UEBAとは？
UEBA（ユーザーおよびエンティティの行動分析）は、ネットワーク内のユーザー、ホスト、その他のエンティティの異常なアクティビティを検知するサイバーセキュリティ技術です。多くのUEBAソリューションが、機械学習（ML）を活用します。
UEBAは、異常を検知するために、ネットワーク内のユーザーやエンティティがどのように行動するかを最初に学習し、ベースライン（基準となる正常な行動パターン）として定義します。行動がこのベースラインから逸脱した場合、異常としてフラグ付けされます。UEBAソリューションは、学習を重ねれば重ねるほど、その精度が向上します。
UEBAが各ユーザーの行動プロファイルを構築する仕組みを理解するために、まずは人間がどのように行動パターンを把握するかを例とともに確認しておきましょう。山田さんは、新規で採用されたマーケティングのインターン生です。初出勤の日に、人事部との入社手続きを経て、配属チームに加わります。山田さんの指導係は、人事部からの引き継ぎを受け、「山田さんは自チームに配属された新しいインターン生である」と認識します。その後、日々の業務を見守るうちに、指導係は「午前10時に出社し、午後6時に退社する」という山田さんの行動パターンを把握しました。もし午前5時に出社するなどの予期せぬ行動があった場合、指導係は不審に思います。
このような形で、人間は相手の行動パターンを学習し、異常を検知します。UEBA機能を搭載したSIEMソリューションも、同じようなプロセスで異常検知を行います。SIEMソリューションは、機械学習アルゴリズムを用いてログデータを監視し、ネットワーク内の行動パターンを明確にします。ユーザーの操作データ（どのデバイスを使っているか、いつログイン・ログオフしているかなど）をもとに、そのユーザーの普段の振る舞いを学習します。数日間の監視を経て、通常の行動パターンだけでなく、予測されたパターンからの逸脱も検知できるようになります。異常が見つかった場合、ユーザーのリスクスコア（脅威の深刻度を示す数値）が引き上げられ、セキュリティアナリストにアラート通知が届きます。
なぜUEBAが必要なのか？
数千人もの従業員を抱える組織における大規模かつ複雑な行動分析や異常検知は、人間の手に負えないからです。継続的な監視・分析、各部で発生した異常に関するレポート生成、迅速かつ適切な異常対応などは、多数の人員に対して手動で実施できません。そこで力を発揮するのが、UEBAです。では次に、UEBAがどのような異常を検知できるかという点に注目してみましょう。
UEBAソリューションはどのような異常を特定できるのか？
UEBAでは、時間、頻度、パターンに基づいて異常が検知されます。以下で、異常の各タイプについてご説明します。
時間の異常： ユーザーやエンティティが通常と異なる時間帯に行動を起こした場合、異常として検知されます。たとえば、普段は午前10時にログインする山田さんが午前5時にログインした場合、異常と見なされます。
頻度の異常： ユーザーやエンティティのアクティビティが短期間に通常の頻度を超えた場合を指します。たとえば、あるユーザーが午前11時から正午までの1時間に顧客データベースに50回アクセスした場合、異常に該当します。
パターンの異常： 予想外のイベントが連続した後に、通常と異なる方法や不正な手段でユーザーアカウントやエンティティにアクセスされた場合、異常として検知されます。たとえば、アカウントへのログイン試行が8回連続で失敗した後に成功し、そのアカウントでファイルの削除・変更やデータ転送が複数回行われた場合、この一連の行動は異常に該当します。
UEBAの仕組みに触れる前に、UEBAの3つの柱と構成要素について基本を押さえておきましょう。
UEBAの3つの柱
UEBAは、ユースケース、データソース、分析という3つの主要な柱で成り立っています。
ユースケース
UEBAソリューションは、セキュリティ脅威を特定するために、ユーザーやエンティティの行動が通常パターンから大きく逸脱したケースを検出します。ただし、UEBAとして機能するには、単なる脅威検知だけでは不十分です。内部脅威、アカウント侵害、データ漏えい、ゼロデイ攻撃といった多様なユースケースに対応できる能力が求められます。
データソース
UEBAソリューションは、SIEMと緊密に統合し、多様なデータソース（システム、ネットワーク機器、エンドポイント端末）からデータを収集する能力が必要です。または、汎用的なリポジトリ（データウェアハウスやデータレイクなど）からデータを単独で取り込む機能が求められます。UEBAの設計思想としては、データ収集を目的としたエージェントの配置は不要であることが理想的です。
