UEBAとは？ゆーいーびーえー
UEBAとは、利用者やサーバ・端末といったエンティティごとに平常時の振る舞いを学習し、そこからの逸脱を異常として検知する分析手法。固定のしきい値では拾えない「その人にとって異常」な挙動を捉えられるため、内部不正や正規アカウントの乗っ取りの発見に用いられる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
従来の検知は、既知の攻撃パターンとの照合か、全員一律のしきい値によるルールで組まれていた。しかし正規の権限を持つ内部者や、正規の資格情報を奪った攻撃者の操作は、どちらの網にもかからない。業務の挙動には個人差が大きく一律の基準を置けないという制約から、基準を人・機器ごとに持たせる考え方が生まれた。シラバスでは技術的対策ではなく人的セキュリティ対策の側に置かれている点も押さえたい。
具体例
Microsoft Entra ID Protection は、サインインの位置・端末・時間帯から利用者ごとのリスクを算出し、普段と異なる国からのサインインをリスク検出として扱う。Splunk User Behavior Analytics のように、SIEMに集めたログを入力として同種の分析を行う製品もある。
試験での引っ掛け
シグネチャ照合や固定ルールと同じ枠で覚えると誤る。基準は人・機器ごとの平常時プロファイルであり、「深夜のアクセスを一律に警告する」ルールとは別物である。アンチウイルスやIDSが拾えない正規アカウントの悪用が主な狙いになる。学習期間中に不正が続いていれば、それを平常として取り込んでしまう弱点も問われる。
関連用語
出た過去問
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
UEBAの機能はどれか。
正解：利用者や機器の異常な振る舞いを検知する。
要点：UEBAは平常の振る舞いから外れた挙動を検知する
UEBAは、利用者や機器の普段の行動をログから学習して基準となる振る舞いを作り、そこから外れた動きを異常として検知する仕組みである。深夜の大量ダウンロードや普段使わない拠点からのアクセスなど、単独の操作としては正規でも文脈上不自然な行動を捉えられる。既知の攻撃パターンに頼らないため、内部不正や資格情報の悪用の発見に向いている。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。