ルール サブパターンの定義: FortiSIEM では、ルール内のサブパターンを使用して、ルールがインシデントまたはアラートをトリガーするために満たす必要がある特定の条件と基準を定義します。
サブパターンのコンポーネント: サブパターンには次の要素が含まれます。
* フィルター: ルールが評価するイベントをフィルターするための基準。
* 集約: 分析のためにイベントを集約またはグループ化する方法を定義する条件。
* 時間ウィンドウの定義: ルール条件が満たされているかどうかを判断するためにイベントを評価する時間枠を指定します。
説明: これらのコンポーネントを組み合わせることで、システムはイベント データ内の関心のあるパターンを効率的かつ正確に検出できるようになります。
参考資料: FortiSIEM 6.3 ユーザー ガイドの「ルールとパターン」セクションでは、フィルター、集約、時間ウィンドウの定義の使用など、ルール サブパターンの構造と構成について説明しています。

イベントのグループ化: 特定の属性でイベントをグループ化すると、類似のイベントを集約できます。
グループ化基準: この質問では、イベントは「レポート IP」、「イベント タイプ」、および「ユーザー」別にグループ化されます。一意の組み合わせ分析:
* 10.10.10.10、ログオン失敗、Ryan、1.1.1.1、Web アプリ
* 10.10.10.11、ログオン失敗、ジョン、5.5.5.5、DB
* 10.10.10.10、ログオン失敗、Ryan、1.1.1.1、Web アプリ (重複、1 つの一意の結果としてカウント)
* 10.10.10.10、ログオン失敗、ポール、3.3.2.1、Web アプリ
* 10.10.10.11、ログオン失敗、Ryan、1.1.1.15、DB
* 10.10.10.11、ログオン失敗、ウェンディ、1.1.1.6、DB
* 10.10.10.10、ログオン失敗、Ryan、1.1.1.15、DB
結果の計算: 指定されたグループ化属性に基づいて、7 つの一意の組み合わせが存在します。
参考資料: FortiSIEM 6.3 ユーザー ガイドのイベント管理とレポートのセクションでは、選択した属性に基づいてイベントをグループ化してレポートする方法について説明します。

ルール通知と自動修復: FortiSIEM では、ルールによって生成された特定のインシデントやアラートに対応するように通知と自動修復アクションを構成できます。
通知ポリシー: これは、管理者が通知の設定を構成し、ルールによってアラートがトリガーされたときに実行されるアクションを指定するセクションです。
* 構成オプション: 通知の受信者、通知の種類 (電子メール、SMS など)、および実行する必要がある自動修復アクションの定義が含まれます。
重要性: 通知ポリシーを適切に構成すると、タイムリーなアラートとインシデントへの自動応答が保証され、SIEM システムの有効性が向上します。
参考資料: FortiSIEM 6.3 ユーザー ガイドの通知と自動修復のセクションでは、ルールによってトリガーされるアクションと応答の通知ポリシーを構成する方法について詳しく説明しています。