* FortiAnalyzerの役割を理解する：
* FortiAnalyzerは、コレクターモードとアナライザーモードという2つの主要なモードで動作します。
* コレクターモード：さまざまなデバイスからログを収集し、詳細な分析のためにアナライザーモードで動作する別のFortiAnalyzerに転送します。
* アナライザーモード：詳細なログ分析、レポート作成、およびインシデント管理機能を提供します。
* FortiAnalyzerをコレクターデバイスとして構成する手順：
* A. ログ圧縮を有効にする:
ログ圧縮を有効にするとストレージ容量を節約できますが、FortiAnalyzerをコレクターモードで構成するために特に必要な手順ではありません。
* オプション項目であり、コレクター構成プロセスに直接関係しないため、選択していません。
* B. アナライザーモードでFortiAnalyzerへのログ転送を設定する：
* コレクターFortiAnalyzerによって収集されたログが、詳細な処理のためにアナライザーFortiAnalyzerに送信されることを保証するために不可欠です。
* FortiAnalyzerをコレクターデバイスとして構成する上で重要なステップであるため選択されました。
* ステップ 1: FortiAnalyzer インターフェースにアクセスし、ログ転送設定に移動します。
* ステップ 2: アナライザーモードで FortiAnalyzer の IP アドレスと必要な認証情報を指定して、ログ転送を設定します。
Fortinetのログ転送に関するドキュメント FortiAnalyzerのログ転送
C) データポリシーをアーカイブに重点を置くように設定する：
データポリシーの設定は通常、FortiAnalyzer内でログがどのように保存および管理されるかに関係しており、コレクターデバイスの設定においては、アーカイブに特化する必要は必ずしもありません。
コレクターモードの設定に必須の手順ではないため、選択しませんでした。
D) 接続インターフェースでファブリック認証を設定する：
セキュリティファブリック内のFortiAnalyzerデバイス間の安全かつ認証された通信を確保するために必要です。
安全な統合と通信に不可欠であるため、選定されました。
ステップ1：FortiAnalyzerインターフェースにアクセスし、ファブリック認証設定に移動します。
ステップ2：他のFortinetデバイスおよびFortiAnalyzerへの接続に使用するインターフェースで、ファブリック認証を有効にします。
参考資料：Fortinetのファブリック認証に関するドキュメント FortiAnalyzerファブリック認証の実装概要：
収集されたログがアナライザーに確実に送信されるように、ログ転送を設定してください。
セキュリティファブリック内での安全な通信と統合を確保するため、ファブリック認証を有効にしてください。
結論：
ログ転送とファブリック認証の設定は、FortiAnalyzerをコレクターデバイスとしてセットアップし、分析のために適切なログ収集と転送を確実に行うための重要な手順です。
参考文献：
Fortinet の FortiAnalyzer の役割と構成に関するドキュメント FortiAnalyzer 管理ガイド アナライザーモードで FortiAnalyzer にログ転送を設定し、接続インターフェイスでファブリック認証を有効にすることで、FortiAnalyzer をコレクター デバイスとして適切にセットアップできます。

* プレイブック構成の理解：
* 「悪意のあるファイル検出」プレイブックは、悪意のあるファイル検出イベントがトリガーされたときにインシデントを作成するように設計されています。
* プレイブックには、Attach_Data_To_Incident、Create Incident、Get Eventsなどのタスクが含まれています。
* プレイブック実行の分析：
* この表示は、インシデント作成タスクが失敗し、インシデントへのデータ添付タスクも失敗したことを示しています。
* イベント取得タスクが成功しました。これは、イベントデータを取得できたことを示しています。
* 生ログの確認:
* 生ログには、incident_operator.py ファイル内の入力の解析に関連するエラーが示されています。
* エラーのトレースバックによると、タスクは特定の入力形式（おそらく名前または数値）を想定していましたが、誤ったデータ形式を受け取りました。
* 障害の原因特定：
* インシデント作成タスクの失敗が根本原因です。入力形式が正しくなかったため、タスクが正しく処理されませんでした。
* その後、Attach_Data_To_Incident タスクは、インシデントが正常に作成されることを前提としているため、失敗しました。
