イベント タイプの入力: FortiSIEM では、イベント タイプ フィールドは、生のメッセージまたはイベント ログ内の特定の識別子に基づいて入力されます。
生のメッセージ分析: この展示では、PH_DEV_MON_SYS_DISK_UTIL、PHL_INFO、phPerfJob、diskUtil などのさまざまなコンポーネントを含む生のメッセージが表示されます。
プライマリ イベント識別子: 生のメッセージの先頭にある PH_DEV_MON_SYS_DISK_UTIL は、イベント タイプのプライマリ識別子です。これは、イベントのタイプ (この場合は、システム ディスク使用率監視イベント) を分類します。
イベント タイプ フィールド: FortiSIEM はこのプライマリ識別子を使用してイベント タイプ フィールドに入力し、イベントを明確に分類します。
参考資料: FortiSIEM 6.3 ユーザー ガイドのイベント処理とイベント タイプのセクションでは、システム内でイベント タイプがどのように識別され、入力されるかについて詳しく説明しています。

FortiSIEM の式ビルダー: 式ビルダーは、イベント データを分析するための式を作成するために使用されます。
正しい構文: 一致したイベントをカウントするための正しい構文は、COUNT(Matched Events) です。
* 関数:COUNT は、パラメータ (この場合は「一致したイベント」) を受け取り、発生回数をカウントする関数です。
一般的なエラー: 順序を逆にしたり、括弧を不適切に使用したりするなど、構文が正しくない場合、無効な式が発生する可能性があります。
参考資料: FortiSIEM 6.3 ユーザー ガイドの式ビルダー セクションでは、イベント分析用の有効な式を作成するための正しい構文と使用法について説明しています。

機能の概要: FortiSIEM は、環境内のデバイス情報を照会およびレポートするためのツールをいくつか提供します。
インベントリ タブ: インベントリ タブは、ファームウェア バージョンなど、デバイスに関する詳細情報を表示するために特別に設計されています。
クエリ機能: [インベントリ] タブでは、クエリを実行して、FortiGate デバイスのファームウェア バージョンなどの特定の属性に基づいてデバイスをフィルタリングおよび表示できます。
レポート生成: [インベントリ] タブでクエリを実行すると、FortiGate デバイスと対応するファームウェア バージョンを一覧表示するレポートを生成できます。
参考資料: FortiSIEM 6.3 ユーザー ガイドのインベントリ管理セクションでは、インベントリ タブを使用してデバイス属性を照会およびレポートする方法について説明しています。

レポート内の属性のグループ化: FortiSIEM でレポートを作成するときに、特定の属性をグループ化してデータを要約および整理できます。
一意の属性: 各イベントに固有の属性は、意味のある集計や要約を提供しないため、グループ化できません。
赤色のハイライトの説明: 図の赤色のハイライトは、その固有の性質のためグループ化できない属性を示します。これらの固有の属性には、イベント受信時間、レポート IP、イベント タイプ、生のイベント ログ、および COUNT(一致したイベント) が含まれます。
属性特性:
* イベント受信時間はイベントごとに異なります。
* レポート IP とイベント タイプは大きく異なる可能性があるため、このコンテキストではグループ化するのは実用的ではありません。
* 生のイベント ログは、未処理のログ データを表します。これも一意です。
* COUNT(一致したイベント)は計算フィールドであり、グループ化には適していません。
参考資料: FortiSIEM 6.3 ユーザー ガイドのレポート セクションでは、レポート内の属性のグループ化に関する制約について説明しています。