Microsoft Sentinel User and Entity Behavior Analytics (UEBA) リファレンス

このリファレンス記事では、 Microsoft Sentinel の User and Entity Behavior Analytics サービスの入力データ ソースの一覧を示します。 また、UEBA がエンティティに追加するエンリッチメントについても説明し、アラートとインシデントに必要なコンテキストを提供します。

UEBA データ ソース

これらは、UEBA エンジンがデータを収集および分析して ML モデルをトレーニングし、ユーザー、デバイス、およびその他のエンティティの動作ベースラインを設定するデータ ソースです。 その後、UEBA はこれらのソースのデータを調べ、異常を見つけ、分析情報を収集します。

UEBA エンリッチメント

このセクションでは、UEBA が Microsoft Sentinel エンティティに追加するエンリッチメントについて説明します。このエンリッチメントを使用して、セキュリティ インシデントの調査に集中し、研ぎ澄ますことができます。 これらのエンリッチメントは エンティティ ページ に表示され、次の Log Analytics テーブルの内容とスキーマを以下に示します。

• BehaviorAnalytics テーブルは、UEBA の出力情報が格納される場所です。

  BehaviorAnalytics テーブルの次の 3 つの動的フィールドについては、以下の 「エンティティ エンリッチメントの動的フィールド」 セクションで説明します。

  • UsersInsights フィールドと DevicesInsights フィールドには、Active Directory/Microsoft Entra ID および Microsoft Threat Intelligence ソースからのエンティティ情報が含まれています。

  • ActivityInsights フィールドには、Microsoft Sentinel のエンティティ動作分析によって構築された動作プロファイルに基づくエンティティ情報が含まれています。

    ユーザー アクティビティは、使用されるたびに動的にコンパイルされるベースラインに対して分析されます。 各アクティビティには、動的ベースラインの派生元となる独自に定義されたルックバック期間があります。 ルックバック期間は、この表の [基準計画 ] 列で指定します。

• IdentityInfo テーブルには、Microsoft Entra ID (および Microsoft Defender for Identity 経由でオンプレミスの Active Directory から) から UEBA に同期される ID 情報が格納されます。

BehaviorAnalytics テーブル

次の表では、Microsoft Sentinel の各 エンティティの詳細ページ に表示される動作分析データについて説明します。

エンティティ エンリッチメントの動的フィールド

UsersInsights フィールド

次の表では、BehaviorAnalytics テーブルの UsersInsights 動的フィールドに含まれるエンリッチメントについて説明します。

DevicesInsights フィールド

次の表では、BehaviorAnalytics テーブルの DevicesInsights 動的フィールドで紹介されているエンリッチメントについて説明します。

ActivityInsights フィールド

次の表では、BehaviorAnalytics テーブルの ActivityInsights 動的フィールドで紹介されているエンリッチメントについて説明します。

実行されたアクション

使用されているアプリ

使用されているブラウザー

接続先の国/地域

接続に使用されたデバイス

その他のデバイス関連

接続に使用されたインターネット サービス プロバイダー

アクセスされたリソース

Miscellaneous

IdentityInfo テーブル

Microsoft Sentinel ワークスペースの UEBA を有効にして構成 すると、Microsoft Sentinel で使用するために、Microsoft ID プロバイダーのユーザー データが Log Analytics の IdentityInfo テーブルに同期されます。

これらの ID プロバイダーは、UEBA の構成時に選択した ID プロバイダーに応じて、次のいずれかまたは両方になります。

• Microsoft Entra ID (クラウドベース)
• Microsoft Active Directory (オンプレミス、Microsoft Defender for Identity が必要)

分析ルール、ハンティング クエリ、ブックで IdentityInfo テーブルに対してクエリを実行し、ユース ケースに合わせて分析を強化し、誤検知を減らすことができます。

初期同期には数日かかる可能性がありますが、データは一度で完全に同期されます。

• 14 日ごとに、Microsoft Sentinel は Microsoft Entra ID 全体 (および該当する場合はオンプレミスの Active Directory) と再同期して、古いレコードが完全に更新されるようにします。

• これらの通常の完全同期に加えて、Microsoft Entra ID でユーザー プロファイル、グループ、組み込みロールに変更が加えられた場合、影響を受けるユーザー レコードは 15 ~ 30 分以内に IdentityInfo テーブルで再割り当てされ、更新されます。 このインジェストは通常の料金で課金されます。 例えば次が挙げられます。

  • 表示名、役職、メール アドレスなどのユーザー属性が変更されました。 このユーザーの新しいレコードが IdentityInfo テーブルに取り込まれます。関連するフィールドは更新されます。

  • グループ A には 100 人のユーザーが含まれます。5 人のユーザーがグループに追加されるか、グループから削除されます。 この場合、これらの 5 つのユーザー レコードが再検索され、 GroupMembership フィールドが更新されます。

  • グループ A には 100 人のユーザーが含まれます。 グループ A に 10 人のユーザーが追加されます。また、グループ A1 と A2 は、それぞれ 10 人のユーザーを持つグループ A に追加されます。この場合、30 個のユーザー レコードが再割り当てされ、 GroupMembership フィールドが更新されます。 これは、グループ メンバーシップが推移的であるため、グループに対する変更がすべてのサブグループに影響を与えるためです。

  • グループ B (50 ユーザー) の名前が Group BeGood に変更されました。 この場合、50 個のユーザー レコードが再割り当てされ、 その GroupMembership フィールドが更新されます。 そのグループにサブグループがある場合、すべてのメンバーのレコードに対して同じことが発生します。