* 結論：
* プレイブックの実行が失敗した主な理由は、インシデント作成タスクが想定されていた名前や番号ではなく、誤ったデータ形式を受け取ったためです。
参考文献：
Fortinetのプレイブックおよびタスク構成に関するドキュメント。
プレイブック実行におけるエラー処理とデバッグの実践方法。

* イベントハンドラーの設定を理解する:
* イベントハンドラーは、FortiSandboxなどの他のFortinet製品から転送されたログに基づいて、スピアフィッシングなどの特定のセキュリティインシデントを検出するように設定されています。
* イベントハンドラには、イベントがトリガーされるべき条件を定義するルールが含まれます。
* 現在の構成の分析:
* 現在のイベントハンドラは「スピアフィッシングハンドラ」という名前で、「スピアフィッシングルール1」というタイトルのルールが設定されています。
ログビューアには、FortiSandboxによってログが転送されていることが示されていますが、FortiAnalyzerによってイベントは生成されていません。
* イベント処理の主要コンポーネント：
* ログタイプ: イベントハンドラをトリガーするログの種類を決定します。
* データセレクタ：イベントをトリガーするためにログが満たすべき条件を指定します。
* オートメーションステッチ：イベント発生時にトリガーできるオプションのアクション。
* 通知: イベントが検出された際に、アラートがどのように伝達されるかを定義します。
* 問題の特定:
* FortiSandboxのログは正しく転送されているにもかかわらずイベントが生成されないため、問題はデータセレクタの設定またはログタイプのマッチングにある可能性が高いです。
* データセレクタは、FortiSandboxによって転送されるログを含めるように設定する必要があります。
* 解決：
* B. FortiSandboxデータセレクターを設定し、イベントハンドラーに追加します。
FortiSandboxログ専用のデータセレクターを設定し、それをイベントハンドラーに追加することで、FortiAnalyzerは転送されたログに基づいてイベントを正確に識別し、トリガーすることができます。
* ソリューションを導入するための手順：
* ステップ 1: FortiAnalyzer のイベント ハンドラー設定に移動します。
* ステップ 2: FortiSandbox によって転送されたログに一致する条件 (ログのサブタイプ、マルウェア検出の詳細など) を含む新しいデータセレクタを追加します。
* ステップ 3: このデータセレクタを既存のスピアフィッシングイベントハンドラにリンクします。
* ステップ 4: 設定を保存し、テストしてイベントが生成されていることを確認します。
* 結論：
イベントハンドラー内でFortiSandboxデータセレクターを正しく構成することで、FortiAnalyzerが関連するログに基づいてイベントを生成できるようになります。
Fortinet のイベント ハンドラーとデータ セレクターに関するドキュメント FortiAnalyzer イベント ハンドラー Fortinet のデータ セレクターの設定に関するナレッジ ベース FortiAnalyzer データ セレクター FortiSandbox データ セレクターを設定してイベント ハンドラーに追加することで、FortiAnalyzer は適切なログに基づいてイベントを正確に生成できるようになります。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3とFortiSOAR 7.6を搭載した最新のセキュリティオペレーションセンター（SOC）環境では、インシデント対応ライフサイクルの効率性は、分析の2つの主要な柱に依存します。
* 脅威の正確な検出 (A): SOC の主な目標は、真の悪意のある活動を特定することです。
FortiSIEMの相関ルールと機械学習（UEBA）を活用することで、システムは真のリスクを示すパターンを検出するように調整される必要があります。高い精度により、SOCはノイズに惑わされることなく、組織のセキュリティ体制に影響を与える重要なセキュリティイベントに集中することができます。
* 誤検知の迅速な特定 (C):「アラート疲労」は SOC における最大の課題の 1 つです。
アナリストは、正当な異常（誤検知）と実際の脅威を迅速に区別できなければなりません。FortiSOARは、自動化されたプレイブックを使用して、初期トリアージと「事前処理」（IPレピュテーションの確認やユーザーアクティビティの検証など）を実行することで、真の脅威ではないアラートを自動的にクローズまたは降格させ、アナリストが優先度の高い調査に専念できるように支援します。
