差分

このページの2つのバージョン間の差分を表示します。

--- ja:documentation:pandorafms:cybersecurity:21_siem [2025/11/28 23:11] – [管理] junichi
+++ ja:documentation:pandorafms:cybersecurity:21_siem [2026/09/11 22:37] (現在) – [ルール管理] junichi
@@ 行 80: / 行 80: @@
 ===== コンソール設定 =====
-To use SIEM event monitoring, it must first be activated from the main configuration.
+<WRAP center round info 90%>
-SIEM イベント監視を使用するには、まずメイン設定から有効化する必要があります。
+If [[:en:documentation:pandorafms:command_center:01_introduction|Command Center]] is enabled, Pandora SIEM will only be available in the nodes.
-Go to menu <wrap :en>**Management → Settings → System Settings → SIEM → Activate SIEM**</wrap>, fill in the form completely and click <wrap :en>**Update**</wrap> to save the changes.
+</WRAP>
-メニュー <wrap :ja>**管理(Management) → セッティング(Settings) → システム設定(System Settings) → SIEM → SIEM の有効化(Activate SIEM)**</wrap> に移動し、フォームをすべて入力して <wrap :ja>**更新(Update)**</wrap> をクリックして変更を保存します。
+<WRAP center round info 90%>
-This will create the necessary templates on the OpenSearch server specified for log normalization and SIEM event generation.
+[[:ja:documentation:pandorafms:command_center:01_introduction|コマンドセンター]] が有効になっている場合、Pandora SIEM はノードでのみ使用可能になります。
-これにより、ログの正規化と SIEM イベント生成用に指定された OpenSearch サーバに必要なテンプレートが作成されます。
+</WRAP>
-It will also activate this type of monitoring in Pandora FMS servers where ''siemserver''  and ''siemevents''  were started.
+To use SIEM event monitoring, it must first be activated from the main configuration.
-また、''siemserver'' および ''siemevents'' が開始された Pandora FMS サーバでもこのタイプの監視が有効になります。
+SIEM イベント監視を使用するには、まずメイン設定から有効化する必要があります。
-<WRAP center round info 90%>
+Go to menu <wrap :en>**Management → {{:wiki:pfms-menu-management-settings-icon-804_version.svg?nolink&21x21}} Settings → System Settings → SIEM → Activate SIEM**</wrap>, fill in the form completely and click <wrap :en>**Update**</wrap> to save the changes.
-If [[:en:documentation:pandorafms:command_center:01_introduction|Command Center]] is enabled, Pandora SIEM will only be available in the nodes.
+メニュー <wrap :ja>**管理(Management) → {{:wiki:pfms-menu-management-settings-icon-804_version.svg?nolink&21x21}} セッティング(Settings) → システム設定(System Settings) → SIEM → SIEM の有効化(Activate SIEM)**</wrap> に移動し、フォームをすべて入力して <wrap :ja>**更新(Update)**</wrap> をクリックして変更を保存します。
-</WRAP>
+This will create the necessary templates on the OpenSearch server specified for log normalization and SIEM event generation.
-<WRAP center round info 90%>
+これにより、ログの正規化と SIEM イベント生成用に指定された OpenSearch サーバに必要なテンプレートが作成されます。
-[[:ja:documentation:pandorafms:command_center:01_introduction|コマンドセンター]] が有効になっている場合、Pandora SIEM はノードでのみ使用可能になります。
+It will also activate this type of monitoring in Pandora FMS servers where ''siemserver''  and ''siemevents''  were started.
-</WRAP>
+また、''siemserver'' および ''siemevents'' が開始された Pandora FMS サーバでもこのタイプの監視が有効になります。
 <wrap #ks4 />
@@ 行 359: / 行 359: @@
 ===== SIEM イベント =====
-With SIEM monitoring enabled and configured, a preview of the monitoring status may be accessed in the <wrap :en>**Operation → SIEM → Dashboard**</wrap> menu.
+With SIEM monitoring enabled and configured, a preview of the monitoring status may be accessed in the <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Dashboard**</wrap> menu.
-SIEM 監視を有効にして設定すると、<wrap :ja>**操作(Operation) → SIEM → ダッシュボード(Dashboard)**</wrap> メニューで監視ステータスのプレビューにアクセスできるようになります。
+SIEM 監視を有効にして設定すると、<wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → ダッシュボード(Dashboard)**</wrap> メニューで監視ステータスのプレビューにアクセスできるようになります。
 {{  :wiki:siem_dashboard.png  }}
-Generated SIEM events can be fuly displayed in menu <wrap :en>**Operation → SIEM → Events**</wrap>.
+Generated SIEM events can be fuly displayed in menu <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Events**</wrap>.
