ITDR に関するよくある質問 (FAQ)

Microsoft Entra ID がサポートされています。

はい、「アイデンティティの設定」ページから Entra ID テナントを複数追加できます。詳細は次を参照してください アイデンティティの設定。

ITDR には Entra ID P1 または P2 が必要です。これらは、スタンドアロン製品またはアドオンとして入手可能です。また、Microsoft 365 E3 および E5、Microsoft Business Premium、Microsoft 365 Frontline Worker F1、F3、F5 などのライセンスに含まれています。

Microsoft Entra ID Free では、Microsoft API にはアクセスできますが、取り込めるデータや実行可能なチェックに制限があります。このため、Entra ID Free を使用した一部の ITDR 統合では、プロビジョニング失敗 の状態が表示されます。

ITDR は、Microsoft API を使ってアカウント情報を収集しています。また、Microsoft ではライセンスに基づき、使用可能な API を制限しています。ユーザーが管理者であるかどうかや、MFA が設定済みかどうかといった情報は、ライセンスのアップグレードの直後には表示されない場合があります。お客様がライセンスをアップグレードした後、Microsoft のほうから最新のユーザー情報が提供されるまで、最大 1週間ほどかかる可能性があります。Microsoft Entra 管理センターのアクティビティレポートで、こうした情報を確認できます。詳細については、認証方法アクティビティを参照してください。ユーザーレポートの情報が Microsoft によって更新されるまでは、ITDR も古いままとなります。

ITDR では、各種評価を以下の頻度で実行しています。

• Entra ID の全般チェック：2時間ごと。
• 休眠リソースのチェック：2時間ごと。
• ダークウェブインテリジェンス:15分ごと。

初期設定の後、Microsoft Entra ID から完全なデータカタログを収集します。その後、データの種類に応じて、以下の頻度で更新をチェックします。

• ユーザーの詳細:10分ごと。
• サービスプリンシパルとアプリの詳細:10分ごと。
• グループ:10分ごと。
• デバイス:10分ごと。
• ユーザーの MFA の設定:15分ごと。
• ユーザーアクティビティ (最終サインオン):6時間ごと。
• ドメインデータ:24時間ごと。

アイデンティティのリスク状況 Iスコアは、前日から変更があった場合に更新されます。新しい調査結果が見つかった場合や、既存の問題が解決または却下された場合に、スコアが変動します。

いいえ、ITDR は監視用のソフトウェアです。ただし、MDR サービスを利用している場合は、MDR 運用チームが他の調査に加えて、アイデンティティベースの脅威も調査します。

MDR 運用チームでは基本的に、アクティブなアイデンティティ脅威に着目して、アクティブな脅威であると思われる重要な項目について詳しく調べます。ただし、調査結果の監視および管理は、お客様の責任となります。

MDR 運用チームは、Microsoft Entra ID からアイデンティティに加えてコンテキスト情報も収集し、ユーザーや関連リスクの把握に努めています。こうしたユーザー情報を相互分析することにより、アイデンティティ関連だけでなく、アイデンティティと無関係な検出項目についても調査や対応が促進されます。

流出結果を継続的に監視および収集しています。アクティブな流出が特定された場合、通常 15分以内に調査結果が作成されます。

いいえ、プレーンテキストのパスワードやハッシュ値はいっさい保存していません。ソフォスでは、こうした情報を IdP から取得することはできません。データをスキャン、収集する際は、パスワードの値にカスタムハッシュを適用したうえで、プレーンテキストまたはハッシュとして分類しています。この方法により、パスワードの値そのものを保持することなく、パスワードが一意であるかどうかを判断したり、指標を計算したりすることが可能となります。

以下のような原因が考えられます。

必要な Microsoft Entra ID ライセンス (P1 や P2 など) を持っていない。 ライセンスを最近アップグレードしたばかりで、Microsoft からまだデータが提供されていない。詳細については、「Entra ID Free から P1 または P2 ライセンスにアップグレードした場合、ITDR が更新されるまでにどのぐらい時間がかかりますか？」を参照してください。 サードパーティの MFA プロバイダー (Okta や Duo など) を、古い設定で使用している。Microsoft Entra ID では、外部の MFA プロバイダーに関する MFA 情報をユーザーレベルで保存しないため、MFA ステータスが正しく表示されません。ただし、お使いの Entra ID テナントの構成内で、Microsoft の最新の外部認証方式を使用している場合は、外部プロバイダーが使用されていると考えられます。

