侵入イベントの操作
以下のトピックでは、侵入イベントを操作する方法について説明します。
侵入イベントについて
Firepower システムは、ホストとそのデータの可用性、整合性、および機密性に影響する可能性のあるトラフィックがないかどうか、ネットワークをモニタするのに役立ちます。主要なネットワーク セグメントに管理対象デバイスを配置すると、悪意のあるアクティビティを目的としてネットワークを通過するパケットを検査できます。このシステムには、攻撃者が開発したさまざまなエクスプロイトを検索するのに使用できるいくつかのメカニズムがあります。
システムは、潜在的な侵入を特定すると侵入イベントを生成します。これは、エクスプロイトの日付、時間、タイプ、および攻撃元とそのターゲットに関するコンテキスト情報のデータです。パケットベースのイベントの場合、イベントをトリガーとして使用したパケットのコピーも記録されます。管理対象デバイスは、Firepower Management Center にイベントを送信します。ここで、集約データを確認し、ネットワーク アセットに対する攻撃を的確に把握できます。
管理対象デバイスをインライン、スイッチド、またはルーテッドの侵入システムとして展開することもできます。これにより、危険だと認識したパケットをドロップまたは置換するようデバイスを設定できます。
Firepower システムは、ユーザが侵入イベントを確認し、ネットワーク環境とセキュリティ ポリシーのコンテキストでそのイベントが重要であるかどうかを評価するために必要なツールも提供します。これらのツールは次のとおりです。
侵入イベントの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
侵入イベントは、ネットワーク セキュリティに対する脅威があるかどうかを判断するために表示します。
初期の侵入イベント ビューは、ページにアクセスするために使用するワークフローによって異なります。1 つ以上のドリルダウン ページ、侵入イベントのテーブル ビュー、および終了パケット ビューを含む、定義済みワークフローの 1 つを使用するか、独自のワークフローを作成できます。カスタム テーブルに基づいてワークフローを表示することもできます。これには、侵入イベントを含めることができます。
大量の IP アドレスが含まれている状態で、[IP アドレスの解決（Resolve IP Addresses）] イベント ビュー設定が有効になっていると、イベント ビューの表示が遅くなる場合があります。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
| ステップ 1 | を選択します。 |
| ステップ 2 | 次の選択肢があります。
|
侵入イベント フィールド
システムは、潜在的な侵入を特定すると侵入イベントを生成します。これは、エクスプロイトの日付、時間、タイプ、および攻撃元とそのターゲットに関するコンテキスト情報のデータです。パケットベースのイベントの場合、イベントをトリガーとして使用したパケットのコピーも記録されます。
侵入イベントを検索するときは、個別のイベントで利用可能な情報は、システムがいつ、なぜ、どのようにしてイベントを記録したかによって異なることに注意してください。たとえば、復号化されたトラフィックでトリガーされた侵入イベントだけが SSL 情報を含んでいます。
 （注） | デフォルトでは、侵入イベントのテーブル ビューにいくつかのフィールドが表示されます。セッション中にフィールドを有効にするには、検索制約を拡張してから、[無効の列（Disabled Columns）] の下の列名をクリックします。 |
アクセス コントロール ポリシー（Access Control Policy）
イベントを生成した侵入ルール、プリプロセッサ ルール、またはデコーダ ルールが有効になっている侵入ポリシーに関連付けられているアクセス コントロール ポリシー。
アクセス コントロール ルール（Access Control Rule）
イベントを生成した侵入ルールを呼び出したアクセス コントロール ルール。[デフォルト アクション（Default Action）] は、ルールが有効化されている侵入ポリシーが特定のアクセス コントロール ルールに関連付けられておらず、代わりに、アクセス コントロール ポリシーのデフォルト アクションとして設定されていることを示しています。
侵入インスペクションがアクセス コントロール ルールにもデフォルト アクションにも関連付けられていない場合、このフィールドは空欄になります。たとえば、パケットがデフォルトの侵入ポリシーによって検査された場合などです。
