ダークウェブインテリジェンス🔗

ダークウェブインテリジェンスページでは、設定済みドメインに基づいて当社が収集したすべての漏えいデータを調査できます。IDR概要で説明しているとおり、発見事項を生成するのはアクティブなIDのみですが、お客様のドメインに関連して見つかった履歴データも引き続き収集および保持しています。

アクティブな認証情報漏えいがあるIDは、その内容がリスクスコアにも反映されます — アクティブな認証情報漏えいは、スコアを上昇させるセキュリティ要因です。

ダークウェブインテリジェンスページへのアクセス🔗

Taegis Menu からダークウェブインテリジェンスページにアクセスすると、テーブルはデフォルトで漏えいステータス Active とIDステータス Active でフィルターされます。

または、IDリスク体制概要内の認証情報漏えいウィジェットからメトリクスを選択します。クリックするメトリクスに応じて、次のフィルター済みビューでダークウェブインテリジェンスページに移動します。

Sources をクリックすると、漏えいステータス Active でフィルターされたダークウェブインテリジェンスページに移動します。
Plaintext Passwords をクリックすると、パスワードタイプ Plaintext と漏えいステータス Active でフィルターされたダークウェブインテリジェンスページに移動します。
Hashed Passwords をクリックすると、パスワードタイプ Hashed と漏えいステータス Active でフィルターされたダークウェブインテリジェンスページに移動します。
Emails をクリックすると、漏えいステータス Active でフィルターされたダークウェブインテリジェンスページに移動します。
Unique Passwords をクリックすると、漏えいステータス Active でフィルターされたダークウェブインテリジェンスページに移動します。
Admin Emails をクリックすると、管理者アカウントかつ漏えいステータス Active でフィルターされたダークウェブインテリジェンスページに移動します。

注意

Emails と Unique Passwords は基になるデータ全体のメトリクスであるため、これらに関連付けられたフィルターはありません。

ダークウェブインテリジェンスのメトリクス🔗

ページ上部のメトリクスは、認証情報漏えいウィジェットに含まれるメトリクスと同じです。表示されるメトリクスはアクティブな漏えいに対するものである点に注意してください。

漏えいは、次のシナリオでアクティブと見なされます。

設定済みのIdentity Providers内に Active のIDが存在し、関連付けられたアカウントの last_password_change 時刻が最初の漏えい日より前に発生している場合。

注意

漏えいレコードに一致するIDがない場合、それらは非アクティブと見なされます。これらのレコードは、多くの場合、削除されて現在は使用されていない古いユーザーやアカウントに関連しています。

メトリクスの定義🔗

Sources — お客様のドメインのデータが観測された active な一意の漏えいソース数。
Plaintext Passwords — 漏えいデータ内で plaintext passwords が特定された active な漏えい数。
Hashed Passwords — 漏えいデータ内で hashed passwords が見つかった active な漏えい数。
Emails — 漏えいデータ内で観測された active な一意の email accounts 数。
Admin Emails — 漏えいデータ内で観測された、admin として識別された active なアカウント数。
Unique Passwords — 漏えいデータ内で観測された active な一意の passwords 数。

漏えいの調査🔗

リンクされたユーザーに関する情報と漏えいレコードに関する情報の両方を含むフィルターを組み合わせて、データを調査します。さらに、データの並べ替えに使用できる複数のタイムスタンプがレコードに関連付けられています。

Publish Date — レコードがデータセット内で最初に見つかった日時
Leaked Date — レコードが公開された日時
Breach Date — 侵害が発生した日時。常に利用可能とは限りません

注意

同じ漏えい内に同一ユーザーの複数のレコードが存在する場合があります。これは、データが汎用的な漏えいソース（例: combolists）内で特定された場合や、ユーザーがデータセット内に複数回出現した場合に発生することがあります。そのため、1つの漏えいソース内で同一ユーザーの複数のレコードが表示されることがあります。

漏えいステータス🔗

ダークウェブインテリジェンスページの漏えいには、主に active と inactive の2つのステータスがあります。

Active🔗

一致するIDが存在し、関連付けられたIDの last_password_change 時刻が最初の漏えい日より前に発生している場合、漏えいは active と見なされます。

Inactive🔗

漏えいは、次のシナリオで非アクティブとしてマークされます。

相関付け可能な一致するIDが、設定済みのIdentity Providers内に存在しない。
last_password_chage 時刻が漏えい日より後に発生している。
アカウントのパスワードが最近変更されている。
アカウントが無効化または削除されている。
関連する発見事項が解決済みまたは却下されている。

