Taegis™ IDR の概要🔗

概要🔗

Taegis™ IDR は、侵害された認証情報に関するダークウェブインテリジェンスを提供するとともに、IDリスクや設定ミスを継続的に監視することで、お客様のセキュリティ体制の向上を支援するソフトウェア追加モジュールです。IDR を使用すると、セットアップ後数分以内に、優先順位付けされた検出結果の一覧と、現在の露出状況に基づくIdentity Risk Posture Scoreおよび評価を受け取ることができます。

IDとは何ですか？🔗

IDは、コンピューターが人、組織、ソフトウェアプログラム、または別のコンピューターなどのエンティティを識別できるようにする、一意の識別子の集合として定義されます。

IDR では、IDには次のアクティブなものが含まれます。

Human Identities — 従業員、ゲスト、ベンダーなどを表します。
Machine Identities/Non-Human Identities (NHI) — アプリケーション、サービスプリンシパル、サービスアカウント、マシン、およびリソースへのアクセスを認証および認可したり、システム間でトランザクションを実行したりするために使用されるその他すべてのIDなどのエンティティを表します。

IDR のライセンスはどのようになっていますか？🔗

IDR は、IDプロバイダーから収集された アクティブ な人間および非人間のIDの数に基づいてライセンスされます。複数のシステムに同じアカウントが表示される場合でも、1回のみカウントされます。

検出結果とは何ですか？🔗

検出結果は、IDR モジュールによって実行される体制チェックの出力です。検出結果には関連するリスクレベルがあり、どれに最初に対処すべきかの優先順位付けに使用する必要があります。最もリスクの高い主な検出結果の概要は Identity Risk Posture Overview ページ、検出結果の完全な表は Identity Findings ページ、特定のIDに関連する検出結果は Identity Details ページで確認できます。

IDR に移動する🔗

Taegis Menu から Identity を選択し、Overview を選択して Identity Risk Posture Overview を表示します。IDR がお客様のテナントで有効になっていない場合は、Taegis Menu の Taegisソリューションの下に Taegis™ IDR が表示されます。

IDR を設定する🔗

IDR がテナントで有効になると、IDプロバイダーのインテグレーションの設定を開始するために、Taegis Menu から Identity を選択します。IDR は、Microsoft Entra ID と On-Premise Active Directory の両方をサポートしています。インターフェイス内の手順に従ってインテグレーションを完了し、IDR の利用を開始してください。インテグレーションのセットアップ手順については、IDR インテグレーションガイドを参照してください。

リソース🔗

以下のリソースを使用して、IDR に関する有益な情報を確認してください。

Identity Risk Posture Overview
Identity Findings
Dark Web Intelligence
Directory
Identity Details
Identity Risk Score
Identity Settings
IDR Integration Guide
ナレッジベース記事: How To: Setting Up IDR Automation Playbooks
ナレッジベース記事: How To: Configure Entra ID Force Password Reset Automation

FAQ🔗

サポートされているIDプロバイダーは何ですか？

Microsoft Entra ID とオンプレミスの Active Directory は現在サポートされています。

複数の Microsoft Entra ID テナントを追加できますか？

はい、現在は Identity Settings ページから複数の Entra ID テナントを追加できます。

必要な Microsoft Entra ID ライセンスは何ですか？

このソリューションには Entra ID P1 または P2 が必要です。これらは単体製品、アドオン、または Microsoft 365 E3、E5、Microsoft Business Premium、Microsoft 365 Frontline Worker F1、F3、F5 などの他の Microsoft ライセンスに含まれています。

Microsoft Entra ID Free では Microsoft API へのアクセスが提供されますが、取り込み可能なデータや実行可能な体制チェックの一部が制限されます。このため、Entra ID Free を使用する一部のインテグレーションでは Provisioning Failed ステータスが表示されます。

