FortiSIEM のルール エンジン: ルール エンジンは、定義された条件に基づいて受信イベントを評価し、インシデントや異常を検出します。
集計条件: 集計条件は、一致する評価済みデータを集計してカウントするように FortiSIEM に指示します。
* 機能: 集計は、指定された基準に基づいてイベントをグループ化し、定義された時間枠内での発生回数をカウントするなどの操作を実行するために使用されます。
目的: これにより、短期間内に多数のログイン試行が失敗するなどのパターンや異常を検出できます。
参考資料: FortiSIEM 6.3 ユーザー ガイドのルール エンジン セクションでは、集計を使用して一致するデータを要約およびカウントする方法について説明しています。

異常ベースライン データ: 異常ベースライン データとは、潜在的なセキュリティ インシデントを示す逸脱を検出するために、さまざまなパラメータに対して計算された統計プロファイルとベースラインを指します。
プロファイル DB: プロファイル DB は、FortiSIEM にこのようなベースライン データを保存するために特別に設計されています。
* 目的: 異常検出を容易にするために、さまざまな監視パラメータの統計プロファイルを維持します。
* 使用方法: このデータは、FortiSIEM によって、リアルタイム メトリックと確立されたベースラインを比較して異常を識別するために使用されます。
参考資料: FortiSIEM 6.3 ユーザー ガイドのデータベース アーキテクチャ セクションでは、異常ベースライン データを格納するためのプロファイル DB など、FortiSIEM で使用されるさまざまなデータベースとその目的について説明しています。

高度な分析ルール エンジン: FortiSIEM のルール エンジンでは、複数のサブパターンを使用して複雑なイベントの相関関係を分析できます。
サブパターンを参照するための操作:
* FOLLOWED_BY: この操作は、指定された時間枠内で 1 つのイベントが別のイベントに続くことを示すために使用されます。
* OR: この論理演算では、複数のサブパターンを含めることができ、いずれかのサブパターンが一致するとルールがトリガーされます。
* AND: この論理演算では、ルールをトリガーするために、参照されているすべてのサブパターンが一致する必要があります。
使用方法: これらの操作により、詳細かつ正確なイベント相関が可能になり、複雑なパターンやインシデントの検出に役立ちます。
参考資料: FortiSIEM 6.3 ユーザー ガイドの「Advanced Analytics Rules Engine」セクションでは、ルール内のサブパターンを参照するためのさまざまな操作の使用について説明しています。

FortiSIEM アーキテクチャ: FortiSIEM アーキテクチャには、スーパーバイザー、ワーカー、コレクター、エージェントなどの複数のコンポーネントが含まれており、それぞれが SIEM エコシステムで異なる役割を果たします。
リアルタイム イベント相関: リアルタイム イベント相関は、受信イベントを分析および相関させて、セキュリティ インシデントや運用上の問題を示すパターンを検出する重要な機能です。
監督者と労働者の役割:
* スーパーバイザー: スーパーバイザーは、FortiSIEM システム全体を監視して、イベントの処理と分析を調整します。
* ワーカー: ワーカーは、コレクターとエージェントから受信したイベントの処理と相関を担当します。
相関関係のコラボレーション: スーパーバイザー コンポーネントとワーカー コンポーネントが連携して、負荷を分散し、イベントの効率的な処理を保証してリアルタイムでイベントの相関関係を実行し、インシデントをリアルタイムで識別します。
参考資料: FortiSIEM 6.3 ユーザー ガイドのイベント相関と処理のセクションでは、スーパーバイザー コンポーネントとワーカー コンポーネントが連携してリアルタイムのイベント相関を実現する方法について詳しく説明しています。