Taegis™ IDR の概要🔗
概要🔗
Taegis™ IDR は、侵害された認証情報に関するダークウェブインテリジェンスを提供するとともに、IDリスクや設定ミスを継続的に監視することで、お客様のセキュリティ体制の向上を支援するソフトウェアのアドオンモジュールです。IDR を使用すると、セットアップ後数分以内に、優先順位付けされた 検出結果 の一覧と、現在の露出状況に基づく Identity Risk Posture Score および評価を受け取ることができます。
IDとは何ですか？🔗
ID は、人、組織、ソフトウェアプログラム、または別のコンピューターなどのエンティティをコンピューターが識別できるようにする、一意の識別子の集合として定義されます。
IDR では、ID には次のアクティブなものが含まれます。
- Human Identities — 従業員、ゲスト、ベンダーなどを表します。
- Machine Identities/Non-Human Identities (NHI) — アプリケーション、サービスプリンシパル、サービスアカウント、マシン、およびリソースへのアクセスを認証および認可したり、システム間でトランザクションを実行したりするために使用されるその他すべての ID などのエンティティを表します。
IDR のライセンスはどのようになっていますか？🔗
IDR のライセンスは、IDプロバイダーから収集された アクティブ な Human Identity と Non-Human Identity の数に基づいています。複数のシステムに同じアカウントが存在する場合でも、1 回だけカウントされます。
検出結果とは何ですか？🔗
検出結果は、IDR モジュールによって実行される体制チェックの出力です。検出結果には関連するリスクレベルがあり、どれに最初に対処すべきかの優先順位付けに使用する必要があります。最もリスクの高い上位の検出結果の概要は ID概要 ページで、検出結果の完全な表は ID検出結果 ページで、特定の ID に関連する検出結果は ID詳細 ページで確認できます。
IDR に移動する🔗
Taegis Menu から Identity を選択し、Overview を選択して ID概要 を表示します。IDR がお客様のテナントで有効になっていない場合は、Taegis Menu の Taegisソリューション の下に Taegis™ IDR が表示されます。
IDR を設定する🔗
IDR がお客様のテナントで有効になると、Taegis Menu から Identity を選択して、IDプロバイダーインテグレーションの設定を開始します。IDR は Microsoft Entra ID と オンプレミス Active Directory の両方をサポートしています。インターフェース内の手順に従ってインテグレーションを完了し、IDR の使用を開始してください。インテグレーションのセットアップ手順については、IDR インテグレーションガイド を参照してください。
リソース🔗
以下のリソースを使用して、IDR に関する有用な情報を確認してください。
- ID概要
- ID検出結果
- ダークウェブインテリジェンス
- ディレクトリ
- ID詳細
- Identity Risk Score
- ID設定
- IDR インテグレーションガイド
- ナレッジベース記事: How To: IDR 自動化プレイブックを設定する
- ナレッジベース記事: How To: Entra ID の強制パスワードリセット自動化を設定する
FAQ🔗
どの IDプロバイダーがサポートされていますか？
現在、Microsoft Entra ID とオンプレミス Active Directory がサポートされています。
複数の Microsoft Entra ID テナントを追加できますか？
はい、ID設定 ページから複数の Entra ID テナントを追加できるようになりました。
必要な Microsoft Entra ID ライセンスは何ですか？
このソリューションには Entra ID P1 または P2 が必要です。これらは、スタンドアロン製品、アドオン、または Microsoft 365 E3、E5、Microsoft Business Premium、Microsoft 365 Frontline Worker F1、F3、F5 などの他の Microsoft ライセンスに含まれています。
Microsoft Entra ID Free では Microsoft API へのアクセスが提供されますが、取り込めるデータや実行できる体制チェックの一部が制限されます。このため、Entra ID Free を使用する一部のインテグレーションでは Provisioning Failed ステータスが表示されます。
IDR は、Entra ID Free から P1 または P2 ライセンスにアップグレードした後、更新されるまでにどのくらいかかりますか？
IDR は、アカウント情報の収集に Microsoft API を利用しています。Microsoft はライセンスに基づいて特定の API へのアクセスも制限しているため、ユーザーが管理者であるか、MFA が登録されているかといった情報は、ライセンスのアップグレード後すぐには表示されない場合があります。お客様がライセンスをアップグレードした後、Microsoft が更新されたユーザー情報を提供するまでに最大 1 週間の遅延が発生することを確認しています。これは、Authentication Methods Activity - Microsoft Entra ID | Microsoft Learn に記載されているアクティビティレポートを表示することで確認できます。ユーザーレポート内の情報が更新されていない場合、Microsoft が情報を更新するまで IDR も最新ではありません。
