--- title: "DataXray Alerting：ファイル操作のリアルタイムアラート" description: "Alerting モジュールは、ファイル操作をお客様のインシデント条件に照らして確認し、お客様自身のハードウェア上でインシデントを作成します。まず NetApp ONTAP に対応しています。" url: "https://www.dataxray.io/ja/modules/alerting/" language: "ja" --- 1. [ホーム](https://www.dataxray.io/ja/) 2. [モジュール](https://www.dataxray.io/ja/platform/) 3. Alerting モジュール / Alerting # 不審なファイル操作を、リアルタイムに検知 DataXray の Alerting モジュールは、ファイルが置かれている場所での操作を、お客様のチームが設定したルールに照らして継続的に監視します。操作がルールの条件を満たすと、インシデントを作成し、セキュリティ部門に通知して、すぐに対応できるようにします。 [デモを予約する](https://www.dataxray.io/ja/demo/) [モジュール一覧](https://www.dataxray.io/ja/modules/) 実現できること ## セキュリティ部門が対応できるアラート セキュリティ部門は、不審なファイル操作を、対応が間に合ううちに把握する必要があります。Alerting モジュールは、チームが作成したルールに操作が一致するとインシデントを作成し、ルール、パス、アカウント、その後に起きた操作の量を1つのページにまとめます。そのため、アナリストはすぐに判断を下せます。ランサムウェアが引き起こす変更の急増や、すでにアクセス権を持つファイルを従業員が不正に使用するケースも対象になります。 - 「500 件のファイルが削除されました」というアラートだけでは、アナリストには疑問が残ります。アカウント、共有、最初のイベント、それまでの件数が示されたインシデントなら、開いたページからそのまま対応を進められます。 - インシデントは、それを開いた操作が続いている間、「継続中」のままです。その後に一致したイベントはすべて同じ記録に加わるため、急増する操作を見ているアナリストは、件数が増え、止まるまでを確認できます。ファイルごとに別のアラートが届くことはありません。 - インシデントには、発動したルール（その時点で有効だったバージョン）、各イベントの背後にあるアカウント、調査担当者が途中で追加したメモが保持されます。数週間後でも、発動した理由と、それに対して行われた対応を、記録されたとおりに確認できます。 ワークフロー ## ファイルの変更から、インシデントのクローズまで お客様の運用に合わせて構成。ルール、重大度、カテゴリ、メールの宛先は、チームが監視する共有に合わせて設定します。Alerting モジュールがまだ対応していない機能が必要な場合は、お客様と一緒に構築できます。 1. ### 収集 コレクターが、接続された各システムから、ファイルとディレクトリの操作を受け取ります。 2. ### 検知 各イベントをお客様のルールと照合します。不審な操作が検知されると、インシデントが宣言されます。 3. ### 通知 インシデントは、リアルタイムにセキュリティ部門へ通知されます。 4. ### 調査 アナリストは、インシデントが開いたページで対応します。ルール、それまでのイベント、各イベントの背後にあるアカウントが、1か所にまとまっています。 5. ### 解決 対応しながらメモを追加し、インシデントをクローズします。新たに何か判明すれば、再オープンもできます。 主な機能 ## ファイル操作のアラートを、チームの管理下で すべてのインシデントは、チームが作成したルールにさかのぼれるため、各アラートを監査担当者に説明できます。ルールは、Alerting モジュールを導入したその日から機能します。 - **インシデントの条件を、ルールとして** 変更の種類、フォルダ、アカウントを条件にルールを作成し、それぞれに重大度を設定します。ルールは、1件のイベントで発動することも、1時間以内の最大1,000件のイベントで発動することもできます。 - **1回の急増に、1件のインシデント** 検知の後に続くイベントは、すでに開いているインシデントに加わります。そのため、共有の中身がまとめて削除されても、インシデントとメールは1件だけです。インシデントがイベントの収集を終えるタイミングは、タイムアウトと任意のイベント上限で決まります。 - **変更の背後にあるアカウント** すべての変更に、それを行ったアカウントが表示されます。Active Directory を接続すると、各アカウントが人の名前で表示されます。 - **裏付けとなる記録** 各インシデントには、それを検知したルールのバージョン、そのインシデントの元になったファイル操作、最後にステータスを変更した人、追記はできても編集はできないメモが保持されます。 - **概要画面とライブビュー** 概要画面には、未解決のものが重大度、経過時間、ルール、カテゴリ、アカウント別に表示されます。ライブビューは毎秒更新され、収集、処理、アラートのそれぞれが動作しているかを示します。画面が静かなら、環境も静かであり、コレクターが止まっているわけではないと分かります。 - **連邦政府のインシデント指針に基づく設計** 各ルールには、緊急から低まで、CISA の5段階の重大度のいずれかを設定します。モジュールは、NIST サイバーセキュリティフレームワークの検知（Detect）機能にある2つの成果、つまり操作の監視と、定められた条件に基づくインシデントの宣言を支援します。これらの成果を支援するものであり、認証ではありません。 他ツールとの比較 ## オンプレミスでの運用を続けるチームのために セキュリティツールのクラウド移行が進む一方で、多くのオンプレミスのファイル環境では、ネットワークがエアギャップされている、データを国内にとどめる必要がある、あるいはセキュリティポリシーで監査データを社内に保持すると定めている、といった理由から、ファイル操作の記録をベンダーのクラウドへ送ることができません。 Alerting モジュールは、ファイル操作をお客様のネットワーク内のサーバーに保存し、ファイル操作の記録がベンダーに送られることはありません。ルールに学習期間は必要ありません。各ルールは、導入したその日から、届いた操作をその場で確認します。 ## よくある質問 ### ファイル操作の監視とは何ですか？ ファイル操作の監視とは、ファイルサーバー上のファイルに何が起きたか（何が作成、変更、名前変更、移動、削除されたか、誰がいつ行ったか）を記録することです。セキュリティ部門はこれを使って、多数のファイルにわたる変更の急増や、制限された共有からのデータの持ち出しなど、詳しく確認すべき操作を見つけ、後から何が起きたかを調査します。 ### DataXray の Alerting モジュールとは何ですか？ 不審なファイル操作を通知する DataXray のモジュールで、まず NetApp ONTAP に対応しています。チームが作成したルールに操作を照合し、検知ごとにインシデントを作成し、ルールに指定された担当者にメールを送ります。チームには、各インシデントを調査してクローズするための場を提供します。 ### 誰が使いますか？ インシデントをトリアージするセキュリティアナリスト、インシデント対応担当者、ルールを作成する検知エンジニア、何が起きたかを解明するフォレンジックや内部脅威の担当アナリスト、そしてファイル操作が監視され対処されていることを監査担当者に示す評価担当者です。 ### Alerting モジュールを使うには DataXray が必要ですか？ いいえ。Alerting モジュールは、監視するシステムのそばで単独で動作します。DataXray と併用することもできます。 ### どのシステムを監視しますか？ 現在は、FPolicy を介して NetApp ONTAP を監視し、NFSv3、NFSv4、SMB クライアントからの操作に対応しています。Microsoft SharePoint を含むほかのシステムへの対応は、ロードマップに含まれています。 ### どのようなファイル操作を把握できますか？ NetApp ONTAP では、7種類のイベントを把握できます。ファイルについては作成、変更、削除、名前変更または移動、ディレクトリについては作成、削除、名前変更または移動です。ファイルの読み取り、オープン、権限の変更は報告しません。元のファイルを残したままのコピーは、コピー先の新しいファイルとして表示されます。 ### Alerting モジュールは、誰が変更を行ったかをどのように把握しますか？ 各イベントには、クライアントが報告した Windows SID または UNIX ユーザー ID が記録されます。Active Directory を接続すると、モジュールはそのユーザー、グループ、コンピューターの読み取り専用のミラーを保持し、15分ごとから24時間ごとの間隔で同期するため、各 SID を名前に解決できます。 ### Alerting モジュールは、NIST サイバーセキュリティフレームワークにどのように対応しますか？ NIST CSF 2.0 の検知（Detect）機能にある2つの成果を支援します。潜在的な有害事象を見つけるために操作を監視すること（DE.CM-03）と、イベントが定められたインシデントの条件を満たしたときにインシデントを宣言すること（DE.AE-08）です。各ルールには、緊急から低まで、CISA の5段階の重大度のいずれかを設定します。モジュールはこれらの成果を支援するものであり、認証ではありません。 ### ランサムウェアを検知できますか？ 共有内で30秒間に5件の変更といったカウントルールを使えば、大量の暗号化で生じる変更の急増を捉え、進行中にインシデントを作成できます。 ### 内部脅威への対策に役立ちますか？ はい。ルールを使えば、1つのアカウントが、制限された共有内で短時間に多数のファイルを削除、移動、名前変更したことを検知できます。各インシデントには、すべてのイベントの背後にあるアカウントが表示されるため、誰が何をしたかをチームで確認できます。各ユーザーの通常の操作に基づくルールは、ロードマップに含まれています。 ### 機械学習を使っていますか？ 現時点では使っていません。すべてのインシデントは、チームが作成したルールから生まれるため、各アラートを説明できます。機械学習と、調査を迅速化するための AI による支援は、ロードマップに含まれています。 ### 自動で対処を行いますか？ いいえ。モジュールはインシデントを検知してメールを送り、その後の対応はお客様のチームが判断します。インシデントが自動でクローズされることはありません。 ### アラートはどのように届きますか？ 各インシデントは、検知時に、お客様のメールリレーを通じて1通のメールを送ります。メールには、ルール、重大度、一致したイベント、発生日時が記載されます。ほかの宛先にアラートを届けたい場合は、ご相談ください。Slack、SIEM、チケット管理キューへのインシデントの送信はロードマップに含まれており、チームがすでに使っている場所にアラートが届くようになります。 ### エアギャップ環境で動作しますか？ はい。Alerting モジュールはエアギャップ環境で動作し、ファイル操作の記録はお客様のサーバーにとどまります。FIPS への対応はロードマップに含まれています。 ### どのように導入しますか？ Alerting モジュールは、Docker Compose、または RHEL 8 互換ホスト上のルートレスの Podman を使って、1台の Linux ホストに導入します。インストーラーには、Alerting サーバー、NetApp ONTAP コレクター、PostgreSQL データベース、OpenID Connect によるサインインのための Keycloak が含まれます。 ### お客様のニーズに合わせて構成できますか？ はい。ルール、重大度、カテゴリ、宛先は、チームが監視する共有に合わせて設定します。まだ対応していない機能が必要な場合は、ご相談ください。 他のモジュール ## DataXray が読み取り済みのすべてのファイルを基に構築 モジュールは、DataXray プラットフォームを、お客様から特に要望の多いワークフローまで拡張します。各モジュールは、DataXray がすでに読み取って分類したファイルを基に動作するため、同じファイルを二度読み取ることはありません。どのモジュールも、お客様のチームの進め方に合わせて構成します。 - **[AI Platform](https://www.dataxray.io/ja/modules/ai-platform/)** 各ユーザーの権限の範囲内で、AI アシスタントがファイルを安全に利用できるようにします。 - **[Compass](https://www.dataxray.io/ja/modules/compass/)** データの中身を把握し、それを統制するための分類体系を構築します。 - **[Curator](https://www.dataxray.io/ja/modules/curator/)** 保存期間、廃棄、記録の取り込みを管理し、すべての判断を改ざん検知可能な監査証跡に記録します。 - **[AutoFOIA](https://www.dataxray.io/ja/modules/autofoia/)** FOIA や Privacy Act の請求に、受付から、墨消し済みで Bates 番号付きの開示まで対応します。 - **[eDiscovery](https://www.dataxray.io/ja/modules/ediscovery/)** 訴訟、規制当局、プライバシーの各請求に向けて、文書を外部に書き出すことなく、レビュー、墨消し、提出を行います。 - **[Alerting](https://www.dataxray.io/ja/modules/alerting/)** チームが作成したルールで不審なファイル操作を捉え、すべてのインシデントをクローズまで対応します。 **[Alerting](https://www.dataxray.io/ja/modules/alerting/)** チームが作成したルールで不審なファイル操作を捉え、すべてのインシデントをクローズまで対応します。 [モジュールについて詳しく見る](https://www.dataxray.io/ja/modules/) ## 他のツールが単にファイルにラベルを付けるだけなのに対して、DataXray がどのように読み取るかを30分でご確認いただけます。 [デモを予約](https://www.dataxray.io/ja/demo/)