- Connect AI の Business ティアでのみ利用可能です。
- Connect AI Embed では利用できません。
-
Connect AI は外部データソースとの通信に静的 IP アドレスの範囲を使用します。データにアクセスできるようにするには、データソース側でこれらの静的 IP アドレスを許可する必要があります。以下の表にこれらの IP アドレスの一覧を示します。
SIEM エンドポイントの表示、変更、削除は管理者のみが行えます。
SIEM エンドポイントの追加
SIEM エンドポイントを追加するには：1
SIEM Endpoints タブで + Add Endpoint をクリックします。Add Endpoint ダイアログが表示されます。
2
追加するエンドポイントの種類（Datadog Logs API）を選択します。
3
任意の Endpoint Name を入力します。
4
Configuration Settings の下で、エンドポイントタイプに応じたフィールドを設定します。Datadog Logs API:
- Region–（オプション）Datadog アカウントのリージョンを選択します。
- DD-API-KEY–接続認証に使用する Datadog API キーを入力します。Datadog では Organization Settings > API Keys で確認できます。
- Endpoint URL–選択したリージョンに基づいて自動生成されます。
- Service Tag–（オプション）Datadog アカウントに転送されるイベントを識別するための任意のタグ（例：audit-all-events）を入力します。Datadog ではこのタグで検索できます。
5
Delivery Settings の下で、以下を設定します：
- Event Scope–エンドポイントに転送するイベントを選択します。オプションには All Events が含まれます。近日対応予定：Control Plane イベントなど、特定のイベントのサポート。
- Payload Format–OCSF（Open Cybersecurity Schema Framework、推奨）または Plain JSON を選択します。
- Batch Size (Events)–各バッチに含めるイベントの最大数を入力します。
- Batch Size (Time-based)–イベント上限に達していない場合でもバッチを送信するまでの最大時間間隔（秒単位）を入力します。
- Delayed Event Alert Threshold–この数を超えて遅延イベントが発生すると、Connect AI がアカウント管理者にメールアラートを送信します。
- Alert Recipient Email–アラート受信者のメールアドレス（共有メールボックスも可）を入力します。デフォルトでは、このフィールドにはユーザーのメールアドレスが設定されています。
- GZIP Compression–送信前にイベントデータを圧縮するかどうかを切り替えます。
6
Save & Test をクリックしてエンドポイントを保存します。Connect AI が接続をテストし、以下のいずれかを表示します：
- テストが成功すると、成功メッセージが表示され、新しいエンドポイントが SIEM エンドポイントの一覧に追加されます。
- テストが失敗すると、エラーメッセージが表示されます。エンドポイントと設定を確認して、再度お試しください。
SIEM エンドポイントの編集
SIEM エンドポイントを編集するには、エンドポイント一覧の編集アイコンをクリックし、変更を加えて Save & Test をクリックします。SIEM エンドポイントの削除
使用しなくなった SIEM エンドポイントを削除するには、エンドポイント一覧の削除アイコンをクリックします。表示される確認ダイアログで Confirm をクリックします。プッシュ履歴
エンドポイント一覧の編集アイコンをクリックすると、エンドポイントのプッシュ履歴を確認できます。Edit SIEM Endpoint ページの Push History セクションには、各エンドポイントの配信ステータス情報が表示されます。
- Last Push–エンドポイントに送信された最新のイベントバッチの日時。
- Retry Count–Connect AI が失敗したプッシュ後に配信を再試行した回数。
-
Status–エンドポイントの現在の配信ステータス（Active、Failed、または Pushing）。Failed などのステータスをクリックすると、詳細を確認できます。
失敗ステータスは、認証情報の期限切れが原因の可能性があります。認証情報を更新して保存し、テストしてください。
- Delayed Events–エンドポイントにまだ配信されていないイベントの数。
SIEM プラットフォームでイベントを表示
SIEM プラットフォームでは、SIEM Endpoint ページで入力した Service Tag を使用して検索できます。以下の Datadog の例では、cdata-audit-test-all-events タグの下にあるすべてのイベントが表示されます：
