UBA : 新規ロケーションからの異常なアカウント作成

デフォルトで有効

いいえ

デフォルトの senseValue

5

説明

新規ロケーションからの変則的なアカウント作成アクティビティーを検出します。

サポート・ルール

必須の構成

ルール「UBA : ユーザー地域の変更」を有効化します。

ログ・ソース・タイプ

AhnLab Policy Center APC (イベント ID: Administrator Account Add:Succeeded、ADD_ADMIN_ACCOUNT_SUCCESS)

Application Security DbProtect (イベント ID: Database user created、Login created - standard、Login added - Windows、Database role - created)

Aruba モビリティー・コントローラー (イベント ID: authmgr_user_add)

Bit9 Security Platform (イベント ID: User_group_created, User_group_modified, User_group_deleted, Console_user_created, Console_user_modified, Console_user_deleted)

Box (イベント ID: NEW_USER)

Brocade FabricOS (イベント ID: SEC-1180、SEC-3025、SEC-1182)

CA ACF2 (EventID: ACF2-L)

Check Point (イベント ID: User Added、device_added)

Cilasoft QJRN/400 (イベント: C20010、C20011)

Cisco Adaptive Security Appliance (ASA) (イベント ID: %PIX|ASA-5-502101、%ASA-5-502101)

Cisco ファイアウォール・サービス・モジュール (FWSM) (イベント ID: 502101、504001)

Cisco IOS (イベント ID: %APF-6-USER_NAME_CREATED)

Cisco Identity Services Engine (イベント ID: 86006)

Cisco NAC Appliance (イベント ID: CCA-1500)

Cisco PIX ファイアウォール (イベント ID: %PIX-0-502101、%PIX-1-502101、%PIX-2-502101、%PIX-3-502101、%PIX-4-502101、%PIX-5-502101、%PIX-6-502101、%PIX-7-502101)

Cisco PIX ファイアウォール (イベント ID: 502101)

Cisco ワイヤレス LAN コントローラー (イベント ID: %APF-6-USER_NAME_CREATED、1.3.6.1.4.1.9.9.515.0.2)

Cisco Wireless Services Module (WiSM) (イベント ID: %AAA-6-GUEST_ACCOUNT_CREATE、%APF-6-USER_NAME_CREATED)

CloudPassage Halo (イベント ID: Halo user added、Halo user re-added、Local account created (Linux のみ))

CorreLog Agent for IBM zOS (イベント ID: RACF ADDUSER: No Violations)

Cyber-Ark Vault (イベント ID: 180、2)

EMC VMWare (イベント ID: AccountCreatedEvent)

Extreme Dragon Network IPS (イベント ID: HOST:WIN:ACCOUNT-CREATED)

Extreme Matrix K/N/S シリーズ・スイッチ (イベント ID: created with、User Created Event)

Extreme NAC (イベント ID: Added registered user、Add Registered User)

フロー分類エンジン (イベント ID: 3031、3041)

Forcepoint Sidewinder (イベント ID: passport addition)

Fortinet FortiGate セキュリティー・ゲートウェイ (イベント ID: add、auth-logon)

Foundry Fastiron (イベント ID: SNMP_USER_ADDED)

HBGary Active Defense (イベント ID: CreateUser)

HP Network Automation (イベント ID: User Added)

IBM AIX 監査 (イベント ID: USER_Create SUCCEEDED)

IBM AIX サーバー (イベント ID: USER_Create)

IBM DB2 (イベント ID: ADD_USER SUCCESS)

IBM IMS (イベント ID: USER CREATED)

IBM Resource Access Control Facility (RACF) (イベント ID: 80 10.0、80 10.2)

IBM Security Access Manager for Enterprise Single Sign-On (イベント ID: PRE_PROVISION_IMS_USER, AA_SCR_REGISTRATION, REGISTER_MAC_IDENTITY, REGISTER_IDENTITY)

IBM Security Directory Server (イベント ID: SDS Audit)

IBM Security Identity Governance (イベント ID: 49、70004、42)

IBM Security Identity Manager (イベント ID: Add Success、Add SUBMITTED、Add SUCCESS)

IBM SmartCloud Orchestrator (イベント ID: user)

