#イベントモニタリングログ可視化 1)誰がいつどのデータを表示したか 2)どこでデータがアクセスされたか 3)ユーザが UI を使用していつレコードを変更したか 4)誰がどこからログインしているか 5)組織の誰がプラットフォームの暗号化管理に関連するアクションを実行しているか 6)どのシステム管理者が別のユーザとしてログインし、そのユーザとしてどのアクションを実行したか 7)Lightning ページの読み込みにどのくらいの時間がかかるか 8)組織で検知された脅威 (ユーザによるレポート実行またはレポートエクスポートの異常、セッションハイジャック攻撃、クレデンシャルスタッフィング攻撃など)

1. z
Salesforceイベントログ
追跡・可視化
（Winter20リリース後）
Created by: Kagawa Hoang
Created Date: 2020/09/20

2. z
Agenda
1. イベントモニタリングログとは
2. Winter20リリース前後のイベントモニタリング
3. リアルタイムアクセスログの可視化・アーカイブ実装方法
4. リアルタイムアクセスログから可視化用中間オブジェクトへ落とすサ
ンプルコード

3. z
1. イベントモニタリングログとは
イベントモニタリングとは、データの安全性を確保するために Salesforce に搭載されている多数のツールの 1 つです。この
ツールを使用すると、組織のユーザアクティビティをごく細部まで確認できます。こうしたアクティビティをイベントといいます。シ
ステム管理者は、個別のイベントに関する情報を参照したり、イベントのトレンドを追跡したりして、異常な行動をすばやく特定し、
会社のデータを保護することができます。
では、どのようなイベントを追跡できるのでしょうか。イベントモニタリングでは、以下をはじめとする多くの種類のイベントを追跡
できます。
 ログイン
 ログアウト
 URI (Salesforce Classic での Web クリック)
 Lightning (Lightning Experience と Salesforce モバイルアプリケーションでの Web クリック、パフォーマンス、エラー)
 Visualforce ページの読み込み
 API コール
 Apex の実行
 レポートのエクスポート

4. z
2. Winter20リリース前後のイベントモニタリング
Winter20リリース前にすべてのイベントがイベントログファイルに保存されます。イベントログファイルは、組織でイベントが発生
した時点で生成され、24 時間後（リアルタイムでない）に参照およびダウンロード可能になります。アクセス可能なイベントタイプ
およびファイルの使用可能期間は、エディションごとに異なります。
 Developer Edition (DE) 組織では、すべてのログ種別に無料でアクセスでき、データが 1 日保持されます。
 Enterprise Edition、Unlimited Edition、および Performance Edition 組織では、安全でない外部アセット、ログインおよび
ログアウトのイベントログファイルに無料でアクセスでき、データが 1 日保持されます。また、有料ですべてのログファイル
にアクセスでき、この場合はデータが 30 日間保持されます。
基本的に過去イベントログをAPIに通ってダウンロード、解析、可視化（セールスフォースの標準レポートなど、PostgreDBに格
納、検索画面構築）をできます。
※イベントログを落とし方、可視化方法について以下のDevMethodさんのブログに参考してください。
今回のブログ範囲にWinter20リリース後どうやってリアルタイムイベントログを落としたり可視化するか詳しく説明させてくださ
い。
https://dev.classmethod.jp/articles/salesforce_eventmonitoring/?fbclid=IwAR0hOcI_0hPAM0ujVQAPi7qJsjUD-
WzSfQf9Si4Rt3BxYfsWrpdCIjrTDSA

5. z
2. Winter20リリース前後のイベントモニタリング
ではWinter２０リリースにてリアルタイムイベントモニタリングとは？
リアルタイムイベントモニタリングを使用すると、Salesforce の標準イベントを監視し、ほぼリアルタイムで検出できます。監査
やレポート目的でイベントデータを保存できます。
リアルタイムイベントモニタリングを使用すると、次の点についてより貴重なインサイトを得ることができます。
 誰がいつどのデータを表示したか
 どこでデータがアクセスされたか
 ユーザが UI を使用していつレコードを変更したか
 誰がどこからログインしているか
 組織の誰がプラットフォームの暗号化管理に関連するアクションを実行しているか
 どのシステム管理者が別のユーザとしてログインし、そのユーザとしてどのアクションを実行したか
 Lightning ページの読み込みにどのくらいの時間がかかるか
 組織で検知された脅威 (ユーザによるレポート実行またはレポートエクスポートの異常、セッションハイジャック攻
撃、クレデンシャルスタッフィング攻撃など)

6. z
2. Winter20リリース前後のイベントモニタリング
実際にリアルタイムイベントモニタリングにイベントログの格納オブジェクトは標準BigObjectsになりま
す。Winter20リリース前よりリアルタイムアクセスログを取得できますがログの有効期間は６ヶ月間だ
しSF標準レポートで可視化不可となります。
イベントモニタリングを有効化する場合イベントマネージャにてイベントログオブジェクト一覧を確認できます。

