使用されたことがないデバイスアカウントの事前作成は、セキュリティ衛生上、良くないプラクティスであり、セキュリティリスクをもたらす可能性があるので避けてください。

使用されたことがないデバイスとは、Entra ID で作成されてから特定の日数 (デフォルトでは 90 日、カスタマイズ可能) の間、1 度も認証していないデバイスアカウントのことです。
管理者が時にはコンピューターアカウントを事前に作成できる Active Directory とは異なり、Microsoft Entra ID にはデバイスアカウントを事前作成するための機能はありません。ただし、事前作成したデバイスアカウントが、Microsoft Entra Connect を介して Entra ID に存在する可能性があります。Microsoft Entra のハイブリッド参加が有効である場合、Entra Connect は Active Directory のコンピューターアカウントに対応する Entra ID のコンピューターアカウントを事前作成します。
使用されたことがないデバイスアカウントは、単なる衛生面から完全に疑わしいものに至るまで幅があり、攻撃者が AADInternals のような攻撃ツールを使用している兆候である場合があります。
また、関連する IoE [休眠状態のデバイス] も考慮してください。これは、以前はアクティブだったものの、非アクティブになったすべてのデバイスを特定します。
注意:
<ol>
<li>この IOE は、<code>approximateLastSignInDateTime</code> プロパティに依存していますが、このプロパティはリアルタイムで<a href="https://learn.microsoft.com/ja-jp/entra/identity/devices/manage-stale-devices#:~:text=If%20the%20delta%20between%20the%20existing%20value%20of%20the%20activity%20timestamp%20and%20the%20current%20value%20is%20more%20than%2014%20days%20(%2B/%2D5%20day%20variance)%2C%20the%20existing%20value%20is%20replaced%20with%20the%20new%20value">更新されません</a>。時間差が 14 日 (+/-5 日) 以上になって初めて、最新の値に更新されます。</li>
<li>このため、Microsoft は「<a href="https://learn.microsoft.com/ja-jp/entra/identity/devices/manage-stale-devices#why-is-the-timestamp-not-updated-more-frequently">一部のアクティブなデバイスでタイムスタンプが空白になる場合があること</a>」を認めています。このような場合は、デバイス上でより頻繁に起きている更新を特定するために、サインイン監査ログを使用したさらなる調査が必要です。</li>
</ol>

検出

使用されたことがないデバイス

LOW

バージョン 202411071130