IBM Tivoli Access Manager for e-business (イベント ID: 13402 - Succeeded、13401 - Succeeded、13402 Command Succeeded、13401 Command Succeeded)

IBM i (イベント ID: GSL2401、MC@0300、GSL2402、M240100、CP_CRT)

Imperva SecureSphere (イベント ID: NEW_USERS_ACCOUNT、SOX_NEW_USERS、SOX - New users、New Users Account)

Itron スマート・メーター (イベント ID: CEUI-AUDIT-27、CEUI.AUDIT.26)

Juniper Networks Network and Security Manager (イベント ID: adm23303、aut20167、adm30407、aut20168、adm20716、adm20717)

Linux OS (イベント ID: ADD_USER)

McAfee Application/Change Control (イベント ID: USER_ACCOUNT_CREATED)

McAfee ePolicy Orchestrator (イベント ID: 20792)

Microsoft ISA (イベント ID: user added)

Microsoft SQL Server (イベント ID: CR - SU、CR - US、CR - SL、CR - LX、CR - AR、CR - WU、24127、24121、24075)

Microsoft SharePoint (イベント ID: 37)

Microsoft Windows セキュリティー・イベント・ログ (イベント ID: 624、645、1318、4720、4741)

NCC Group DDos Secure (イベント ID: 1003)

Netskope Active (イベント ID: Create Admin、Created new admin)

Novell eDirectory (イベント ID: CREATE_ACCOUNT)

OS サービスの Qidmap (イベント ID: User Account Added)

OSSEC (イベント ID: 5902、18110)

Okta (イベント ID: app.user_management.push_new_user_success, app.generic.import.details.add_user, app.generic.import.new_user, app.user_management.provision_user, app.user_management.push_new_user, app.user_management.push_profile_success, core.user.config.user_creation.success, core.user_group_member.user_add, cvd.user_profile_bootstrapped, cvd.appuser_profile_bootstrapped)

OpenBSD OS (イベント ID: add user)

Oracle Enterprise Manager (イベント ID: User Create (successful)、Computer Create (successful))

Oracle RDBMS 監査レコード (イベント ID: 51:1、51:0、CREATE USER-Standard:1、CREATE USER-Standard:0)

Oracle RDBMS OS 監査レコード (イベント ID: 51)

Pirean Access: One (イベント ID: IsimUserRegistration;*;1)

Pulse Secure Pulse Connect Secure (イベント ID: ADM23303、ADM20265、AUT20167、ADM30407、AUT20168)

RSA Authentication Manager (イベント ID: Added user、unknown、REMOTE_PRINCIPAL_CREATE、CREATE_PRINCIPAL、CREATE_AM_PRINCIPAL)

SIM 監査 (イベント ID: Configuration-UserAccount-AccountAdded)

STEALTHbits StealthINTERCEPT (イベント ID: Active DirectorycomputerObject AddedTrueFalse, コンソール? ユーザー/グループの追加、コンソール-ユーザー/グループの追加、Active DirectoryuserObject AddedTrueFalse、コンソール-ユーザー/グループの追加)

SafeNet DataSecure/KeySecure (イベント ID: Added user)

Salesforce Security Auditing (イベント ID: Created new Customer User、Created new user)

Skyhigh Networks Cloud Security Platform (イベント ID: 10016)

Solaris BSM (イベント ID: create user)

SonicWALL SonicOS (イベント ID: 558)

Symantec Encryption Management Server (イベント ID: ADMIN_IMPORTED_USER)

ThreatGRID Malware Threat Intelligence Platform (イベント ID: user-account-creation)

Trend Micro Deep Discovery Email Inspector (イベント ID: SYSTEM_EVENT_ACCOUNT_CREATED)

Trend Micro Deep Security (イベント ID: 650)

ユニバーサル DSM (イベント ID: 追加されたコンピューター・アカウント、追加されたユーザー・アカウント)

VMware vCloud Director (イベント ID: com/vmware/vcloud/event/user/create、com/vmware/vcloud/event/user/import)

Vormetric Data Security (イベント ID: DAO0089I)

iT-CUBE agileSI (EventID: U0, AU7)