クイックスタート: イベント監視

イベント監視権限の割り当て

1 つの権限でイベント監視を設定します。「イベント監視ユーザー」権限では、イベントログファイル (ELF)、イベントログオブジェクト (ELO)、リアルタイムイベント、および脅威検知アプリケーションにアクセスできます。

1. [設定] から、[クイック検索] ボックスに「権限」と入力し、[権限セット] をクリックします。
2. [ Event Monitoring (イベント監視)] [User | Manage Assignments(ユーザー割り当ての管理)] をクリックします。
3. ユーザーを選択し、[割り当てを追加] をクリックします。

イベント監視の有効化

重要な ELF 設定を有効にします。

1. [設定] から、[クイック検索] ボックスに「イベント監視」と入力し、[イベント監視設定] を選択します。
2. 有効にします。
   1. 分析アプリケーションでのイベントログデータの表示 — CRM Analytics に ELF データを表示します。
   2. イベントログファイルを生成 — 70 種類を超える ELF 種別を生成します。Shield および Event Monitoring ユーザーの場合、イベントログファイルの生成はデフォルトで有効になっています。
   3. イベントログファイルを保持 — ELF データを 1 年間保存します。
      

      メモ 必要に応じて、バックアップ & リカバリでは ELF データを 1 年以上保持できます。
   4. (省略可能) イベント監視データの削除 — ELF データを手動で削除できます。これは、GDPR などの規制やプライバシーの要件を満たすために必要になる場合があります。
   5. （任意）［Enable Lightning Logger］：カスタム コンポーネント計測 API を使用して、Lightning Web コンポーネント（LWC）にオブザーバビリティを追加します。Lightning ロガーを使用して、組織の LWC を手動で計測します。Lightning ロガーで生成されたログは、Lightning ロガーイベント種別で公開されます。
   

リアルタイムイベント監視の保存とストリーミングの有効化

Real-Time Event Monitoring (RTEM) は、ユーザーイベントをほぼリアルタイムで公開します。監査とレポートの目的で、RTE データを Salesforce Big Object に保存および照会できます。

Salesforce に保存されている RTEM イベントは、データストレージ制限に含まれません。ストレージイベントの多くは Salesforce Big Object であり、大量のデータの保存に最適です。「 リアルタイムイベントモニタリングデータストレージ」を参照してください。

メモ すべてのリアルタイムイベントのストレージを有効にすることをお勧めします。

Salesforce が公開するリアルタイムの行動を登録して、組織の活動を監視できます。「 リアルタイムイベントモニタリングデータストリーミング」を参照してください。

メモ CometD または Pub/Sub API を使用して登録者を設定する場合にのみ、ストリーミングを有効にします。

1. [設定] から、[クイック検索] ボックスに「イベントマネージャー」と入力し、[イベントマネージャー] をクリックします。
2. イベントの横にあるドロップダウンから、[Enable Storage and Enable Streaming (ストレージの有効化とストリーミングの有効化)] をクリックします。

Event Log Object Analytics の設定

イベントログオブジェクト (ELO) 分析を使用してログデータを変換すると、プラットフォームのパフォーマンス、セキュリティの脅威、ユーザー行動を可視化できます。アクション可能なインサイトは、潜在的なシステムのボトルネックを事前に特定して解決し、本番環境に影響する前にセキュリティの異常を検出するのに役立ちます。

1. アプリケーションランチャーで [Analytics Studio] を見つけて開きます。
2. [作成] をクリックし、[アプリケーション] を選択します。
3. [検索] バーに「Event Monitoring Event Log Objects Analytics」と入力します。
4. [Event Monitoring Event Log Objects Analytics] テンプレートをクリックし、[続行] をクリックします。
5. アプリケーションに名前を付けて [作成] をクリックします。
   

イベントログオブジェクトの照会と視覚化

ビジュアルログデータにすばやくアクセスして分析し、セキュリティおよびパフォーマンスインシデントを早期に検出します。

1. [設定] から、[クイック検索] ボックスに「Analytics Studio」と入力し、[Analytics Studio] を選択します。
2. ダッシュボードを作成するには、[作成] をクリックし、ドロップダウンリストから [ダッシュボード] を選択します。
3. ［Chart］ オプションをダッシュボードにドラッグします。
4. データソースを選択するには、新しいグラフをクリックします。
5. データソースウィンドウで、[Salesforce オブジェクト] タブに移動します。
6. すべてのイベントログオブジェクトを表示するには、イベントログを検索します。
7. 視覚化するイベントログオブジェクトデータを選択します。「グラフによるデータの視覚化」を参照してください。
8. Salesforce Direct を使用して、さまざまな種類のグラフでデータを視覚化できます。タイムアウトが発生しないようにダッシュボードのパネル数を制限してください。「Salesforce Direct Data Queries」を参照してください。
   