ユーザーが MFA で保護されていないと表示されるのはなぜですか？
考えられる原因はいくつかあります。
- 必要な Microsoft Entra ID ライセンス（例: P1 または P2）を保有していません。
- 最近ライセンスをアップグレードしたため、Microsoft がまだデータを利用可能にしていません（前の質問を参照してください）。
- Okta や Duo などのサードパーティ MFA プロバイダーをレガシー構成で使用しています。この場合、Microsoft Entra ID は外部 MFA プロバイダーについてユーザーレベルで MFA 情報を保存しないため、MFA ステータスは正しく報告されません。ただし、Entra ID テナント構成内で新しい Microsoft External Authentication Methods configuration を使用している場合は、外部プロバイダーが使用されていることを推測できます。追加のセットアップ詳細は Duo および Okta で確認できます。
体制チェックはどのくらいの頻度で実行されますか？
IDR には、それぞれ異なるチェックの実行を担当する一連の評価が含まれています。これらは以下のとおり、異なる間隔で実行されます。
| 評価の種類 | 頻度 |
|---|---|
| Entra ID 体制チェック | 2 時間ごと |
| 休眠リソースチェック | 2 時間ごと |
| ダークウェブインテリジェンス | 15 分ごと |
Entra ID からのデータはどのくらいの頻度で収集されますか？
セットアップ時に、Microsoft Entra ID からデータの完全なカタログを収集します。その後は、以下のとおりデータの種類に基づいて更新を確認します。
| データタイプ | 頻度 |
|---|---|
| ユーザー詳細 | 10 分ごと |
| サービスプリンシパル/アプリの詳細 | 10 分ごと |
| グループ | 10 分ごと |
| デバイス | 10 分ごと |
| ユーザー MFA 構成 | 15 分ごと |
| ユーザーアクティビティ（最終サインオン） | 6 時間ごと |
| ドメインデータ | 24 時間ごと |
ITDR センサーではどのオペレーティングシステムがサポートされていますか？
このセンサーは、以下の Windows Server バージョンでサポートおよびテストされています。
- Windows Server 2016
- Windows Server 2019
- Windows Server 2022
- Windows Server 2025
ITDR センサーはどこにインストールすべきですか？
ITDR センサーは Active Directory サーバーにインストールする必要があります。
ITDR センサーにはどのようなリソースが必要ですか？
ITDR センサーには少なくとも 2GB の RAM が必要であり、少なくともデュアルコアプロセッサーを推奨します。
ITDR センサーはどの言語をサポートしていますか？
現在、ITDR センサーは英語のみをサポートしており、将来的に追加言語のサポートを予定しています。
Active Directory からのデータはどのくらいの頻度で収集されますか？
初回セットアップ時に、センサーはすべての Active Directory オブジェクトの完全同期を実行します。その後、変更を監視し、増分更新のみを Sophos cloud に送信します。デフォルトでは、これらの更新は 1 時間ごとに送信されます。この間隔はセンサー内で設定可能ですが、適時の更新を確実にするため、デフォルトの間隔を推奨します。
ITDR センサーは、オンプレミスシステムに MFA や認証インターセプトを拡張しますか？
いいえ。ITDR センサーは、Active Directory の露出管理と ID 体制に重点を置いています。認証イベントをインターセプトしたり、オンプレミスシステムに MFA の適用を拡張したりすることはありません。これは将来のリリースに向けて評価している機能です。
Active Directory からはどのようなデータが収集されますか？
センサーは、Active Directory から次のオブジェクトタイプを収集します。
- ユーザー
- グループ
- コンピューター
- グループポリシーオブジェクト (GPO)
- サービスプリンシパル
- 証明書サーバーテンプレート
- ドメインポリシー
- 組織単位 (OU)
Identity Risk Posture Score はどのくらいの頻度で更新されますか？
Identity Risk Posture Score は、前日からの変更に基づいて毎日更新されます。新しい検出結果が確認されたか、以前のものが解決または却下されたかに応じて、スコアは増減します。
ID ごとの Risk Score はどのくらいの頻度で更新されますか？
各 ID の Risk Score は、アカウント変更が確認されたとき、または検出結果が変更されたときに更新されます。スコアの計算方法と寄与する要因の詳細については、Identity Risk Score を参照してください。
実行されているチェックの一覧はどのように確認できますか？
ID設定ページ の Posture Check Preferences タブでチェックの一覧を表示できます。
環境に対して実行されるチェックをカスタマイズできますか？
はい、ID設定ページ の Posture Check Preferences タブで体制チェックを有効または無効にできます。
IDR はサービスですか？
