UEBA でのユーザー・インポートによるインポート・データのリファレンス・テーブルへの同期

ユーザーのインポート時にインポートされたデータを同期すると、一部のデータが保管され、その他のデータが更新されます。

各ユーザー・インポートが、定義されたソース (LDAP、参照表、または CSV ファイル) からデータをダウンロードするステップを完了すると、 UEBA は、ソースから取得したデータを検索し、正規化プロセスを介してそれを解析します。正規化プロセスでは、受信した各レコードが取得され、ソースからの属性が正規化されたフィールドのセットにマップされます。 フィールドは、display_name、full_name、city、state、country、custom_group、dept、domain、email、job_title、manager です。 これらのフィールドは、表示フィールド・セクションの 「ユーザー・インポート」 > 「チューニング」 タブでの構成に従って正規化されます。

表示フィールドに複数の属性がリストされている場合は、リスト内の最初の属性を使用して、リファレンス・テーブル内の正規化されたフィールドにデータが取り込まれます。 インポート・ソースからの属性に値のリストが含まれている場合、リスト内の最初の値を使用して、リファレンス・テーブル内の正規化されたフィールドにデータが設定されます。 例えば、表示フィールド「Department」が、インポートされた属性「dept」および「section」からこの順序で設定されるように構成されている場合、「dept」の値はリファレンス・テーブルに保管されます。 前の例では、「dept」に値「Engineering」と「Devops」がこの順序で含まれている場合、「Engineering」は「department」正規化フィールドの下の参照表に保管されます。 同様に、ユーザー・インポートのチューニング・ページの「別名」セクションに定義されているユーザー統合フィールドは、検出された各「ユーザー名」を ID、 id1、 id2などにマップするために使用されます。 別名リスト内の属性の数まで。 インポートされたデータから一致する別名がない場合、ユーザーはリファレンス・テーブルに追加されません。

初回実行時、またはデータを同期するオプションが既存の構成に追加されると、そのインポート (およびそのインポートのみ) によって検出されたすべての値が追加され、ユーザーは合体されず、 UEBA のユーザーとまったく同じようには表示されません。 構成されたインポートで追加のポーリング (LDAP など) がサポートされている場合、各デルタ・ポーリングで新たにディスカバーされたレコードのみが追加されます。 UEBA は、データからリファレンス・テーブルを完全に再作成することはありません。 したがって、リファレンス・テーブル内の要素が手動で削除されても、それらの要素が自動的に再び追加されることはありません。