トランザクションセキュリティポリシーの作成

トランザクションセキュリティ条件ビルダーを使用して、Salesforce でユーザーが潜在的に悪意のあるアクションやリスクの高いアクションを実行したときに通知したり、アクションをブロックしたりできるトランザクションセキュリティポリシー (TSP) を作成します。

メモ InfoSec またはセキュリティチームと協力して、適切なイベントを選択し、トランザクションセキュリティポリシーを正しく設定します。セキュリティ関係者をエンゲージすることで、イベントモニタリングを全体的なセキュリティ戦略とコンプライアンスの目標に合わせることができます。

含まれている TSP、例、および高度な使用事例での Apex の使用については、「セキュリティ体制を強化するための基本的なトランザクションセキュリティポリシー」を参照してください。

この例では、10,000 件を超えるレコードを含むレポートを誰かがダウンロードしたときに通知されるポリシーを作成します。

1. [設定] の [クイック検索] ボックスに「トランザクションセキュリティ」と入力し、[トランザクションセキュリティポリシー] を選択します。
2. [新規] をクリックし、[条件ビルダー] を選択します。
3. [次へ] をクリックします。
4. 次を選択または入力します。
   1. イベント: レポートイベント
   2. 条件ロジック: すべての条件に一致 (AND)<:so>すべてのじょうけんにあいます
   3. 状態: Operation Equals ReportExported
   4. 状態:10,000 より大きい処理行
5. [次へ] をクリックします。
6. 次を選択または入力します。
   1. アクション: なし
   2. 通知: メール通知
   3. 受信者: 自分自身を選択します。
   4. 名前: 名前を入力
   5. 状況: 有効
7. [完了] をクリックします。

脅威検知の設定

Salesforce に脅威検知イベントを表示してフィードバックを提供するためには、事前にこのアプリケーションをユーザーに表示できるようにしておく必要があります。また、異なるユーザープロファイルに表示されるタブも指定します。

メモ 脅威検知イベントが公開されると通知するトランザクションセキュリティポリシーを作成することをお勧めします。

View Threat Detection Events (脅威検知イベントの表示) を含む Event Monitoring User 権限セットがあることを確認します。

1. イベントマネージャーを使用して、脅威検知イベント (ReportAnomalyEvent、SessionHijackingEvent、GuestUserAnomalyEvent、LoginAnomalyEvent、CredentialStuffingEvent) のストリーミングと保存を有効にします。Salesforce ライセンスに関連付けられた権限セットを作成します。
2. 脅威検知アプリケーションを使用する各ユーザープロファイルのタブ設定を編集し、タブの表示を指定します。[Report Anomaly Event Store (レポート異常イベントストア)]、[Session Hijacking Event Store (セッションハイジャックイベントストア)]、[Credential Stuffing Event Store (クレデンシャルスタッフィングイベントストア)]、[Threat Detection Feedback (脅威検知フィードバック)] というタブがあります。
   たとえば、システム管理者は通常 UI のすべてにアクセスするため、システム管理者プロファイルではすべてのタブの表示を [デフォルトで表示] に設定します。脅威検知管理者プロファイルを作成した場合も、同じ表示を設定します。標準ユーザーがフィードバックを表示できないようにする場合は、標準ユーザープロファイルの [脅威検知フィードバック] の表示を [タブを隠す] に設定します。
3. [設定] から、[クイック検索] ボックスに「アプリケーションマネージャー」と入力します。
4. 脅威検知アプリケーションを編集するには、アプリケーションの右にあるドロップダウンで ［Edit］ を選択します。
   
5. [プロファイルへの割り当て] セクションで、脅威検知アプリケーションを表示可能にするプロファイルを選択します。
   
6. 変更内容を保存します。

脅威検知の詳細の表示とフィードバックの提供

脅威検知では、統計および機械学習の手法を使用して Salesforce 組織に対する脅威を検出し、そのデータをリアルタイムイベントオブジェクトで取得します。脅威検知アプリケーションを使用して、Salesforce UI に最近またはすべての脅威検知イベントを表示します。

1. アプリケーションランチャーで、[脅威検知] を見つけて選択します。
2. タブをクリックして、脅威検知オブジェクトに保存されている最近またはすべてのイベントのリストビューを表示します。
3. イベントの詳細を表示するには、イベントをクリックします。
   脅威イベントの詳細の読み取り方法については、「脅威検知」を参照してください。
4. イベントに関連付けられたフィードバックを表示するには、[関連] をクリックします。

省略可能なリソース

イベントモニタリング機能にアクセスできるようになりました。次に、他に何ができるかについて説明します。

サードパーティインテグレーション

ほとんどのセキュリティ情報およびイベント管理 (SIEM) およびオブザーバビリティソリューションでは、API を使用してイベントモニタリングデータをインポートできます。次のパートナーと SIEM ソリューションは、イベントモニタリングデータを簡単にインポートできる接続をサポートしています。