UEBAとは？

UEBAの意味

利用者や機器の平常時の振る舞いを機械学習で学習し、そこから逸脱した挙動（普段と違う時間帯の大量ダウンロード等）を検知する分析手法。内部不正やアカウント乗っ取りの発見に用いる。

UEBAの具体例

退職を申し出た直後の営業担当が、平日の深夜に共有フォルダから普段の30倍のファイルを取得した。固定の閾値では拾えない挙動だったが、UEBAが本人の平常時プロファイルからの逸脱として警告し、人事と連携して持ち出しの事実を確認できた。

UEBAは試験でどう引っ掛けられる？

シグネチャ型の検知と対象が違う。UEBAが見るのは個人・機器ごとの平常時プロファイルからの逸脱で、「深夜のアクセスを一律に警告する」といった固定閾値のルールとは別物。既知の攻撃パターンを照合するアンチウイルスやIDSでは拾えない内部不正・正規アカウントの乗っ取りを狙う。学習期間中に不正が行われていると、それを平常として学習してしまう点も弱点。

UEBAと関連する用語

• SIEM
• 内部不正
• リスクベース認証

UEBAが出た過去問

• UEBAの機能はどれか。

  正解：利用者や機器の異常な振る舞いを検知する。

  要点：UEBAは平常の振る舞いから外れた挙動を検知する

  UEBAは、利用者や機器の普段の行動をログから学習して基準となる振る舞いを作り、そこから外れた動きを異常として検知する仕組みである。深夜の大量ダウンロードや普段使わない拠点からのアクセスなど、単独の操作としては正規でも文脈上不自然な行動を捉えられる。既知の攻撃パターンに頼らないため、内部不正や資格情報の悪用の発見に向いている。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）