IDリスクスコア🔗

IDリスクスコアは、IDが持つ全体的なリスクを示す指標であり、セキュリティインシデントに関与する可能性と、侵害された場合の潜在的な影響を組み合わせたものです。IDRは、行動シグナル、アカウント構成、アクティブな検出結果を評価してスコアを算出します。特権が付与されているID、セキュリティ体制が弱いID、または未解決の検出結果があるIDは、疑わしいアクティビティが観測されていなくても高いスコアとなります。

これにより、セキュリティチームは1つの数値で2つの強力な機能を得ることができます。

脅威調査: 影響を受けたIDのリスクスコアを見ることで、そのIDが高価値ターゲットかどうかを即座に判断できます。例えば、特権管理者アカウントで8.5のスコアが付いていれば、標準ユーザーアカウントで1.2のスコアの場合とは異なる対応が必要です。
セキュリティ体制の評価: 高スコアでアクティブな検出結果がないIDは、潜在的なリスクを示します。まだ侵害されていませんが、攻撃者にとって魅力的な構成となっています。これらに事前に対応することで、インシデント発生前に攻撃対象領域を減らすことができます。

注意

リスクスコアは現在、Entra IDおよびオンプレミスActive Directoryから取得したユーザーIDに対して利用可能です。

スコアバンド🔗

バンド	スコア範囲	意味
重大	8.0–10	高い信頼度のリスクシグナル。未解決の検出結果や複数のリスク増幅アトリビュートが存在する可能性が高い。直ちに調査してください。
高	6.0–7.9	意味のあるリスク上昇。1つ以上の重要な検出結果、またはリスクのあるアトリビュートの組み合わせ。通常のトリアージサイクル内で確認してください。
中	4.0–5.9	中程度のリスク。重大度の低い未解決の検出結果があるか、アトリビュートのみのリスク（アクティブな検出結果なし）の場合があります。
低	2.0–3.9	いくつかのリスクシグナルはあるが、重要なアクティブ検出結果はなし。変化を監視してください。
情報	0–1.9	ベースラインリスク。未解決の検出結果はなく、低リスク行動と一致するアトリビュート。

スコアの算出方法🔗

IDRは各IDごとにリスクスコアを算出し、お客様の環境の変化に応じて最新の状態を維持します。スコアは日次サイクルで更新され、検出結果がオープンまたはクローズされた場合やアカウントの変更が検知された場合にも自動的に再計算されます。スコアはIDのアトリビュートとアクティブな検出結果の組み合わせを反映します。リスクシグナルが多いほど、スコアは高くなります。

スコアが上昇する要因🔗

重大または高重大度の未解決の検出結果
IDにMFAが設定されていない
管理者または特権ディレクトリロール
ゲストアカウントステータス
高リスクな地理的ロケーションからの認証アクティビティ
広範なEmail利用履歴
IDに関連する過去のアラートや調査アクティビティ

スコアが低下する要因🔗

MFAが設定・強制されている
クリーンなアラート・調査履歴
検出結果が解決または却下されている
不要な管理者ロールの削除

重要

解決済みの検出結果は、次の日次スコアリングサイクルまで減少した重みでスコアに影響し続けます。完全な効果は翌日に算出されるスコアで反映されます。

スコア例🔗

IDシナリオ	ベーススコア	検出結果	調整後の概算スコア
低ベースラインID	2.5	重大な未解決検出結果1件	5.5
低ベースラインID	2.5	高重大度の未解決検出結果1件	4.0
高ベースラインID	7.0	高重大度の未解決検出結果1件	7.6

リスクスコアの表示場所🔗

リスクスコアは以下の場所で確認できます。

ID一覧テーブル🔗

ディレクトリのIDテーブルにあるリスクスコア列で、各IDの現在のスコアを確認できます。カードビューでも、各カードの右上にスコアが表示されます。

ヒント

IDテーブルをリスクスコア列で降順に並べ替えると、最もリスクの高いIDが上位に表示されます。

ID詳細🔗

IDテーブルからIDを選択すると、その詳細が開きます。概要タブには以下が含まれます。

現在のスコア: 最新の日次スコアとそのバンド
寄与要因: スコアに影響するアトリビュートと検出結果

ヒント

寄与要因を活用して、スコア上昇の要因を正確に把握し、対応前に状況を理解してください。

検出詳細🔗

リスクスコアは検出詳細の影響を受けたエンティティセクションに表示されます。スコアまたは指紋アイコンをクリックすると、そのIDとスコアの詳細が表示されます。

Top Risky Usersウィジェットでは、高スコアかつ未解決の検出結果を持つID、すなわち日次トリアージで最優先となるグループを表示します。各エントリにはID名、重大度別の未解決検出結果数、現在のスコアが表示されます。

IDのスコアを改善する方法🔗

次のアクションは、次回のスコアリングサイクルに最も大きな影響を与えます。

アクション	期待される効果
重大または高重大度の未解決検出結果を解決する	最大の寄与要因が除去されるため、スコアが大幅に低下します
IDにMFAを強制する	資格情報露出の寄与を減少させます
不要な管理者ロールを削除する	ベーススコアにおけるロールベースの寄与を減少させます
ゲストアカウントをマネージドアカウントに変換する	ゲストステータスの寄与を除去します
誤検知の検出結果を却下する	計算から完全に除外されます

よくある質問🔗

低リスクのIDが突然高リスクや重大リスクのスコアになるのはなぜですか？

最も一般的な原因は、新たな重大または高重大度の未解決検出結果です。アクティブな検出結果がスコアを該当バンドに押し上げます。IDの詳細を開き、リスクスコアセクションの寄与要因を確認して、どの検出結果が変化を引き起こしたかを特定してください。

検出結果を解決すると、すぐにスコアは下がりますか？

検出結果が解決されるとスコアは自動的に再計算されるため、解決後すぐに更新されたスコアが表示されます。ただし、解決済みの検出結果は次の日次スコアリングサイクルまで減少した重みでスコアに影響し続けます。完全な減少は翌日に算出されるスコアで反映されます。

同じ職務の2つのIDでスコアが異なるのはなぜですか？

スコアはすべてのアトリビュートの組み合わせを反映しており、職務だけでは決まりません。同じ肩書きでも、MFAの有無、地理的アクセスパターン、ゲストステータス、未解決の検出結果、過去のアクティビティなどが異なる場合があります。各IDのリスクスコアセクションで寄与要因を確認し、違いの要因を把握してください。

どのIDタイプにスコアが付与されますか？

現在、Entra IDおよびオンプレミスActive Directoryから取得したユーザーIDに対してスコアが算出されています。サービスプリンシパルやアプリケーションIDのスコアリングは今後のリリースで対応予定です。

新しいテナントや新規オンボードユーザーで多くのIDが情報スコアになるのはなぜですか？

システムがアラートデータを蓄積し、各IDの行動プロファイルを構築することでスコアが向上します。新しいテナントや最近追加されたユーザーの場合、ベースラインが確立されるまで最大30日間は情報スコアのままになることがあります。十分なデータが蓄積されると、スコアはリスクシグナルの全範囲を反映し始めます。未解決の検出結果があるIDは、オンボード直後でも高いスコアとなります。

重大リスクのIDのうち、どれから優先的に調査すればよいですか？

IDテーブルをリスクスコアの降順で並べ替えてください。上位IDのリスクスコアセクションで寄与要因を確認し、重大および高重大度の未解決検出結果があるものを優先してください。これらが最も対応しやすく、スコア削減への最短ルートとなります。