1. ルール概要

項目	説明
重大度	高
ルール名	User login from different countries within 3 hours (Uses Authentication Normalization)
ルールの種類	Scheduled
ルールの頻度	3時間ごとにクエリを実行
ルールの期間	過去3時間のデータ
バージョン	1.2.2
説明	このクエリは、3時間以内に異なる国からのユーザーのログインが成功したかどうかを検索します。（by DeepL）
Ref	https://github.com/Azure/Azure-Sentinel/tree/master/Parsers/ASimAuthentication

2. 活用するテーブル

テーブル名	概要	参考URL
imAuthentication	正規化された認証イベントログ	https://github.com/Azure/Azure-Sentinel/tree/master/Parsers/ASimAuthentication

3. クエリ解説

User login from different countries within 3 hours (Uses Authentication Normalization) / version1.2.2

// 分析対象の期間
let timeframe = ago(3h);
// 検知する国の種類のしきい値
let threshold = 2;
// パーサーによって正規化された認証イベントを対象にする
imAuthentication
// 分析対象期間内のイベントに絞り込む
| where TimeGenerated > timeframe
// ログオンイベントかつログオンが成功しているイベントに絞り込む
| where EventType=='Logon' and EventResult=='Success'
// ログオン時のIPの国情報フィールドのデータが空でないものに絞り込む
| where isnotempty(SrcGeoCountry)
// ユーザーID、名前、タイプを主キーとして最も古いログオン日時、最も新しいログオン日時、認証ログ出力元のベンダー、プロダクト名、国情報の種類を表示する
| summarize StartTime = min(TimeGenerated), EndTime = max(TimeGenerated), Vendors=make_set(EventVendor), Products=make_set(EventProduct) , NumOfCountries = dcount(SrcGeoCountry) by TargetUserId, TargetUsername, TargetUserType
// 国情報の種類が2種類以上のものに絞り込む
| where NumOfCountries >= threshold
// タイムスタンプフィールドに最初のログオン日時、アカウントエンティティフィールドに対象ユーザーを格納
| extend timestamp = StartTime, AccountCustomEntity = TargetUsername