IDR は、Entra ID Free から P1 または P2 ライセンスにアップグレードした後、更新されるまでにどのくらいかかりますか？

IDR は、アカウント情報の収集を Microsoft API に依存しています。Microsoft はライセンスに基づいて特定の API へのアクセスも制限しているため、ユーザーが管理者であるか、MFA が登録されているかといった情報は、ライセンスのアップグレード後すぐには表示されない場合があります。お客様がライセンスをアップグレードした後、Microsoft が更新されたユーザー情報を提供するまでに最大1週間の遅延が発生することを確認しています。これは、Authentication Methods Activity - Microsoft Entra ID | Microsoft Learn に記載されているアクティビティレポートを表示することで確認できます。ユーザーレポート内の情報が更新されていない場合、IDR も Microsoft が情報を更新するまで古いままになります。

ユーザーが MFA で保護されていないと表示されるのはなぜですか？

考えられる原因はいくつかあります。

必要な Microsoft Entra ID ライセンス（例: P1 または P2）を保有していません。
最近ライセンスをアップグレードしたばかりで、Microsoft がまだデータを利用可能にしていません（前の質問を参照してください）。
Okta や Duo などのサードパーティ製 MFA プロバイダーをレガシー構成で使用しています。このシナリオでは、Microsoft Entra ID は外部 MFA プロバイダーの MFA 情報をユーザーレベルで保存しないため、MFA ステータスは正しく報告されません。ただし、Entra ID テナント構成内で新しい Microsoft External Authentication Methods configuration を使用している場合は、外部プロバイダーが使用されていることを推測できます。追加のセットアップ詳細は Duo および Okta で確認できます。

体制チェックはどのくらいの頻度で実行されますか？

IDR には、それぞれ異なるチェックの実行を担当する一連の評価が含まれています。これらは以下のとおり、異なる間隔で実行されます。

評価の種類	頻度
Entra ID 体制チェック	2時間ごと
休眠リソースチェック	2時間ごと
ダークウェブインテリジェンス	15分ごと

Entra ID からのデータはどのくらいの頻度で収集されますか？

セットアップ時に、Microsoft Entra ID からデータの完全なカタログを収集します。その後は、以下のとおりデータの種類に基づいて更新を確認します。

データタイプ	頻度
ユーザー詳細	10分ごと
サービスプリンシパル/アプリの詳細	10分ごと
グループ	10分ごと
デバイス	10分ごと
ユーザー MFA 構成	15分ごと
ユーザーアクティビティ（最終サインオン）	6時間ごと
ドメインデータ	24時間ごと

ITDRセンサーではどのオペレーティングシステムがサポートされていますか？

The sensor is supported and tested on the following Windows Server versions:

Windows Server 2016
Windows Server 2019
Windows Server 2022
Windows Server 2025

What resources does the ITDR sensor require?

The ITDR sensor requires at least 2GB of RAM and we recommend at least a dual-core processor.

What language does the ITDR sensor support?

Currently, the ITDR sensor supports English only with additional language support planned for the future.

How often is data collected from Active Directory?

Upon initial setup, the sensor performs a full sync of all Active Directory objects. After that, it monitors for changes and sends only incremental updates to Sophos cloud. By default, these updates are sent every one hour. This interval is configurable within the sensor, but we recommend the default interval to ensure timely updates.

Does the ITDR sensor extend MFA or authentication interception to on-premise systems?

No. The ITDR sensor is focused on Active Directory exposure management and identity posture. It does not intercept authentication events or extend MFA enforcement to on-premise systems. This is a capability we are evaluating for a future release.

What data is collected from Active Directory?

The sensor collects the following object types from Active Directory:

Users
Groups
Computers
Group Policy Objects (GPOs)
Service Principals
Certificate Server Templates
Domain Policies
Organizational Unit (OU)

Identity Risk Posture Score はどのくらいの頻度で更新されますか？

Identity Risk Posture Score は、前日からの変更に基づいて毎日更新されます。新しい検出結果が確認されたか、以前のものが解決または却下されたかに応じて、スコアは増減します。

IDごとの Risk Score はどのくらいの頻度で更新されますか？

各IDの Risk Score は、アカウントの変更が確認されたとき、または検出結果が変更されたときに更新されます。スコアの計算方法と、それに寄与する要因の詳細については、Identity Risk Score を参照してください。

