---
title: "Catoイベントログとインジェストのベストプラクティス"
slug: "best-practices-for-cato-event-logs-and-ingestion"
updated: 2026-11-04T00:10:07Z
published: 2026-11-04T00:10:07Z
canonical: "knowledge.catonetworks.com/best-practices-for-cato-event-logs-and-ingestion"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Catoイベントログとインジェストのベストプラクティス

この記事は、イベントログの最適化およびSIEMインジェストプロセスの推奨されるベストプラクティスを説明します。

## 概要

すべてのイベントログをサードパーティサービスに保存し、価値のあるログと不要なログを区別せずにSIEMにインジェストすると、不要なストレージとSIEMコスト、アラート疲労、SIEMのパフォーマンス低下などの問題を引き起こす可能性があります。この記事は、Catoの顧客がイベントログストレージとSIEMインジェストプロセスの両方を最適化し、これらの問題を回避するための推奨されるベストプラクティスを説明しています。

推奨されるベストプラクティスには、主に2つのワークフローがあります：

- ストレージ要件を削減するためのイベントの圧縮
- SIEMへのインジェスト時に価値が限られているイベントを排除

これらのワークフローに加えて、Catoアカウントのための一般的なログ記録のベストプラクティスを紹介します。

## ストレージ最適化のためのイベントの圧縮

Catoイベントログに必要なストレージ容量を最適化するために、エクスポートプロセス中にイベントデータを圧縮し、APIリクエスト時にgzip圧縮を有効にすることで、必要なストレージを最大95％削減できます。

Cato APIの操作に関する詳細は[Getting Started with the Cato API](/v1/docs/explaining-a-python-script-for-the-cato-api)をご覧ください。

Pythonスクリプトの例については、[Cato Githubリポジトリ](https://github.com/catonetworks)をご覧ください。

イベントを保存していても、それをSIEMにインジェストしない場合、圧縮率が非常に高いため、価値の低い特定の種類のイベントを排除することでイベント数を減らすことの利点はほとんどありません。しかし、イベントログをSIEMにインジェストする場合、そのプロセスを最適化し、価値のあるイベントのみをインジェストすることが重要です。以下のワークフローを参照してください。

## 不要なイベントの排除

このセクションでは、イベントを分析し、その数をどのように減らすかを決定するための推奨ワークフローを紹介します。

1. **イベントタイプに従ってイベントを排除** - [イベント](/v1/docs/analyzing-events-in-your-network)ページで、**よく使う項目**パネルを使用して、各イベントタイプのイベント数を表示します。ほとんどの場合、生成されるイベントの大部分はセキュリティイベントです。セキュリティイベントをログに残す必要がない場合は、eventsFeedクエリやイベントログ統合からフィルタリングして、SIEMへのインジェストを避けることができます。その他のイベントタイプを除外しても、総数に対する大きな影響はない可能性があります。

![イベント_ログ_BP_イベント_タイプ.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24198345625885.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A16Z&se=2026-11-10T17%3A50%3A16Z&sr=c&sp=r&sig=l2kxDfybYwtGMVZ3aX%2ByBvbW0pMkL0Z3HMKg6DKNnpY%3D)
2. **サブタイプに基づいてイベントを排除** - セキュリティイベントをログに残す必要がある場合でも、特定のサブタイプのセキュリティイベントを排除できるかもしれません。多くのアカウントでは、インターネットおよびWANファイアウォールイベントがセキュリティイベントの大半を占めます。他のタイプのセキュリティイベントのみに関心がある場合は、eventsFeedクエリやイベントログ統合からファイアウォールイベントをフィルタリングして、SIEMにインジェストされるイベントの数を大幅に削減できます

![イベント_ログ_BP_サブ_タイプ_2.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24198345678621.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A16Z&se=2026-11-10T17%3A50%3A16Z&sr=c&sp=r&sig=l2kxDfybYwtGMVZ3aX%2ByBvbW0pMkL0Z3HMKg6DKNnpY%3D)
3. **アプリケーションに基づいてイベントを排除** - ファイアウォールイベントをログに残す必要があると仮定した場合、それらのイベントのかなりの割合はログに残す必要のないアプリケーショントラフィックによって生成される可能性があります。例として、DNSイベントは多くのファイアウォールイベントを代表し、あなたにとって有用性が限られているかもしれません。**利用可能な項目**セクションで、各アプリケーションのイベント数を分析し、ログに残す必要のないトラフィックを特定します。その後、許可アクションとイベントなしでファイアウォールルールを作成し、これらのアプリケーションのイベント生成を排除します。[カスタムアプリケーション](/v1/docs/working-with-custom-apps)を作成し、イベント追跡が不要なDNSサーバーの宛先IPで定義を行うことをお勧めします。その後、そのカスタムアプリケーションを許可する単一のファイアウォールルールを作成できます。

![イベント_ログ_BP_アプリケーション.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24198371625757.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A16Z&se=2026-11-10T17%3A50%3A16Z&sr=c&sp=r&sig=l2kxDfybYwtGMVZ3aX%2ByBvbW0pMkL0Z3HMKg6DKNnpY%3D)

イベント生成なしで許可する他のアプリケーションやサービスの例には以下が含まれます：
  - ICMPやSNMPなどの一般的なネットワーク監視プロトコル
  - イベント数が多く、安全なトラフィックとして知られているアプリケーション、例えばWindows Update、Microsoft Teams、およびZoom

## Catoアカウントのための一般的なログ記録のベストプラクティス

- **リソース > 統合** ページで、**設定済みの統合** タブをクリックし、ドロップダウンメニューから **データプル (イベントフィードAPI)** を選択します。名前を追加し、**保存** をクリックします。アカウントが現在イベント統合を持っていなくても、これによりCatoがアカウントのイベントフィードのデータを分析して問題をトラブルシューティングするのを助けることができます。この機能を有効にしないと、データはトラブルシューティングには利用できません。

![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/image(296).png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A16Z&se=2026-11-10T17%3A50%3A16Z&sr=c&sp=r&sig=l2kxDfybYwtGMVZ3aX%2ByBvbW0pMkL0Z3HMKg6DKNnpY%3D)
- XDRストーリーに含まれるイベントの生成のために、XDRレスポンスポリシーを構成します。デフォルトでは、XDRストーリーイベントは生成されず、構成されたルールに従ってのみイベントが生成されます。 XDRレスポンスポリシールールとXDRイベントフィールドの作成に関する詳細は[Creating the Response Policy for XDR Stories](/v1/docs/creating-the-response-policy-for-xops-stories)をご覧ください。
- イベントページに表示されるイベントの総数とストレージやSIEMに送信されたイベントの実際の数にはわずかな不一致があるかもしれないことに注意してください。これは、表示される数が切り上げられることがあるため、または時々複数のイベントが一つのエクスポートされたイベントログに結合されるために起こります。これは、同じイベントが1分の間に複数回発生した場合に発生します。詳細については、[Analyzing Events in Your Network](/v1/docs/analyzing-events-in-your-network)をご覧ください。

![イベント_ログ_BP_総イベント.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24198345766685.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A16Z&se=2026-11-10T17%3A50%3A16Z&sr=c&sp=r&sig=l2kxDfybYwtGMVZ3aX%2ByBvbW0pMkL0Z3HMKg6DKNnpY%3D)