* 問題を理解する:
* SMTP 偵察アクティビティを検出するためのカスタム イベント ハンドラーが大量のイベントを生成しています。
* 大量のイベントにより通知システムが過負荷になり、アラート疲れやインシデント対応の非効率性につながる可能性があります。
* イベント ハンドラーの構成:
* イベント ハンドラーは、特定の基準に基づいてアラートをトリガーするように構成されます。
* これらのアラートの頻度と音量は、トリガー条件を調整することで制御できます。
* 考えられる解決策:
* A. 特定のグループによってトリガーされたカウントを識別して減らすように、トリガー カウントを増やします。
* トリガー数を増やすと、より高いしきい値のアクティビティが検出された場合にのみイベント ハンドラーがアラートを生成するようになります。
* これにより、生成されるイベントの数が減り、通知システムの過負荷を防ぐことができます。
* 生成されるイベントの量を効率的に管理するため選択されました。
* B. カスタム イベント ハンドラーが期待どおりに動作しないため無効にします。
* イベント ハンドラーを無効にすると、SMTP 偵察アクティビティの監視が完全に停止するため、実用的な解決策ではありません。
* イベント生成の微調整の問題に対処していないため、選択されません。
* C. 攻撃中にカスタム イベント ハンドラーがカバーする時間範囲を短縮します。
* 時間範囲を短縮すると、場合によっては役立つ可能性がありますが、攻撃が長期間にわたる場合は重要なアクティビティを見逃す可能性もあります。
* 重要なイベントの報告不足につながる可能性があるため、選択されません。
* D. イベントを作成するときに、より一意のフィールド値を探すように、ログ フィールド値を増やします。
* ログ フィールドの値を調整すると、イベント条件が絞り込まれる可能性がありますが、アラートの量は直接制御されません。
* イベントボリュームを管理する最も効果的な方法ではないため、選択されません。
* 実装手順:
* ステップ 1: FortiAnalyzer のイベント ハンドラー構成にアクセスします。
* 手順 2: SMTP 偵察用のカスタム イベント ハンドラー内でトリガー カウント設定を見つけます。
* ステップ 3: アラートの感度と音量のバランスが取れるように、トリガー カウントをより高い値に増やします。
* ステップ 4: 構成を保存し、イベント生成を監視して、予想されるレベルと一致していることを確認します。
* 結論：
* トリガー数を増やすことで、カスタム イベント ハンドラーによって生成されるイベントの数を効果的に減らし、通知システムが過負荷になるのを防ぐことができます。
参考文献:
* イベント ハンドラと構成に関する Fortinet ドキュメント FortiAnalyzer 管理ガイド
* イベント管理のベストプラクティス Fortinet ナレッジベース
カスタム イベント ハンドラーのトリガー カウントを増やすことで、生成されるイベントの量を管理し、通知システムが過負荷になるのを防ぐことができます。