自動化

自動化は、プレイブックに自動実行機能を追加します。調査を手動で実行する代わりに、ADSイベントがトリガーする場合を含め、プレイブックを自動的に実行するように自動化を設定できます。

目次

• 自動化を使用する理由
• 重要な概念
• 自動化変数の設定
• 実行と監視
• エラー処理
• イベントトリガー自動化
• ADS統合の設定

自動化を使用する理由

自動化がない場合、ネットワークアナリストは手動で以下を行う必要があります。

• セキュリティイベントを検出した後に調査を開始する。
• 各手順と中間結果を追跡する。
• 類似のイベントに対して同じ調査プロセスを繰り返す。

自動化を使用すると、次のことができます。

• プレイブックを自動的に実行する - トリガー自動化を使用して特定のイベントが発生したとき、またはスケジュール自動化を使用して一定の間隔で実行します。
• 調査時間を短縮する - 必要なときに結果を準備しておきます。
• 一貫性を向上させる - 類似のイベントに同じ調査方法を適用します。
• 進捗状況を追跡する - ステップバイステップの実行ログを使用します。

重要な概念

• 自動化はプレイブックを自動的に実行します。
• 各自動化手順は、入力、出力、および結果とともにログに記録されます。
• プレイブック全体または個々の手順を再実行できます。
• 調査履歴はレビューのために保存されます。
• 自動化によって作成された調査は、スタンドアロンコピーです（プレイブックにリンクされていません）。

プレイブックの作成については、プレイブックを参照してください。

自動化変数の設定

自動化を設定する際、プレイブックで定義された変数を自動化がどのように処理するかを設定する必要があります。

変数ソースオプション

変数処理には3つのオプションがあります。

ソースプレイブックの値を使用

このオプションを選択すると:

• 自動化はプレイブックで定義された変数値を使用します。
• 後でプレイブックを編集して変数値を変更すると、この自動化によって作成される新しい調査は更新された値を使用します。
• このオプションは、自動化が常に現在のプレイブック設定を使用する場合に便利です。

カスタム値を使用

このオプションを選択すると:

• 自動化は、自動化設定で定義したカスタム値を使用します。
• これらの値は、プレイブックの変数値から独立しています。
• プレイブックの変数への変更は、この自動化に影響しません。
• このオプションは、異なる自動化が同じプレイブックから異なる値を使用する場合に便利です。

トリガーからのパラメーターを使用

このオプションを選択すると:

• 自動化はプレイブック変数をトリガーイベントのパラメーターにマッピングします。
• 変数値は、実行時に各受信イベントから取得されます。
• このオプションは、イベントトリガー自動化で使用できます。
• このオプションは、イベントコンテキストが調査値を動的に駆動する必要がある場合に便利です。

例

変数 ${threshold} が1000に設定されているプレイブックを考えます。

設定	動作
ソースプレイブックの値を使用	自動化は値1000を使用します。後でプレイブックのthresholdを500に変更すると、新しい調査は500を使用します。
カスタム値を使用（threshold = 2000）	自動化は、プレイブックの変更に関係なく、常に2000を使用します。
トリガーからのパラメーターを使用（イベントフィールドからのthreshold）	自動化は、各トリガーイベントによって提供されるthreshold値を使用します。

実行と監視

自動化が実行されると、各手順は詳細なログとともに順番に実行されます。

ステップバイステップ実行

自動化エンジンは:

1. プレイブックから新しい調査を作成します。
2. 自動化設定に従って変数を設定します。
3. 各手順を順番に実行します。
4. 各手順の結果を保存します。
5. 次の手順に進むか、エラーを表示します。

実行の監視

自動化の概要テーブルで最後の調査ステータスを表示することで、自動化の進捗を監視できます。

手順の再実行

調査手順を手動で繰り返す必要はありません。自動化システムでは、次のことができます。

• プレイブック全体を再実行 - 同じパラメーターまたは更新されたパラメーターですべての手順を再度実行します。
• 個々の手順を再実行 - プレイブック全体を実行せずに特定の手順を再実行します。
• 障害から再開 - エラーが発生した場合、自動化が停止した場所から続行します。

