UEBA : アカウントまたはグループまたは特権の変更

QRadar® User Entity Behavior Analytics (UEBA) アプリケーションは、特定の動作異常のルールに基づいてユース・ケースをサポートします。

UEBA : アカウントまたはグループまたは権限の変更（旧称：UEBA : ユーザーアカウント変更）

デフォルトで有効

いいえ

デフォルトの senseValue

10

デフォルト senseValueSource

10

デフォルト senseValueDestination

10

デフォルト senseValueSource

10

デフォルト senseValueDestination

10

説明

ユーザーの有効な特権を上方または下方に変更するアクションによってユーザー・アカウントが影響を受けるときに、そのことを示します。
誤検出の注記: このイベントは、変更を行ったユーザーに対するアカウント名の変更の属性を誤っている可能性があります。 このフォールス・ポジティブの可能性を削減するために、テスト「and when Username equals AccountName」を追加できます。
False Negative Note: このイベントは、ユーザーのアカウント変更のすべてのケースを検出するとは限りません。

サポート・ルール

  • BB:UBA : 共通のイベント・フィルター (BB:UBA : Common Event Filters)
  • BB:UBA : 認証ユーザー、グループ、またはポリシーの変更 (BB:UBA : Authentication User or Group or Policy Changed)

ログ・ソース・タイプ

Microsoft Windows セキュリティー・イベント・ログ (イベント ID: 626、642、644、1300、1317、625、629、4672、4722、4725、4738、4765、4767、4781、4737、4755)