実行されているチェックの一覧はどのように確認できますか？

Identity Settings page の Posture Check Preferences タブでチェックの一覧を表示できます。

環境に対して実行されるチェックをカスタマイズできますか？

はい、Identity Settings page の Posture Check Preferences タブで体制チェックを有効化および無効化できます。

IDR はサービスですか？

いいえ、IDR はお客様が監視するソフトウェア追加モジュールです。

Taegis MDR サービスを利用していますが、SecOps チームは検出結果をトリアージしますか？

いいえ、IDR の検出結果はアクティブな脅威ではありません。検出結果を監視および管理する責任はお客様にあります。

Taegis MDR サービスを利用していますが、これはセキュリティ分析と製品サポートチームにどのように役立ちますか？

このモジュールは、お客様の環境に関する Microsoft Entra ID からの重要なデータとコンテキストを収集して保存します。この追加コンテキストは、ユーザーが関連付けられているIDおよび非IDの両方の検出において、調査および対応プロセスの迅速化に役立ちます。該当するID情報を持つ検出は、IDR モジュールで収集されたユーザー情報と関連付けられてエンリッチされ、関連するIDの横にある指紋アイコンによって確認できます。

Entra ID 内で ID が Admin としてフラグ付けされるかどうかは何によって決まりますか？

Entra ID（Azure AD）の isAdmin フラグは、Entra ID 内で管理者または特権として認識されるロールに割り当てられたユーザーに対して true に設定されます。これらのロールは通常、ディレクトリーリソース、ユーザー、またはセキュリティ設定に対して大きな制御権を持ちます。以下は、isAdmin フラグを true に設定する Entra ID ロールの完全な一覧です。

Global Administrator — Entra ID のすべての管理機能へのフルアクセス
Privileged Role Administrator — 他の管理者の割り当てを含む、Entra ID のロール割り当てを管理
User Administrator — ユーザーアカウント、グループ、および一部のユーザー属性を管理
Security Administrator — すべてのセキュリティ機能および設定へのフルアクセスを保有
Compliance Administrator — eDiscovery や監査などのコンプライアンス関連機能を管理
Application Administrator — Entra ID のアプリケーション登録および設定を管理
Authentication Administrator — パスワードリセットを含む認証方法および制御を表示、設定、リセット可能
Exchange Administrator — Microsoft Exchange Online の設定を管理
SharePoint Administrator — SharePoint Online の設定を管理
Teams Administrator — Microsoft Teams の設定を管理
Intune Administrator — Microsoft Intune のデバイス管理設定および構成を管理
Billing Administrator — サブスクリプション、請求、およびサポートチケットを管理
Helpdesk Administrator — パスワードリセットおよび基本的なトラブルシューティングに限定
Service Support Administrator — サービスサポート関連の設定を管理
Directory Readers (他の特権ロールと組み合わせた場合) — ディレクトリー情報を読み取り可能。通常は別のロールと組み合わせて権限を昇格
Global Reader (別の管理者ロールと組み合わせた場合) — Entra ID および Microsoft サービス全体に対する読み取り専用アクセス。別の管理者ロールと組み合わせると isAdmin が true に設定される場合があります
Reports Reader (別の管理者ロールと組み合わせた場合) — レポートおよびログへのアクセス。多くの場合、他の管理責任と組み合わせて使用
Conditional Access Administrator — 条件付きアクセスポリシーを管理
Identity Governance Administrator — IDガバナンス、アクセスレビュー、およびエンタイトルメント管理に関連する設定を管理
Special Cases:
- Custom Roles with Administrative Privileges — 上記のいずれかのロールに匹敵する管理権限を持つカスタムロールが定義されている場合、それも isAdmin フラグを true に設定する可能性があります。

ロール割り当ての組み合わせ

場合によっては、より低い権限のロールとより高い権限のロールの組み合わせにより、isAdmin フラグが true になることがあります。たとえば、Global Reader と User Administrator の両方のロールが割り当てられていると、このフラグがトリガーされることがあります。

この一覧は、isAdmin フラグに影響する Entra ID の標準ロールを網羅しています。ただし、Microsoft がこれらのロールを更新したり、新しいロールを追加したりした場合は、isAdmin フラグの動作もそれに応じて変わる可能性があります。

ID が Stale としてフラグ付けされるかどうかは何によって決まりますか？

last_logon_time が 90 日を超える場合、ユーザーを stale としてマークします。