【情報セキュリティ】「いつもと違う」を機械学習で見抜く！「UEBA」｜情報処理問題1000本ノック
巧妙化するサイバー攻撃や内部不正は、正規のIDとパスワードを使って「一見正常なアクセス」として行われるため、従来のセキュリティ製品では見破れません。ユーザーや機器の日常的な行動を学習し、その異常性から脅威を検知する「UEBA」の仕組みを攻略しましょう。
1. 【 問題 】：セキュリティ監視技術（UEBA）
【 問題 】 組織のネットワーク内におけるセキュリティ対策技術のうち、「UEBA（User and Entity Behavior Analytics）」の説明として、最も適切なものはどれでしょうか？
① あらかじめ定義された「攻撃のパターン（シグネチャ）」のデータベースと、実際の通信内容を照合することによって、既知のサイバー攻撃を検知・遮断する。
② ユーザー（User）やサーバー・端末などの機器（Entity）の日常的な行動パターンを収集・分析して正常な状態の基準を構築し、機械学習などを利用してそこから逸脱した異常な行動を検出する。
③ 従業員が利用しているPCなどの端末（エンドポイント）のログをリアルタイムに監視し、マルウェアの感染を検知した際に遠隔から端末をネットワークから隔離する。
④ 外部からのサイバー攻撃の標的となる未修正の脆弱性をあらかじめ洗い出すために、既知の攻撃手法を模倣した疑似攻撃をシステムに対して実際に仕掛ける。
2. 正解：
正解： ② ユーザー（User）やサーバー・端末などの機器（Entity）の日常的な行動パターンを収集・ basin分析して正常な状態の基準を構築し、機械学習などを利用してそこから逸脱した異常な行動を検出する。
3. 解説：「犯人の型」ではなく「普段の姿」を覚える
これまでの多くのセキュリティ対策は、「ウイルスや攻撃のルール（シグネチャ）」を登録しておき、それに一致するものを悪とみなす方法（ルールベース）でした。しかし、この方法では「盗まれた本人のアカウント」を使った内部不正や、未知の攻撃には対応できません。そこで登場したのがUEBAです。攻撃の型を覚えるのではなく、ユーザーやPCが「普段どんな動きをしているか」を機械学習で学習（ベースライン化）し、そこから外れた「いつもと違う怪しい動き」を検知します。
| 対策のアプローチ | 検知の仕組み | 監視の対象 | 得意なこと／防げる脅威 |
|---|---|---|---|
| ① 従来型（IDS/IPS等） | 「悪意ある通信」のパターン一致（シグネチャ） | ネットワーク通信全体 | 既知のマルウェアや、定番のサイバー攻撃の遮断。 |
| ② UEBA | 「普段の行動」からの逸脱（プロファイル・機械学習） | ユーザー（User）および機器（Entity：サーバー・端末） | 正規IDを悪用した内部不正、アカウント乗っ取り、未知の攻撃の検知。 |
※ ③は EDR（Endpoint Detection and Response）の説明です。
※ ④は ペネトレーションテスト（侵入実験）の説明です。
1. 理解のコツ: 「オフィスの警備員さん」に例えてみましょう。
・①の従来型は、「不審者のブラックリスト（手配書）」を持って立っている警備員です。手配書に載っていない人や、社員証（正規ID）を持った人はそのまま通してしまいます。
・これに対して②のUEBAは、社員全員の顔と普段の行動を完璧に覚えている、超ベテランの警備員です。たとえ本物の社員証を持った人が入ってきても、「普段は経理部で定時に帰るはずのAさんが、なぜか深夜2時に、一度も入ったことがない開発部のサーバー室にアクセスして、大量のデータをダウンロードしている。これは絶対に何かがおかしい！」と、その『行動の不自然さ』から異変を察知します。これがUEBAの機械学習による行動分析です。
2. 試験対策の視点: 安全確保支援士などの午前試験で「UEBA」を問う問題が出たら、アルファベットの意味をそのままヒントにしてください。UはUser（人）、EはEntity（機器やファイルなどのモノ）、BはBehavior（行動）、AはAnalytics（分析）です。問題文の中に「行動パターン」「プロファイリング」「機械学習」「普段と異なる」「異常な行動」といったフレーズがあれば、一発でUEBAを特定できます。また、SIEMと連携して動作するソリューションとしてもよく長文問題の事例に出てくるため、その役割を正確に押さえておきましょう。
4. まとめ
「既知の攻撃パターンに頼るのではなく、ユーザーや機器の日常的な行動を機械学習で学習し、そこから逸脱した『いつもと違う不自然な動き』から脅威や内部不正をあぶり出す技術」。これがUEBAです。ゼロトラスト環境における「継続的な監視」の要となるトレンド技術ですので、他のログ監視技術と区別して覚えておきましょう！