IBM Cloud Logsでのアクティビティ追跡イベントの監視

IBM Cloud Logsサービスを使用すると、 IBM Cloudアカウントで生成されるアクティビティ追跡イベントを監視し、アラートを出すことができます。

次の図は、宛先がIBM Cloud Logsインスタンスである場合の概要を示しています。

アクティビティ追跡イベントは、セキュリティ運用にとって重要なデータであり、コンプライアンス要件を満たすための重要な要素である。

IBM Cloud Logsでは、 IBM Cloud サービスによって生成されるアクティビティ追跡イベントには、検索を強化したりデータを分析したりするために使用できるメタデータフィールドが含まれています。

• applicationName:アプリケーション名は、ログを生成して IBM Cloud Logsに送信する環境です。 アクティビティトラッキングイベントの場合は、 ibm-audit-events。

• subsystemName:サブシステム名は、ログを生成して IBM Cloud Logsに送信するサービスまたはアプリケーションです。 アクティビティ・トラッキング・イベントでは、以下のように設定される：

  あなたがプロビジョニングできる IBM Cloud サービスの場合、フォーマットは以下のようになります： crn-service-name:<INSTANCE_GUID>

  VPCサービスの場合、フォーマットは次のようになります： is:<VPC_SERVICE_NAME>

  プラットフォーム・サービス（プロビジョニングできないサービス）の場合、フォーマットは以下のようになる： crn-service-name:

IBM Cloudアカウントで生成されるアクティビティ トラッキング イベントを監視する前に、アカウントでIBM Cloud Activity Tracker Event Routingサービスを構成して、収集するアクティビティ トラッキング イベント、イベントを監視する送信先、およびイベントのルーティング先を定義するルーティング ルールを定義する必要があります。

• アカウント内に 1 つ以上のIBM Cloud Logsインスタンスを構成できます。
• IBM Cloud Logs インスタンスは、イベントが生成されるのと同じアカウントに配置することも、別のアカウントに配置することもできる。
• 必要であれば、別のリージョンまたはアカウントの IBM Cloud Logs インスタンスにイベントを送信するように IBM Cloud Activity Tracker Event Routing を設定できます。
• IBM Cloud Activity Tracker Event RoutingとIBM Cloud Logsの間にサービス間認証を定義して、 IBM Cloud Activity Tracker Event RoutingサービスにイベントをIBM Cloud Logsサービスに送信する権限を付与する必要があります。

詳しくは、以下を参照してください。

• IBM Cloud Activity Tracker Event Routing 概説
• IBM Cloud IBM Cloud Activity Tracker Event Routingを通じて管理されるイベントを生成するサービスです。

データ局所性モデル

データのローカリティを維持する必要がある場合は、アカウントでIBM Cloud Activity Tracker Event Routingを構成して、アクティビティ追跡イベントを複数のIBM Cloud Logsインスタンスにルーティングします。

次の画像は、データ ローカリティ モデルを採用した場合のアカウントの概要を示しています。