l'esecuzione di query sui comportamenti.

Casi d'uso ed esempi

Gli esempi seguenti illustrano in che modo analisti, cacciatori e ingegneri di rilevamento possono usare i comportamenti durante indagini, ricerca e creazione di avvisi.

Indagine e arricchimento degli incidenti

I comportamenti offrono agli analisti SOC una visibilità immediata su ciò che è accaduto in relazione a un avviso, senza dover passare da più tabelle di log grezzi.

• Flusso di lavoro senza comportamenti: Gli analisti spesso devono ricostruire manualmente le sequenze temporali eseguendo query su tabelle specifiche dell'evento e unendo i risultati.

  Esempio: viene generato un avviso su un'attività AWS sospetta. L'analista esegue una query nella AWSCloudTrail tabella, quindi passa ai dati del firewall per comprendere cosa ha fatto l'utente o l'host. Ciò richiede la conoscenza di ogni schema e rallenta la valutazione.

• Flusso di lavoro con comportamenti: Il livello comportamenti UEBA aggrega automaticamente gli eventi correlati in voci di comportamento che possono essere collegate a un evento imprevisto o sottoposte a query su richiesta.

  Esempio: Un avviso indica la possibile esfiltrazione delle credenziali. BehaviorInfo Nella tabella l'analista visualizza il comportamento Accesso segreto di massa sospetto tramite AWS IAM by User123 mappato alla tecnica MITRE T1552 (credenziali non protette). Il livello dei comportamenti UEBA ha generato questo comportamento aggregando 20 voci di log AWS. L'analista comprende immediatamente che User123 ha effettuato l'accesso a molti segreti, un contesto cruciale per escalare l'incidente, senza dover esaminare manualmente tutte e 20 le voci di log.

Ricerca proattiva delle minacce

I comportamenti consentono agli analisti di threat hunting di effettuare ricerche su TTP e riepiloghi delle attività, anziché scrivere complesse operazioni di join o normalizzare autonomamente i log grezzi.

• Flusso di lavoro senza comportamenti: Le attività di ricerca richiedono KQL complesso, join tra tabelle e familiarità con i formati di tutte le origini dati. Un'attività importante potrebbe essere sepolta in set di dati di grandi dimensioni con un contesto di sicurezza predefinito minimo.

  Esempio: La ricerca di segni di ricognizione potrebbe richiedere l'analisi AWSCloudTrail di eventi e alcuni modelli di connessione del firewall separatamente. Il contesto esiste principalmente in eventi imprevisti e avvisi, rendendo più difficile la ricerca proattiva.

• Flusso di lavoro con comportamenti: I comportamenti vengono normalizzati, arricchiti e mappati a tattiche e tecniche MITRE. I cacciatori possono cercare modelli significativi senza dipendere da ogni schema di origine.

  Un cacciatore può filtrare la tabella BehaviorInfo in base alla tattica (Categories), alla tecnica, al titolo o all'entità. Ad esempio:

  BehaviorInfo 
  | where Categories has "Discovery" 
  | summarize count() by Title 
  

  I cacciatori possono anche:

  • Identificare comportamenti rari, usando count distinct nel Title campo .
  • Esplorare un tipo di comportamento interessante, identificare le entità coinvolte e analizzare ulteriormente.
  • Approfondisci i log grezzi usando le colonne BehaviorId e AdditionalFields, che spesso rimandano ai log grezzi di origine.

  Esempio: Un analista alla ricerca di accessi furtivi alle credenziali esegue una query sui comportamenti con "enumerazione delle credenziali" nella colonna Title. I risultati restituiscono alcune istanze di "Tentativo di dump delle credenziali da Vault da parte dell'utente AdminJoe" (derivato dai CyberArk log). Sebbene non siano stati generati avvisi, questo comportamento è insolito per AdminJoe e richiede ulteriori approfondimenti, cosa difficile da rilevare nei verbosi log di audit di Vault.

