New Value

概要

新しい値の検出方法は、新しいユーザー、アカウント、API キー、オブジェクト ID など、これまでに見られなかった属性値がログに出現したときにアラートを発します。

新しい値ルールの構成方法については、ルールを作成を参照してください。

新しい値の検出ルール:

選択したフィールドの値 (@userIdentity.arn など) を学習します。
学習期間中に値を記録して学習するか、学習期間を必要としないしきい値メソッドを使用します。詳細については、学習期間を参照してください。
現在のスコープ内で観測されていない値が出現したときにシグナルをトリガーします。
Forget value オプションで設定された日数の間、値が観測されなかった場合、学習した値を忘却します。値が忘却された場合、その値が再出現したときにルールがアラートを発します。

Detect new value フィールドは、学習する値を含む属性を定義します。最大 5 つまで属性を追加できます。

group by フィールドは、アカウントごとなど、新しい値が評価されるスコープを定義します。

学習期間には、以下のオプションがあります。

for all new values: ルールは、新しい値に対してトリガーされます。
after the first seen value: ルールは、値が一度観測された後の新しい値に対してトリガーされます。
after: 選択したフィールドに対してルールが値を学習する期間を定義します。たとえば、after 7 days を選択した場合、ルールは最初の 7 日間値を学習し、7 日経過後の新しい値に対してトリガーされます。学習期間の最大値は 30 日です。

値の忘却オプションは、ルールが値を既知として保持する期間を決定します。この期間が経過すると、値は忘却され、ルールはその値に対して再度アラートを発します。Forget value の最大日数は 30 日です。