Cómo las importaciones de usuario en UEBA sincronizan los datos importados con una tabla de referencia
La sincronización de datos importados al importar usuarios, hace que algunos datos se almacenen y que otros datos se actualicen.
Cuando cada importación de usuario ha completado el paso para descargar datos del origen definido (LDAP, tabla de referencia o archivo CSV), UEBA busca los datos que se han recuperado del origen y los analiza a través de un proceso de normalización, que toma cada registro que se recibe y correlaciona los atributos del origen con un conjunto de campos normalizados. Los campos son display_name, full_name, city, state, country, custom_group, dept, domain, email, job_title, manager. Estos campos se normalizan tal como se ha configurado desde la pestaña en la sección de campos de visualización.
Si un campo de visualización tiene varios atributos listados, el primer atributo de la lista se utiliza para rellenar el campo normalizado en la tabla de referencia. Si un atributo del origen de importación contiene una lista de valores, se utilizará el primer valor de la lista para rellenar el campo normalizado en la tabla de referencia. Por ejemplo, si el campo de visualización 'Departamento' está configurado para establecerse desde el atributo importado 'dept' y 'section' en ese orden, el valor de 'dept' se almacenará en la tabla de referencia. Continuando con el ejemplo anterior, si 'dept' contenía los valores 'Engineering' y 'Devops' en ese orden, 'Engineering' se almacenará en la tabla de referencia bajo el campo normalizado 'department'. De forma similar, los campos de fusión de usuario definidos para la sección de alias en la página de ajuste de importación de usuario se utilizarán para correlacionar cada 'nombre de usuario' encontrado con el ID, id1, id2, etc., hasta el número de atributos de la lista de alias. Si no hay ningún alias que coincida con los datos importados, el usuario no se añade a la tabla de referencia.
En la ejecución inicial, o cuando la opción para sincronizar los datos se añade a una configuración existente, se añaden todos los valores encontrados por esa importación (y sólo esa importación), los usuarios no se fusionan y no se parecerán a los usuarios de UEBA exactamente. Si la importación configurada da soporte a un sondeo adicional (como LDAP), en cada sondeo delta sólo se añaden los registros recién descubiertos. UEBA nunca volverá a crear completamente la tabla de referencia a partir de los datos. Por lo tanto, si los elementos de la tabla de referencia se eliminan manualmente, no se volverán a añadir automáticamente.