調査履歴

すべての自動化実行は保存されアクセス可能であり、次のことができます。

• 以前の調査結果を表示する。
• 複数の実行間で結果を比較する。
• 結論にどのように到達したかを追跡する。
• チームメンバーと調査結果を共有する。

エラー処理

自動化エンジンは、問題が発生したときに明確なエラーメッセージとステップレベルの診断を提供します。

実行中の手順の状態

手順には次の状態があります。

状態	色	説明
完了	緑	手順が正常に実行されました
選択済み	青	現在選択されている手順
失敗	赤	手順の処理が失敗しました
不整合	オレンジ	結果が古くなっています（パラメーターが変更されました）

手順が失敗した場合

自動化中に手順が失敗した場合:

1. 自動化は失敗した手順で停止します。
2. 以前の成功した手順は結果を保持します。
3. 失敗した調査手順をクリックすることで、ステップレベルの診断を確認できます。

障害の診断

失敗した手順を診断するには:

1. 手順の詳細でエラーメッセージを表示します。
2. 手順に使用された入力パラメーターを確認します。
3. 必要なデータソースが利用可能であることを確認します。
4. フィルター構文にエラーがないか確認します。

回復オプション

問題を診断した後:

• 修正して再実行 - 問題を修正し、失敗した手順を再実行します。
• スキップして続行 - 失敗した手順をスキップし、残りの手順を続行します。
• 自動化を再起動 - 修正されたパラメーターで最初から自動化を開始します。

イベントトリガー自動化

ADS（異常検出システム）が特定のイベントを検出すると、自動化を自動的にトリガーできます。これにより、セキュリティ異常が発生したときに即座に自動調査が可能になります。

イベントトリガー自動化の利点

• より迅速な対応 - 手動介入を待たずに、イベントが検出されるとすぐに調査が開始されます。
• 調査時間の短縮 - イベントを確認するときには結果が準備されています。
• MTTRの改善 - 自動化された初期調査により、平均解決時間が短縮されます。
• 一貫した方法論 - 同じタイプのイベントは同じ方法で調査されます。

イベントトリガー自動化の仕組み

1. ADSが異常またはセキュリティイベントを検出します。
2. システムは、その検出方法に自動化が割り当てられているかどうかを確認します。
3. 割り当てられている場合、自動化は設定されたプレイブックを実行します。
4. 調査結果はレビューに利用できます。

自動化は、手動のプレイブック実行と同様に、独立した調査を作成します。

ADS統合の設定

イベントトリガー自動化を設定するには、Flowmon Dashboards and Reportsで自動化を作成または編集します。

イベントトリガー自動化の作成

1. Flowmon Dashboards and Reports > 調査 > 自動化 に移動します。
2. [作成] をクリックします（または既存の自動化を編集します）。
3. 実行するプレイブックを選択します。
4. 自動化をトリガーするADSパースペクティブと検出方法を選択します。
5. 変数処理と追加のトリガー条件を設定します。
6. 自動化を保存します。

Response Actionsとの統合

イベントトリガー自動化は、既存のResponse Actionsと連携して機能します。

• 自動化は既存のresponse actionsを補完しますが、置き換えるものではありません。
• 同じ検出方法に対して、ADSでresponse actionsを設定し、自動化フォームで自動化マッピングを設定できます。
• 自動化は調査に焦点を当て、response actionsは修復に焦点を当てます。

設定オプション

イベントトリガー自動化を設定する場合:

• ADSパースペクティブ - トリガーマッピングに使用されるADSパースペクティブ。
• 検出方法 - 自動化をトリガーする検出方法。
• プレイブック - 実行するプレイブック。
• 変数処理 - プレイブック値、カスタム値、またはトリガーイベントのパラメーター値を使用します。
• トリガー条件 - トリガーの追加条件。

自動化された調査結果の表示

イベントトリガー自動化が完了した後:

1. 調査はすべての手順の結果とともに保存されます。
2. 調査リストから調査にアクセスできます。
3. ステップバイステップの結果と分析を確認できます。
4. 必要に応じて追加の手動手順を実行できます。