Neue Datenquellen für erweiterte User and Entity Behavior Analytics (UEBA)

September 2025

Neue Datenquellen für verbesserte User and Entity Behavior Analytics (UEBA) (Vorschau)

Die UEBA von Microsoft Sentinel ermöglicht SOC-Teams eine KI-gestützte Erkennung von Anomalien auf der Grundlage von Verhaltenssignalen in Ihrem Tenant. Es hilft bei der Priorisierung von Bedrohungen mithilfe von dynamischen Baselines, Peer-Vergleichen und angereicherten Entitätsprofilen.

UEBA unterstützt jetzt die Erkennung von Anomalien anhand von sechs neuen Datenquellen:
Microsoft-Authentifizierungsquellen:
Diese Quellen bieten einen tieferen Einblick in das Identitätsverhalten in Ihrer Microsoft-Umgebung.

• Microsoft Defender XDR-Geräteanmeldeereignisse: Erfassen Sie die Anmeldeaktivität von Endgeräten und identifizieren Sie so Seitwärtsbewegungen, ungewöhnliche Zugriffsmuster oder gefährdete Geräte.
• Microsoft Entra ID Anmeldeprotokolle für verwaltete Identitäten: Verfolgen Sie Anmeldungen von verwalteten Identitäten, die in der Automatisierung verwendet werden, wie z. B. Skripte und Dienste. Dies ist wichtig, um den stillen Missbrauch von Dienstidentitäten zu erkennen.
• Microsoft Entra ID Dienstprinzipal-Anmeldungsprotokolle: Überwachen Sie die Anmeldungen von Dienstprinzipalen, die häufig von Anwendungen oder Skripten verwendet werden, um Anomalien wie unerwarteten Zugriff oder die Ausweitung von Berechtigungen zu erkennen.

Cloud- und Identitätsmanagement-Plattformen von Drittanbietern:
UEBA lässt sich jetzt mit führenden Cloud- und Identitätsmanagement-Plattformen integrieren, um die Erkennung von Identitätskompromittierung, Missbrauch von Berechtigungen und riskantem Zugriffsverhalten in Multi-Cloud-Umgebungen zu verbessern.

• AWS CloudTrail-Anmeldeereignisse: Kennzeichnen Sie riskante Anmeldeversuche in Amazon Web Services (AWS), wie z. B. fehlgeschlagene Multifaktor-Authentifizierung (MFA) oder die Verwendung des Root-Kontos - kritische Indikatoren für eine mögliche Gefährdung des Kontos.
• GCP-Auditprotokolle - Gescheiterte IAM-Zugriffsereignisse: Erfassen Sie verweigerte Zugriffsversuche in Google Cloud Platform, um Versuche der Privilegieneskalation oder falsch konfigurierte Rollen zu identifizieren.
• Okta MFA- und Authentifizierungssicherheitsänderungsereignisse: Erfassen Sie MFA-Herausforderungen und Änderungen an Authentifizierungsrichtlinien in Okta - Signale, die auf gezielte Angriffe oder Identitätsmanipulationen hinweisen könnten.

Diese neuen Quellen verbessern die Fähigkeit von UEBA, Bedrohungen in Microsoft- und hybriden Umgebungen auf der Grundlage von angereicherten Benutzer-, Geräte- und Dienstidentitätsdaten, erweitertem Verhaltenskontext und neuen plattformübergreifenden Anomalieerkennungsfunktionen zu erkennen.

Um die neuen Datenquellen zu aktivieren, müssen Sie in das Defender-Portal aufgenommen werden.