詳細については、[Microsoft Entra ブログ](https://techcommunity.microsoft.com/t5/microsoft-entra-blog/public-preview-external-authentication-methods-in-microsoft/ba-p/4078808) をご覧ください。Duo と Okta については、追加の設定があります。詳細については、[Duoのドキュメント](https://duo.com/docs/microsoft-eam)および [Okta のドキュメント](https://help.okta.com/ja-jp/content/topics/apps/office365/use_okta_mfa_azure_ad_mfa.htm) を参照してください。

Entra ID 内で管理者ロールまたは特権ロールに割り当てられているユーザーは、Entra ID の管理者フラグが true に設定されています。このようなロールは、通常、ディレクトリリソースや、ユーザー、セキュリティに関して、重要な操作や設定を行う権限があります。管理者フラグが true に設定されている Entra ID ロールのリストを以下に示します。

• グローバル管理者：Entra ID のすべての管理機能にフルアクセスできます。
• 特権ロール管理者：Entra ID でロールの割り当てや、他の管理者の割り当てを行います。
• ユーザー管理者：ユーザーアカウント、グループ、および一部のユーザー属性を管理します。
• セキュリティ管理者：セキュリティのすべての機能および設定にフルアクセスできます。
• コンプライアンス管理者：電子情報開示や監査など、コンプライアンス関連の機能を管理します。
• アプリケーション管理者：Entra ID におけるアプリケーションの登録および設定を管理します。
• 認証管理者：認証の方法やコントロールを確認、設定、リセットします (パスワードをリセットするなど)。
• Exchange 管理者：Microsoft Exchange Online の設定を管理します。
• SharePoint 管理者：SharePoint Online の設定を管理します。
• Teams 管理者：Microsoft Teams の設定を管理します。
• Intune 管理者：Microsoft Intune でデバイスの管理設定を行います。
• 課金管理者：サブスクリプション、課金、およびサポートチケットを管理します。
• ヘルプデスク管理者：パスワードリセットや、基本的なトラブルシューティングを行います。
• サービスサポート管理者：サービスのサポート関連の設定を行います。
• ディレクトリ閲覧者 (他の特権ロールと組み合わせた場合)：ディレクトリ情報を閲覧できます。通常、他のロールと組み合わせることで、権限が昇格します。
• グローバル閲覧者 (他の管理者ロールと組み合わせた場合)：Entra ID および Microsoft サービス全体で閲覧専用アクセスができます。他の管理者ロールと組み合わせることで、管理者フラグが true に設定されます。
• レポート閲覧者 (他の管理者ロールと組み合わせた場合)：レポートやログにアクセスできます (他の管理者ロールと組み合わせるのが一般的です)。
• 条件付きアクセス管理者：条件付きアクセスポリシーを管理します。
• Identity Governance 管理者：アイデンティティガバナンス、アクセスレビュー、エンタイトルメント管理に関連する設定を行います。
• 管理特権を持つカスタムロール：上記のロールと同等の管理権限を持つカスタムロールは、管理者フラグが true に設定される場合があります。

このリストは、Entra ID の管理者フラグに関係する一般的なロールをカバーしています。ただし、Microsoft がロールを更新、追加した場合、管理者フラグの処理に変更が入る可能性があります。

最後のサインインから 90日を超えたユーザーを、休眠状態とみなします。

各 ID のリスクスコアは、アカウントの変更が確認された場合、または調査結果が変更された場合に更新されます。スコアの計算方法と、スコアの要因の詳細については、アイデンティティのリスクスコアを参照してください。

最も一般的な原因は、新たに見つかった未解決の重要度「緊急」または「高」です。アクティブな調査結果は、アイデンティティの履歴がクリーンな場合でも、スコアは該当するリスクレベル帯に引き上げられます。アイデンティティの詳細を開き、「リスクスコア」セクションで要因を確認して、変更を引き起こした調査結果を確認します。詳細は、アイデンティティのリスクスコアを参照してください。

アイデンティティのリスク スコアは、調査結果が解決されると自動的に再計算されるため、解決後即座に更新されたスコアが表示されます。ただし、解決された調査結果は、次回の日次スコアリングサイクルまでは重み付けを下げた状態でスコアに影響し続けます。スコアの減少分が完全に反映されるのは、翌日のスコア計算時です。

スコアは、設定変更がない場合でも毎日再計算されます。これは、基盤となる機械学習モデルが、警告や調査のアクティビティといった行動シグナルも考慮しているためです。アイデンティティのスコアは、そのアクティビティが蓄積されたり、評価対象期間から外れたりすることで、ID 属性の変更とは無関係に日々変動する場合があります。

