この図は、マルチテナントサービスプロバイダー環境に導入され、複数の顧客にサービスを提供するFortiSIEMクラスターを示しています。アーキテクチャには以下が含まれます。
1. コレクターを持つ顧客
顧客 A と顧客 B (AWS) の環境内にコレクターがデプロイされています。
コレクターはログを収集し、集中分析のために FortiSIEM クラスターに転送します。
2. コレクターのいない顧客
顧客 C にはコレクターがないので、代わりにログを FortiSIEM クラスターに直接送信します。
3. インフラストラクチャを管理するスーパー組織
サービス プロバイダーのインフラストラクチャ デバイス (ネットワーク アプライアンスやセキュリティ アプライアンスなど) は、FortiSIEM クラスターによって直接管理されます。
一部の顧客がコレクターを使用し、他の顧客がログを直接送信するこの混合セットアップは、コレクターありとコレクターなしのハイブリッド展開を表します。

FortiSIEMでは、コレクターはイベントデータをアップロードする場所を把握している必要があります。登録時に、スーパーバイザーはコレクターにワーカーのアップロードアドレスを提供します。
ワーカーアップロードアドレスは、収集後にログをコレクターに送信する場所を指定します。ワーカーアップロードアドレスが設定されていない場合、コレクターはデータの送信先を決定できず、正しく登録できません。

FortiSIEMのコレクターとスーパーバイザー間でWANリンク障害が発生した場合、コレクターは接続が回復するまでイベントファイルをバッファリングします。デフォルトでは、次のようになります。
# コレクターは、バッファ制限に達する前に最大 10,000 個のイベント ファイルを保存できます。
# WAN リンクが復元されると、コレクターは保存されたイベント ファイルをスーパーバイザにアップロードして処理します。
# バッファ制限を超えると、新しいイベント ファイルのスペースを確保するために古いイベント ファイルが上書きされることがあります。

共同知識共有: FortiSOAR を使用すると、セキュリティ チームは知識を共有し、ワークフローを自動化し、インテリジェンスを一元化してプロセスを標準化することでインシデント対応の効率を向上させることができます。
アナリストのスキル ギャップへの対応: 反復タスクを自動化し、ガイド付きの対応プレイブックを提供することで、FortiSOAR は SOC チームのスキル不足を補い、運用の有効性を向上させるのに役立ちます。
人的エラーの削減: 自動化と定義済みのワークフローにより、手動による介入が最小限に抑えられ、インシデントの検出、対応、修復におけるエラーの可能性が低減します。