接続イベントが FireSIGHT Management Center から消えたように見える

はじめに

このドキュメントでは、システムを数日間実行すると、接続イベントが FireSight Management Center から消える問題の根本原因を判別してトラブルシュートする方法について説明します。これは、Management Center の設定が原因で発生する可能性があります。

前提条件

要件

FireSIGHT Management Centerに関する知識があることが推奨されます。

使用するコンポーネント

このドキュメントの情報は、次のハードウェアとソフトウェアのバージョンに基づいています。

• FireSIGHT 管理センター
• ソフトウェア バージョン 5.2 以降

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

トラブルシュート

ステップ1：保存されているイベントの数を特定する

FireSIGHT Management Centerに保存されている接続イベントの数を確認するには、

1. Analysis > Connections > Table View of Connection Eventsの順に選択します。
2. 期間ウィンドウを、現在のすべてのイベントを含む幅広い範囲（12か月など）に拡張します。
3. ページの下部に表示される行の総数を確認します。最後のページをクリックし、使用可能な最後の接続イベントのタイムスタンプをメモします。

この情報から、現在の設定で接続イベントを保持できる数と時間がわかります。

ステップ2：ロギングオプションの決定

どの接続がログに記録されているか、およびフローのどの部分に接続がログに記録されているかを確認します。組織のセキュリティとコンプライアンスのニーズに従って、接続のログを記録する必要があります。生成するイベントの数を制限する場合は、分析に重要なルールのロギングのみを有効にします。ただし、ネットワークトラフィックの広範なビューが必要な場合は、追加のアクセスコントロールルールまたはデフォルトアクションのロギングを有効にできます。不必要なトラフィックの接続ロギングを無効にして、接続イベントをより長い期間にわたって保持できます。

ヒント：パフォーマンスを最適化するために、接続の開始または終了のいずれかをログに記録し、両方はログに記録しないことを推奨します。

注：単一の接続の場合、接続の終了イベントには、接続の開始イベントのすべての情報と、セッションの間に収集された情報が含まれます。信頼ルールと許可ルールの場合は、End-of-Connectionを使用することをお勧めします。

次の表に、各ルールアクションで使用できるさまざまなログオプションを示します。

ステップ3：接続データベースのサイズを調整する

接続イベントは、システムポリシーのMaximum Connection Events設定に応じてプルーニングされます。設定を変更するには、次の手順を実行します。

1. System > Local > System Policyの順に選択します。
2. 現在適用されているポリシーを編集するには、鉛筆アイコンをクリックします。
3. Database > Connection Database > Maximum Connection Eventsの順に選択します。
4. Maximum Connection Eventsの値を変更します。
5. Save Policy and Exitをクリックし、次にアプライアンスにポリシーをApplyします。

保存可能な接続イベントの最大量は、Management Centerモデルによって異なります。

注：最大イベント数の制限は、接続イベントとセキュリティインテリジェンスイベントで共有されます。2つのイベントに設定されている最大数の合計は、最大イベント数の制限を超えることはできません。

注意：データベース制限を増やすと、デバイスのパフォーマンスに悪影響を及ぼす可能性があります。パフォーマンスを向上させるには、定期的に作業するイベント数に合わせてイベント制限を調整する必要があります。

一定時間範囲のイベント数を表示するウィジェットの場合、イベントの合計数は、イベントビューアで詳細データを使用できるイベントの数を反映しない場合があります。これは、ディスク領域の使用状況を管理するために、システムが古いイベントの詳細をプルーニングする場合があるためです。イベント詳細プルーニングの発生を最小限に抑えるために、イベントロギングを微調整して、展開にとって最も重要なイベントだけをログに記録できます。

関連情報

• データベースイベント制限の設定
• テクニカル サポートとドキュメント - Cisco Systems