FortiSIEM のコンポーネントの役割: FortiSIEM のさまざまなコンポーネントには特定の役割と責任があり、システムの全体的なパフォーマンスと機能に貢献します。
クエリ ワーカー: クエリ ワーカー コンポーネントは、FortiSIEM 内の検索クエリを処理および最適化するために特別に設計されています。
* 機能: 検索リクエストを処理し、分析検索を効率的に実行し、大量のデータを処理して迅速な結果を提供します。
* 最適化: クエリ実行の効率を向上させることで、クエリ ワーカーは長時間のアドホック分析検索を大幅に高速化し、パフォーマンスの問題に対処できます。
パフォーマンスへの影響: クエリ ワーカーを利用すると、検索はそのようなタスクに最適化されたコンポーネントによって処理されるようになり、他のコンポーネントの負荷が軽減され、システム全体のパフォーマンスが向上します。
参考資料: FortiSIEM 6.3 ユーザー ガイドのシステム コンポーネント セクションでは、クエリ ワーカーを含むさまざまなワーカーの役割と、それらがシステム パフォーマンスに与える影響について説明しています。

FortiSIEM のインシデント管理: FortiSIEM はインシデントとその発生を追跡し、管理者が繰り返し発生する問題を管理して対応できるようにします。
パフォーマンス ルールのトリガー: CPU 使用率が高い場合などのパフォーマンス ルールが繰り返しトリガーされると、FortiSIEM は毎回新しいインシデントを作成するのではなく、対応するインシデントを更新します。
インシデント テーブルの更新:
* インシデント数: インシデント数の値は、ルールがトリガーされるたびに増加し、インシデントが発生した回数を示します。
* 初回確認時間と最終確認時間: これらのタイムスタンプは、インシデントの最初の発生と最新の発生を反映するように更新されます。
参考資料: FortiSIEM 6.3 ユーザー ガイドのインシデント管理セクションでは、FortiSIEM が繰り返し発生するインシデントを処理し、それに応じてインシデント テーブルを更新する方法について説明しています。

FortiSIEM のインシデント ステータス: インシデントのステータスは現在の状態を示し、管理者がインシデントを効果的に追跡および管理するのに役立ちます。
クリア済みステータス: インシデントのステータスが「クリア済み」の場合、インシデントをクリアするために設定された特定の条件が満たされたことを意味します。
* クリア条件: これは通常、インシデントの原因となった問題が解決されたか、存在しなくなったことを示す事前定義された条件です。
自動クリアと手動クリア: 一部のインシデントはクリア条件に基づいて自動的にクリアされる場合がありますが、その他のインシデントはオペレーターによって手動でクリアされる場合があります。
参考資料: FortiSIEM 6.3 ユーザー ガイドのインシデント管理セクションでは、さまざまなインシデントのステータスと、インシデントが「クリア済み」とマークされる条件について詳しく説明しています。

FortiSIEM の式ビルダー: 式ビルダーは、イベント データを分析するための式を作成するために使用されます。
正しい構文: 一致したイベントをカウントするための正しい構文は、COUNT(Matched Events) です。
* 関数:COUNT は、パラメータ (この場合は「一致したイベント」) を受け取り、発生回数をカウントする関数です。
一般的なエラー: 順序を逆にしたり、括弧を不適切に使用したりするなど、構文が正しくない場合、無効な式が発生する可能性があります。
参考資料: FortiSIEM 6.3 ユーザー ガイドの Expression Builder セクションでは、イベント分析用の有効な式を作成するための正しい構文と使用法について説明しています。