Microsoft Sentinel UEBA リファレンス

このリファレンス記事では、Microsoft Sentinel の User and Entity Behavior Analytics サービスの入力データ ソースの一覧を示します。 また、UEBA がエンティティに追加するエンリッチメントについても説明し、アラートとインシデントに必要なコンテキストを提供します。

UEBA データ ソース

これらは、UEBA エンジンがデータを収集および分析して ML モデルをトレーニングし、ユーザー、デバイス、およびその他のエンティティの動作ベースラインを設定するデータ ソースです。 その後、UEBA はこれらのソースのデータを調べ、異常を見つけ、分析情報を収集します。

UEBA エンリッチメント

このセクションでは、UEBA が Microsoft Sentinel エンティティに追加するエンリッチメントと、そのすべての詳細について説明します。これらを使用して、セキュリティ インシデントの調査に集中して鋭くすることができます。 これらのエンリッチメントはエンティティ ページに表示され、次の Log Analytics テーブルで確認できます。内容とスキーマは次のとおりです。

• BehaviorAnalytics テーブルには、UEBA の出力情報が格納されます。

  BehaviorAnalytics テーブルに含まれる以下の 3 つの動的フィールドについて、次の「エンティティ エンリッチメント動的フィールド」のセクションで説明します。

  • UsersInsights および DevicesInsights フィールドには、Active Directory または Microsoft Entra ID および Microsoft 脅威インテリジェンス ソースのエンティティ情報が格納されます。

  • ActivityInsights フィールドには、Microsoft Sentinel のエンティティ行動分析によって作成される行動プロファイルに基づくエンティティ情報が格納されます。

    ユーザー アクティビティは、使用されるたびに動的にコンパイルされるベースラインに対して分析されます。 各アクティビティには、この動的なベースラインの派生元であるルックバック期間が定義されています。 このルックバック期間は、この表の「ベースライン」列で指定されています。

• IdentityInfo テーブルには、Microsoft Entra ID から (および Microsoft Defender for Identity 経由でオンプレミスの Active Directory から) UEBA に同期された ID 情報が格納されます。

BehaviorAnalytics テーブル

次の表に、Microsoft Sentinel の各エンティティの詳細ページに表示される行動分析データを示します。

エンティティ エンリッチメントの動的フィールド

UsersInsights フィールド

次の表では、BehaviorAnalytics テーブルの UsersInsights 動的フィールドで使用されるエンリッチメントについて説明します。

DevicesInsights フィールド

次の表では、BehaviorAnalytics テーブルの DevicesInsights 動的フィールドで使用されるエンリッチメントについて説明します。

ActivityInsights フィールド

次の表では、BehaviorAnalytics テーブルの ActivityInsights 動的フィールドで使用されるエンリッチメントについて説明します。

実行されたアクション

使用されたアプリ

使用されたブラウザー

接続元の国

接続に使用されたデバイス

その他のデバイス関連

接続に使用されたインターネット サービス プロバイダー

アクセス先のリソース

その他

IdentityInfo テーブル

Microsoft Sentinel ワークスペースの UEBA を有効にした後、Microsoft Entra ID のデータが、Microsoft Sentinel で使用するために Log Analytics の IdentityInfo テーブルに同期されます。 Microsoft Entra ID から同期されたユーザー データを分析ルールに埋め込み、ユース ケースに合うように分析を強化して、擬陽性を減らすことができます。

初期同期には数日かかる可能性がありますが、データは一度で完全に同期されます。

• Microsoft Entra ID でユーザー プロファイル、グループ、ロールに加えられた変更は、 IdentityInfo テーブルで 15 から 30 分以内に更新されます。

• 古いレコードが完全に更新されるように、Microsoft Sentinel では14日ごとに Microsoft Entra ID 全体と同期し直します。

• IdentityInfo テーブルの既定の保有期間は 30 日です。

制限事項

• 現在サポートされているのは組み込みロールだけです。

• 削除されたグループ (ユーザーがグループから削除された場所) についてのデータは、現在サポートされていません。

IdentityInfo テーブルのバージョン

実際には、 IdentityInfo テーブルには次の 2 つのバージョンがあります。

• Log Analytics スキーマ バージョンは、Azure portal で Microsoft Sentinel に対応します。
• Advanced hunting スキーマ バージョンは、Microsoft Defender for Identity を介して Microsoft Defender ポータルで Microsoft Sentinel にサービスを提供します。

このテーブルの両方のバージョンは Microsoft Entra ID によって提供されますが、Log Analytics バージョンではいくつかのフィールドが追加されました。

統合セキュリティ運用プラットフォーム Defender ポータルでは、この表の Advanced hunting バージョンが使用されます。 テーブルの 2 つのバージョン間の違いを最小限に抑えるために、Log Analytics バージョンの一意のフィールドのほとんどは、 Advanced hunting バージョンにも徐々に追加されます。 Microsoft Sentinel を使用しているポータルに関係なく、ほぼすべて同じ情報にアクセスできますが、バージョン間の同期にわずかなタイム ラグが発生する可能性があります。 詳細については、この表の Advanced hunting バージョンの文書を参照してください。

次の表では、Azure portal の Log Analytics の IdentityInfo テーブルに含まれるユーザー ID データについて説明します。 4 番目の列には、Microsoft Sentinel が Defender ポータルで使用するテーブルの Advanced hunting バージョンの対応するフィールドが表示されます。 太字のフィールド名は、 Advanced hunting スキーマでは、Microsoft Sentinel Log Analytics バージョンとは異なる名前になります。

次の手順

このドキュメントでは、Microsoft Sentinel のエンティティ行動分析テーブルのスキーマについて説明しました。

• エンティティ行動分析の詳細を確認する。
• Microsoft Sentinel で UEBA を有効にする。
• 調査で UEBA を使用する。