Comment les importations utilisateur dans UEBA synchronisent les données importées dans une table de référence
La synchronisation des données importées lors de l'importation des utilisateurs entraîne le stockage de certaines données et la mise à jour d'autres données.
Lorsque chaque importation d'utilisateur a terminé l'étape de téléchargement des données de la source définie (LDAP, table de référence ou fichier CSV), UEBA recherche les données extraites de la source et les analyse via un processus de normalisation, qui prend chaque enregistrement reçu et mappe les attributs de la source vers un ensemble de zones normalisées. Les zones sont display_name, full_name, city, state, country, custom_group, dept, domain, email, job_title, manager. Ces zones sont normalisées comme configuré à partir de l'onglet dans la section des zones d'affichage.
Si une zone d'affichage comporte plusieurs attributs répertoriés, le premier attribut de la liste est utilisé pour remplir la zone normalisée dans la table de référence. Si un attribut de la source d'importation contient une liste de valeurs, la première valeur de la liste sera utilisée pour remplir la zone normalisée dans la table de référence. Par exemple, si la zone d'affichage'Department'est configurée pour être définie à partir de l'attribut importé'dept'et'section'dans cet ordre, la valeur de'dept'sera stockée dans la table de référence. Dans l'exemple précédent, si'dept'contenait les valeurs'Engineering'et'Devops'dans cet ordre,'Engineering'sera stocké dans la table de référence sous la zone normalisée'department'. De même, les zones de coalescence utilisateur qui sont définies pour la section des alias dans la page d'optimisation de l'importation utilisateur seront utilisées pour mapper chaque'nom d'utilisateur'trouvé à l'ID, id1, id2, etc., jusqu'au nombre d'attributs dans la liste des alias. Si aucun alias ne correspond aux données importées, l'utilisateur n'est pas ajouté à la table de référence.
Lors de l'exécution initiale, ou lorsque l'option de synchronisation des données est ajoutée à une configuration existante, toutes les valeurs trouvées par cette importation (et uniquement cette importation) sont ajoutées, les utilisateurs ne sont pas fusionnés et ne ressemblent pas exactement aux utilisateurs dans UEBA . Si l'importation configurée prend en charge des interrogations supplémentaires (comme LDAP), sur chaque interrogation delta, seuls les enregistrements nouvellement reconnus sont ajoutés. UEBA ne régénère jamais complètement la table de référence à partir des données. Par conséquent, si des éléments de la table de référence sont supprimés manuellement, ils ne seront pas automatiquement ajoutés à nouveau.