7. z
2. Winter20リリース前後のイベントモニタリング
イベントログオブジェクト一覧
イベントBigオブジェクト 用途
ApiEvent 組織のユーザ API クエリを追跡する
LightningUriEvent ユーザがいつ Salesforce Lightning でレコードを作成、アクセス、更新、または削除したかを追跡する
(CRUD)
LoginAsEvent システム管理者がいつ別のユーザとして組織にログインしたかを追跡する
UriEvent ユーザがいつ Salesforce Classic でレコードを作成、アクセス、更新、または削除したかを追跡する
LogoutEvent ユーザがいつ Salesforce UI で [ログアウト] をクリックしたかを追跡する
ListViewEvent ユーザがいつリストビューでデータにアクセスしたかを追跡する
ReportEvent ユーザがいつレポートにアクセスしたか、またはレポートのデータをエクスポートしたかを追跡する
LoginEvent ユーザがいつ組織にログインしたかを追跡する
ReportAnomalyEvent ユーザがレポートを実行またはエクスポートする方法の異常を追跡する
ConcurLongRunApexErrEvent 実行時間が長い同時 Apex エラーがいつ発生したかを追跡する
SessionHijackingEvent 未承認ユーザがいつ盗難したセッション識別子を使用して Salesforce ユーザのセッションの所有権を
取得したかを追跡する
ApiEvent 組織のユーザ API クエリを追跡する
CredentialStuffingEvent 識別されたクレデンシャルスタッフィング攻撃中にユーザがいつ Salesforce に正常にログインしたか
を追跡する

8. z
※絞り込み条件に標準インデック
ス項目を入れたら100万件以内検
索パフォーマンスを保証できます。
3. リアルタイムアクセスログの可視化・アーカイブ実装方法
主な処理フロー
BigObject
イベントログ
カスタム
イベント
ログ
標準レポート
リストビュー
カスタム画面
ETL又はバッチ処
理でログアーカイ
ブ・ファイル転送
外部のログ基盤
システム
非同期バッチ処
理（スケジュール）
で抽出
(Http Request)
可視化部品
想定ログボリューム
により抽出頻度を
決めた方が良い
SF内部ストレージ
が限界なので定期
的に外部にログを
アーカイブが必要
非同期ジョ
ブ監視
定期的（1時間起
きとか）に非同期
バッチ処理状況を
確認する
非同期ジョブ監視
API
完了又は
エラーか
更新

9. z
4. リアルタイムアクセスログから可視化用
中間オブジェクトへ落とすサンプルコード
global class CRUD_EventLogDownload_Batch implements Schedulable{
private String sessionId;
// 引数：スケジュールバッチで毎時10分でイベントログをダウンロード処理を起動する
//セッション有効期限を1時間以内想定していますがセッション設定によりジョブを再スケジュルする必要があります。
// System.schedule(CRUD_EventLogDownload_Batch', '0 10 1-23 * * ?', new
CRUD_EventLogDownload_Batch(UserInfo.getSessionId()));
// Exec Anonymous Apex（開発コンソール）からセッションを渡す
global CRUD_EventLogArchiever_Batch( String sessionId ) {
this.sessionId = sessionId;
}
global void execute(SchedulableContext sc) {
queryCRUDLogs(sessionId);
}
// 非同期関数でRest APIを呼び出しアクセスログを落とす
@future(callout=true)
public static void queryCRUDLogs(String sessionId){

10. z
4. リアルタイムアクセスログから可視化用
中間オブジェクトへ落とすサンプルコード
// 例：現在日時分秒より前日分のログの抽出条件準備
DateTime f = datetime.now();
String endTime = f.format('yyyy-MM-dd'T'hh:mm:ss.SSS'Z’’);
DateTime s = f.addDays(-1);
String startTime = s.format('yyyy-MM-dd'T'hh:mm:ss.SSS'Z’’);
//LightningUriEvent： BigObjectCRUDイベントログ
//ログ抽出元、抽出先、対象項目マッピング（オブエクト定義書を確認しながら抽出した項目を設定する）、抽出条件設定
//非同期処理のマッピング設定についてSFオフィシャルサイトに参考ください。
// https://developer.salesforce.com/docs/atlas.en-us.bigobjects.meta/bigobjects/async_query_running_queries.htm
String requestBody = '{"query":"SELECT EventDate from LightningUriEvent where EventDate >= ' +startTime+ ' AND EventDate <= '
+endTime+ '","targetObject":"CRUD_EventLogs__c","targetFieldMap":{"EventDate":"EventDate__c"}}';
HttpRequest req = new HttpRequest();
HttpResponse res = new HttpResponse();
Http http = new Http();
// based on remote setting in setup for gs0 pod: /0rp
req.setEndpoint(‘https://組織のエンドポイント又はカスタムドメイン/services/data/v49.0/async-queries');
req.setMethod('POST');
req.setHeader('Content-Type', 'application/json; charset=utf-8');
req.setBody(requestBody);
// 認証用セッションIDを指定
req.setHeader('Authorization', 'Bearer ' + sessionId);

11. z
4. リアルタイムアクセスログから可視化用
中間オブジェクトへ落とすサンプルコード
// 非同期SOQL Rest APIをリクエスト
try {
res = http.send(req);
// レスポンスを解析してジョブIDを抽出
JSONParser parser = JSON.createParser(res.getBody());
while (parser.nextToken() != null) {
if (parser.getCurrentToken() == JSONToken.FIELD_NAME) {
String fieldName = parser.getText();
parser.nextToken();
if (fieldName == 'jobId') {
system.debug(ジョブID' + parser.getText());
//JobIdをとれば中間オブジェクト「非同期ジョブ監視」に格納、ジョブ実行状況を追跡するため
//非同期ジョブを追跡するためAPI「 https://yourInstance.salesforce.com/services/data/v49.0/async-queries/jobId
」を使ってください。
}
}
}
} catch(System.CalloutException e) {
System.debug(‘外部連携エラー'+ e);
}
//}
}
}

12. z
Happy Coding !