UEBA (行動分析)

UEBA（User and Entity Behavior Analytics）は、ユーザーやエンティティ（サーバー、デバイス等）に関する検知を、スケジュール実行される検知 Playbook タスクとして管理する機能です。

実装の前提

CSIRT-Pro の UEBA は、検知ロジックを持つ Playbook を、対象アセットと実行間隔に紐付けて定期実行する仕組みです。検知ロジックの実体は各タスクが参照する Playbook（Sigma 検索やユーザー定義ロジック）にあります。統計的ベースラインの計算や ML による異常スコアリング、ジオロケーション異常検知のエンジンを内蔵しているわけではありません。

画面構成

UEBA 画面の全体レイアウト 図: UEBA 画面（稼働中ビルドから取得）。検知ロジックをグループとタスクで管理し、有効化トグル、実行間隔、アクションを操作

UEBA 画面は次の要素で構成されています。

タスクグループ：検知ロジックのグループ管理
個別タスク：個々の検知 Playbook
アセット管理：タスクが接続する対象（サーバーや外部サービス等）のアセット
クレデンシャル管理：アセットアクセス用の認証情報

基本概念

タスクグループ

関連する検知ロジックをグループにまとめて管理します。例として次のような分類があります。

ブルートフォース検知 グループ
権限昇格検知 グループ
データ漏洩検知 グループ

タスク

各タスクは個別の検知 Playbook です。設定した間隔で定期実行され、異常を検知するとケースを自動作成します。ここで自動化されるのはケースの起票までで、対応や修復、通信遮断、ケースのクローズを自動実行することはありません。

アセット

タスクが接続する対象（サーバーや外部サービス等）の情報と、アクセスに必要な認証情報を保持するコンテナです。タスクにリンクすると、実行時に Playbook へ認証情報として渡されます。

UEBA の設定

1. タスクの有効化と無効化

タスクの有効化/無効化トグル 図: タスクの ON/OFF トグル切り替え

各タスクの ON/OFF トグルで、検知ロジックの有効と無効を切り替えます。トグルを切り替えた後は、画面右上の「Save」ボタンをクリックして保存してください。保存するまで変更は反映されません。

2. 実行間隔の設定

タスクの実行頻度を設定します。

間隔	説明
1 分	リアルタイムに近い検知
5 分	標準的な検知間隔
15 分	中程度の頻度
30 分	中低頻度の定期チェック
1 時間	低頻度の定期チェック
2 時間	低頻度の定期チェック
1 日	日次のバッチ分析
1 週間	週次のトレンド分析

権限

実行間隔は運営側で管理されており、この画面から変更することはできません。

3. アセットのリンク

タスク行のアセット管理アイコン（Manage assets）をクリック
ダイアログでアセットを検索し、チェックボックスで選択（「New Asset」から新規作成も可能）
「Save」をクリックして選択したアセットをタスクに紐付け

4. クレデンシャルの設定

アセットにアクセスするための認証情報を安全に保存できます。

SSH キー
API トークン
ユーザー名とパスワード

セキュリティ

クレデンシャルは暗号化されて保存されます。 UI 上ではシークレットインジケーターとして表示されます。

検知フロー

UEBA の検知は次の流れで処理されます。

スケジュール実行：UEBA タスクを設定された間隔で自動実行
認証情報の利用：リンクされたアセットの認証情報を Playbook に渡し、外部システムへのアクセスに利用
ログ分析：列指向ログ分析基盤に保存されたログに検知 Playbook の分析クエリを実行
異常検知：異常パターンを検知した場合にケースを自動作成
通知：エスカレーションポリシーに基づいて通知（メール、Teams、SMS、電話）を送信

テンプレート

UEBA テンプレートとテンプレートグループは、管理者が登録して管理し、組織へ配布できます。連携（Integration）の設定では、有効化時に既定の UEBA グループを組織へ割り当てる仕組みもあります。

Note

テンプレートの内容（検知 Playbook）は導入と運用の時点で登録される前提です。製品にあらかじめ多数の検知ルールがシードされているわけではありません。提供される検知コンテンツの範囲は構成と契約によって異なります。

API からの操作

UEBA の管理は REST API からも行えます。詳細は UEBA API リファレンスを参照してください。