Database Autonomy Service:異常アラートの表示

機能に関するお知らせ

サービスの最適化のため、異常アラート機能を段階的に廃止する予定です。 代わりに [監査アラート] および [カスタムアラートルール] を使用して、同様の異常検出およびアラート機能を実現できます。 詳細については、「監査アラートの表示」および「アラートルールの設定」をご参照ください。

前提条件

セキュリティ監査機能の新バージョンが有効になっています。 詳細については、「セキュリティ監査（新バージョン）を有効にする」をご参照ください。

単一インスタンスの異常アラートの表示

1. にログインします。DASコンソール.

2. 左側のナビゲーションウィンドウで、インスタンスモニター.

3. 表示されるページで、管理するデータベースインスタンスを見つけ、インスタンスIDをクリックします。 インスタンス詳細ページが表示されます。

4. 左側のナビゲーションペインで、セキュリティ監査 をクリックします。

5. セキュリティ監査 ページで、異常のアラート をクリックします。

6. 異常のアラート ページで、機密データに関連する異常アラートを確認できます。

   転送の異常、[異常な動作]、または 異常のカスタマイズ タブをクリックして、対応する種類のイベントの統計情報を表示します。

7. 対象の異常イベントを見つけ、操作 列の 詳細を見る をクリックします。[異常イベント詳細] ペインで、基本情報、オブジェクト情報、イベントの説明、および処理履歴を確認します。

8. 対象の異常イベントを見つけ、操作 列の [処理] をクリックします。

9. [リスクアラート] ペインで、推奨アクションに従ってアラートを処理します。

   次のパラメーターを設定します。

   • [イベント検証結果]

     • [確認および処理済み]: 検出されたイベントが異常であると確認した場合に、このオプションを選択します。ページの情報を使用して異常を特定し、対応するクラウドサービスで手動で解決します。確認済みの異常を解決しない場合、DAS はその異常に対するアラートを生成し続けます。

     • [ホワイトリストに追加]：検出されたアクティビティが通常の操作であると確認した場合に選択します。イベントをホワイトリストに追加すると、DAS はそのイベントに対するアラートを生成しなくなり、異常アラートリストからそのイベントを削除します。

   • [処理記録]: 今後の参考のために、アラートの対応内容を記録します。

10. リストに表示されているイベントをエクスポートするには、リストの上にあるエクスポートをクリックします。

すべてのインスタンスの異常アラートの表示

複数のデータベースインスタンスでセキュリティ監査が有効化されている場合、すべてのインスタンスにわたる異常アラートを表示できます。

1. にログインします。DASコンソール.

2. 左側のナビゲーションペインで、セキュリティセンター > セキュリティ監査 をクリックします。

3. セキュリティ監査 ページで、異常のアラート をクリックします。

4. 異常のアラート ページで、機密データに関する異常アラートを表示します。

   転送の異常、[異常な振る舞い]、または 異常のカスタマイズ タブをクリックすると、対応する種類のイベントの統計が表示されます。

5. 対象の異常イベントを見つけ、操作 列の 詳細を見る をクリックします。[異常イベント詳細] ペインで、基本情報、オブジェクト情報、イベントの説明、および処理履歴を確認します。

6. 対象の異常イベントを見つけ、操作 列の [処理] をクリックします。

7. [リスクアラート] ペインで、推奨されるアクションに従ってアラートを処理してください。

   次のパラメーターを設定します。

   • [イベント検証結果]

     • [確認および処理済み]: 検出されたイベントが異常であると確認した場合は、このオプションを選択します。 ページ上の情報を使用して異常を特定し、対応するクラウドサービスで手動で解決します。 確認済みの異常を解決しない場合、DAS はその異常に対するアラートを生成し続けます。

     • [ホワイトリストに追加]：検出されたアクティビティが通常の操作であることを確認した場合に選択します。イベントをホワイトリストに追加すると、DAS はそのイベントに対するアラートを生成しなくなり、異常アラートリストからそのイベントを削除します。

   • [処理記録]：将来の参照用に、アラートの処理方法に関するメモを入力します。オプションで [このリスクの検出を強化する] チェックボックスを選択できます。これにより、イベントがサンプルとして送信され、将来のアラート精度が向上します。

8. リストに表示されているイベントをエクスポートするには、リストの上にあるエクスポートをクリックします。

異常イベントの種類

異常イベントは、次の種類に分類されます。

• 異常なデータフロー：データ転送中に発生する異常です。たとえば、通常とは異なる地理的位置から機密データがダウンロードされる場合などです。

• 異常な動作：通常とは異なるデータ操作です。たとえば、連続したログイン失敗の試行や、認識されていないデバイスからのログインなどです。

• カスタム例外：カスタム異常検出モデルによって検出され、アラートとして報告されたイベントです。

リスクレベル

異常アラートのリスクレベルは、関連するデータの秘密度レベルによって決定されます。同じイベントサブタイプのアラートでも、異なるリスクレベルを持つ場合があります。ルールは次のとおりです。

• 異常なデータフロー：関連するデータの最高秘密度レベルが S3 以上の場合、リスクレベルは高、最高秘密度レベルが S1 または S2 の場合は中、秘密度レベルが N/A の場合は低になります。

• 異常な動作：関連するデータの最高秘密度レベルが S2 以上の場合、リスクレベルは中、秘密度レベルが S1 以下の場合は低になります。

• カスタム例外：リスクレベルは、カスタムアラートルールで設定したレベルによって決定されます。

関連ドキュメント

• 異常アラート機能は廃止されます。代わりに[監査アラート]を使用してください。詳細については、「監査アラートの表示」をご参照ください。

• 元の異常検出機能を再現するカスタム検出ルールを作成するには、「アラートルールの設定」をご参照ください。

• DAS のすべての組み込み異常検出モデルは、デフォルトで有効になっています。必要に応じて特定のモデルを無効にすることができます。DAS は、データベース、テーブル、フィールド、アクセス元、インスタンスなどのディメンションに基づくカスタム検出モデルもサポートしています。詳細については、「アラートルールの設定」をご参照ください。