アプリケーション プロトコル（Application Protocol）
（使用可能な場合）侵入イベントをトリガーとして使用したトラフィックで検出されたホスト間の通信を表す、アプリケーション プロトコル。
アプリケーション プロトコル カテゴリおよびタグ（Application Protocol Category and Tag）
アプリケーションのリスク（Application Risk）
侵入イベントをトリガーしたトラフィックで検出されたアプリケーションに関連付けられているリスク。[非常に高い（Very High）]、[高（High）]、[中（Medium）]、[低（Low）]、および [非常に低い（Very Low）]。接続で検出されるアプリケーションのタイプごとに関連するリスクがあります。このフィールドは、それらのうち最も高いリスクを表示します。
ビジネスとの関連性（Business Relevance）
侵入イベントをトリガーしたトラフィックで検出されたアプリケーションに関連付けられているビジネスとの関連性。[非常に高い（Very High）]、[高（High）]、[中（Medium）]、[低（Low）]、および [非常に低い（Very Low）]。接続で検出されるアプリケーションのタイプごとに関連するビジネスとの関連性があります。このフィールドは、それらのうち最も低い（関連性が最も低い）ものを表示します。
分類（Classification）
このフィールドを検索するときは、表示するイベントを生成したルールの分類番号を入力するか、分類名または説明のすべてまたは一部を入力します。また、番号、名前、または説明のコンマ区切りリストを入力することもできます。最後に、カスタム分類を追加した場合、その名前または説明のすべてまたは一部を使用して検索することもできます。
クライアント（Client）
（使用可能な場合）侵入イベントをトリガーとして使用したトラフィックで検出されたモニタ対象のホストで実行されているソフトウェアを表す、クライアント アプリケーション。
クライアント カテゴリおよびタグ（Client Category and Tag）
メンバー数（Count）
各行に表示される情報と一致するイベントの数。[カウント（Count）] フィールドは、複数の同一行が生成される制限を適用した後でのみ表示されることに注意してください。このフィールドは検索できません。
送信先の大陸（Destination Continent）
送信先の国（Destination Country）
宛先 IP（Destination IP）
送信先ポートまたは ICMP コード（Destination Port / ICMP Code）
トラフィックを受信するホストのポート番号。ICMP トラフィックの場合は、ポート番号がないため、このフィールドには ICMP コードが表示されます。
宛先ユーザ（Destination User）
Device
アクセス コントロール ポリシーが展開された管理対象デバイス。
スタック構成設定では、プライマリ デバイスとセカンダリ デバイスは、別々のデバイスであるかのように侵入イベントをレポートすることに注意してください。
ドメイン
侵入を検出したデバイスのドメイン。このフィールドは、マルチテナンシーのために Firepower Management Center を設定したことがある場合に表示されます。
出力インターフェイス（Egress Interface）
イベントをトリガーとして使用したパケットの出力インターフェイス。パッシブ インターフェイスの場合、このインターフェイスの列には入力されません。
出力セキュリティ ゾーン（Egress Security Zone）
イベントをトリガーとして使用したパケットの出力セキュリティ ゾーン。パッシブ展開環境では、このセキュリティ ゾーンのフィールドには入力されません。
電子メールの添付ファイル（Email Attachments）
[MIME コンテンツ - 傾向（MIME Content-Disposition）] 見出しから取得された MIME 添付ファイル名。添付ファイルの名前を表示するには、SMTP プリプロセッサの [MIME 添付ファイル名のログ（Log MIME Attachment Names）] オプションを有効にする必要があります。複数の添付ファイル名がサポートされます。
電子メール ヘッダー（Email Headers）（検索のみ）
電子メールのヘッダーを SMTP トラフィックの侵入イベントと関連付けるには、SMTP プリプロセッサの [ヘッダーのログ（Log Headers）] オプションを有効にする必要があります。
