イベント分析とは？ 

イベント分析とクラウド分析の違い

イベント分析とクラウド分析は似ていますが、生成されるインタラクションの種類が異なります。イベント分析にはオンプレミスのソフトウェアが含まれることがありますが、クラウド分析はクラウド上で実行されるサービスのみです。また、クラウド分析は、ベンダーの要件に応じて、イベント分析以外の分析サービスで構成されるのが一般的です。クラウド分析はクラウドサービスに特化しており、管理者がネットワークを横断してイベントデータを収集する手間を省くことで、効率とパフォーマンスを向上させることができます。従来のイベント分析ツールはオンプレミスのソフトウェアアプリケーションである場合もありますが、クラウド分析ツールはオンラインでのみホストされます。

イベント分析にクラウドベースのアプローチを使用することには大きなメリットがあります。クラウドベースの分析ではインフラストラクチャ要件が最小限に抑えられ、ソフトウェアのインストールと設定が比較的容易です。また、クラウド分析は柔軟性が高く自動的にアップグレードできるため、ソフトウェアの管理に費やす時間を減らし、データに基づいて行動する時間を増やすことができます。

分析におけるイベントとは

分析におけるイベントとは、ネットワーク上のデバイスの状態の変化を示すレコードのことです。イベントは、通常、極端な規則性を持って生成されます。たとえば、サーバーは、Webページが一定数のページビューやリンクのクリック、その他のユーザー操作を受け取るたびにイベントアクションまたはエントリを記録する場合があります。その結果、忙しい環境では、日常業務によって1日に数テラバイトを消費するイベントログファイルが生成されることがあります。

イベントはネガティブなものであるとは限りません。実際、インタラクションの種類にもよりますが、イベントの大部分は無害で予期されたとおりのものです。イベントカテゴリは、情報、警告、例外の3種類のいずれかの性質を持ち、それらはさまざまなレベルの懸念事項に関連付けられています。イベント管理ツールとイベント分析ツールは、チームがイベントデータを選り分けて、本当の問題がどこのあるのかを判断できるように設計されています。これらのツールは、重要なイベント、エピソード、インシデント、その他の対応すべき出来事から成るイベントカテゴリの作成を容易にするほか、定期的にレポートを作成し、問題が発生した場合には直ちに管理者に警告します。

イベントデータとは何か？また、それが分析にどのように役立つか？

イベントデータとは、特定のイベントに追加される分析インデックス内のデータを表す用語です。イベントデータには、通常、文字コード、タイムスタンプ、ユーザー定義のメタデータ、非インタラクションイベントなどの情報と、ホストやイベントソースの名前といったその他の標準化されたフィールドが含まれます。また、イベントは必要に応じてイベントデータ内でセグメント化したり、匿名化したりすることもできます。

何より、イベントデータを使用することで、高速な検索と容易な分析が可能になり、ユーザー条件に基づいてイベントを分類することもできます。また、イベントデータのインデックスが拡充されれば、イベント追跡によって異常を見つけやすくなり、長期的な傾向が明らかになります。

インシデントとは

インシデントは、セキュリティ違反やサービスの中断が発生したときにトリガーされます。分析の観点から見ると、インシデントは、エンタープライズシステムのセキュリティまたは運用に関連する可能性のあるイベントインデックス内のパターンが発見されたときから始まります。疑わしいパターンが発見されると、重要なイベントとしてエントリが生成され、イベント追跡コードによって識別されます。イベント分析ツールのインシデントダッシュボードには、重要なイベントとエピソードがすべて表示されます。重要なイベントにはイベント値(イベントラベル)を割り当てる数値などのコードが付与され、それらによって重大度別に分類されるため、最も重大なイベントのトリアージや割り当て、追跡、クローズを迅速に行うことができます。

一般的なインシデントワークフローでは、管理アナリストがインシデントレビューダッシュボードを監視し、新しい重要なイベントが作成されてイベント分析ツールに入力されると、比較的大まかな高レベルのトリアージを実行しながらそれらのイベントに数値を割り当てます。重要なイベントが調査を必要とする場合、管理アナリストはそのイベントをレビュー担当アナリストに割り当て、割り当てられたアナリストがインシデントの正式な調査を開始します。調査が終わると、レビュー担当アナリストが検証のためにイベントを最終アナリストにプッシュし、最終アナリストが変更を検証して正式にケースをクローズします。

