UEBA 共通の課題
このトピックでは、 UEBA ユーザーが直面する一般的な課題と、これらの課題に対処するためのベストプラクティスについて説明します。
ユーザーの合体 - エイリアスに複数のLDAPフィールドが使用される
この課題に対処するための手順を完了させる：
- すべてのADで一意であるユーザーのエイリアス/属性を1つまたは2つ特定する。
- まずは小さく始めて、必要に応じて属性を増やしていく。
- 推奨される属性
- sAMAccountName
- uid
- userPrincipalName
- cn
- メール
注： この手順により、ユーザー記録が少なくなるため、 UEBA パフォーマンスも向上する。
表示フィールド - 表示名とフルネームには複数のフィールドが設定されています
表示名（Display name ）とフルネーム（Full name ）の一貫性のない使い方は、混乱を招く可能性がある。 この課題に対処するための手順を完了させる：
- ユーザープロファイルに表示されるべき各フィールドに対する正しい属性を特定する。
- もし、 disistinguishedname 属性と displayname 属性が Display nameに使われていれば、 Display nameは disistinguishedname 属性を使います。
- 表示名は、利用可能な最初の属性を順に使用する。
ユーザー・ディスカバリー - イベントから発見されたユーザーとアクティブ・ディレクトリからインポートされたユーザーの比較
この課題に対処するための手順を完了させる：
- ADインポートされたユーザーを監視する必要がある場合は、 QRadar Settingsの Monitor imported user only 設定を有効にします。
注： この手順は、 UEBA を使い始めて間もない場合にも便利です。 ADから必要なユーザをすべてインポートしたら、イベントからユーザを検出し、リスクを監視することができます。
LDAPフィルター - フィルターの設定を間違えたり、フィルターを設定しなかったりすると、大量のIDが UEBA
この課題に対処するための手順を完了させる：
- LDAPサーバー 設定でLDAPフィルターを設定する。 例:
- ( objectClass=person ) ：すべてのユーザーとサービスアカウントが統合されます。
- ( objectClass=user ) ：ユーザーアカウントのみが合体されます。
- LDAP フィルタの構築の詳細については、以下を参照してください。 https://ldap.com/ldap-filters/.
注:
- デフォルトの検索制限: UBAはチャンクでユーザーを検索し、デフォルト設定は500,000です。
- LDAP接続が遅い場合、タイムアウトが発生することがある。
- システムの安定性を保つため、チャンクサイズを約10万に設定する。
インデックスを有効にする - これを無効にすると、検索パフォーマンスの問題やアプリ全体の遅さにつながる可能性があります
この課題に対処するための手順を完了させる：
- システムのパフォーマンスを最適化するために、 QRadar® でインデックスを有効にする。
