Secure Access Service Edge:ログ分析

ログ収集とストレージの有効化

1. SASE コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Log Analysis > Log Analysis を選択します。

3. Log Analysis ページの右上隅にある Log Status をクリックして、ログの収集とストレージを有効にします。

   SASE ログタイプ

   • プライベートアクセスログ

   • PA 機密ファイルのダウンロード検出ログ

   • エンタープライズアクセラレーションログ

   • クライアントログインログ

   • クライアントステータスログ

   • DLP ログ

   • OneData ログ

   • インターネットアクセスログ

   • 動的決定ログ

   • エンドポイント強化ログ

   • プロアクティブ防御ログ

   • ウイルススキャンログ

   • 脆弱性パッチログ

ログの表示とログ配信の有効化

1. ページの左上隅にあるドロップダウンリストをクリックします。

2. 表示したいログタイプを選択します。条件を指定してクエリ結果をフィルタリングできます。

3. ログタイプの横にあるスイッチをクリックして、そのログタイプのログ配信を有効または無効にします。

   サポートされているログタイプには、プライベートアクセスログ、PA 機密ファイルのダウンロード検出ログ、エンタープライズアクセラレーションログ、クライアントログインログ、クライアントステータスログ、DLP ログ、OneData ログ、インターネットアクセスログ があります。

4. ページ上部の検索ボックスに検索文を入力します。検索ボックスの右側にあるタイムピッカーで、クエリの時間範囲を設定します。

   クエリは、検索文とオプションの分析文で構成され、縦棒 (|) で区切られます。フォーマットは 検索文|分析文 です。

   文の種類	オプション	説明
   検索文	必須	検索条件を指定します。キーワード、あいまい検索、数値、数値範囲、または条件の組み合わせが可能です。 これを空にするか、アスタリスク (*) を入力すると、指定した時間範囲内のすべてのデータが返されます。詳細については、「クエリ構文と特徴」をご参照ください。
   分析文	オプション	検索文によって返されたデータを処理し、計算と集約を行います。 これを空にすると、クエリ結果のみが返され、統計分析は実行されません。詳細については、「クエリと分析の概要」をご参照ください。 説明 分析文では、標準 SQL 句 from table_name (この場合は from log) を省略できます。 デフォルトでは、最初の 100 件のログエントリが返されます。LIMIT 句 を使用して、返されるエントリの数を変更できます。

   ログ分析クエリ

   SASE クライアントのオンラインステータス

   以下の検索文を使用する前に、app_status フィールドのインデックスを手動で作成する必要があります。詳細については、「インデックスの作成」をご参照ください。

   • オンラインの端末デバイス数をクエリする

     * AND log_type : client_status_log | select username,app_status,COUNT(*) AS cn GROUP BY username,app_status order by cn desc limit 10000

   • オフラインの端末デバイス数をクエリする

     * AND log_type : client_status_log AND app_status:offline | select username,app_status,COUNT(*) AS cn GROUP BY username,app_status order by cn desc limit 10000

   SASE クライアントのログイン

   端末デバイスのログインアクションをクエリする

   * AND log_type : client_logon_log | select username,action,COUNT(*) AS cn GROUP BY username,action order by cn desc limit 10000

   プライベートアクセス

   • 内部ネットワークにアクセスするデバイスとユーザーをクエリする

     * AND log_type : pa_access_log | select username,device_type,COUNT(*) AS cn GROUP BY username,device_type order by cn desc limit 10000

   • アクセスがブロックされた理由を検索する

     * AND log_type : pa_access_log AND action:block | select username,block_info,COUNT(*) AS cn GROUP BY username,block_info order by cn desc limit 10000

   機密ファイルの検出

   機密ファイルポリシーに一致した回数を照会します。

   * AND log_type : dlp_log | select username,matched_policy,COUNT(*) AS cn GROUP BY username,matched_policy order by cn desc limit 10000

5. [検索と分析] をクリックして分析結果を表示します。

   SLS ログ機能は、ログ分布ヒストグラムや [生ログ] などの形式でクエリと分析の結果を提供します。また、アラートの設定、クイック検索の作成、更新、共有などの操作もサポートしています。詳細については、「「検索と分析」ページの説明」をご参照ください。

データレポートの表示

[OneData ログ] と [インターネットアクセスログ] の Data Report を表示できます。

1. ドロップダウンリストから [OneData ログ] または [インターネットアクセスログ] を選択し、Data Report タブをクリックします。

2. Data Report タブで、ログ関連のデータを表示します。

   • [時間範囲]：右上隅で時間範囲をクリックして、レポートの期間を指定します。

   • [ドリルダウン分析]：レポートの右上隅にある アイコンをクリックします。[ドリルダウン分析] ダイアログボックスで、さまざまなデータソースのデータを表示できます。

     ダイアログボックスの左上隅で、[データソースタイプ] ドロップダウンリストから Prometheus を選択し、時間範囲を設定し、メトリクスクエリ条件 ([メトリクスエクスプローラー]、[リージョン]、[インスタンス] を含む) を設定してから、[クエリの実行] をクリックします。右側では、テーブル、線、棒、統計、円、ゲージ、メーターなどの可視化タイプを切り替えることができます。

ログフィールド