メール受信者（Email Recipient）
SMTP RCPT TO コマンドから取得された電子メール受信者のアドレス。このフィールドの値を表示するには、SMTP プリプロセッサの [受信者アドレスのログ（Log To Addresses）] オプションを有効にする必要があります。複数の受信者アドレスがサポートされます。
メール送信者（Email Sender）
SMTP MAIL FROM コマンドから取得された電子メール送信者のアドレス。このフィールドの値を表示するには、SMTP プリプロセッサの [送信者アドレスのログ（Log From Address）] オプションを有効にする必要があります。複数の送信者アドレスがサポートされます。
ジェネレータ（Generator）
HTTP ホスト名（HTTP Hostname）
HTTP 要求のホスト ヘッダーから取得されたホスト名（存在する場合）。要求パケットにホスト名が常に含まれているわけではないことに注意してください。
ホスト名を HTTP クライアント トラフィックの侵入イベントと関連付けるには、HTTP 検査プリプロセッサの [ホスト名のログ（Log Headers）] オプションを有効にする必要があります。
テーブル ビューで、この列には、取得されたホスト名の最初の 50 文字が表示されます。ホストの省略名の表示部分にポインタを合わせると、最大 256 バイトまでの完全な名前を表示することができます。また、最大 256 バイトまでの完全なホスト名をパケット ビューに表示することもできます。
HTTP 応答コード（HTTP Response Code）
イベントをトリガーした接続を介してクライアントの HTTP 要求に応答して送信される HTTP ステータス コード。
HTTP URI
（存在する場合）侵入イベントをトリガーした HTTP 要求パケットに関連付けられた raw URI。要求パケットに URI が常に含まれているわけではないことに注意してください。
URI を HTTP クライアント トラフィックの侵入イベントと関連付けるには、HTTP 検査プリプロセッサの [URI のログ（Log URI）] オプションを有効にする必要があります。
HTTP 応答によってトリガーとして使用された侵入イベントの関連 HTTP URI を参照するには、[両方のポートでのストリーム再構成の実行（Perform Stream Reassembly on Both Ports）] オプションに HTTP サーバのポートを設定する必要があります。ただし、これにより、トラフィックのリアセンブル用のリソース要求が増加することに注意してください。
この列には、取得された URI の最初の 50 文字が表示されます。省略 URI の表示部分にポインタを合わせると、最大 2048 バイトまでの完全な URI を表示することができます。また、最大 2048 バイトまでの完全な URI をパケット ビューに表示することもできます。
影響（Impact）
このフィールドの影響レベルは、侵入データ、ネットワーク検出データ、脆弱性情報との関係を示します。
このフィールドを検索するときは、影響アイコンの色または一部の文字列を指定しないでください。たとえば、blue、level 1、または 0 を使用しないでください。有効な大文字と小文字を区別しない値は次のとおりです。
-
Impact 0、Impact Level 0
-
Impact 1、Impact Level 1
-
Impact 2、Impact Level 2
-
Impact 3、Impact Level 3
-
Impact 4、Impact Level 4
NetFlow データからネットワーク マップに追加されたホストに使用可能なオペレーティング システムの情報はないので、システムは、それらのホストに作用する侵入イベントに対し脆弱な（インパクト レベル 1：赤）インパクト レベルを割り当てることができません。このような場合は、ホスト入力機能を使用して、ホストのオペレーティング システム ID を手動で設定します。
入力インターフェイス（Ingress Interface）
イベントをトリガーしたパケットの入力インターフェイス。パッシブ インターフェイスの場合、このインターフェイスの列だけに入力されます。
入力セキュリティ ゾーン（Ingress Security Zone）
イベントをトリガーとして使用したパケットの入力セキュリティ ゾーン。パッシブ展開環境では、このセキュリティ ゾーン フィールドだけに入力されます。