いいえ。IDR は、お客様が監視するソフトウェアのアドオンモジュールです。
Taegis MDR サービスを利用していますが、SecOps チームが検出結果をトリアージしますか？
いいえ。IDR の検出結果はアクティブな脅威ではありません。検出結果の監視と管理はお客様の責任です。
Taegis MDR サービスを利用していますが、これはセキュリティ分析と製品サポートチームにどのように役立ちますか？
このモジュールは、お客様の環境に関する Microsoft Entra ID の重要なデータとコンテキストを収集して保存します。この追加コンテキストは、ユーザーが関連付けられている ID と非 ID の両方の検出において、調査および対応プロセスの迅速化に役立ちます。該当する ID 情報を持つ検出は、IDR モジュールで収集されたユーザー情報と関連付けられてエンリッチされ、関連する ID の横にある指紋アイコンによって確認できます。
Entra ID 内で ID が Admin としてフラグ付けされるかどうかは、何によって決まりますか？
Entra ID (Azure AD) の isAdmin フラグは、Entra ID 内で管理者または特権として認識されるロールに割り当てられたユーザーに対して true に設定されます。これらのロールは通常、ディレクトリリソース、ユーザー、またはセキュリティ設定に対して大きな制御権を持ちます。以下は、isAdmin フラグを true に設定する Entra ID ロールの完全な一覧です。
- Global Administrator — Entra ID のすべての管理機能へのフルアクセス
- Privileged Role Administrator — 他の管理者の割り当てを含む、Entra ID のロール割り当てを管理
- User Administrator — ユーザーアカウント、グループ、および一部のユーザーアトリビュートを管理
- Security Administrator — すべてのセキュリティ機能と設定へのフルアクセスを保有
- Compliance Administrator — eDiscovery や監査などのコンプライアンス関連機能を管理
- Application Administrator — Entra ID のアプリケーション登録と設定を管理
- Authentication Administrator — パスワードリセットを含む認証方法と制御を表示、設定、リセット可能
- Exchange Administrator — Microsoft Exchange Online の設定を管理
- SharePoint Administrator — SharePoint Online の設定を管理
- Teams Administrator — Microsoft Teams の設定を管理
- Intune Administrator — Microsoft Intune のデバイス管理設定と構成を管理
- Billing Administrator — サブスクリプション、請求、およびサポートチケットを管理
- Helpdesk Administrator — パスワードリセットと基本的なトラブルシューティングに限定
- Service Support Administrator — サービスサポート関連の設定を管理
- Directory Readers (他の特権ロールと組み合わせた場合) — ディレクトリ情報を読み取り可能。通常は別のロールと組み合わせて権限を昇格
- Global Reader (別の管理者ロールと組み合わせた場合) — Entra ID および Microsoft サービス全体に対する読み取り専用アクセス。別の管理者ロールと組み合わせると
isAdminが true に設定される場合があります - Reports Reader (別の管理者ロールと組み合わせた場合) — レポートとログへのアクセス。多くの場合、他の管理責任と組み合わせて使用
- Conditional Access Administrator — 条件付きアクセス ポリシーを管理
- Identity Governance Administrator — ID ガバナンス、アクセスレビュー、およびエンタイトルメント管理に関連する設定を管理
- Special Cases:
- Custom Roles with Administrative Privileges — 上記のいずれかのロールに匹敵する管理権限を持つカスタムロールが定義されている場合、それも
isAdminフラグを true に設定する可能性があります。
- Custom Roles with Administrative Privileges — 上記のいずれかのロールに匹敵する管理権限を持つカスタムロールが定義されている場合、それも
ロール割り当ての組み合わせ
場合によっては、権限の低いロールと権限の高いロールの組み合わせにより、isAdmin フラグが true になることがあります。たとえば、Global Reader と User Administrator の両方のロールが割り当てられていると、このフラグがトリガーされる可能性があります。
この一覧は、isAdmin フラグに影響する Entra ID の標準ロールを網羅しています。ただし、Microsoft がこれらのロールを更新したり、新しいロールを追加したりした場合、isAdmin フラグの動作もそれに応じて変わる可能性があります。
ID が Stale としてフラグ付けされるかどうかは、何によって決まりますか？
last_logon_time が 90 日を超える場合、そのユーザーを stale としてマークします。