ユーザー行動プロファイル

ユーザー行動 では、アカウントの活動と DEVO または Microsoft Sentinel のバックフィルデータから作成された行動ベースラインを確認できます。選択したアカウントの管理権限を持つユーザーが利用できます。

Microsoft Sentinel では、mssentinel-user-behavior-profile-download エージェントが Microsoft Graph Advanced Hunting を通じて正規化された ASimAuthenticationEventLogs テーブルを固定7日間（P7D）のベースライン範囲でクエリします。認証コホートのユーザーについて任意の ASIM 監査、ネットワーク、プロセス、Web セッションテーブルも確認し、利用できないテーブルは部分カバレッジとして記録します。ユーザーごとに少なくとも5件の対象認証イベントがある場合にプロファイルを更新します。プロファイルはアカウント単位で、認証から得られる活動、ソース、地域、アクション、結果の指標を含みます。

プロファイルを探す

ユーザー行動 を開き、ソースアカウント、部門、ロールで検索します。ベースライン更新日時、ソースアカウント、部門、ロール、認証失敗率、分類不明率で昇順または降順に並べ替えられます。

一覧には平日・週末のアクティブ時間、認証失敗率、分類不明率、ベースラインの情報、更新日時が表示されます。ソースアカウントを選択すると詳細を確認できます。

詳細を読む

詳細ページでは、ロール、部門、認証失敗率、分類不明率、90% 活動ベースラインに含まれる通常のアクティブ時間、ソース地域、データソース構成、アクション構成を確認できます。ベースラインのソース、更新日時、サンプル期間数も表示されます。

表示タイムゾーンを変更する

Display timezone でアクティブ時間とプロファイルの日付を表示するタイムゾーンを選択します。選択はブラウザーに保存されます。表示タイムゾーンを変更しても、保存済みのベースラインは変更されません。

手順: プロファイルを確認する

1. ヘッダーで選択中のアカウントを確認します。
2. ユーザー行動 を開きます。
3. 表示タイムゾーンを選択し、必要に応じて検索、部門、ロールで絞り込み、適用 を選択します。
4. アクティブ時間と認証失敗率、分類不明率を確認します。
5. ソースアカウントを選択し、詳細なベースライン、地域、データソース、アクション構成を確認します。

プロファイルがない場合

設定済みの DEVO または Microsoft Sentinel の行動プロファイルエージェントで十分なアクティビティが収集されるとプロファイルが表示されます。空の場合は、選択中のアカウントと行動プロファイルダウンロードエージェントの履歴を管理者に確認してください。