Cato APIを使用する前に、Cato APIのサポートポリシーを確認することを強くお勧めします。
イベントフィードの概要
イベントフィードクエリは、ネットワーク、セキュリティ、ソケット、Catoクライアントなどに関連するアクティビティによって生成されたイベントを分析するのに役立ちます。 このクエリが返すイベントデータは、Cato管理アプリケーションのモニタリング > イベントページに類似しています。
リセラーアカウントの場合、Cato APIに接続している各顧客アカウント内で個別のAPIキーを作成できます。 レート制限とイベントフィードAPIクエリの詳細については、Cato APIのレート制限を理解するを参照してください。
取得されたイベントを理解する
イベントフィードAPIは、アカウント内のイベントの大量分析とモニタリングのために設計されています。 このAPIクエリのデータは、ほぼリアルタイムで更新されます。
Catoは過去3日間のイベントデータを保存します。 毎24時間に、一つ以上3日以上前のデータが削除されます。
APIサーバーキューに3000以上のイベントがある場合、結果はページングされます。 これにより、キューの終わりに達するまでイベントを繰り返し取得できます。
これらのフィールドはイベントのページ分割に関連しています: マーカー、取得数。 これらのフィールドの説明については、以下を参照してください。
アカウント用のイベントフィードの有効化
APIアクセス管理ウィンドウを使用して、アカウントがCato APIサーバーへイベントを送信するよう有効にします。 イベントフィードを有効にした後、APIサーバーがクエリのための十分なイベントを収集するまで約30分待ちます。
アカウント用のイベントフィードを有効にするには：
ナビゲーションペインで管理 > API & 統合を選択し、イベント統合タブをクリックします。
Catoイベントとの統合を有効にするを選択します。 アカウントがCato APIサーバーへイベントの送信を開始します。
イベントフィード項目の詳細
これらはクエリ用にイベントフィード項目が表示できる詳細です：
マーカー - マーカー項目はAPIクエリが最後に返したイベントの一意の識別子です
取得数 - 取得されたイベントの数 (1回の取得で最大3000イベント)
アカウント (eventsFeedAccountRecords) - アカウントに関するイベントデータ (ネストされたクエリと項目を含む配列)
イベントフィードマーカー
APIサーバーキューに3000以上のイベントがある場合、マーカー項目は新しい取得の開始を示す識別子を表示します。 例えば、クエリが7500イベントを返す場合、取得イテレーションの結果は次の通りです：
最初のイテレーション - 取得数 = 3000 (イベント)、マーカー = 1234abc
2番目のイテレーション - 取得数 = 3000 (イベント)、マーカー = 4567def
3番目のイテレーション - 取得数 = 1500 (イベント)、マーカー = 8901xyz
最終イテレーションのために、マーカー値を無視することができます
マーカーは以前の3日間までイベントキューを指すことができます。
イベントフィード取得数
取得数項目は現在の取得アクションのイベント総数を表示します。 この項目の最大値は3000です。
イベントフィードアカウント
アカウント (eventsFeedAccountRecords) 項目はこのクエリのアカウントIDとイベントデータを表示します。 eventsFeedAccountsRecords > EventRecord > EventFieldName 引数を使用して、クエリに表示されるイベントデータをフィルタリングします。 イベントレコードに関する詳細については、Cato API - イベントフィード > イベントレコードを参照してください。
eventsFeed > records > EventFieldName
さまざまな種類のイベントに対するEventFieldName列挙値の詳細は、Cato Networks GraphQL APIリファレンスで確認してください。
イベントフィードの引数
クエリによって返されるデータを定義するために渡すことができる引数は以下の通りです：
アカウントID - アカウントID (複数のアカウントのためには、IDを配列として入力します)
フィルター (EventFieldFilterInput) - クエリされるイベントおよび監査ログデータのフィルタリング (ネストされたクエリを含む配列)
マーカー - マーカー値に従って、特定の取得イテレーションのイベントのみを表示します
eventsFeed ID 引数
クエリが返すデータのために1つ以上のCatoアカウントIDを入力します。 この引数は必須です。
このアカウントIDはCato管理アプリに表示されず、その代わりにCato管理アプリのURL内の番号です。 例えば、次のURLの場合、アカウントIDは26です： https://cc2.catonetworks.com/#!/26/topology。
イベントフィードフィルター引数
フィルター (EventFieldFilterInput) 引数は、クエリが含む特定のイベントを定義します。 定義できる引数は次の通りです：
フィールドネーム > イベントフィードフィルター フィールドネーム - イベントディスカバリーからイベントタイプまたはサブタイプを定義します
オペレーター - フィルターイベントデータに使用する値を有効化する方法を定義します
値 - オペレーターで使用するフィルタ値を定義します
以下のフィルター構文は、値セキュリティを持つイベントタイプを表示するようにフィルターされたクエリの例です：
"filters": [
{
"fieldName": "event_type",
"operator": "is",
"values": ["Security"]
}
]以下のフィルター構文は、値インターネットファイアウォールを持つイベントサブタイプのみを表示するようにフィルターされたクエリの例です：
"filters": [
{
"fieldName": "event_sub_type",
"operator": "is",
"values": ["インターネットファイアウォール"]
}
]イベントフィードマーカー引数
マーカー引数は必須であり、特定の取得イテレーションのイベントにクエリを制限します。 例えば、クエリが10500イベントを返す場合、最初の3回の取得イテレーションの結果は次の通りです：
最初のイテレーション - 取得数 = 3000 (イベント)、マーカー = 1234abc
2番目のイテレーション - 取得数 = 3000 (イベント)、マーカー = 4567def
3番目のイテレーション - 取得数 = 3000 (イベント)、マーカー = 8901xyz
2番目のイテレーションのイベントのみを表示するには、マーカー引数を4567defに設定します。
キューされたすべてのイベントを取得するには、空のマーカー引数 (marker:"") を備えた最初のGraphQLクエリでクエリを実行します。