いいえ。リスクスコアは、単純な追加チェックリストではなく、特許出願中の機械学習モデルによって生成されます。このモデルは、各要因が実際にリスクとどの程度強く相関するかを学習し、その結果に基づいて各要因の影響度を調整します。そのため、同じ要因が存在する 2 つの ID であっても、スコアの増減幅が同じになるとは限りません。アイデンティティの詳細ページに表示される要因は、その特定のスコアにとって最も重要なものを反映しています。

このモデルは、ITDR の顧客ベース全体で集約された行動とアカウントのシグナルに基づいて訓練され、一般的にリスクと相関するものを学びます。アイデンティティのスコアは、独自のテナントの現在のデータを使用して計算されます。

空白のフィールドは自動的に無効になりません。モデルは、類似したアイデンティティから学習したパターンに基づいて値を推論するため、部門、従業員の種類、役職が欠落している場合でも、モデル内の他の同等のアイデンティティのリスクと相関するものに応じて、スコアが上昇または低下することがあります。そのフィールドに正確なデータを入力することで、モデルはより正確なシグナルに基づいて分析できるようになります。

スコアには、ロールのみではなく、すべての属性の組み合わせが反映されます。同一の役職名を持つ 2つのアイデンティティは、MFA の状態、都市のリスク、ゲストの状態、未解決の調査結果、過去のアクティビティが異なる場合があります。各アイデンティティの「リスクスコア」セクションの要因を確認し、何が違いの要因になっているかを確認します。

セキュリティ要因は、アカウント設定とセキュリティポスチャに関連付けられ、MFA の有効化、不要な管理者ロールの削除、未解決の調査結果の解決など、直接変更できます。プロファイル要素とは、部署、役職、都市など、アイデンティティ自体の属性であり、簡単に制御できません。どちらもスコアを上げることも下げることもできますが、対処できるのはセキュリティ要因であるため、修復はセキュリティ要因に重点を置く必要があります。詳細は、スコアを上昇させる要因を参照してください。

スコアは現在、ユーザーアイデンティティに対して計算されます。サービスプリンシパルとアプリケーション ID のスコアリングは、今後のリリースで予定されています。

リスクスコアは、アクティブなアイデンティティに対してのみ計算されます。IdP でアイデンティティが 削除済み または 無効 とマークされている場合、リスクスコアはありません。

システムが警告データを蓄積し、各アイデンティティの動作プロファイルを構築するにつれて、スコアは向上します。新しいテナントまたは最近追加されたユーザーの場合、このベースラインが確立されるまで最大 30日間、スコアは情報として保持されます。十分なデータが収集されると、すべてのリスクシグナルがスコアに反映され始めます。調査結果が未解決のアイデンティティは、最近オンボーディングされたかどうかに関係なく、スコアが高くなります。

ID テーブルをリスクスコア降順で並べ替えます。上位のアイデンティティの詳細の「リスクスコア」セクションの要因を確認し、重要度の高い調査結果があるものに優先的に対応してください。これらは、最も実行しやすい対応策であり、スコアを低下させるための最も迅速な方法です。

実際に役立つ調査結果を生成するため、以下の処理ステップに従って、収集データを相互に分析、検証しています。

1. 設定済みの IdP に、アクティブなアイデンティティがあるかどうかを確認します。
2. 過去からのデータに基づき、プレーンテキストまたはハッシュのパスワードが最初に流出した日を特定します。新しく公開されたコンボリストには、過去の流出からの古いデータが混じっていることが多いため、時期の特定は重要です。
3. プレーンテキストのパスワードの場合は、Microsoft Entra ID のグローバルなパスワードの複雑さ要件と照合して、無効な値を排除します。
4. 最後に、パスワードの最初の流出日と、パスワードを最後に変更した日を比較します。パスワードを最後に変更した後に流出が発生した場合は、調査結果を生成します。

調査結果 (ファインディング) の生成に伴い、関連するアカウントの MFA の設定および強度をチェックします。ユーザーの種類、流出の種類、および MFA の設定に基づき、リスクレベルは以下のようになります。

「アイデンティティの設定」ページの「全般チェックの環境設定」タブで、チェック項目を確認できます。詳細は次を参照してください アイデンティティの設定。

「アイデンティティの設定」ページの「全般チェックの環境設定」タブで、チェック項目のオン / オフを切り替えられます。詳細は次を参照してください アイデンティティの設定。

Russian Marketplace や Genesis Market などの各種ダークウェブ (闇取引市場)、Tor サイト、公開または非公開の Telegram チャンネル、stealer のログファイルなどを使用しています。

VIP 監視用にユーザーを設定すると、過去 1年間に流出した追加のユーザー属性がないか、ダークウェブおよびオープンウェブを監視します。1回の流出でフィールドの組み合わせが露出していることが確認された場合、次のいずれかの調査結果が作成されます。