Die UEBA-Verhaltensschicht sammelt verwertbare Erkenntnisse aus Rohprotokollen in nahezu Echtzeit (Vorschau)

Januar 2026

DieUEBA-Verhaltensschicht aggregiert verwertbare Erkenntnisse aus Rohprotokollen in nahezu Echtzeit (Vorschau)

Microsoft Sentinel führt eine UEBA-Verhaltensschicht ein, die große Mengen an Sicherheitsprotokollen auf niedriger Ebene in klare, für Menschen lesbare Verhaltensanalysen im Defender-Portal umwandelt. Diese KI-gestützte Funktion aggregiert und sequenziert Rohereignisse aus unterstützten Datenquellen in normalisierte Verhaltensweisen, die mit MITRE ATT&CK-Kontext erklären, "wer wem was angetan hat".

Wie Verhaltensweisen die Lücke zwischen Alarmen und Rohprotokollen schließen
Während eingehende Rohprotokolle verrauscht, unkorreliert und schwer zu interpretieren sind und Alarme Analysten dazu auffordern, Maßnahmen bei potenziellen Problemen zu ergreifen, fassen UEBA-Verhaltensweisen normale oder abnormale Verhaltensmuster zusammen, die von unterstützten Datenquellen aufgenommen werden. Auf diese Weise entsteht eine Abstraktionsebene, die die Daten für Untersuchungen, Suche und Erkennung optimiert. Anstatt einzelne AWS CloudTrail-Ereignisse oder Firewall-Protokolle zu analysieren, sehen Analysten beispielsweise ein Verhalten wie "Eingehende Remote-Management-Sitzung von einer externen Adresse", das mehrere Rohereignisse zusammenfasst und sie bekannten Taktiken, Techniken und Verfahren (TTPs) zuordnet.

UEBA-Verhaltensweisen:

• Beschleunigung von Ermittlungen: Schnellere Reaktion auf Vorfälle durch Aggregation und Sequenzierung von Verhaltensweisen, so dass sich Analysten auf sinnvolle Aktionen konzentrieren können, anstatt Tausende von Ereignissen zu durchsuchen.
• Wandeln Sie verrauschte Telemetriedaten in verwertbare Erkenntnisse um: Wandeln Sie fragmentierte, umfangreiche Protokolle in klare, lesbare Verhaltensbeobachtungen um und erleichtern Sie so das Verständnis von Sicherheitsereignissen.
• Befähigung aller SOC-Personas: Verbessern Sie die Arbeitsabläufe von SOC-Analysten, Bedrohungsjägern und Erkennungstechnikern, indem Sie einheitliche, kontextbezogene Ansichten und Bausteine für Erkennungsregeln und Automatisierung bereitstellen.
• Erklärbarkeit sicherstellen: Zuordnung zu MITRE ATT&CK-Taktiken, Entitätsrollen und Rohprotokollen für Nachvollziehbarkeit und Klarheit.

UEBA-Verhaltensweisen können unabhängig von der UEBA-Anomalieerkennung aktiviert werden.
Unterstützte Datenquellen während der öffentlichen Vorschau: AWS CloudTrail, CommonSecurityLog (CyberArk Vault, Palo Alto Threats), und GCPAuditLogs.