LookupTableGet関数は、ルックアップテーブルを参照することでイベントデータを拡充するように設計されています。ただし、分析クエリで直接使用して処理前にデータをフィルタリングすることはできません。代わりに、取得後の結果を強化するための表示フィルターとして適用することを目的としています。
指定されたクエリでは、フィルター条件で LookupTableGet(MalwareIPList : Source IP : Confidence) >= 87 が使用されていますが、このコンテキストでは関数が有効ではないため、エラーが発生します。この関数は、前処理フィルターとしてではなく、データの取得後に適用される必要があります。

登録後、コレクターはスーパーバイザとの継続的な通信を維持し、適切なイベント処理、システムヘルスモニタリング、フェイルオーバー処理を確実に実行します。コレクターがスーパーバイザと通信する主な理由は以下の2つです。
1.ワーカーがダウンした場合にイベントデータをアップロードする
ワーカー ノードに障害が発生した場合、コレクターはイベント ログを一時的に保存し、それをスーパーバイザーに転送できます。* これにより、インフラストラクチャの問題が発生した場合でもイベントの継続性が確保されます。
2.自身の健康状態を報告する
コレクターは、リソースの使用状況、接続ステータス、操作ログなどのヘルスレポートをスーパーバイザーに送信します。* これにより、FortiSIEM はコレクターの稼働時間とパフォーマンスを追跡できます。

FortiSIEM では、numPoints は、統計ベースラインの信頼性を確保し、データ不足により異常が誤ってトリガーされるのを防ぐために、ルールとプロファイル データベースで使用されるパラメーターです。
1. ベースラインが設定されてアクティブになる前に、ルールが早期にトリガーされるのを防ぎます。
2. プロファイル データベースから、numPoints が特定のしきい値を超える値のみを取得します。

FortiSIEMでは、CMDBクエリを他のCMDBクエリ内にネストすることはできません。CMDBデータは静的な情報であるため、ネストしても価値は追加されず、クエリ実行時に適切に機能しません。