分析
UEBAソリューションは、ユーザーやエンティティの行動パターンを識別するために、機械学習、統計モデル、脅威シグネチャ、動的ルールといった高度な分析技術を駆使します。コンテキスト（ユーザーの役割、権限、標準的なアクティビティなど）を踏まえた行動分析により、通常の行動と不審な行動の正確な区別を実現します。
この3つの柱が一体となり、組織のサイバーセキュリティ体制を強化し、リスクを効果的に軽減します。
UEBAの構成要素
UEBAソリューションを機能させる3つの主要な構成要素は、以下のとおりです。
1.データ分析
UEBAは、多様なログソースのデータを収集・分析し、あらゆるユーザーやエンティティの標準的な行動パターンを調査します。イベントの外れ値が検出された場合、そのイベントは異常としてフラグ付けされます。
2.データ統合
UEBAは、さまざまなソースから収集されたデータ（ログやパケットデータなど）を既存のセキュリティシステムに統合することで、システムの堅牢性を強化します。
3.データ表示
UEBAは、検出した行動パターンのデータを整理して表示し、セキュリティアナリストなどの関係者が的確な意思決定を行えるよう支援します。データ分析から導き出されたパターンや異常、リスクスコアが、分かりやすい形式（チャート、グラフ、レポート）で可視化されます。
UEBAの仕組み
人の行動を厳密に観察することで、その背後にある意図について多くのことが明らかになります。これが、UEBAの根底にある考え方です。UEBAソリューションは、ネットワーク内で活動するすべてのユーザーとエンティティを注意深く監視し、その行動特性を学習します。行動パターンを学習するためにはSIEMが収集したアクティビティログが必要になるため、UEBAはSIEMソリューションと併用されるケースが多いです。
リスクスコアは、実際の行動がベースライン（通常の行動パターン）の範囲内にあるかどうかを基準に算出され、各ユーザーとエンティティに割り当てられます。0～100（0はリスクなし、100はリスク最大）の数値でリスクスコアは表現されます。行動がベースラインから逸脱した場合は、さまざまな要因に基づいてスコアが決まります。その行動の重大度、ベースラインからの逸脱の程度、逸脱した頻度、逸脱が発生してからの経過時間といった要因が参照されます。
UEBAシステムを構築する方法は、以下の2通りあります。
教師あり学習
この方法では、既知の正常な行動（正解データ）と異常な行動（不正解データ）のリストをUEBAシステムに学習させます。リストには既知の行動しか含まれていないため、異常検知のために必要なデータが不足している可能性があります。そのため、UEBAシステムは与えられたデータをもとに、ネットワーク内の異常な行動を検知できるように自ら学習を重ねます。
教師なし学習
この方法を採用する場合、まずは一定のトレーニング期間を設け、ユーザーとエンティティの通常の行動パターンをUEBAシステムに学習させます。UEBAシステムが幅広い実際のデータを自律的に学習し、未知の行動パターンにも対応できるため、教師なし機械学習がUBEAの文脈では優れていると言えます。
UBEAで使われる技術や手法
UEBAは、行動のベースラインを構築する上で、ロバスト主成分分析（RPCA）やマルコフ連鎖などの統計モデルを活用します。このような統計モデルにより、時間・頻度・パターンといった異なる観点の異常を検知できます。
ロバスト主成分分析（RPCA）
ロバスト主成分分析は、広く知られた主成分分析（PCA）から派生した手法です。この手法では、観測したデータを、通常のイベントと異常なイベントが混在したものと捉えます。機械学習アルゴリズムが履歴データから傾向線（図1を参照）を推定し、傾向線から逸脱した外れ値が異常であると判断されます。ロバスト主成分分析は、時間と頻度の異常を特定する上で有効です。
図1：傾向線を導き出すロバスト主成分分析
マルコフ連鎖
マルコフ連鎖は、時間順に並んだ一連の事象において、次に何が起こるかが現在の状態のみに依存する統計モデルです。この統計モデルを活用したアルゴリズムは、過去のデータを分析し、ユーザーやホストの通常の行動パターンを学習します。そして、このパターンのリストに基づいて実際の行動を評価し、発生確率が低いイベントを異常として特定します。この方法は、パターンの異常を検知する上で有効です。
マルコフ連鎖では、対象のパターンが現在の行動と次の行動に分割されます。その後、「最初の行動に2番目の行動が後続する」という一連の流れが確率的に妥当かどうかをアルゴリズムが判断します。確率は、過去の行動データに基づいてアルゴリズムが算出します。
