リファレンス・セット
User Entity Behavior Analytics (UEBA) アプリケーションおよび Machine Learning アプリケーションは、ユーザー情報の保管にリファレンス・セットを使用します。 一部のリファレンス・セットはアプリケーション専用に予約されており、それらを変更することも、カスタム・ルールの作成時に使用することもできません。
カスタマイズできるリファレンス・セット
| リファレンス・セット | 説明 |
|---|---|
| UBA : 高リスク・ユーザー | 「UBA: 高リスク・ユーザー (UBA: High Risk Users)」 リファレンス・セットは、 「UBA の設定 (UBA Settings)」 ページの 「オフェンスをトリガーするリスクしきい値 (Risk threshold to trigger offenses)」 の値から作成されます。 ユーザーの最大数は 10,000 であり、リファレンス・セットは 5 分ごとに再作成されます。 |
| UBA : トラステッド・ユーザー名 (UBA : Trusted Usernames) | ユーザー名を「UBA : トラステッド・ユーザー名 (UBA : Trusted Usernames)」リファレンス・セットに追加できますが、ルールおよびレポートに使用しないでください。 「UBA : トラステッド・ユーザー名 (UBA : Trusted Usernames)」リファレンス・セット内のユーザーについてはオフェンスが生成されません。 |
| UBA : 追跡されないユーザー (UBA : Users Not Tracked) | UBA（ユーザー追跡対象外） 参照セットの目的は、一般データ保護規則（GDPR）の規制により追跡が不要となったユーザーの別名リストを保存することです。 ユーザーのトラッキングの停止を選択し、ユーザー詳細ページで「ユーザーのトラッキングの削除および停止」 をクリックすると、ユーザー名または別名がこのリファレンス・セットに追加されます。 重要： UBA : Users Not Tracked リファレンスセットにユーザーを手動で追加したり、変更したりしないでください。
注： ユーザー名が参照セットに追加された後にユーザーを追跡する必要がある場合は、参照セットからそのユーザーの別名を削除できます。
ユーザーを削除するには、参照セット管理ページを使用してください。 詳細については、 「参照セットから要素を削除する」 を参照してください。 |
| UBA : ML 常に追跡される監視リスト (UBA : ML Always Tracked Watchlist) | 「UBA: ML Always Tracked Watchlist」 リファレンス・セットは、 「ユーザーの詳細」 ページの 「詳細設定」 セクションの 「 Machine Learning で選択したユーザーから作成されます。 ユーザー名を「UBA : ML 常に追跡される監視リスト (UBA : ML Always Tracked Watchlist)」リファレンス・セットに追加できますが、ルールおよびレポートに使用しないでください。 |
UEBA: 追跡対象外のエンティティ |
UEBA: 追跡対象外エンティティ参照セットの目的は、GDPR規制により追跡が不要となった資産IDのリストを保存することです。 ユーザーのトラッキングの停止を選択し、ユーザー詳細ページで「ユーザーのトラッキングの削除および停止」 をクリックすると、ユーザー名または別名がこのリファレンス・セットに追加されます。 重要： UEBA: 追跡対象外のエンティティ参照セットに、アセットIDを手動で追加したり変更したりしないでください。
注： エンティティの名前が参照セットに追加された後に追跡を開始する必要がある場合、参照セットからそのエンティティのアセットIDを削除できます。
エンティティのアセットIDを取得するには、 QRadar のアセットモジュールで、アセットのIPアドレス、MACアドレス、またはホスト名を検索できます。 エンティティを削除するには、リファレンスセット管理ページを使用してください。 詳細については、 「参照セットから要素を削除する」 を参照してください |
カスタマイズできないリファレンス・セット
制約事項: カスタム・ルールを作成するために、以下のリファレンス・セットを変更したり使用したりしないでください。
- UBA - 現行の ML 追跡ユーザー (UBA - Current ML Tracked Users)
- UBA - 以前の ML 追跡ユーザー (UBA - Previous ML Tracked Users)
- UBA - 現行の簡略 ML 追跡ユーザー (UBA - Current Abridged ML Tracked Users)
- UBA - 以前の簡略 ML 追跡ユーザー (UBA - Previous Abridged ML Tracked Users)
- UBA - 現行のピア・グループ ML 追跡ユーザー (Current Peer Group ML Tracked Users)
- UBA - 以前のピア・グループ ML 追跡ユーザー (Previous Peer Group ML Tracked Users)