重要なイベントが発生した瞬間から反動的な行動に至るまでの時間はどれくらいですか？ しばしばたくさん！ 反応時間に影響する要因の1つは、意思決定を担当する担当者に遅れて通知することです。
今日は、重要なセキュリティインシデントの発生、ITシステムの重大な状態、さまざまなインジケーターの標準からの大幅な逸脱、または特に電子メールを介した便利な形式でのその他の興味深いイベントに関する通知を受信する方法について説明します。
先ほど書いたマシンデータ分析に特化した製品であるSplunkにアラート、つまりアラートを実装します。
挑戦する
X社は、Splunkでの認証試行の失敗の電子メール通知と、ブランドマウアーがアプリケーションまたはサイトに関連する高リスクイベントを特定した場合を受信したいと考えています。 メッセージには、受信者にとって便利なレコードのイベントに関する基本データが含まれている必要があります。
実装
認証制御
関心のあるイベントを識別する
クエリを作成し、メッセージに表示される列を持つテーブルの形式で表示します（Splunkでの検索クエリの記述方法については前に
ここで書き
ました ）。 保存：
「名前を付けて保存」-「アラート」
アラートの設定 ：アラートタイプの設定-リアルタイム。 トリガーするために、1分間のイベント数がゼロより大きくなければならないという条件を示します。 アラートがトリガーされたときにアクションを追加します。 メッセージでは、フィールド値を含む検索情報にアクセスするトークンを使用できます。 次の
リンクですべてのトークンを見つけることができます。
メッセージを送信するには、Splunkで
メールサーバーを
設定し、送信するメールメッセージを
設定する必要があり
ます 。
「設定」-「サーバー設定」-「メール設定」
このイベントが発生すると、メールでメッセージを受け取ります
同様に、ファイアウォールによって識別されたインシデントの通知を構成します。
おわりに
したがって、Splunkを使用すると、問題のあるイベントの実装にタイムリーに対応するのに役立つアラートをすばやく簡単に設定できます。
このトピックに関するすべての質問とコメントに回答させていただきます。 また、この分野、または一般的なマシンデータ分析の分野に特に興味がある場合は、特定のタスクのために既存のソリューションを完成させる準備ができています。 これを行うには、コメントにそれについて書くか、当社の
ウェブサイトのフォームからリクエストを送信してください。