アラートポリシー (EA) を使用したカスタムアラートの作成

注: これは限られたリリースでのみ利用可能な早期利用 (EA) 機能です。詳細については、Cato Networksの担当者にお問い合わせいただくか、ea@catonetworks.comまで電子メールを送信してください。

概要

アラートポリシーでは、アラートが生成されるタイミングを決定するカスタムの閾値ベースのルールを作成できます。これは、攻撃の可能性のある指標を特定し、異常な活動を調査し、ネットワークのパフォーマンス、セキュリティ、またはユーザーエクスペリエンスが影響を受ける前に対応するのに役立ちます。ネットワークまたはセキュリティ要件に基づいて、組織にとって最も重要な条件を定義し、それらが満たされた場合にアラートを受信します。

アラートをSD-WAN、セキュリティ、デジタルエクスペリエンスモニタリング (DEM) などのネットワーク内の幅広い事象に基づいて設定できます。各ルールに対して、アラートが対象となる範囲、生成されるトリガー、および条件が評価される時間枠を定義します。その事象が発生した場合に何が起こるかを選択します。アラートはイベント、通知、またはその両方を生成することができます。

Catoはネットワーク全体の多くのドメインからデータを収集するため、ルールには膨大な数の可能な設定があります。組織向けにルールを設定するために、アラートポリシーには以下が含まれます:

定義済みルール: 有効または無効にできる推奨アラートルール
テンプレート: 特定の監視シナリオに関連するメトリックのみを含めます。特定の監視シナリオに関連するメトリックのみを含めるテンプレートを選択してください。例えば、デバイスポスチャテンプレートでは、ルールのスコープとしてデバイスID、ユーザーID、サイトIDのみを表示します。

ユースケース - パフォーマンスの低下を防ぐ

株式会社ABCのロンドンサイトは定期的に帯域幅を多用する操作を実行しており、ネットワークチームはこのサイトからの同時フローの高いボリュームが、業務に重要なアプリケーションのパフォーマンス低下に先行することが多いことに気づいています。

ユーザーに影響が出る前に通知を受けるため、ネットワーク管理者はロンドンサイト用にサイト接続テンプレートを使用してアラートポリシールールを作成し、サイトの典型的なトラフィック量に基づいてしきい値を設定します。このルールは通知を送信するように設定されています。

ロンドンサイトでの同時フロー数がしきい値を超えると、通知が送信されてネットワークチームに警告が行き、アプリケーションのパフォーマンスに影響が出る前に調査や対策を取ることができます。これにより、環境に関連する条件に注力し、不要なイベントと通知を削減するのに役立ちます。

アラート、イベント、および通知の理解

Cato管理アプリケーション (CMA) はアラートとイベントを生成し、通知を送信します。関連していますが、異なる通知メカニズムです。

アラート: アラートポリシーで定義されたルールベースの条件。基準が満たされると、アラートはイベントを生成し、通知を送信するか、両方を実行します。
イベント: CMA内で確認でき、発生した事象に関する詳細情報を記録し、調査および分析のために使用されます。詳細については、ネットワーク内のイベントの分析を参照ください。
通知: 環境で発生したことについて、CMAの外部に送信されるプロアクティブなメッセージ。詳細情報については、アカウントレベルのアラートとシステム通知を参照してください。

アラートポリシーの有効化

アラートポリシールールを作成し、監視範囲、トリガー条件、評価ウィンドウ、およびアラートのトラッキングアクションを定義します。

アラートポリシールールのセクションの理解

アラートポリシーのルールには次のセクションが含まれています。

一般

ルールの一般的な詳細、ルール名、説明、アラートの重大度などを設定します。

一般セクションでは、ルールの設定を支援するテンプレートを選択できます。

スコープ

このセクションでは、ルールが適用される範囲と評価されるデータが定義されます。テンプレートが選択されている場合、ルールをすべての関連エンティティに適用するか、特定のオブジェクトに制限することができます。定義されたスコープ内のデータのみがルールによって評価されます。

スコープはデータソース、スコープを選択し、<ストロング>フィルターを適用することによって定義されます。ストロング>

トリガー

トリガーはアラートが生成されるために満たされなければならない条件を定義します。トリガーは定義されたスコープ内のデータに対して評価され、条件が満たされたときにアラートが生成されます。例えば、以下のときにアラートをトリガーすることができます:

ソケットCPUが90％を超えており、エクスペリエンススコアが低い
ユーザーは10分以内に10回認証に失敗しました
1000人のユーザーが5分以内に切断されました

時間ウィンドウ

時間ウィンドウはトリガー条件が満たされる前にアラートが生成されるかどうかを判断するために評価される期間を定義します。これにより、アラートが短時間または孤立した変化ではなく、意味のある期間の活動に基づいて生成されることが保証されます。

ウィンドウタイプには2つあります:

スライディング: 一定の期間にわたってトリガー条件を継続的に評価します。新しいデータが利用可能になると、ウィンドウは前進し、トリガーの評価が再実行されます。例えば、5分間のスライディングウィンドウは常に直前の5分間の活動を評価します。
定期: 固定された連続した時間期間でデータを評価しますトリガーは各完了した期間後に評価されます。例えば、1時間の定期的なウィンドウは10:00から11:00および11:00から12:00までの活動を評価します。

両方のウィンドウタイプはクリア生成を実行するオプションがあります。これは、トリガー条件が満たされなくなったときに2つ目のアラートが生成されるかどうかを決定します。これは監視されているメトリックがもはやアラート条件を満たしていないことを示します。例えば、同時フローが設定したしきい値を超えたときにアラートが生成される場合、選択した時間ウィンドウに従ってフローの数がそのしきい値を下回るとクリアアラートが生成されます。

トラッキング

これはアラート条件が満たされたときに何が起こるかを定義します。ルールを設定してイベントを生成するか、通知を送信するか、両方のアクションを行います。

通知はサブスクリプショングループ、メーリングリスト、またはWebhook統合に送信することができます。詳細情報については、アカウントレベルのアラートとシステム通知を参照してください。

アラートポリシーの設定

アラートポリシールールを設定するには:

ナビゲーションメニューから、アカウント > アラートを選択します。
新規をクリックしてから 新しいルールをクリックします。
<ストロング>一般ストロング>,<ストロング>スコープストロング>,<ストロング>トリガーストロング>,<ストロング>時間ウィンドウストロング>,と<ストロング>トラッキング強く>要件を満たすためのセクション。
<ストロング>保存ストロング>をクリックして<ストロング>公開ストロング>します。
<ストロング>アラートズストロング>トグルを有効に設定します。