この記事は、イベントログの最適化およびSIEMインジェストプロセスの推奨されるベストプラクティスを説明します。
概要
すべてのイベントログをサードパーティサービスに保存し、価値のあるログと不要なログを区別せずにSIEMにインジェストすると、不要なストレージとSIEMコスト、アラート疲労、SIEMのパフォーマンス低下などの問題を引き起こす可能性があります。 この記事は、Catoの顧客がイベントログストレージとSIEMインジェストプロセスの両方を最適化し、これらの問題を回避するための推奨されるベストプラクティスを説明しています。
推奨されるベストプラクティスには、主に2つのワークフローがあります：
ストレージ要件を削減するためのイベントの圧縮
SIEMへのインジェスト時に価値が限られているイベントを排除
これらのワークフローに加えて、Catoアカウントのための一般的なログ記録のベストプラクティスを紹介します。
ストレージ最適化のためのイベントの圧縮
Catoイベントログに必要なストレージ容量を最適化するために、エクスポートプロセス中にイベントデータを圧縮し、APIリクエスト時にgzip圧縮を有効にすることで、必要なストレージを最大95％削減できます。
Cato APIの操作に関する詳細はGetting Started with the Cato APIをご覧ください。
Pythonスクリプトの例については、Cato Githubリポジトリをご覧ください。
イベントを保存していても、それをSIEMにインジェストしない場合、圧縮率が非常に高いため、価値の低い特定の種類のイベントを排除することでイベント数を減らすことの利点はほとんどありません。 しかし、イベントログをSIEMにインジェストする場合、そのプロセスを最適化し、価値のあるイベントのみをインジェストすることが重要です。以下のワークフローを参照してください。
不要なイベントの排除
このセクションでは、イベントを分析し、その数をどのように減らすかを決定するための推奨ワークフローを紹介します。
イベントタイプに従ってイベントを排除 - イベントページで、よく使う項目パネルを使用して、各イベントタイプのイベント数を表示します。 ほとんどの場合、生成されるイベントの大部分はセキュリティイベントです。 セキュリティイベントをログに残す必要がない場合は、eventsFeedクエリやイベントログ統合からフィルタリングして、SIEMへのインジェストを避けることができます。 その他のイベントタイプを除外しても、総数に対する大きな影響はない可能性があります。
サブタイプに基づいてイベントを排除 - セキュリティイベントをログに残す必要がある場合でも、特定のサブタイプのセキュリティイベントを排除できるかもしれません。 多くのアカウントでは、インターネットおよびWANファイアウォールイベントがセキュリティイベントの大半を占めます。 他のタイプのセキュリティイベントのみに関心がある場合は、eventsFeedクエリやイベントログ統合からファイアウォールイベントをフィルタリングして、SIEMにインジェストされるイベントの数を大幅に削減できます
アプリケーションに基づいてイベントを排除 - ファイアウォールイベントをログに残す必要があると仮定した場合、それらのイベントのかなりの割合はログに残す必要のないアプリケーショントラフィックによって生成される可能性があります。 例として、DNSイベントは多くのファイアウォールイベントを代表し、あなたにとって有用性が限られているかもしれません。 利用可能な項目セクションで、各アプリケーションのイベント数を分析し、ログに残す必要のないトラフィックを特定します。 その後、許可アクションとイベントなしでファイアウォールルールを作成し、これらのアプリケーションのイベント生成を排除します。 カスタムアプリケーションを作成し、イベント追跡が不要なDNSサーバーの宛先IPで定義を行うことをお勧めします。 その後、そのカスタムアプリケーションを許可する単一のファイアウォールルールを作成できます。
イベント生成なしで許可する他のアプリケーションやサービスの例には以下が含まれます：
ICMPやSNMPなどの一般的なネットワーク監視プロトコル
イベント数が多く、安全なトラフィックとして知られているアプリケーション、例えばWindows Update、Microsoft Teams、およびZoom
Catoアカウントのための一般的なログ記録のベストプラクティス
リソース > イベント連携ページで、Catoイベントとの統合を有効にします。 アカウントが現在イベント統合を持っていなくても、これによりCatoがアカウントのイベントフィードのデータを分析して問題をトラブルシューティングするのを助けることができます。 この機能を有効にしないと、データはトラブルシューティングには利用できません。
XDRストーリーに含まれるイベントの生成のために、XDRレスポンスポリシーを構成します。 デフォルトでは、XDRストーリーイベントは生成されず、構成されたルールに従ってのみイベントが生成されます。 XDRレスポンスポリシールールとXDRイベントフィールドの作成に関する詳細はCreating the Response Policy for XDR Storiesをご覧ください。
イベントページに表示されるイベントの総数とストレージやSIEMに送信されたイベントの実際の数にはわずかな不一致があるかもしれないことに注意してください。 これは、表示される数が切り上げられることがあるため、または時々複数のイベントが一つのエクスポートされたイベントログに結合されるために起こります。 これは、同じイベントが1分の間に複数回発生した場合に発生します。 詳細については、Analyzing Events in Your Networkをご覧ください。
