SIEM および PAM イベントの収集: Microsoft Windows サーバーから SIEM イベント ログとパフォーマンスおよび可用性監視 (PAM) イベントの両方を収集するには、適切なプロトコルを選択する必要があります。
WMI プロトコル: Windows Management Instrumentation (WMI) は、このタスクに適したプロトコルです。
* SIEM イベント ログ: WMI は、Windows デバイスからセキュリティ、アプリケーション、およびシステム ログを収集できます。
* PAM イベント: WMI は、CPU 使用率、メモリ使用率、ディスク アクティビティなどのパフォーマンス メトリックも収集できます。
包括的なデータ収集: WMI を使用すると、両方の種類のデータが Windows サーバーから効率的に収集されます。
参考資料: FortiSIEM 6.3 ユーザー ガイドのデータ収集方法のセクションでは、さまざまな種類のログとパフォーマンス メトリックを収集するための WMI の使用について詳しく説明しています。

災害復旧モード: FortiSIEM の災害復旧 (DR) モードでは、プライマリ システムに障害が発生した場合に引き継ぐバックアップ システムが確保されます。
DR 操作の手動タスク: 災害が発生した場合、セカンダリ システムへのスムーズな移行を確実にするために、特定のタスクを手動で実行する必要があります。
副監督者の昇進:
* セカンダリ スーパーバイザをプライマリ ロールに昇格するには、コマンド phSecondary2primary を使用します。このコマンドは、セカンダリ スーパーバイザがプライマリ スーパーバイザとして引き継ぐように再構成し、管理と調整の継続性を確保します。
DNS 構成の変更:
* DNS 構成を更新して、すべてのユーザー、デバイス、コレクターをセカンダリ FortiSIEM インスタンスに誘導します。これにより、環境内のすべてのコンポーネントが、個々のデバイスを手動で再構成することなく、新しく昇格したプライマリ スーパーバイザと通信できるようになります。
参考資料: FortiSIEM 6.3 管理ガイドの災害復旧セクションでは、災害復旧操作中にセカンダリ スーパーバイザを昇格し、DNS 構成を更新する詳細な手順が説明されています。

FortiSIEM アーキテクチャ: FortiSIEM アーキテクチャには、スーパーバイザー、ワーカー、コレクター、エージェントなどの複数のコンポーネントが含まれており、それぞれが SIEM エコシステムで異なる役割を果たします。
リアルタイム イベント相関: リアルタイム イベント相関は、受信イベントを分析および相関させて、セキュリティ インシデントや運用上の問題を示すパターンを検出する重要な機能です。
監督者と労働者の役割:
* スーパーバイザー: スーパーバイザーは、FortiSIEM システム全体を監視して、イベントの処理と分析を調整します。
* ワーカー: ワーカーは、コレクターとエージェントから受信したイベントの処理と相関を担当します。
相関関係のコラボレーション: スーパーバイザー コンポーネントとワーカー コンポーネントが連携して、負荷を分散し、イベントの効率的な処理を確保することで、リアルタイムのイベント相関関係を実行し、インシデントをリアルタイムで識別します。
参考資料: FortiSIEM 6.3 ユーザー ガイドのイベント相関と処理のセクションでは、スーパーバイザー コンポーネントとワーカー コンポーネントが連携してリアルタイムのイベント相関を実現する方法について詳しく説明しています。