相関サーチとは

相関サーチとは、疑わしいイベントやパターンを監視する、分析イベントログのスケジュールサーチや反復サーチの一種です。相関サーチは、特定の条件を満たした場合に重要なイベントを生成するように設定できます。これらの重要なイベントにはリスクスコアが割り当てられ、対応するアラートアクションが生成されて、イベント追跡で使用されます。相関サーチはさまざまなタイプのデータについて実行できるため、疑わしい攻撃パターンをより正確に特定できます。

通常は、悪意のあるダウンロードにつながるユーザーのクリック、感染した送信リンク、Webページの要素に組み込まれた悪意のあるJavaScript、脆弱性を含むプラグインなど、特定のセキュリティニーズに対応するために使用されます。セキュリティインシデントの発生時にアラートを受け取りたい場合は、相関サーチによってイベントインデックスを定期的に検索することでこのプロセスを自動化します。

重要なイベントの概要と重要なイベントの集約ポリシー

重要なイベント(最上位イベント)とは、相関サーチによって生成される特定のイベントレコードです。通常、このイベントはインシデントの作成やアラートという形を取り、特定の条件を満たすとアナリストに送信されます。基本的に、重要なイベントとは注意が必要なイベントです。

重要なイベントの集約ポリシーは、重要なイベントをグループ化して整理するために使用されます。これらのポリシーは人間のアナリスト、またはそれらの実装を自動化する機械学習アルゴリズムによって設定できます。このプロセスでは、重複するエントリが削除され、イベントが適切にグループ化されるとエピソードが作成されます。重要なイベントの集約ポリシーには、重要なイベントと、エピソードに応じてアクションを自動化するルールの両方が含まれています。(言い換えると、このポリシーには問題と解決策の両方が含まれています。)

エピソードとは

エピソードとは、イベント分析システムによって識別され、1つのイベントカテゴリにまとめられた重要なイベントのグループです。エピソードは、通常、サービスに悪影響を及ぼす可能性のある深刻なイベントを指します。たとえば、ネットワークの停止、実行されなくなったアプリケーション、悪意のあるJavaScriptや感染したプラグイン、セキュリティ侵害、データ損失につながる可能性のあるユーザーの操作などです。一般的に、エピソードはインシデントのサブセットであり、これは、より長く、より持続的な一連のイベントを意味します。

エピソードレビューシステムは、重要なイベントの重大度を示し、アナリストがネットワークに影響するさまざまなエピソードをトリアージする際に役立つイベント値またはイベントラベルを上位のイベントに割り当てます。また、エピソードには新規、進行中(およびどのアナリストに割り当てられているか)、解決済み(対応したアナリストが問題を解決した場合)、クローズ(最終アナリストが作業をレビューし、行われた変更が適切であることを検証した場合)のいずれかを示すステータスタグも含まれています。

アラートをトリガーするもの

アナリストは、アラートトリガー条件を設定できます。アラートトリガー条件はリアルタイムに、またはスケジュールに従ってトリガー可能です。アラートトリガー条件が作成されると、相関サーチの結果(上記を参照)がその条件に一致するかどうかがチェックされます。これらの条件を使用することで、複数のイベントやイベントデータフィールドのイベント追跡を実行できます。たとえば、Webページのバウンス率を監視するアラートトリガー条件を設定し、バウンス率が所定のしきい値を超えた場合にアラートをトリガーするようにできます。

アラートには、リアルタイムアラートとスケジュールアラートの2種類があります。リアルタイムアラートは対象のイベントを監視し、サーバーのクラッシュやネットワークの停止といった緊急の例外的状況が発生した場合に役立ちます。また、リアルタイムアラートでは、特定のイベントに対して結果ベースのトリガー条件を設定し、条件が満たされるたびにアナリストに通知するようにできます。さらに、イベント条件をリアルタイムに監視し、特定の時間枠内に条件が複数回満たされた場合にのみアラートを生成するローリングタイムウィンドウのトリガー条件を設定することもできます。