  Si può anche cacciare in questo modo:

  • Tattica MITRE:

    // Find behaviors by MITRE tactic
    BehaviorInfo
    | where Categories == "Lateral Movement"
    

  • Tecnica:

    // Find behaviors by MITRE technique
    BehaviorInfo
    | where AttackTechniques has "T1078" // Valid Accounts
    | extend AF = parse_json(AdditionalFields)
    | extend TableName = tostring(AF.TableName)
    | project TimeGenerated, Title, Description, TableName
    

  • Utente specifico: recupera tutti i comportamenti associati a un determinato utente negli ultimi 7 giorni per creare una sequenza temporale completa delle attività:

    // Find all behaviors for a specific user over last 7 days
    BehaviorInfo
    | join kind=inner BehaviorEntities on BehaviorId
    | where TimeGenerated >= ago(7d)
    | where EntityType == "User" and AccountUpn == "user@domain.com"
    | project TimeGenerated, Title, Description, Categories
    | order by TimeGenerated desc
    

  • Comportamenti rari (potenziali anomalie):

    // Find rare behaviors (potential anomalies)
    BehaviorInfo
    | where TimeGenerated >= ago(30d)
    | summarize Count=count() by Title
    | where Count < 5 // Behaviors seen less than 5 times
    | order by Count asc
    

Avvisi e automazione

I comportamenti semplificano la logica delle regole fornendo segnali normalizzati e di alta qualità con il contesto predefinito e abilitando nuove possibilità di correlazione.

• Flusso di lavoro senza comportamenti: Le regole di correlazione tra fonti sono complesse poiché ogni formato di log è diverso. Le regole spesso richiedono:

  • Logica di normalizzazione
  • Condizioni specifiche dello schema
  • Più regole separate
  • Dipendenza dagli avvisi anziché dall'attività non elaborata

  L'automazione potrebbe essere attivata troppo spesso anche se è basata su eventi di basso livello.

• Flusso di lavoro con comportamenti: I comportamenti già aggregano gli eventi correlati e includono mapping MITRE, ruoli di entità e schemi coerenti, in modo che i tecnici del rilevamento possano creare regole di rilevamento più semplici e chiare.

  Esempio: Per inviare un avviso su una potenziale sequenza di compromissione delle chiavi e escalation dei privilegi, un tecnico del rilevamento scrive una regola di rilevamento usando questa logica: "Avvisa se un utente ha un comportamento "Creazione di una nuova chiave di accesso AWS" seguito da un comportamento "Elevazione dei privilegi in AWS" entro 1 ora."

  Senza il livello comportamentale UEBA, questa regola richiederebbe di correlare eventi grezzi AWSCloudTrail e interpretarli nella logica della regola. Con i comportamenti, è semplice e resiliente alle modifiche dello schema di log perché lo schema è unificato.

  I comportamenti fungono anche da trigger affidabili per l'automazione. Invece di creare avvisi per attività non rischiose, usare i comportamenti per attivare l'automazione, ad esempio per inviare un messaggio di posta elettronica o avviare la verifica.

Origini dati e comportamenti supportati

L'elenco di origini dati e fornitori o servizi supportati che inviano log a queste origini dati è in continua evoluzione. Il livello comportamenti UEBA aggrega automaticamente le informazioni dettagliate per tutti i fornitori supportati in base ai log raccolti.

Il livello comportamenti UEBA è attualmente incentrato su queste origini dati non Microsoft che tradizionalmente non hanno un contesto comportamentale semplice in Microsoft Sentinel:

¹CommonSecurityLog può contenere i log di molti fornitori. Il livello comportamenti UEBA genera solo comportamenti per fornitori e tipi di log supportati. Se la tabella riceve i log da un fornitore non supportato, non verranno visualizzati comportamenti anche se l'origine dati è connessa.

Prerequisiti

Per usare il livello dei comportamenti UEBA, è necessario:

• Un'area di lavoro di Microsoft Sentinel connessa al portale Defender.
• Inserire una o più origini dati supportate nel livello Analisi. Per altre informazioni sui livelli dati, vedere Gestire i livelli dati e la conservazione in Microsoft Sentinel.

