Salesforce セキュリティガイド
jレポートの異常の調査
異常を無害として排除するため、またはデータ侵害が発生したかどうかを判断するために、レポートの異常を詳しく調査する必要のあることがよくあります。
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience |
| 使用可能なエディション: Enterprise Edition、Unlimited Edition、および Developer Edition Salesforce Shield または Salesforce Event Monitoring アドオンサブスクリプションが必要です。 |
Shield ユーザの場合は、リアルタイムイベントモニタリングイベントに、調査を実施するために必要な情報が提示されます。具体的には、次のようになります。
- ReportAnomalyEvent (とその情報を保存する ReportAnomalyEventStore) は、レポートを実行中またはエクスポート中のユーザに関する異常が検知された状況を追跡します。この 2 つのオブジェクトが調査の出発点になります。
- ReportEventStream (とその情報を保存する ReportEvent) は、ユーザが組織でレポートを実行またはエクスポートする一般的な状況を追跡します。この 2 つのオブジェクトは、リアルタイムのレポート実行またはレポート実行履歴を確認するために使用します。
- LoginEventStream (とその情報を保存する LoginEvent) は、組織のすべてのログインアクティビティを追跡します。
たとえば、ユーザのレポート実行における異常の可能性を示す ReportAnomalyEvent を組織が受信したとします。ここで最初にすることは、イベントの関連する項目を確認し、異常に関する次のような基本情報を得ることです。
- Score: このユーザのレポート実行が通常のアクティビティとどれほど異なっているかを表す数値。数値が大きいほど、逸れていることになります。
- UserId: ユーザの一意の ID。
- EventDate: この異常がいつ発生したか。
- Report: この異常が検知されたレポート ID。
- SecurityEventData: 行数や曜日など、この異常検知に対する寄与度が最大の特性を示す JSON 項目。寄与する可能性のある特性の完全リストについては、この表を参照してください。
- Summary: イベントのテキスト形式の概要。
項目の完全リストについては、API ドキュメントを参照してください。
次の SOQL クエリのサンプルは、上記の項目値を返します。
SecurityEventData 項目には、この異常検知をトリガした寄与要因が示されるため、詳しく見ていきましょう。サンプルデータは次のようになります。
この異常検知に対する寄与度が最大 (95.00%) の特性は rowCount で、値は 1937568 です。この特性は、ユーザが 1,937,568 行のレポートを表示またはエクスポートしたことを示します。履歴データを見ると、このユーザがこれほど多くのデータを表示またはエクスポートすることはほとんどありません。スコアに対する他の特性の寄与度ははるかに小さくなっています。たとえば、このユーザはレポートを日曜日に実行していますが、この特性による全体スコアに対する寄与度はわずか 1.42% です。
こうしたデータがあれば、調査をさらに進めることができます。