インライン結果（Inline Result）
ワークフローとテーブル ビューでは、このフィールドには次のいずれかが表示されます。
-
灰色の下矢印：[インライン時にドロップ（Drop when Inline）] 侵入ポリシー オプション（インライン展開環境）を有効にした場合、またはシステムがプルーニングしている間に [ドロップしてイベントを生成する（Drop and Generate）] ルールがイベントを生成した場合、IPS がパケットをドロップしたことを示します
-
空白：トリガーとして使用されたルールが [ドロップしてイベントを生成する（Drop and Generate Events）] に設定されていないことを示します
侵入ポリシーのルールの状態またはインライン ドロップ動作にかかわらず、インライン インターフェイスがタップ モードになっている場合を含め、パッシブ展開環境ではシステムはパケットをドロップしません。
侵入ポリシー（Intrusion Policy）
イベントを生成した侵入ルール、プリプロセッサ ルール、またはデコーダ ルールが有効にされた侵入ポリシー。アクセス コントロール ポリシーのデフォルト アクションとして侵入ポリシーを選択するか、アクセス コントロール ルールと侵入ポリシーを関連付けることができます。
IOC
侵入イベントをトリガーとして使用したトラフィックが、接続に関係するホストに対する侵入の痕跡（IOC）もトリガーとして使用したかどうか。このフィールドを検索するときは、triggered または n/a を指定します。
メッセージ（Message）
イベントを説明するテキスト。ルールベースの侵入イベントの場合、イベント メッセージはルールから取得されます。デコーダベースおよびプリプロセッサベースのイベントの場合は、イベント メッセージはハード コーディングされています。
MPLSラベル（MPLS Label）
ネットワーク分析ポリシー（Network Analysis Policy）
イベントの生成に関連付けられているネットワーク分析ポリシー（ある場合）。
この列には、取得された URI の最初の 50 文字が表示されます。省略 URI の表示部分にポインタを合わせると、最大 2048 バイトまでの完全な URI を表示することができます。また、最大 2048 バイトまでの完全な URI をパケット ビューに表示することもできます。
クライアントのオリジナル IP（Original Client IP）
X-Forwarded-For（XFF）、True-Client-IP、またはカスタム定義の HTTP ヘッダーから取得された、元のクライアント IP アドレス。
このフィールドの値を表示するには、ネットワーク解析ポリシーで HTTP プリプロセッサ [元のクライアント IP アドレスの抽出（Extract Original Client IP Address）] オプションを有効にする必要があります。オプションで、ネットワーク解析ポリシーの同じエリアで、最大 6 つのカスタム クライアント IP 見出しを指定し、システムが [クライアントのオリジナル IP（Original Client IP）] イベント フィールドの値を選択する優先順位を設定します。
[プライオリティ（Priority）]
Cisco Talos Security Intelligence and Research Group（Talos） で指定されたイベントの優先度。優先度は、priority キーワードの値または classtype キーワードの値に対応します。その他の侵入イベントの場合、プライオリティはデコーダまたはプリプロセッサによって決定されます。有効な値は、[高（high）]、[中（medium）]、および [低（low）] です。
プロトコル（Protocol）（検索のみ）
http://www.iana.org/assignments/protocol-numbers に一覧表示されている、接続で使用するトランスポート プロトコルの名前または番号。これは、送信元および宛先ポート/ICMP の列と関連付けられたプロトコルです。
確認者（Reviewed By）
イベントを確認したユーザの名前。このフィールドを検索するときは、unreviewed と入力すると、まだ確認されていないイベントを検索できます。
セキュリティ コンテキスト（Security Context）
トラフィックが通過した仮想ファイアウォール グループを識別するメタデータ。システムがこのフィールドにデータを設定するのは、マルチ コンテキスト モードの ASA FirePOWER だけです。
