SIEM 統合

リアルタイムのセキュリティイベントを SIEM にストリーミングして、一元的な監視とコンプライアンスを実現します。

サポートされている統合

設定

1. Settings → Integrations (エンタープライズ組織のみ) を開くか、Enterprise Configuration ページに直接移動します。
2. SIEM カードに、設定中のドメインが表示されます。
3. SIEM Integration を有効化します。
4. SIEM Type (Splunk (HEC) または Custom HTTP Endpoint) を選択します。
5. エンドポイント設定を構成します (下記参照)。
6. 設定を保存します。

Splunk HEC の設定

Custom HTTP Endpoint の設定

Splunk 以外の SIEM システムやカスタム統合の場合:

Custom HTTP ペイロード形式

Include Metadata が有効な場合、イベントは以下のように送信されます。

{
  "event": {
    "type": "tool_call",
    "timestamp": "2026-01-19T10:30:00.000Z",
    "session_id": "abc-123",
    "tool_name": "filesystem.read_file",
    "parameters": { "path": "/etc/config" },
    "status": "ok",
    "duration_ms": 45.2
  },
  "source": "edison-watch",
  "sourcetype": "cef",
  "index": "main"
}

Include Metadata が無効な場合、生のイベントオブジェクトのみが送信されます。

ストリームモード

イベントの種類

Edison Watch はセッションごとのアクティビティをストリーミングします。

• Tool Calls: すべてのアクションのメタデータ (タイムスタンプ、ユーザー、ツール名、所要時間)。
• Security Events: フラグの変化 (Trifecta) と ACL 違反。
• Approvals: human-in-the-loop の判断の監査レコード。
• Admin Actions: 設定変更とユーザーロールの更新。

Common Event Format (CEF)

Splunk HEC イベントは CEF 文字列 (Common Event Format) として送信されます。

CEF:0|Edison Watch|Edison Watch|1.0|tool_call|Tool Call|5|[email protected] act=filesystem.read_file outcome=success

パフォーマンスと信頼性

• 非同期: イベントは fire-and-forget タスクとして送信されるため、SIEM ストリーミングがツール実行のクリティカルパスに乗ることはありません。
• ベストエフォート: SIEM エンドポイントに到達できない、または設定に誤りがある場合、イベントはドロップされる可能性があります (Edison Watch はエラーをログに記録します)。