イベント収集の概要: 展示では、サーバー A とサーバー B の 2 つのサーバーから 10 分間に収集された 3 つのイベントを示します。
ルール サブパターンの設定: ルール サブパターンでは、次の 2 つの条件を指定します。
* AVG(CPU Util) > DeviceToCMDBAttr(ホスト IP: サーバー CPU Util の重大なしきい値): 平均 CPU 使用率が各サーバーに定義された重大なしきい値を超えているかどうかを確認します。
* COUNT(一致するイベント) >= 2: 指定された期間内に少なくとも 2 つの一致するイベントが必要です。
サーバーAの分析:
* イベント: 3 つのイベント (CPU=90、CPU=90、CPU=95)。
* 平均 CPU 使用率: (90+90+95)/3 = 91.67 となり、重大なしきい値 90 を超えています。
* 一致したイベント数: 3。2 以上という条件を満たしています。
* インシデント生成: サーバー A は両方の条件を満たしているため、1 つのインシデントを生成します。
サーバーBの分析:
* イベント: 3 つのイベント (CPU=70、CPU=50、CPU=60)。
* 平均 CPU 使用率: (70+50+60)/3 = 60 であり、これは重大なしきい値 90 を超えません。
* 一致したイベント数: 3 ですが、平均 CPU 使用率の条件が満たされていないため、インシデントは生成されません。
結論: ルール サブパターンに基づいて、サーバー A は 1 つのインシデントを生成し、サーバー B はインシデントを生成しません。
参考資料: FortiSIEM 6.3 ユーザー ガイド、イベント相関ルール、およびインシデント管理のセクションでは、ルール サブパターンとイベント条件に基づいてインシデントが生成される方法について説明しています。