休止アカウント

「ユーザーの詳細」ページでの休止アカウントの表示

「ユーザーの詳細」ページで選択したユーザーに関連付けられたアカウントの状況を表示できます。

ユーザー・アカウントの状況	説明
アクティブ	構成された休止アカウントしきい値の期間内に、 QRadar® ログ・ソースからのイベントを UEBA が検出したアカウント。
休止 (Dormant)	UEBA が過去に少なくとも 1 つのイベントを検出したが、休止アカウントしきい値期間中に新規イベントを確認していないアカウント。
未使用 (Never Used)	UEBA が QRadar ログ・ソースでそのユーザー名のイベントを見たことがないアカウント。 アカウントが「未使用 (Never Used)」として特定される原因として、以下のアクティビティーが考えられます。 関連付けられたユーザー名アカウントの QRadar ログ・ソースによってログに記録されたことがないアカウント。 このイベントは、 UEBA 3.2.0 がインストールされる前に発生しました。 注: UEBA アプリケーションを初めてインストールするときには、過去 1 時間に発生したイベントのみが分析され、アカウントが最後にアクセスされた日時が判別されます。 初期分析の後、 UEBA アプリケーションは、アカウントの使用状況を監視するバックグラウンド・タスクの実行と実行の間に発生したイベントを照会します。 注: 「未使用 (Never Used)」というカテゴリーに入るアカウントは、LDAP アプリケーションからインポートされた可能性があります。

「休止アカウントを持つユーザー (Users with Dormant Accounts)」監視リスト

「休止アカウントを持つユーザー」ウォッチ・リストは、 UEBA アプリケーションがユーザー・データをプルすると自動的に生成されます。 UEBA ダッシュボードで、「休止アカウントを持つユーザー」ウォッチ・リストを表示できます。

この監視リストを削除すると、自動的には再作成されません。 再作成する必要が生じた場合は、「監視リストの作成」画面の「メンバーシップ設定」タブで「UBA : 休止アカウント (UBA : Dormant Accounts)」リファレンス・セットを選択してください。

休止アカウントしきい値の構成

休止アカウントしきい値のデフォルト値は 14 日です。 UEBA SettingsページのApplication Settingsセクション （[Admin Settings ] > [ User Entity Analytics ] > [ UBA Settings ]）で、ユーザーが休止状態とみなされるまでの日数を変更できます。

休止のアカウントまたはユーザーへの応答

休止アカウントに対する応答は、用意されたルールから生成できます。 アプリケーションからトリガーされるイベントを使用して、カスタム応答を作成することもできます。