他の選択肢が間違っている理由：
* すべてのアラートを即座にエスカレーションする（B）：これはSOCの運用方法として適切ではありません。トリアージを行わずにすべてのアラートをエスカレーションすると、アナリストの燃え尽き症候群を引き起こし、上級対応担当者に価値の低いタスクが過負荷になります。階層型SOC（ティア1、ティア2、ティア3）の目的は、アラートをフィルタリングして、重大なインシデントのみをエスカレーションすることです。
* 定期的なシステム停止（D）：SOCシステム（SIEM/SOAR）は「ミッションクリティカル」とみなされ、24時間365日稼働する必要があります。メンテナンスは、高可用性（HA）構成を使用するか、監視を完全に停止することなく「低負荷」の時間帯に実施する必要があります。攻撃者は停止時間を利用して攻撃を仕掛けることが多いためです。

* 問題の理解：
* FortiGateデバイスのうち1台が、他のデバイスと比較して著しく大量のログを生成しており、ADOMのストレージ容量を超過しています。
* これにより、FortiAnalyzer内でのパフォーマンスの問題やログの効率的な管理の困難が生じる可能性があります。
* 考えられる解決策：
* 目標は、ログの量を管理し、ADOM が割り当て量を超えないようにしつつ、効果的なログ分析と監視を維持することです。
* 解決策 A: 最初の FortiGate デバイスのストレージ容量クォータを増やす:
ストレージ容量の割り当てを増やすことで一時的な緩和は得られるかもしれませんが、問題の根本原因である過剰なログ容量の解決にはなりません。
* 丸太の量は今後も増加し続ける可能性があるため、この解決策は長期的には持続可能ではないかもしれません。
長期的に見て効率的な解決策とはならないため、選定されませんでした。
* 解決策 B: 最初の FortiGate デバイス用に別の ADOM を作成し、異なるストレージ ポリシー セットを構成します。
* 個別の ADOM を作成することで、ログ量の多いデバイスに特化したストレージ ポリシーと管理をカスタマイズできます。
* これにより、ストレージ負荷を分散し、より厳格な、またはカスタマイズされた保持およびストレージポリシーを適用するのに役立ちます。
* ログの保存と整理を効果的に管理できるため選定しました。
* 解決策 C: 最初の FortiGate デバイスを再設定して、FortiAnalyzer に転送するログの数を減らします。
* FortiGateデバイスのログ設定を調整することで、FortiAnalyzerに転送されるログの量を減らすことができます。
* これには、不要なログ記録の無効化、ログレベルの引き下げ、重要度の低いログのフィルタリングなどが含まれます。
* ログ容量過多の問題に直接対処できるため、選定しました。
* 解決策 D: 最初の FortiGate デバイスから送信されるデータをフィルタリングするようにデータセレクターを設定します。
* データセレクタを使用すると、FortiAnalyzerに送信されるログをフィルタリングして、関連するログのみが転送されるようにすることができます。
* これはログの量を減らすのに役立ちますが、重要なログを見落とさないようにするためには、詳細な設定と定期的な更新が必要になる場合があります。
* FortiGateデバイス上でログ設定を直接再構成するほど効果的ではない可能性があるため、選択しませんでした。
* 実装手順：
* 解決策Bの場合：
* ステップ 1: FortiAnalyzer にアクセスし、ADOM 管理セクションに移動します。
* ステップ 2: ログ量の多い FortiGate デバイス用に新しい ADOM を作成します。
* ステップ 3: FortiGate デバイスをこの新しい ADOM に登録します。
* ステップ 4: 新しい ADOM に対して、ログの保持と保存を管理するための特定のストレージ ポリシーを設定します。
* 解決策Cの場合：
* ステップ 1: FortiGate デバイスの設定インターフェースにアクセスします。
* ステップ2：ログ設定に移動します。
* ステップ 3: ログレベルを調整し、不要なログを無効にします。
* ステップ 4: 設定を保存し、FortiAnalyzer に送信されるログ ボリュームを監視します。
FortiAnalyzer ADOMとログ管理に関するFortinetドキュメント FortiAnalyzer管理ガイド FortiGateでのログ設定の構成に関するFortinetナレッジベース FortiGateロギングガイド ログ量の多いFortiGateデバイス用に個別のADOMを作成し、そのロギング設定を再構成することで、ログ量を効果的に管理し、ADOMがクォータを超えないようにすることができます。