• IdentityInfo テーブルの既定の保持時間は 30 日です。

Limitations

• [AssignedRoles] フィールドでは、組み込みのロールのみがサポートされます。

• GroupMembership フィールドでは、サブグループを含め、ユーザーごとに最大 500 個のグループを一覧表示できます。 ユーザーが 500 を超えるグループのメンバーである場合、最初の 500 だけが IdentityInfo テーブルと同期されます。 ただし、グループは特定の順序で評価されないため、新しい同期 (14 日ごと) ごとに、別のグループ セットがユーザー レコードに更新される可能性があります。

• ユーザーが削除されると、そのユーザーのレコードは IdentityInfo テーブルからすぐには削除されません。 その理由は、このテーブルの目的の 1 つは、ユーザー レコードの変更を監査するためです。 そのため、このテーブルにはユーザーのレコードが削除されるようにします。これは、実際のユーザー (Entra ID など) が削除された場合でも、 IdentityInfo テーブル内のユーザー レコードがまだ存在する場合にのみ発生します。

  削除されたユーザーは、 deletedDateTime フィールドに値が存在することで識別できます。 そのため、ユーザーの一覧を表示するクエリが必要な場合は、クエリに | where IsEmpty(deletedDateTime) を追加して、削除されたユーザーを除外できます。

  ユーザーが削除されてから一定の間隔で、ユーザーのレコードは最終的に IdentityInfo テーブルからも削除されます。

• グループが削除されたとき、または 100 を超えるメンバーを持つグループの名前が変更された場合、そのグループのメンバー ユーザー レコードは更新されません。 別の変更によってユーザーのレコードのいずれかが更新された場合、その時点で更新されたグループ情報が含まれます。

IdentityInfo テーブルのその他のバージョン

IdentityInfo テーブルには複数のバージョンがあります。

• この記事で説明する Log Analytics スキーマ バージョンは、Azure portal で Microsoft Sentinel に対応しています。 UEBA を有効にしたユーザーが利用できます。

• 高度なハンティング スキーマ バージョンは、Microsoft Defender for Identity を介して Microsoft Defender ポータルにサービスを提供します。 Microsoft Sentinel の有無にかかわらず、Microsoft Defender XDR のお客様、および Microsoft Sentinel のお客様が Defender ポータルで単独で利用できます。

  このテーブルにアクセスするために UEBA を有効にする必要はありません。 ただし、UEBA が有効になっていないお客様の場合、UEBA データによって設定されたフィールドは表示されず、使用できません。

  詳細については、 この表の 高度なハンティング バージョンのドキュメントを参照してください。

• 2025 年 5 月の時点で、UEBA が有効になっているMicrosoft Defender ポータルの Microsoft Sentinel のお客様は、高度なハンティング バージョンの新しいリリースの使用を開始します。 この新しいリリースには、Log Analytics バージョンのすべての UEBA フィールドといくつかの新しいフィールドが含まれており、 統合バージョン または 統合 IdentityInfo テーブルと呼ばれます。

  UEBA が有効になっていない、または Microsoft Sentinel がまったくない Defender ポータルのお客様は、UEBA で生成されたフィールドを使用せずに、Advanced Hunting バージョンの以前のリリースを引き続き使用します。

  統合バージョンの詳細については、高度なハンティングドキュメントの IdentityInfo を参照してください。

Schema

次の [Log Analytics スキーマ] タブの表では、Azure portal の Log Analytics の IdentityInfo テーブルに含まれるユーザー ID データについて説明します。

Microsoft Sentinel を Defender ポータルにオンボードする場合は、[Compare to unified schema]\(統合スキーマと比較\) タブを選択して、脅威検出ルールと検出のクエリに影響する可能性のある変更を表示します。

Microsoft SentinelワークフローとのUEBA統合

UEBAのインサイトはMicrosoft Sentinel全体に統合され、セキュリティ運用のワークフローを強化しています:

エンティティページとユーザー調査

• ユーザーパネルの異常:過去30日間の上位3つのユーザー異常をユーザー側パネルとユーザーページの概要タブで直接確認できます。 これにより、さまざまなポータル拠点のユーザーを調査する際に即座にUEBAの文脈が得られます。 詳細については、「 エンティティに関する調査」ページをご覧ください。

狩猟と探知の強化

• Go Hunt異常クエリ:ユーザーエンティティを調査する際にインシデントグラフから直接組み込みの異常検索にアクセスでき、UEBAの結果に基づく即時のコンテキスト検索を可能にします。
• 異常表の推奨:対象データソースをクエリする際にUEBA異常テーブルを追加することで、検索クエリを強化するためのインテリジェントな提案を受け取りましょう。

これらのハンティング機能の詳細は、 Microsoft SentinelのThreat Huntingをご覧ください。

調査ワークフロー

• 強化された調査グラフ:ユーザーエンティティとのインシデントを調査する際は、調査グラフから直接UEBA異常クエリにアクセスし、即時の行動文脈を得られます。

調査の強化についての詳細は 、「Microsoft Sentinelインシデントの詳細な調査」をご覧ください。

UEBA統合強化の前提条件

これらの強化されたUEBA機能にアクセスするには:

• UEBAはMicrosoft Sentinelワークスペースで有効にする必要があります
• ワークスペースはMicrosoft Defenderポータルにオンボーディングされている必要があります(一部の機能の場合)
• UEBAデータの閲覧およびハンティングクエリを実行するための適切な権限

次のステップ

このドキュメントでは、Microsoft Sentinel のエンティティ行動分析テーブルのスキーマについて説明しました。

• エンティティの動作分析について詳しくは、こちらをご覧ください。
• Microsoft Sentinel で UEBA を有効にします。
• 調査に使用する UEBA を配置 します。