漏えいの詳細を表示🔗

ソースフィールドを選択すると漏えいパネルが開き、漏えいに関する追加の詳細と、利用可能な場合はリンクされたIDに関する情報が表示されます。

アクションの実行🔗

ID関連のレスポンスアクションが設定されている場合、テーブル内または漏えいの詳細から、リンクされた任意のIDに対してレスポンスアクションを実行できます。

Actions を選択します。
実行するレスポンスアクションを選択します。
画面の指示に従います。

注意

一致するIDが見つからない場合、Actions ボタンは無効になります。

FAQ🔗

漏えいした認証情報はどのくらいの頻度で確認していますか？

当社は継続的に漏えい結果を監視および収集しています。アクティブな漏えいが特定された場合、通常は15分以内に発見事項が作成されます。

アカウント侵害の発見事項はどのように生成されますか？

これらを対応可能なものにするために、収集および分析しているデータを相関付けして検証するための複数の処理ステップを実行しています。

設定済みのIdentity Providers内に active のIDが存在することを確認します。
利用可能な履歴データに基づいて、平文パスワードまたはハッシュが最初に漏えいした時点を特定します。これは、新たに公開されたcombolistsに、以前の侵害による古いデータが含まれていることが多いため重要です。
平文パスワード値である場合は、無効な値を除外するために、これを Microsoft Entra ID のグローバルパスワード複雑性要件と比較します。
最後に、パスワードの first_leaked_date を、そのIDの last_password_change_time と比較します。漏えいが最初に発生した日時が last_password_change_time より後である場合、発見事項を生成します。

注意

アカウント侵害の発見事項は、アクティブなIDに対してのみ生成されます。ただし、ダークウェブインテリジェンスページでは引き続き生データを確認できます。

アカウント侵害の発見事項のリスクレベルはどのように決定されますか？

発見事項を生成すべきと判断した場合、次に関連するアカウントを確認し、MFA が有効かどうか、およびその強度を確認します。以下は、ユーザータイプ、漏えいタイプ、および MFA 構成に基づく関連リスクレベルです。

アカウントタイプ	パスワードタイプ	MFA なし	MFA 有効	フィッシング耐性 MFA 有効
管理者アカウント	plaintext	重大	高	中
管理者アカウント	hash	高	中	低
非管理者アカウント	plaintext	高	中	低
非管理者アカウント	hash	中	低	低

ハッシュやパスワードを収集して保存しますか？

いいえ、当社は平文パスワードやハッシュ値を保存しません。また、Identity Providers からこれらを取得する機能もありません。データをスキャンして収集する際、観測された値にカスタムハッシュを適用し、その後、レコードを平文パスワードまたはハッシュ化パスワードのいずれかとして分類します。これにより、基になるパスワード値を保持することなく、パスワードの一意性を判断し、メトリクスを計算できます。

漏えいした認証情報について、いくつのドメインが監視されますか？

Entra IDインテグレーションによって識別されたドメインの中から、任意の数のドメインを選択できます。

ダークウェブインテリジェンスの監視ではどのようなデータが使用されますか？

当社が使用するデータセットは6年前までさかのぼり、さまざまなダークウェブマーケットプレイス（例: Russian Marketplace、Genesis market）、TOR サイト、公開および非公開の Telegram チャネル、ならびに stealer ログファイルのデータを含みます。

VIP monitoring はどのように機能しますか？

VIP monitoring 用にユーザーを設定すると、過去1年以内に漏えいした追加のユーザー属性について、ダークウェブとオープンウェブを監視します。単一の漏えい内でフィールドの組み合わせが公開されていることを観測した場合、次のように VIP Exposure の発見事項を作成します。

発見事項	公開されたフィールド
MFA バイパスリスクをもたらす VIP 認証情報の公開	email, password, and phone number
マルチベクター攻撃リスクをもたらす VIP 認証情報の公開	email, password, phone number, and date of birth
リカバリバイパスリスクをもたらす VIP 認証情報の公開	email, password, and date of birth

注意

VIP Monitoring は、個人向けID監視ソリューションの代替を意図したものではありません。これらのサービスには、多くの場合、機微なPIIの監視が含まれ、個人情報が見つかった際に通知が提供されます。代わりに、VIP Monitoring は、個人用メール、電話番号、ソーシャルメディアアカウントを標的にする可能性がある、またはバイパスタイプの攻撃を可能にする可能性がある、ユーザーに対する潜在的なビジネス関連の漏えい、言及、またはキャンペーンの特定に重点を置いています。