Microsoft Sentinel UEBA リファレンス

このリファレンス記事では、Microsoft Sentinel の User and Entity Behavior Analytics サービスの入力データ ソースの一覧を示します。 また、UEBA がエンティティに追加するエンリッチメントについても説明し、アラートとインシデントに必要なコンテキストを提供します。

UEBA データ ソース

これらは、UEBA エンジンがデータを収集および分析して ML モデルをトレーニングし、ユーザー、デバイス、およびその他のエンティティの動作ベースラインを設定するデータ ソースです。 その後、UEBA はこれらのソースのデータを調べ、異常を見つけ、分析情報を収集します。

UEBA enrichments

このセクションでは、UEBA が Microsoft Sentinel エンティティに追加するエンリッチメントと、そのすべての詳細について説明します。これらを使用して、セキュリティ インシデントの調査に集中して鋭くすることができます。 These enrichments are displayed on entity pages and can be found in the following Log Analytics tables, the contents and schema of which are listed below:

• The BehaviorAnalytics table is where UEBA's output information is stored.

  BehaviorAnalytics テーブルの次の 3 つの動的フィールドについては、以下の 「エンティティ エンリッチメントの動的フィールド」 セクションで説明します。

  • The UsersInsights and DevicesInsights fields contain entity information from Active Directory / Microsoft Entra ID and Microsoft Threat Intelligence sources.

  • The ActivityInsights field contains entity information based on the behavioral profiles built by Microsoft Sentinel's entity behavior analytics.

    ユーザー アクティビティは、使用されるたびに動的にコンパイルされるベースラインに対して分析されます。 各アクティビティには、動的ベースラインの派生元となる独自に定義されたルックバック期間があります。 The lookback period is specified in the Baseline column in this table.

• The IdentityInfo table is where identity information synchronized to UEBA from Microsoft Entra ID (and from on-premises Active Directory via Microsoft Defender for Identity) is stored.

BehaviorAnalytics table

次の表では、Microsoft Sentinel の各 エンティティの詳細ページ に表示される動作分析データについて説明します。

エンティティ エンリッチメントの動的フィールド

UsersInsights field

The following table describes the enrichments featured in the UsersInsights dynamic field in the BehaviorAnalytics table:

DevicesInsights field

The following table describes the enrichments featured in the DevicesInsights dynamic field in the BehaviorAnalytics table:

ActivityInsights field

The following tables describe the enrichments featured in the ActivityInsights dynamic field in the BehaviorAnalytics table:

Action performed

App used

Browser used

接続先の国/地域

接続に使用されたデバイス

Other device-related

接続に使用されたインターネット サービス プロバイダー

Resource accessed

Miscellaneous

IdentityInfo table

Microsoft Sentinel ワークスペースの UEBA を有効にして構成 すると、Microsoft Sentinel で使用するために、Microsoft ID プロバイダーのユーザー データが Log Analytics の IdentityInfo テーブルに同期されます。

これらの ID プロバイダーは、UEBA の構成時に選択した ID プロバイダーに応じて、次のいずれかまたは両方になります。

• Microsoft Entra ID (クラウドベース)
• Microsoft Active Directory (オンプレミス、Microsoft Defender for Identity が必要)

You can query the IdentityInfo table in analytics rules, hunting queries, and workbooks, enhancing your analytics to fit your use cases and reducing false positives.

初期同期には数日かかる可能性がありますが、データは一度で完全に同期されます。

• Microsoft Sentinel は、古いレコードが完全に更新されるように、14 日ごとに Microsoft Entra ID 全体 (および該当する場合はオンプレミスの Active Directory) と再同期します。

• Besides these regular full synchronizations, whenever changes are made to your user profiles, groups, and built-in roles in Microsoft Entra ID, the affected user records are re-ingested and updated in the IdentityInfo table within 15-30 minutes. このインジェストは通常の料金で課金されます。 For example:

  • 表示名、役職、メール アドレスなどのユーザー属性が変更されました。 A new record for this user is ingested into the IdentityInfo table, with the relevant fields updated.

  • グループ A には 100 人のユーザーが含まれます。5 人のユーザーがグループに追加されるか、グループから削除されます。 In this case, those 5 user records are re-ingested, and their GroupMembership fields updated.