たとえば、山田さんが午前2時にソフトウェアをインストールしたとしましょう。この場合、分析対象のパターンは、「ログイン→インストール」です。
このシナリオでマルコフ連鎖を活用するには、2つの側面に着目する必要があります。
属性：ユーザー（山田さん）、ログイン・インストールの時間帯（午前2時）
行動：ログイン→インストール
マルコフ連鎖では、まずユーザーが午前2時にログインし、あるソフトウェアをインストールする確率を過去のデータから割り出します。そして、この「午前2時の『ログイン→インストール』」という行動パターンが5％の確率で発生し、予想外（20％未満は許容範囲外）であると判断された場合、異常と判定されます。
図2：マルコフ連鎖を使用したパターンの異常の検知
SIEMとUEBAの融合
現在、UEBAをSIEMの内部機能と見なす考え方が業界で広く受け入れられており、最新のSIEMソリューションではこの設計が主流になっています。UEBAソリューションが単体で提供される場合もありますが、近年、多くのセキュリティ企業がUEBA機能を搭載した分析ツールやSIEMソリューションを展開しています。この融合は、現代のサイバーセキュリティにおいて強力なシナジーを生み出しています。
SIEMプラットフォームは、さまざまなソースからイベントデータを収集し、関連付け・分析を行うことで、潜在的な脅威に関するインサイトを提供します。UEBAは、ユーザーとエンティティの行動に焦点を当てた高度な分析機能により、異常や内部脅威に対するSIEMの検知能力を強化します。UEBAの機能をSIEMに統合することで、巧妙化するサイバー攻撃に対抗できるプロアクティブな防御体制を構築できます。この統合により、絶えず変化する昨今の脅威環境にも適合した迅速な脅威検知や効率的なインシデント対応が可能になり、組織全体におけるリスク軽減が実現されます。
UEBAのユースケース
UEBAにより、さまざまな脅威（悪意のある内部関係者、侵害されたアカウント、データ流出、異常なログインなど）を検出できます。UEBAは、以下のような兆候を手がかりに、脅威を特定します。
内部不正の兆候
- 初めてのアクセス、または普段使用しないシステムへのアクセス
- 普段と異なる時間帯のアクセス
- 普段と異なる挙動でのファイルに対するアクセスや変更
- 何度も認証に失敗した
アカウント侵害の兆候
- ユーザーが不審なソフトウェアを実行した
- 1台のホスト上に同じソフトウェアが複数インストールされた
- 特定のホストで異常な回数のログイン失敗が発生した
データ流出の兆候
- 不審なファイル、または異常な数のファイルがダウンロードされた
- ユーザーが複数のリムーバルディスクを初期化・準備した
- ユーザーが不審なコマンドを実行した
- 特定のホストへのログイン回数が異常に多い
さまざまな脅威に共通する兆候：異常なログイン
- 何度もログインに失敗した
- 何度も失敗した後でログインに成功した
- 普段と異なる時間帯のログイン試行
- 普段と異なる場所からのログイン
- 不正なログイン（なりすましによるログイン試行など）
UEBAがセキュリティ運用にもたらすメリット
- シグネチャが未特定のゼロデイ攻撃に対する保護を強化できます。
- 各ユーザーとエンティティのアクティビティが、基準となるベースラインと比較されます。ベースラインは標準的または平均的な行動に依拠しているため、ルールベースの検知方式よりも誤検知や検知漏れが少なくなります。
- 従来のSIEMソリューションは、軽微な問題であってもセキュリティ上の異常として扱い、不要なアラートを発報してしまう場合があります。一方、UEBAソリューションは、各ユーザーのリスクスコアを算出し、総合的にセキュリティを評価するため、結果として誤報アラートを低減できます。
- UEBAを搭載したSIEMソリューションは、従来のセキュリティ製品よりも効果的に、持続的なラテラルムーブメント（水平方向に侵害を拡大する攻撃手法）を検知できます。また、リスクスコアリングにより、ラテラルムーブメントの監視・抑制が可能になります。
- 脅威検知に用いられる基準値や相関ルールを効率的に作成できるため、IT管理者の負担を大幅に軽減できます。リスクスコアリングにより、重大な脅威を示すリスクの高いアラートに注力できます。
最新のUEBA
UEBAは、組織が抱える「ユーザー由来の脅威を特定し、その影響を軽減する」という重大な課題を解決できるよう進化し続けています。次々に登場する未知の脅威に遅れを取らず対応できるように、新しい技術やアプローチが開発されています。以下では、より効率的なUEBAの実現を目指す最新の技術をいくつか紹介します。