Snort ID（Snort ID）（検索のみ）
イベントを生成したルールの Snort ID（SID）を指定するか、オプションで、ルールの複合ジェネレータ ID（GID）および SID を指定します。ここで、GID および SID は、コロン（:）で区切られ、GID:SID の形式になります。次の表の任意の値を指定できます。
ソースの大陸（Source Continent）
ソースの国（Source Country）
ソース IP
送信元ポート/ICMP タイプ（Source Port / ICMP Type）
送信元ホストのポート番号。ICMP トラフィックの場合は、ポート番号がないため、このフィールドには ICMP タイプが表示されます。
送信元ユーザ（Source User）
SSL の実際のアクション（SSL Actual Action）（検索のみ）
- ブロック（Block）/リセットしてブロック（Block With Reset）
-
ブロックされた暗号化接続を表します。
- 複合（再署名）（Decrypt (Resign)）
-
再署名サーバ証明書を使用して復号された発信接続を表します。
- 復号（キーの置き換え）（Decrypt (Replace Key)）
-
置き換えられた公開キーと自己署名サーバ証明書を使用して復号された発信接続を表します。
- 復号（既知のキー）（Decrypt (Known Key)）
-
既知の秘密キーを使用して復号された着信接続を表します。
- デフォルト アクション（Default Action）
-
接続がデフォルト アクションによって処理されたことを示しています。
- 復号しない（Do Not Decrypt）
-
システムが復号しなかった接続を表します。
SSL 証明書情報（SSL Certificate Information）（検索のみ）
SSL 失敗理由（SSL Failure Reason）（検索のみ）
SSL ステータス（SSL Status）
暗号化接続をログに記録した [SSL の実際のアクション（SSL Actual Action）]（SSL ルール、デフォルトのアクション、または復号化できないトラフィック アクション）に関連付けられているアクション。
システムが暗号化された接続の復号化に失敗した場合、実行された [SSL の実際のアクション（SSL Actual Action）]（復号化できないトラフィック アクション）と [SSL 障害の理由（SSL Failure Reason）] が表示されます。たとえば、不明な暗号スイートによって暗号化されたトラフィックをシステムが検出し、それ以上のインスペクションをせずにこれを許可した場合、このフィールドには [復号しない（不明な暗号スイート）（Do Not Decrypt (Unknown Cipher Suite)）] が表示されます。
証明書の詳細を表示するにはロック アイコン（
）をクリックします。
このフィールドを検索するときは、[SSL の実際のアクション（SSL Actual Action）] および [SSL 障害の理由（SSL Failure Reason）] の値を 1 つ以上を入力して、システムが処理した暗号化されたトラフィック、または復号化に失敗したトラフィックを表示します。
SSL 件名/発行元国（SSL Subject/Issuer Country）（検索のみ）
暗号化証明書に関連付けられている件名または発行者の国に関する 2 文字の ISO 3166-1 アルファ 2 国コード。
時刻（Time）
VLAN ID（Admin. VLAN ID）
Web アプリケーション（Web Application）
侵入イベントをトリガーとして使用したトラフィックで検出された HTTP トラフィックの内容または要求された URL を表す、Web アプリケーション。
システムが HTTP のアプリケーション プロトコルを検出し、特定の Web アプリケーションを検出できなかった場合、システムはここで一般的な Web ブラウジング指定を提供します。
Web アプリケーション カテゴリおよびタグ（Web Application Category and Tag）
侵入イベント影響レベル
イベントがネットワークに与える影響を評価するために、Firepower Management Center は侵入イベントのテーブル ビューに影響レベルを表示します。イベントごとに、システムは影響レベル アイコンを追加し、侵入データ、ネットワーク検出データ、脆弱性情報との関係を色で示します。
