UBA : アカウント削除による DoS 攻撃 (UBA : DoS Attack by Account Deletion)

QRadar® User Entity Behavior Analytics (UEBA) アプリケーションは、特定の動作異常のルールに基づくユース・ケースをサポートします。

UBA : アカウント削除による DoS 攻撃 (UBA : DoS Attack by Account Deletion)

デフォルトで有効

いいえ

デフォルトの senseValue

10

説明

アカウント削除イベントの数を固定の時間幅内で固定のしきい値に照らしてチェックすることにより、DoS 攻撃を検出します。

サポート・ルール

  • BB:UBA : 共通のイベント・フィルター (BB:UBA : Common Event Filters)
  • BB:UBA : ユーザー・アカウントの削除 (BB:UBA : User Account Deleted)

ログ・ソース・タイプ

Amazon AWS CloudTrail (イベント ID: DeleteUser)

Application Security DbProtect (イベント ID: Login revoked - Windows、Login dropped - standard、Database role - dropped、Database user revoked)

Aruba モビリティー・コントローラー (イベント ID: authmgr_user_del)

Box (イベント ID: DELETE_USER)

Brocade FabricOS (イベント ID: SEC-1181、SEC-3028)

CA ACF2 (EventID: ACF2-L)

Check Point (イベント ID: user_deleted、device_deleted、User Deleted)

Cilasoft QJRN/400 (イベント ID: C20020)

Cisco Adaptive Security Appliance (ASA) (イベント ID: %PIX|ASA-5-502102、%ASA-5-502102)

Cisco FireSIGHT Management Center (イベント ID: USER_REMOVED_CHANGE_EVENT)

Cisco ファイアウォール・サービス・モジュール (FWSM) (イベント ID: 502102)

Cisco Identity Services Engine (イベント ID: 86008、86028)

Cisco NAC Appliance (イベント ID: CCA-1453、CCA-1502)

Cisco Nexus (イベント ID: SECURITYD-6-DELETE_STALE_USER_ACCOUNT)

Cisco ワイヤレス LAN コントローラー (イベント ID: 1.3.6.1.4.1.9.9.515.0.1)

CloudPassage Halo (イベント ID: Halo user deleted、Local account deleted (Linux のみ))

CorreLog Agent for IBM zOS (イベント ID: RACF DELUSER: No Violations)

カスタム・ルール・エンジン (イベント ID: 3035、3043)

Cyber-Ark Vault (イベント ID: 276)

EMC VMWare (イベント ID: AccountRemovedEvent)

Extreme Dragon Network IPS (イベント ID: HOST:LINUX:USER-DELETED、HOST:WIN:ACCOUNT-DELETED)

Extreme Matrix K/N/S シリーズ・スイッチ (イベント ID: User Deleted Event、has been deleted)

Extreme NAC (イベント ID: Deleted registered user)

Extreme NetsightASM (イベント ID: UserRemove)

フロー分類エンジン (イベント ID: 3035、3043)

Forcepoint Sidewinder (イベント ID: passport deletion、all passports revoked)

HBGary Active Defense (イベント ID: DeleteUser)

HP Network Automation (イベント ID: User Deleted)

Huawei S シリーズ・スイッチ (イベント ID: SSH/6/DELUSER_SUCCESS)

IBM AIX 監査 (イベント ID: USER_Remove SUCCEEDED)

IBM AIX サーバー (イベント ID: USER_Remove)

IBM DB2 (イベント ID: DROP_USER SUCCESS)

IBM DataPower (EventID: 0x81000136)

IBM IMS (イベント ID: USER DELETED)

IBM Proventia Network Intrusion Prevention System (IPS) (イベント ID: Delete User)

IBM Resource Access Control Facility (RACF) (イベント ID: 80 17.2、DELUSER_SUCCESS、80 17.0)

IBM Security Access Manager for Enterprise Single Sign-On (イベント ID: REVOKE_IMS_ID、DELETE_IMS_ID)

IBM Security Directory Server (イベント ID: SDS Audit)

IBM Security Identity Governance (イベント ID: 50、43、70005)

IBM Security Identity Manager (イベント ID: Delete SUCCESS、Delete SUBMITTED、Delete Success)

IBM SmartCloud Orchestrator (イベント ID: user)

IBM Tivoli Access Manager for e-business (イベント ID: 13408 - Succeeded、13408 Command Succeeded)

IBM i (イベント ID: GSL2502、M250100、DO_USRPRF、GSL2602、GSL2601、M260100、MC@0400、GSL2501)

IBM z/OS (イベント ID: 80 1.35)

Juniper Networks Network and Security Manager (イベント ID: adm24473)

Linux OS (イベント ID: userDel、Account Deleted、DEL_USER)

McAfee Application/Change Control (イベント ID: USER_ACCOUNT_DELETED)

McAfee ePolicy Orchestrator (イベント ID: 20793)

Microsoft ISA (イベント ID: user removed)

Microsoft Office 365 (イベント ID: Delete User-PartiallySucceded、Delete user-success、Delete User-success、Delete user-PartiallySucceded)

Microsoft SQL Server (イベント ID: 24129、DR - US、DR - SL、DR - LX、DR - AR、DR - SU、24076、24123、38)

Microsoft Windows セキュリティー・イベント・ログ (イベント ID: 4743、630、1327、647、4726)

Netskope Active (イベント ID: Delete Admin、Deleted admin)

Nortel Application Switch (イベント ID: User Deleted)

Novell eDirectory (イベント ID: DELETE_ACCOUNT)

OS サービスの Qidmap (イベント ID: Account Deleted、User Deleted)

OSSEC (イベント ID: 18112)

Okta (イベント ID: core.user_group_member.user_remove、app.generic.import.details.delete_user)

Oracle Enterprise Manager (イベント ID: Computer Delete (successful)、User Delete (successful))

Oracle RDBMS 監査レコード (イベント ID: DROP USER-Standard:1、53:1、53:0、DROP USER-Standard:0、53)

PGP Universal Server (イベント ID: ADMIN_DELETED_USER)

Palo Alto Endpoint Security Manager (イベント ID: User Deleted)

Pulse Secure Pulse Connect Secure (イベント ID: SYN24849、ADM20722、ADM24473、SYN24745、SYN24850)

RSA Authentication Manager (イベント ID: unknown、Deleted user、REMOVE_ORPHANED_PRINCIPALS、REMOTE_PRINCIPAL_DELETE、DELETE_PRINCIPAL)

SIM 監査 (イベント ID: Configuration-UserAccount-AccountDeleted)

STEALTHbits StealthINTERCEPT (イベント ID: Active DirectorycomputerObject DeletedTrueFalse、Active DirectoryuserObject DeletedTrueFalse、Console user/group deleted、Console user/group deleted)

SafeNet DataSecure/KeySecure (イベント ID: Removed user)

Skyhigh Networks Cloud Security Platform (イベント ID: 10017)

Solaris BSM (イベント ID: delete user)

SonicWALL SonicOS (イベント ID: 559、1157、1158)

Trend Micro Deep Security (イベント ID: 651)

ユニバーサル DSM (イベント ID: 削除されたコンピューター・アカウント、削除されたユーザー・アカウント)

VMware vCloud Director (イベント ID: com/vmware/vcloud/event/user/remove、com/vmware/vcloud/event/user/delete)

Vormetric Data Security (イベント ID: DAO0090I)

iT-CUBE agileSI (EventID: AU8, U0)