ピアグループ分析
UEBAにおけるピアグループ分析は、類似の特性を持つユーザーやホストを1つのグループ（ピアグループ）に分類した上で行動分析を行う、統計モデルを用いた手法です。この手法の背景には、ピアグループ内でユーザーの行動を比較することで、リスク評価の精度が高まるという考え方があります。
ピアグループは、 静的ピアグループと動的ピアグループの2種類に分けられます。
静的ピアグループは、事前に定義された属性（部門、役割、勤務地など）に基づくユーザーやエンティティの分類です。静的グループ内で各ユーザーの行動を比較し、異常検知に活用します。たとえば、あるユーザーの行動がピアグループと乖離していた場合、セキュリティ脅威が潜んでいる可能性があるため、そのユーザーのリスクスコアが上昇します。
動的ピアグループ分析では、長期間にわたって収集された行動データに基づいて、動的にグループが形成されます。「勤務地」のような属性で粗いグループ化を行う静的ピアグループに対して、動的ピアグループは、詳細な行動パターンの類似性に基づいて作成・分析されます。このアプローチにより、異常検知の精度を高め、誤検知を軽減できます。
静的ピアグループ分析よりも動的ピアグループ分析の方が優れていると誤解されがちですが、どちらか一方のみでは正確な行動分析は行えません。精度の高いリスク評価やリスクスコアリングを行うためには、両方の分析手法を統合できるUEBA搭載のSIEMソリューションが最良の選択肢です。
周期的な行動パターン
あるアクティビティが規則性（例：毎時、毎日、毎週、毎月）を持って発生している場合、そのアクティビティは「周期的である」と判断できます。周期的なアクティビティが普段と異なるパターンで発生した場合は、異常と見なすべきであり、UEBAソリューションにはこのような異常を検知できる機能が求められます。たとえば、通常月末にのみアクセスされるデータベースが月半ばにアクセスされた場合は、異常として検知されるべきです。
周期性を考慮に入れない場合、攻撃の検知・阻止に役立つ重要な手がかりを見落とすリスクがあります。さらに、誤検知アラートが大量に生成され、セキュリティアナリストが対応で疲弊してしまう可能性もあります。UEBAソリューションの分析に周期性を反映させることで、リスクスコアリングの精度を高め、誤検知を削減できます。
異常モデリングとリスクスコアリングのカスタマイズ機能
異常モデリングのカスタマイズ機能とは、組織独自の環境や要件に特化した異常検知モデルを個別で作成できる機能を指します。組織特有のニーズに合わせてUEBAシステムを調整することで、通常の行動パターンからの逸脱をより正確に特定できます。この機能では、パラメーターを選択でき、アルゴリズムはそのパラメーターに基づいて行動を分析し、ベースラインを設定します。何を異常とするかの基準は、時間帯・頻度・パターンという観点でカスタマイズ可能です。
UEBAにおけるリスクスコアリングのカスタマイズ機能は、組織特有の要件や状況に合わせてリスク評価のプロセスを調整できる機能です。この機能により、組織独自のセキュリティ要件に合わせてリスク要因を柔軟に定義し、各異常の重みや減衰率（時間とともにスコアを減少させる割合）を適切に設定できます。
ユーザーIDマッピング
ユーザーIDマッピング（UIM）は、ユーザーアカウントの属性を参照し、共通の属性を持つ複数のアカウントを、基点となる1つのアカウントに紐付ける機能です。UIM機能を活用すれば、異なるシステム（例：Windows、Linux、SQL）でのアクティビティを集約し、実際に操作を行った1人のユーザー（例：ADアカウント）に関連付けることができます。このマッピングにより、個別にリスクスコアが割り当てられていた別々のユーザーアカウントが、1つの分析対象として扱われ、1つのスコアが割り当てられます。紐付けされた複数のアカウントの行動がまとめて評価対象となり、1人のユーザーのリスクスコアとして統合された形で算出されます。
特にUEBAが重要視される業界
医療業界におけるUEBA
UEBAは、内部脅威も監視できる高度な脅威検知機能を備えており、医療業界において欠かせないソリューションとなっています。医療業界はサイバー攻撃の格好の標的であり、攻撃者が医療用IoTデバイスを悪用してランサムウェア攻撃を仕掛けるケースが増えています。その脅威に対抗するためのソリューションが、UEBAです。UEBAソリューションは、ランサムウェア攻撃の兆候（ファイル名の変更、ファイルへのアクセス、不審なプロセスの実行など）を早期に検知します。さらに、セキュリティアナリストが効果的な対策を実施できるようにアラート通知を送信します。医療業界でUEBAを活用することで、患者の機密情報の保護、コンプライアンスの確保、総合的なセキュリティ態勢の強化を実現できます。
