FortiSIEM でのインシデント作成: FortiSIEM でのインシデントは、システム内で定義された特定のパターンと条件に基づいて作成されます。
グループ化機能: 「サブパターンの編集」ウィンドウの「グループ化」セクションでは、分析とインシデントの作成のためにデータをグループ化する方法を指定します。
グループ化の影響: データのグループ化方法は、生成されるインシデントの数に影響します。グループ化された属性の一意の組み合わせごとに、個別のインシデントが生成されます。
展示分析: 提供された展示の「グループ化」セクションには、「レポート デバイス」、「レポート IP」、および「ユーザー」がリストされています。これは、これらの属性の一意の組み合わせごとにインシデントが作成されることを意味します。
参考資料: FortiSIEM 6.3 ユーザー ガイドのルールとパターンの作成セクションでは、グループ化がインシデント生成にどのように影響するかについて詳しく説明しています。

WMI メソッド: Windows Management Instrumentation (WMI) は、ネットワーク内のデバイスとアプリケーションの管理を統合するための Microsoft の仕様セットです。
ログ収集: WMI は、Windows デバイスからさまざまな種類のログを収集するために使用されます。
* セキュリティ ログ: ログイン試行やリソース アクセスなどのセキュリティ関連イベントの記録が含まれます。
* アプリケーション ログ: システム上で実行されているアプリケーションによって生成されたログが含まれます。
* システム ログ: オペレーティング システムとそのコンポーネントに関連するログが含まれます。
包括的なデータ収集: WMI を使用することで、FortiSIEM は Windows デバイスのセキュリティとパフォーマンスの監視と分析に不可欠な幅広いイベント ログを収集できます。
参考資料: FortiSIEM 6.3 ユーザー ガイドのデータ収集方法のセクションでは、Windows デバイスからイベント ログを収集するための WMI の使用について詳しく説明しています。

FortiSIEM の式ビルダー: 式ビルダーは、イベント データを分析するための式を作成するために使用されます。
正しい構文: 一致したイベントをカウントするための正しい構文は、COUNT(Matched Events) です。
* 関数:COUNT は、パラメータ (この場合は「一致したイベント」) を受け取り、発生回数をカウントする関数です。
一般的なエラー: 順序を逆にしたり、括弧を不適切に使用したりするなど、構文が正しくない場合、無効な式が発生する可能性があります。
参考資料: FortiSIEM 6.3 ユーザー ガイドの式ビルダー セクションでは、イベント分析用の有効な式を作成するための正しい構文と使用法について説明しています。