Defenderの月次監査で取得日をまたぐアラートを重複なく集計する

月次集計を取り直したとき、後から得たCSVだけで前回を置き換えると、古い抽出だけに残っていた行を落とします。一方で単純に連結すれば共通行を二重に数えます。今回はアラートを識別するIDを単位に、どちらかの取得に含まれた集合を作ってから対象条件を適用しました。

今回の対応

10月29日から31日に取得した2つの結果は178件と175件で、共通するアラートは166件でした。アラートIDを使って統合した187件に集計条件を適用し、対象となる97件を数えました。

187件から97件になる計算

初回178件のうち12件は初回だけにあり、後の175件のうち9件は後の取得だけにありました。共通は166件なので、12＋166＋9＝187件です。除外条件に合う90件を除くと97件となり、対象別に再集計した合計とも一致しました。最初の12件が後の検索に出なかった原因は、この集計では確定していません。

状況別の判断と次の対応

監査で説明できる範囲

97という数値は条件に合った一意のアラート数です。人の数、通信回数、実際に閲覧した回数への換算はできません。対象月を記す際は締め時刻も添え、期間の最後に結果が返らなかったことを、その時間帯に通信がなかったとは記載しません。