Autorizzazioni necessarie

Per abilitare e usare il livello dei comportamenti UEBA, sono necessarie le autorizzazioni seguenti:

Per altre informazioni sul controllo degli accessi in base al ruolo unificato nel portale di Defender, vedere Microsoft Defender XDR Controllo degli accessi in base al ruolo unificato.

Abilita il livello comportamentale UEBA

Per iniziare ad aggregare i comportamenti UEBA, assicurarsi di connettere almeno un'origine dati supportata. Il livello comportamenti UEBA aggrega i comportamenti solo quando le origini dati supportate sono connesse e inviano attivamente i log al livello Analytics.

Per abilitare il livello comportamentale UEBA nell'area di lavoro:

1. Nel portale di Defender selezionare Impostazioni > Microsoft Sentinel > UEBA.

2. Seleziona Nuovo! livello Comportamenti.

3. Attivare o disattivare il livello Abilita comportamenti.

4. Selezionare Connetti tutte le origini dati o selezionare le origini dati specifiche dall'elenco.

   Se non hai ancora connesso alcuna origine dati supportata all'area di lavoro di Sentinel, seleziona Vai all'hub del contenuto per trovare e connettere i connettori appropriati.

   

5. Selezionare Connetti.

Modello tariffario

L'uso del livello dei comportamenti UEBA comporta i costi seguenti:

• Nessun costo aggiuntivo per la licenza: I comportamenti sono inclusi come parte di Microsoft Sentinel. Non è necessario uno SKU separato, un componente aggiuntivo UEBA o licenze aggiuntive. Se l'area di lavoro è connessa a Sentinel ed è stata eseguita l'onboarding nel portale di Defender, è possibile usare i comportamenti senza costi aggiuntivi per le funzionalità.

• Addebiti per l'acquisizione dei dati di log: I record di comportamento vengono archiviati nelle tabelle SentinelBehaviorInfo e SentinelBehaviorEntities nell'area di lavoro Sentinel. Ogni comportamento contribuisce al volume di acquisizione dei dati nell'area di lavoro e viene fatturato in base alla tariffa di acquisizione di Log Analytics/Sentinel esistente. I comportamenti sono additivi: non sostituiscono i log non elaborati esistenti.

Procedure consigliate e suggerimenti per la risoluzione dei problemi relativi ai comportamenti delle query

Le indicazioni seguenti illustrano come eseguire query sui comportamenti sia dal portale Defender che dall'area di lavoro sentinel. Anche se gli schemi sono identici, l'ambito dati è diverso:

• Nel portale di Defender le tabelle di comportamento includono comportamenti UEBA e comportamenti dei servizi Defender connessi, ad esempio Microsoft Defender for Cloud Apps e Microsoft Defender per il cloud.
• Nell'area di lavoro Sentinel le tabelle di comportamento includono solo i comportamenti UEBA generati dai log inseriti in tale area di lavoro specifica.

Nella tabella seguente sono elencate le tabelle di comportamento da usare in ogni ambiente:

Per esempi più pratici sull'uso di comportamenti, vedere Casi d'uso ed esempi.

Per altre informazioni su Linguaggio di query Kusto (KQL), vedere Panoramica del linguaggio di query Kusto.

• Filtrare i comportamenti UEBA nel portale di Defender

  Le BehaviorInfo tabelle e BehaviorEntities includono tutti i comportamenti UEBA e possono includere anche i comportamenti dei servizi Microsoft Defender.

  Per filtrare i comportamenti del livello comportamenti UEBA di Microsoft Sentinel, utilizzare la colonna ServiceSource. Ad esempio:

  BehaviorInfo
  | where ServiceSource == "Microsoft Sentinel"
  

  

• Eseguire il drill-down dai comportamenti ai log non elaborati

  Utilizzare la AdditionalFields colonna in BehaviorInfo, che contiene riferimenti agli ID evento originali nel SupportingEvidence campo .