-生成された SIEM イベントは、メニュー <wrap :ja>**操作(Operation) → SIEM → イベント(Events)**</wrap> ですべて表示できます。
+生成された SIEM イベントは、メニュー <wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → イベント(Events)**</wrap> ですべて表示できます。
 {{  :wiki:siem_events.png  }}
@@ 行 427: / 行 427: @@
 <wrap :ja>デコーダー</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemserver'' はログ収集を通じて取得されたエントリに対してそれらを処理します。
-From Pandora FMS Console, it will be possible to view the loaded <wrap :en>decoders</wrap> with their complete configuration from menu <wrap :en>**Operation → SIEM → Decoders**</wrap>.
+From Pandora FMS Console, it will be possible to view the loaded <wrap :en>decoders</wrap> with their complete configuration from menu <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Decoders**</wrap>.
-Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → デコーダー(Decoders)**</wrap> から、ロードされた <wrap :ja>デコーダー</wrap> とその完全な設定を表示できます。
+Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → デコーダー(Decoders)**</wrap> から、ロードされた <wrap :ja>デコーダー</wrap> とその完全な設定を表示できます。
 It is also possible to disable <wrap :en>decoders</wrap> from this view, so that ''siemserver''  does not take them into account when normalizing log entries.
@@ 行 702: / 行 702: @@
 <wrap :ja>ルール</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemevents'' サーバはそれを SIEM 監視の正規化されたエントリとして処理します。
-From Pandora FMS console, it will be possible to see loaded <wrap :en>rules</wrap> with their full configuration fom menu <wrap :en>**Operation → SIEM → Rules**</wrap>.
+From Pandora FMS console, it will be possible to see loaded <wrap :en>rules</wrap> with their full configuration from menu <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Rules**</wrap>.
-Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → ルール(Rules)**</wrap> から、読み込まれた <wrap :ja>ルール</wrap> とその完全な設定を確認できます。
+Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → ルール(Rules)**</wrap> から、読み込まれた <wrap :ja>ルール</wrap> とその完全な設定を確認できます。
 It is also possible to disable <wrap :en>rules</wrap> from this view, so that ''siemevents''  does not take them into account when processing normalized logs.
@@ 行 1316: / 行 1316: @@
 </decoder>
 </code>
+<wrap #ks9_1 />
+==== ルール評価順序 ====
+The following case study **with a negative result**  illustrates when a rule "queries" other rules to check whether they found a match and then evaluates the match itself to generate an event.
+次のケーススタディ (**否定的な結果**) は、ルールが他のルールを「照会」して一致が見つかったかどうかを確認し、一致自体を評価してイベントを生成する場合を示しています。
+There is a series of rules used to detect failed logins on a hardware firewall, in order to then create the corresponding alerts:
+ハードウェアファイアウォールで失敗したログインを検出し、対応するアラートを作成するために使用される一連のルールがあります。
+<code xml>
+<rule id="81641" level="1">
+    <decoded_as>fortigate-firewall-v6</decoded_as>
+    <description>Fortigate v6 messages grouped.</description>
+</rule>
+</code>
+  * ⍐ Rule 81641 matches decoded log to start retrieving data.
+  * ⍐ ルール 81641 はデコードされたログと一致し、データの取得を開始します。
+----
+<code xml>
+<rule id="81603" level="0">
+    <if_sid>81600,81601,81602,81641</if_sid>
+    <description>Fortigate messages grouped.</description>
+</rule>
+</code>
+  * ⍐ Rule ID 81603 in turn depends on several rules, including the previous 81641. Since the latter 81641 is higher than 81603, **81603 is not executed**.
+  * ⍐ ルール ID 81603 は、前の 81641 を含む複数のルールに依存します。後者の 81641 は 81603 より大きいため、**81603 は実行されません**。
+----
+<code xml>
+<rule id="81614" level="4">
+    <if_sid>81603</if_sid>
+    <match>ssl-login-fail</match>
+    <description>Fortigate: SSL VPN user failed login attempt.</description>
+    <group>authentication_failed,
+gdpr_IV_32.2,
+gdpr_IV_35.7.d,
+gpg13_7.1,
+hipaa_164.312.b,
+invalid_login,
+nist_800_53_AC.7,
+nist_800_53_AU.14,
+pci_dss_10.2.4,
+pci_dss_10.2.5,
+tsc_CC6.1,
+tsc_CC6.8,
+tsc_CC7.2,
+tsc_CC7.3,</group>
+</rule>
+</code>
+  * ⍐ A rule with ID 100700 checks for a match in a rule with ID 81641, which in turn depends on rule ID 81603 (81614 is higher than 81603, so it is executed).
+  * ⍐ ID 100700 のルールは、ID 81641 のルールとの一致をチェックします。このルールは、ルール ID 81603 に依存します (81614 は 81603 より大きいため、実行されます)。
+<WRAP center round info 90%>
+The problem in this case study is that 81614 does not return a result to 100700 **because 81603 was not executed due to the numerical order by ID**.
+</WRAP>
+<WRAP center round info 90%>
+このケーススタディの問題は、**ID による番号順で 81603 が実行されなかったため**、81614 が 100700 に結果を返さないことです。
+</WRAP>
 <wrap #ks10 />