  • グループ A には 100 人のユーザーが含まれます。 Ten users are added to Group A. Also, groups A1 and A2, each with 10 users, are added to Group A. In this case, 30 user records are re-ingested and their GroupMembership fields updated. これは、グループ メンバーシップが推移的であるため、グループに対する変更がすべてのサブグループに影響を与えるためです。

  • グループ B (50 ユーザー) の名前が Group BeGood に変更されました。 In this case, 50 user records are re-ingested and their GroupMembership fields updated. そのグループにサブグループがある場合、すべてのメンバーのレコードに対して同じことが発生します。

• Default retention time in the IdentityInfo table is 30 days.

Limitations

• The AssignedRoles field supports only built-in roles.

• The GroupMembership field supports listing up to 500 groups per user, including subgroups. If a user is a member of more than 500 groups, only the first 500 are synchronized with the IdentityInfo table. ただし、グループは特定の順序で評価されないため、新しい同期 (14 日ごと) ごとに、別のグループ セットがユーザー レコードに更新される可能性があります。

• When a user is deleted, that user's record is not immediately deleted from the IdentityInfo table. その理由は、このテーブルの目的の 1 つは、ユーザー レコードの変更を監査するためです。 Therefore, we want this table to have a record of a user being deleted, which can only happen if the user record in the IdentityInfo table still exists, even though the actual user (say, in Entra ID) is deleted.

  削除されたユーザーは、 deletedDateTime フィールドに値が存在することで識別できます。 そのため、ユーザーの一覧を表示するクエリが必要な場合は、クエリに | where IsEmpty(deletedDateTime) を追加して、削除されたユーザーを除外できます。

  At a certain interval of time after a user was deleted, the user's record is eventually removed from the IdentityInfo table as well.

• グループが削除された場合、または 100 を超えるメンバーを持つグループの名前が変更された場合、そのグループのメンバー ユーザー レコードは更新されません。 別の変更によってユーザーのレコードのいずれかが更新された場合、その時点で更新されたグループ情報が含まれます。

IdentityInfo テーブルのその他のバージョン

There are actually multiple versions of the IdentityInfo table:

• The Log Analytics schema version, discussed in this article, serves Microsoft Sentinel in the Azure portal. UEBA を有効にしたユーザーが利用できます。

• The Advanced hunting schema version serves the Microsoft Defender portal via Microsoft Defender for Identity. Microsoft Sentinel の有無にかかわらず、Microsoft Defender XDR のお客様、および Microsoft Sentinel のお客様が Defender ポータルで単独で利用できます。

  このテーブルにアクセスするために UEBA を有効にする必要はありません。 ただし、UEBA が有効になっていないお客様の場合、UEBA データによって設定されたフィールドは表示されず、使用できません。

  詳細については、 この表の 高度なハンティング バージョンのドキュメントを参照してください。

• 2025 年 5 月の時点で、UEBA が有効になっているMicrosoft Defender ポータルの Microsoft Sentinel のお客様は、高度なハンティング バージョンの新しいリリースの使用を開始します。 This new release includes all the UEBA fields from the Log Analytics version as well as some new fields, and is referred to as the unified version or the unified IdentityInfo table.

  UEBA が有効になっていない、または Microsoft Sentinel がまったくない Defender ポータルのお客様は、UEBA で生成されたフィールドを使用せずに、Advanced Hunting バージョンの以前のリリースを引き続き使用します。

  統合バージョンの詳細については、高度なハンティングドキュメントの IdentityInfo を参照してください。

Schema

The table in the following "Log Analytics schema" tab describes the user identity data included in the IdentityInfo table in Log Analytics in the Azure portal.

Microsoft Sentinel を Defender ポータルにオンボードする場合は、[Compare to unified schema]\(統合スキーマと比較\) タブを選択して、脅威検出ルールと検出のクエリに影響する可能性のある変更を表示します。

Next steps

このドキュメントでは、Microsoft Sentinel のエンティティ行動分析テーブルのスキーマについて説明しました。

• エンティティの動作分析について詳しくは、こちらをご覧ください。
• Microsoft Sentinel で UEBA を有効にします。
• 調査に使用する UEBA を配置 します。