  

  Esegui una query sul valore del campo SupportingEvidence per trovare i log grezzi che hanno contribuito a generare un comportamento.

  

• Join BehaviorInfo e BehaviorEntities

  Usare il BehaviorId campo per creare un join BehaviorInfo con BehaviorEntities.

  La query seguente mette in correlazione i record di comportamento recenti con le entità associate, in modo da poter visualizzare ogni comportamento insieme agli utenti, agli host o agli indirizzi IP coinvolti:

  BehaviorInfo
  | join kind=inner BehaviorEntities on BehaviorId
  | where TimeGenerated >= ago(1d)
  | project TimeGenerated, Title, Description, EntityType, EntityRole, AccountUpn
  

  In questo modo è possibile ottenere ogni comportamento e ogni entità coinvolta. Il valore AccountUpn o le informazioni identificative dell'entità sono in BehaviorEntities, mentre BehaviorInfo può riferirsi a "Utente" o "Host" nel testo.

• Acquisizione dei dati sul comportamento del monitor

  Per monitorare l'inserimento dei dati del comportamento, eseguire una query nella Usage tabella per individuare le voci correlate a SentinelBehaviorInfo e SentinelBehaviorEntities.

• Creare regole di automazione, cartelle di lavoro e rilevamento in base ai comportamenti

  • Utilizzare la BehaviorInfo tabella come origine dati per le regole di rilevamento o i playbook di automazione nel portale Defender. Ad esempio, creare una regola di query pianificata che si attiva quando viene visualizzato un comportamento specifico.
  • Per le cartelle di lavoro di Monitoraggio di Azure e tutti gli artefatti creati direttamente nell'area di lavoro Sentinel, assicurarsi di eseguire query sulle tabelle SentinelBehaviorInfo e SentinelBehaviorEntities nell'area di lavoro Sentinel.

Risoluzione dei problemi

Usa i seguenti suggerimenti per risolvere i problemi più comuni relativi ai comportamenti UEBA.

• Se non vengono generati comportamenti: verificare che le origini dati supportate inviino attivamente i log al livello Analytics, verificare che l'interruttore dell'origine dati sia attivato e attendere 15-30 minuti dopo l'abilitazione.
• Vedo meno comportamenti del previsto: la copertura dei tipi di comportamento supportati è parziale ed è in espansione. Per altre informazioni, vedere Origini dati e comportamenti supportati. Anche il livello dei comportamenti UEBA potrebbe non essere in grado di rilevare un modello di comportamento se sono presenti pochissime istanze di un tipo di comportamento specifico.
• Numero di comportamenti: un singolo comportamento può rappresentare decine o centinaia di eventi grezzi: questo serve a ridurre il rumore.

Limitazioni

Queste limitazioni si applicano attualmente al livello dei comportamenti UEBA:

• È possibile abilitare i comportamenti in una singola area di lavoro Sentinel per ogni tenant.
• Il livello comportamenti UEBA genera comportamenti per un set limitato di origini dati e fornitori o servizi supportati.
• Il livello dei comportamenti UEBA al momento non rileva tutte le possibili azioni o tecniche di attacco, anche per le origini dati supportate. Alcuni eventi potrebbero non produrre comportamenti corrispondenti. Non presupporre che l'assenza di un comportamento significhi che non si è verificata alcuna attività. Esaminare sempre i log non elaborati se si sospetta che manchi qualcosa.
• I comportamenti hanno lo scopo di ridurre il rumore aggregando e sequenziando gli eventi, ma è comunque possibile che vengano visualizzati troppi record di comportamento. Siamo lieti di ricevere commenti e suggerimenti su tipi di comportamento specifici per migliorare la copertura e la rilevanza.
• I comportamenti non sono avvisi o anomalie. Sono osservazioni neutrali, non classificate come dannose o benigne. La presenza di un comportamento significa "questo è accaduto", non "questa è una minaccia". Il rilevamento anomalie rimane separato in UEBA. Usare il giudizio o combinare i comportamenti con i dati delle anomalie UEBA per identificare modelli degni di nota.