イベントリスクスコアの計算

イベントリスクスコアは、発生したイベントの重要度を迅速に把握し、優先的に対応すべき対象を判断するために活用できます。

各イベント発生時に数値が割り当てられ、その値により影響範囲や脅威のレベルを明確に把握できます。
スコアが高いイベントほど、重大または不審なイベントである可能性が高く、迅速な対応が必要です。

日々数百から数千件のイベントが発生する環境においては、スコアにより重要度を可視化することで、優先的に対応するイベントを効率的に特定できます。

イベントリスクスコアの算出方法

イベントリスクスコアは、4つの要素に基づいてスコアを算出します。
各要素はイベントに関する情報を補足し、その緊急度や重要度の判断に寄与します。

すべてのイベントは、違反したルールに関連付けられます。
ルールは、検知する行動の重大度に基づいてあらかじめ定義されています。

本要素は、スコア算出において最も高い比重を占めます。

本要素は、イベントに関与するユニークな監視対象数（IPアドレス、ユーザー、デバイスetc..）を反映します。

重要な理由：単一の監視対象からのアラートよりも、複数の監視対象が同一のアラートを発報する場合の方が、組織的な攻撃を示す場合である可能性が高く、より注意が必要です。
例：15台のデバイスが、突然同時に不審なドメインに接続した場合、単一デバイスでのによる事象と比較して、より広範な問題が発生している可能性を示します。

各ルールには、機械学習に基づく適応しきい値が設定されており、これを超過した場合は異常なアクティビティと判断されます。

本要素は、発生したイベントがしきい値をどの程度超過しているか示します。

重要な理由：しきい値を超過すればするほど、当該イベントは影響が大きく、異常性が高いと判断されます。
例：あるルールが「10件のIPアドレスへのping」でトリガーされる場合、
同一の監視対象が100件のIPアドレスへpingを実行すると、しきい値の10倍に相当し、
より高いリスクを示します。

過去のイベントよりも最新のイベントの方が重要度は高くなります。

本要素は、時間の経過に応じて新しいイベントの優先度を高くし、
監視者が現在発生中または新たに発生している事象への対応を優先できるようにします。