（注） | NetFlow データからネットワーク マップに追加されたホストに使用可能なオペレーティング システムの情報はないので、システムは、それらのホストに作用する侵入イベントに対し脆弱な（インパクト レベル 1：赤）インパクト レベルを割り当てることができません。このような場合は、ホスト入力機能を使用して、ホストのオペレーティング システム ID を手動で設定します。 |
 |
|||
 |
|||
 |
|||
 |
|||
 |
送信元ホストまたは宛先ホストがモニタ対象のネットワークにありますが、ネットワーク マップ内にそのホストのエントリがありません。 |
侵入イベントと関連付けられた接続データの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
システムは、侵入イベントが検出された接続を記録できます。このロギングは、アクセス コントロール ルールに関連付けられている侵入ポリシーに対して自動的に行われますが、デフォルト アクションに関連する接続データを参照するには、接続ロギングを手動で有効にする必要があります。
関連データの表示は、イベントのテーブル ビュー間を移動する場合に非常に役立ちます。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
| ステップ 1 | を選択します。 | ||
| ステップ 2 | イベント ビューアのチェック ボックスを使用して侵入イベントを選択してから、[ジャンプ（Jump to）] ドロップダウン リストから [接続（Connections）] を選択します。
|
侵入イベントを確認済みとしてマーク
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
侵入イベントが悪意のあるものではないことがわかったら、そのイベントを確認済みとしてマークできます。
侵入イベントを調べて、そのイベントがネットワーク セキュリティに対して脅威ではないことがわかったら（たとえば、ネットワーク上のどのホストも検出されたエクスプロイトに対して脆弱でないことがわかっているなど）、そのイベントを確認済みとしてマークできます。確認済みのイベントはイベント データベースに保存され、イベント要約統計に含まれますが、デフォルトの侵入イベント ページには表示されなくなります。自分の名前がレビューアとして表示されます。
マルチドメイン展開では、イベントに確認済みのマークを付けると、そのイベントを表示可能なすべてのドメインでシステムによってイベントに確認済みのマークが付けられます。
バックアップを実行してから確認済みの侵入イベントビューを削除した場合、バックアップを復元すると、削除された侵入イベント ビューは復元されますが、確認済みのステータスは復元されません。こうして復元された侵入イベントは、[確認済みイベント（Reviewed Events）] の下ではなく [侵入イベント（Intrusion Events）] の下に表示されます。
以前に確認された侵入イベントの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
マルチドメイン展開では、イベントに確認済みのマークを付けると、そのイベントを表示可能なすべてのドメインでシステムによってイベントに確認済みのマークが付けられます。
| ステップ 1 | を選択します。 |
| ステップ 2 | 次の選択肢があります。
|
侵入イベントへの未確認としてマーク
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
イベントに未確認のマークを付けることで、確認済みイベントをデフォルトの侵入イベント ビューに戻すことができます。
マルチドメイン展開では、イベントに確認済みのマークを付けると、そのイベントを表示可能なすべてのドメインでシステムによってイベントに確認済みのマークが付けられます。
プロプロセッサ イベント
プリプロセッサが提供する機能は 2 つあります。1 つは、パケットに対して指定されたアクション（HTTP トラフィックを復号して正規化するなど）を実行する機能、もう 1 つは、パケットが特定のプリプロセッサ オプションをトリガーしたときに関連するプリプロセッサ ルールが有効にされている場合は常にイベントを生成することで、指定のプリプロセッサ オプションの実行を報告するという機能です。たとえば、プリプロセッサが IIS の二重にエンコードされたトラフィックを検出した場合にイベントが生成されるようにするには、HTTP Inspect の [二重エンコード（Double Encoding）] オプションと、HTTP Inspect Generator（GID）119 および Snort ID（SID）2 が設定された関連するプリプロセッサ ルールを有効にします。
