使用者行為特徵
User Behavior Profiles 可檢視根據帳戶活動與 DEVO 或 Microsoft Sentinel 回填資料建立的行為基準。此頁面依所選帳戶範圍顯示，具備帳戶管理權限的使用者才能使用。
使用 Microsoft Sentinel 時，mssentinel-user-behavior-profile-download 代理程式會透過 Microsoft Graph Advanced Hunting，在固定七天（P7D）基準期間查詢正規化的 ASimAuthenticationEventLogs 資料表。它也會針對驗證 cohort 中的使用者檢查選用的 ASIM 稽核、網路、程序與 Web 工作階段資料表；無法使用的資料表會記錄為部分涵蓋。每位使用者至少需要5筆符合條件的驗證事件才會更新特徵。特徵依帳戶範圍建立，包含從驗證資料取得的活動、來源、地理位置、動作與結果指標。
找到設定檔
開啟 User Behavior Profiles，可依來源帳戶、部門或角色搜尋，也可依基準更新時間、來源帳戶、部門、角色、驗證失敗率或未知分類率遞增或遞減排序。
列表顯示來源帳戶、角色、部門、平日／週末活躍時段、驗證失敗率、未知分類率、基準來源與更新時間。選取來源帳戶可檢視詳細資料，每頁顯示 25 個設定檔。
閱讀設定檔
詳細頁面包含角色、部門、驗證失敗率、未知分類率、包含在 90% 活動基準內的典型活躍時段、來源地理位置、資料來源分布與動作分布。頁面也會顯示基準來源、更新時間與樣本期間數。空白區塊表示沒有解析或記錄到該資料，不代表一定發生安全事件。
變更顯示時區
使用 Display timezone 將活躍時段與設定檔日期轉換為適合檢視的時區。選擇會儲存在瀏覽器中，且只影響顯示，不會變更已儲存的基準。
步驟：檢視使用者行為設定檔
- 確認標頭中的目前帳戶。
- 開啟 User Behavior Profiles。
- 選取顯示時區，必要時使用搜尋、部門或角色篩選，再按 Apply。
- 檢視活躍時段、驗證失敗率與未知分類率。
- 選取來源帳戶，檢視詳細基準、地理位置、資料來源與動作分布。
設定的 DEVO 或 Microsoft Sentinel 行為特徵代理程式收集足夠活動後，設定檔才會顯示。若列表為空，請確認所選帳戶，並請管理員檢查行為設定檔下載代理程式的歷史紀錄。