新規アカウント

ユーザーには、複数のアカウント (別名) を関連付けることができます。 「ユーザーのインポート」のインポート構成を調整するときに、統合を構成することによって関連付けが行われます。 ユーザーが所有するアカウントは、以下の 3 つの方法を使用して UEBA に追加されます。
  • LDAP ソースから属性をインポートする。
  • UEBA内で作成されたウォッチ・リストからの QRadar® リファレンス・セットからのユーザーの追加。
  • センス・イベントからユーザーを検出する。 これを最初の 2 つの方法に制限するには、 UEBA の「設定」ページの「アプリケーション設定」セクションで 「インポートされたユーザーのみをモニター」 を設定します。

LDAP またはウォッチ・リストから UEBA に追加されたアカウントは、 QRadarによってコンシュームされたイベントに表示されるまでスコアを持ちません。 センス・イベントから追加されたアカウントには、検出したセンス・イベントによってすぐにスコアが付けられます。

新規アカウントに対する応答

新規アカウントは、イベントで確認されるとすぐにアクティブに設定されます。 アカウント状況について詳しくは、 休止アカウントを参照してください。 「UBA : 新規アカウント使用の検出」ルールは、アプリケーションによって送信された 1 回限りのイベントによっても起動されます。 カスタム応答は、「新規アカウント使用の検出 (QID 104000014)」というイベントを使用して作成できます。