Salesforce セキュリティガイド
jAPI 要求の異常の調査
多くの場合、データ侵害が発生したかを判断するため、または無害として排除するために、API 要求の異常をさらに調査する必要があります。
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience |
| 使用可能なエディション: Enterprise Edition、Unlimited Edition、および Developer Edition Salesforce Shield または Salesforce Event Monitoring アドオンサブスクリプションが必要です。 |
Shield ユーザの場合は、リアルタイムイベント監視イベントに、調査を実施するために必要な情報が提示されます。具体的には、次のようになります。
- ApiAnomalyEvent とその情報を保存する ApiAnomalyEventStore では、ユーザによる API コールの実行に関する異常を追跡します。これらのオブジェクトが調査の出発点になります。
- ApiEventStream とその情報を保存する ApiEvent では、ユーザが開始した参照のみの API コールを追跡します。これらのオブジェクトは、リアルタイムのレポート実行または API 実行履歴を確認するために使用します。
- LoginEventStream (とその情報を保存する LoginEvent) は、組織のすべてのログインアクティビティを追跡します。
たとえば、ユーザの API コールにおける異常の可能性を示す ApiAnomalyEvent を組織が受信したとします。ここで最初にすることは、イベントの関連する項目を確認し、異常に関する次のような基本情報を得ることです。
- Score: このユーザの API アクティビティが通常のアクティビティとどれほど異なっているかを表す数値。数値が大きいほど、逸れていることになります。
- UserId: ユーザの一意の ID。
- EventDate: API 要求が発生した時刻。
- SecurityEventData: 行数や曜日など、この異常検知に対する寄与度が最大の特性を示す JSON 項目。寄与する可能性のある特性の完全リストについては、この表を参照してください。
- Summary: イベントのテキスト形式の概要。
項目の完全リストについては、API ドキュメントを参照してください。
次の SOQL クエリのサンプルは、上記の項目値を返します。
SecurityEventData 項目には、この異常検知をトリガした寄与要因が示されるため、詳しく見ていきましょう。サンプルデータは次のようになります。
この異常検知に対する寄与度が最大 (95.00%) の特性は rowCount で、値は 1937568 です。この特性は、ユーザが 1,937,568 行のレポートを表示またはエクスポートしたことを示します。履歴データを見ると、このユーザがこれほど多くのデータを表示またはエクスポートすることはほとんどありません。スコアに対する他の特性の寄与度ははるかに小さくなっています。たとえば、このユーザはレポートを日曜日に実行していますが、この特性による全体スコアに対する寄与度はわずか 1.42% です。
こうしたデータがあれば、調査をさらに進めることができます。