BFSI業界におけるUEBA
サイバー攻撃の背後にある最も大きな動機の1つは、金銭的利益です。BFSI（銀行・金融サービス・保険）業界は、他の業界よりも金融資産の管理・取引を行う機会が圧倒的に多いため、脅威アクターの格好の標的になります。BFSI業界の企業がこうした脅威に戦略的に対応するためには、UEBAの実装が鍵です。UEBAは、セキュリティ管理者が従業員や顧客アカウントによる不審な挙動を追跡できるように、ユーザーやエンティティの行動に関する有益なインサイトを提供します。UEBA機能を搭載したSIEMソリューションを活用することで、金融機関のIT環境で発生しているリスクをリアルタイムで可視化できます。さらに、脅威が顕在化する前に先手を打って対処できるため、金融犯罪の防止が可能になります。このアプローチにより、外部および内部の脅威・不正行為を高い精度で検知し、その結果として規制の厳しい金融業界におけるコンプライアンスも確保できます。
教育業界におけるUEBA
教育機関は、学生の個人情報（例：氏名、住所、マイナンバー、医療情報）や組織の資産情報（例：財務データ、知的財産）などの大量の機密情報を管理しています。そのため、教育機関では常に堅牢なサイバーセキュリティ対策が求められます。そのようなセキュリティ強化を支援するソリューションが、UEBAです。ITセキュリティ管理者がUEBAテクノロジーを活用し、ユーザー行動を継続的に監視・分析することで、脅威の早期検知や軽減が可能になります。これにより、巧妙化するサイバー脅威に先手を打てる体制を整備し、組織全体のサイバーセキュリティ基盤を強化できます。そして、経済的リスク、レピュテーションリスク、法的リスクが軽減され、学校・施設のあらゆる関係者にとって安全な学習・指導環境を担保できます。
適切なUEBAソリューションを選定する方法
リアルタイムアラート
アラート機能により、ネットワーク上で問題が発生した場合に、リアルタイム通知で異常を把握できます。たとえば、深夜にログインがあり、その操作が通常の行動パターンと異なる場合、UEBAが即座に検知しメールで関係者に通知します。リアルタイムアラート機能を活用すれば、リスク発生時に毎回UEBAソリューションにログインし、アラートを確認する手間が省けます。
データの収集と分析
UEBAソリューションには、ユーザーや機器などのエンティティが生成するデータ（イベントログやパケットデータなど）を適切に収集・分析する機能が求められます。複数の異なるソースのデータを継続的に監視・分析することで、効率的かつ迅速な異常検知を実現できます。
カスタマイズ可能な異常モデル
多くの異常検知システムには、異常モデルが搭載されています。異常モデルとは、ネットワーク内のあらゆるユーザーやホストの標準的な行動パターンを学習する機械学習アルゴリズムです。UEBAソリューションが異常モデルを独自に訓練できるカスタマイズ機能を提供している場合もあり、この機能を活用すれば組織特有のセキュリティ要件にも柔軟に対応可能です。
実用的なレポート
収集されたデータが価値を発揮するには、データが効率的に統合された上で、担当者が容易に理解できる形式に整理される必要があります。そのため、具体策に直結するレポートを生成する仕組みも、UEBAソリューションに求められる重要な機能の1つです。定期的にUEBAのレポートを分析することで、誤検知を特定できるだけでなく、組織のセキュリティ要件に合ったUEBAソリューションのカスタマイズも可能になります。
正確なリスクスコアリング
UEBAソリューションには、ネットワーク内のすべてのエンティティにリスクスコア（リスクの深刻度を表す値）を割り当てる機能も求められます。リスクスコアは、ユーザーやホストで生じた異常の種類や影響範囲によって算出されます。
ピアグループ分析
ピアグループ分析とは、過去の行動データの類似性に基づいてユーザーやホストをグループ分けし、分析・検知に役立てる手法です。ピアグループ分析を実施できるセキュリティプラットフォームであれば、所属するグループの挙動と照らし合わせて、ユーザーやホストの行動が予想通りかどうかを判断できます。標準的な行動パターンから逸脱している場合は、異常アラートが生成されます。ユーザーやホストの振る舞いを各々のベースラインと比較する手法と、ピアグループ分析を組み合わせることで、誤検知の削減を期待できます。