生のログ データ: デバイスが FortiSIEM にログを送信すると、データは生の非構造化形式で届きます。
データ解析プロセス: この生のログ データを構造化された形式に変換するプロセスは、データ解析と呼ばれます。
* データ解析: 生のログエントリから関連フィールドを抽出し、整理します。
* 構造化された形式により、データを分析、レポート、相関に使用できるようになります。
構造化データの重要性: 構造化データは、効果的なイベント相関、アラート、および意味のあるレポートの生成に不可欠です。
参考資料: FortiSIEM 6.3 ユーザー ガイドのデータ解析セクションでは、解析によって生のログ データが構造化データに変換される仕組みについて詳しく説明しています。

FortiSIEM でのルール評価: FortiSIEM のルールは定期的に評価され、定義された条件またはサブパターンが満たされているかどうかが確認されます。
頻度フィールド: ルールの頻度フィールドは、ルールのサブパターンが評価される間隔を決定します。
* 評価間隔: システムがルールのサブパターンに対して受信イベントをチェックし、インシデントをトリガーする必要があるかどうかを判断する頻度を定義します。
* パフォーマンスへの影響: インシデントのタイムリーな検出とシステム パフォーマンスのバランスをとるには、適切な頻度を設定することが重要です。
例:
* 頻度が 5 分に設定されている場合、ルールは 5 分ごとにサブパターンを評価します。
* これは、システムが 5 分ごとに、サブパターンで定義された条件が受信イベントによって満たされているかどうかをチェックすることを意味します。
参考資料: FortiSIEM 6.3 ユーザー ガイドの「ルールとインシデント」セクションでは、頻度フィールドと、それがルール内のサブパターンの評価にどのように影響するかについて説明しています。

FortiSIEM の検出方法: FortiSIEM は、syslog、SNMP などのさまざまな方法を使用してデバイスを検出できます。
Syslog 検出: この図は、FortiGate デバイスが syslog を使用して FortiSIEM によって検出されたことを示しています。
* Syslog 解析: FortiGate デバイスから送信された Syslog メッセージは、FortiSIEM によって解析され、関連情報が抽出されます。
* CMDB エントリ: 解析された情報に基づいて、デバイスの構成管理データベース (CMDB) にエントリが入力されます。
展示の証拠: この展示では、FortiGate ファイアウォールから解析および検出プロセスまでの syslog フローが示されており、その結果、デバイスが CMDB に「保留中」のステータスでリストされます。参考資料: FortiSIEM 6.3 ユーザー ガイドのデバイス検出セクションでは、syslog 検出の仕組みと、syslog データに基づいてデバイスが CMDB に追加される仕組みについて説明しています。