一方、スケジュールアラートはリアルタイムではなく定期的に実行され、通常は、1日のうちの忙しくない時間帯(深夜など)や、特定の時間帯の終わりにスケジュールされます。前日にクレジットカードの取引失敗が10回以上記録されているかどうかや、悪意のあるWebページのリンククリックがあったかどうかをチェックするアラートは、定期的なスケジュールアラートの典型的なユースケースです。

イベント管理とは

イベント分析は、イベント管理テクノロジーの次なる変革と考えることができます。イベント管理ツールはITインフラストラクチャ内の特定のコンポーネントやシステムを監視するために使われますが、イベント分析は、多くの場合、部門の枠を超えた幅広い機能を持つシステムでの分析を意味します。とはいえ、どちらの用語についても標準的用法に関する幅広いコンセンサスは存在せず、しばしば同じ意味で使われています。

イベント分析システムと同様、イベント管理ツールは検出、通知、フィルタリングのサービスを提供します。イベント対応、イベントレポートの作成、トリアージによるクローズも可能であり、イベント分析と比べ対象範囲が狭いかもしれませんが、予測的で拡張性に優れたツールでもあります。また、イベント管理は、セキュリティアナリストによるリアルタイムの脅威対応を可能にする先進的なセキュリティ管理テクノロジーであるSIEM(セキュリティ情報/イベント管理)のコアコンポーネントです。

イベントマネージャー、エレメントマネージャー、監視マネージャーとは

これらはすべて、日常的に運用を監視し、イベントの発生時にはトリアージを実行する、初期段階のイベントアナリストを指す役職です。

イベント管理プロセスとは

イベント管理は、イベントの作成からイベントの解決まで、非常に明確な道筋をたどります。

まず、イベントが作成されます。大抵は、企業内の通常のデバイス変更に関する定期的な通知などです。しかし、中にはイベントアナリストが相関サーチで定義した仕様や範囲を超えるイベントもあります。これらは重要なイベントであり、イベント管理システムにそのように記録されます。

重要なイベントはフィルタリングされ、集約されて、イベントカテゴリ内の重要なイベントの集まりを定義するエピソードにまとめられます。これらのエピソードに対応することが、イベントアナリストの仕事です。まず、イベント値を判断してトリアージを実行し、エピソードを修復する最善の方法を決めます。これには、エピソードを直接解決する場合と、別のアナリストに割り当てる場合があります。調査中または対応中のエピソードのステータスは「進行中」または「保留中」に更新されます。修正が終わると、そのエピソードは「解決済み」としてマークされます。

最終アナリストが上記のすべてを確認し、結果に問題がなければエピソードをクローズします。

イベント分析を使い始める方法

今日のイベント監視ツールやイベント分析ツールは簡単に使い始めることができます。オンプレミスソフトウェアのインストールは常に選択肢の1つですが、クラウドベースの分析ツール、つまりクラウド分析はますます魅力的な選択肢になりつつあります。クラウドベースの分析ツールはインストールが容易でインフラストラクチャ要件がはるかに少なく、オンプレミスツールと同じように設定やカスタマイズが可能です。

注目すべき主な機能：

• 多種多様なマシンデータやテクノロジーデバイス(サーバー、スイッチ、データベース、Webサーバーなど)に対応
• アナリストのためにエピソードを簡素化するわかりやすい可視化機能を備えた、リアルタイム更新のライブダッシュボード
• オンプレミスとクラウドベース、両方のソースからイベントを一元的に収集
• エピソードのトリアージを実行し、結果に応じて修復アクションを割り当てることができる
• 相関サーチを簡単に作成して管理できる
• 問題が発生する前に予測するプロアクティブなロジック
• データの長期的な保存
• より洗練されたカスタマイズや他のツールとの接続を可能にするAPIとSDK

新たなインサイトをもたらすイベント分析

企業のデバイスは、毎日何ギガバイトものイベント情報をログやその他のマシンデータとして生み出しています。データを取得し、それに基づいた行動を取っていないとしたら、すべてのマネージャーがIT管理の武器として備えておくべき重要なツールを見逃していることになります。