FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3 では、トリガーイベントビューは、特定のルールがトリガーされた原因となった個々のログを表示する動的なテーブルです。この特定のビュー内のデータの可視性を管理するには、次の手順に従ってください。
* インターフェースのカスタマイズ：「トリガーイベント」タブには、列管理機能が含まれています。列ヘッダーまたはテーブル設定アイコン（通常はイベントリストの右上隅にあります）をクリックすることで、アナリストは表示列をカスタマイズできます。これにより、「レポートIP」属性のチェックを外し、基となるデータやルールロジックを変更することなく、表示から非表示にすることができます。
* 運用効率:これは、トポロジーが簡素化された環境では一般的なタスクです。
「IPアドレスの報告」は冗長な情報です。ビューをカスタマイズすることで、アナリストは「送信元IP」、「宛先IP」、「宛先ポート」など、最も関連性の高いデータポイントに集中できます。他のオプションが不適切な理由：
* A（インシデントアクション）：インシデントアクション設定からフィールドをクリアすると、メールアラートで送信されるデータやSOARプラットフォームに渡されるデータに影響しますが、FortiSIEM GUIのレイアウトは変更されません。
「トリガーイベント」ページ。
* B（相関を無効にする）：属性の相関を無効にすると、ルールエンジンがその属性を使用してイベントをグループ化するかどうかが決まります。インシデントダッシュボードの列の表示には影響しません。
* C（解析ルール）：解析ルールによる属性の削除は、SIEMがそのデータを完全にインデックス化できなくなる破壊的なプロセスです。これにより、「レポートIP」がすべての検索とレポートで使用できなくなるため、単純な表示設定としては過剰です。

* FortiAnalyzerファブリックトポロジーの理解：
* FortiAnalyzer Fabricのトポロジーは、ネットワーク内の複数のデバイスにわたるログ記録と分析を一元化するように設計されています。
* これは、スーパーバイザーノードが他のファブリックメンバーを管理および調整する階層構造を伴います。
* オプションの分析：
* オプションA：ダウンストリームコレクターがログをファブリックメンバーに転送する構成は一般的ではありません。通常、ログはスーパーバイザーに一元化されます。
* オプションB：効果的な管理とログの一元化のために、ログ記録デバイスをスーパーバイザーに登録する必要があります。これにより、適切なログ収集と調整が保証されます。
* オプションC：スーパーバイザーは、ログ、インシデント、イベントをローカルに保存するために、主にAPIを使用しません。ログはFortiAnalyzerデータベースに直接保存されます。
* オプション D: Fabric トポロジーが正しく機能するためには、すべての Fabric メンバーがアナライザー モードになっている必要があります。このモードでは、トポロジー内でログを適切に収集、分析、転送することができます。
* 結論：
* FortiAnalyzer Fabricトポロジーに関する正しい記述は、ログ記録デバイスをスーパーバイザに登録する必要があり、Fabricメンバーはアナライザーモードにする必要があるということです。
参考文献：
FortinetのFortiAnalyzerファブリックトポロジに関するドキュメント。
ファブリック環境におけるFortiAnalyzerの設定に関するベストプラクティス。

* FortiAnalyzerにおけるインシデント作成の理解：
* FortiAnalyzerでは、セキュリティイベントを追跡および管理するためのインシデントを作成できます。
* インシデントは、検出されたイベントと事前定義されたルールに基づいて、自動的にも手動でも作成できます。
* 分析手法：
* オプション A:コネクタ アクションを使用すると、通常は他のシステムやサービスとの統合が必要となり、FortiAnalyzer 上でインシデントを直接作成する方法ではありません。
* オプション B: イベント モニター ページで関連するイベントを選択し、それらのイベントからインシデントを作成することで、インシデントを手動で作成できます。
* オプション C: プレイブックは応答やアクションを自動化できますが、インシデントの直接作成は通常、イベント ハンドラーまたは手動プロセスによって管理されます。
* オプション D: カスタムイベントハンドラーを設定することで、特定のイベントや条件に基づいてインシデントの作成をトリガーし、FortiAnalyzer 内でのプロセスを自動化できます。
* 結論：
* FortiAnalyzerでインシデントを作成する有効な方法は、イベントモニターページで手動で作成する方法と、カスタムイベントハンドラーを使用する方法の2つです。
参考文献：
FortiAnalyzerにおけるインシデント管理に関するFortinetのドキュメント。
FortiAnalyzerのイベント処理とカスタマイズに関するガイド。