プリプロセッサの実行を報告するイベントを生成すると、異常なプロトコル エクスプロイトを検出するのに役立ちます。たとえば、攻撃者は重複している IP フラグメントを作成して、ホスト上で DoS 攻撃を引き起こす可能性があります。IP 最適化プリプロセッサはこのタイプの攻撃を検出し、それに関する侵入イベントを生成できます。
プリプロセッサ イベントは、パケット ディスプレイにイベントの詳細なルールの説明が表示されないという点で、ルール イベントとは異なります。代わりに、パケット ディスプレイには、イベント メッセージ、GID、SID、パケット ヘッダー データおよびパケット ペイロードが表示されます。これにより、パケットのヘッダー情報を分析し、そのヘッダー オプションが使用中であるかをどうか判断して、それがシステムをエクスプロイトする可能性がある場合は、パケット ペイロードを検査できます。プリプロセッサによる各パケットの分析が完了すると、ルール エンジンは、その結果に応じて適切なルールを実行し（プリプロセッサが各パケットを最適化し、有効なセッションの一部として確立できた場合）、潜在的なコンテンツ レベルの脅威についてさらに分析を行い、それらのパケットについて報告します。
プリプロセッサのジェネレータ ID
各プリプロセッサには、独自のジェネレータ ID 番号（GID）があり、これはパケットによってトリガーとして使用されたプリプロセッサを示します。一部のプリプロセッサは関連した SID もあり、これは潜在的攻撃を分類する ID 番号です。ルールの Snort ID（SID）が、ルールをトリガーとして使用するパケットのコンテキストを提供できる方法とほぼ同じで、この ID 番号によりイベントのタイプを分類することによって、イベントをより効率的に分析するのに役立ちます。侵入ポリシー ルールのページのプリプロセッサ フィルター グループのプリプロセッサごとにプリプロセッサ ルールをリストできます。また、プリプロセッサのプリプロセッサ ルールとカテゴリ フィルター グループのパケット デコーダ サブグループをリストできます。
（注） | 標準テキスト ルールによって生成されるイベントのジェネレータ ID は 1 です。共有オブジェクト ルールの場合、イベントのジェネレータ ID は 3 です。どちらの場合も、トリガーした特定のルールがイベントの SID に示されます。 |
次の表では、各 GID を生成するイベントのタイプについて説明します。
侵入イベントのワークフロー ページ
現在の侵入ポリシーで有効になっているプリプロセッサ、デコーダ、および侵入ルールは、モニタしているトラフィックがポリシーに違反するたびに、侵入イベントを生成します。
Firepower システムは、侵入イベントの表示および分析に使用できる、イベント データが入力された定義済みワークフローのセットを提供します。これらのワークフローは、評価する侵入イベントの特定に役立つ一連のページを表示して手順を示します。
定義済みの侵入イベントのワークフローには、次の 3 種類のページまたはイベント ビューがあります。
ドリルダウン ページには通常、1 つの特定の種類の情報を表示できるように 1 つのテーブル（一部のドリルダウン ビューでは複数のテーブル）に 2 つ以上の列が含まれます。
「ドリルダウン」して 1 つ以上の宛先ポートの詳細情報を検索すると、これらのイベントは自動的に選択され、ワークフローの次のページが表示されます。このように、ドリルダウン テーブルを使用すると、一度に分析するイベントの数を減らすことができます。
侵入イベントの最初のテーブル ビューでは、各侵入イベントが独自の行にリストされます。テーブルの列には、時間、発信元 IP アドレスおよびポート、宛先 IP アドレスおよびポート、イベントの優先度、イベント メッセージなどの情報が示されます。
イベントを選択してワークフローの次のページを表示する代わりに、テーブル ビューでイベントを選択した場合、イベントはいわゆる制約に追加されます。制約とは、分析するイベントの種類に加える制限のことです。
たとえば、任意の列で列のクローズ アイコン（
）をクリックして、ドロップダウン リストから [時間（Time）] をクリアすると、[時間（Time）] を列の 1 つとして削除できます。分析内でイベントのリストを絞り込むには、テーブル ビューの行のいずれかの値のリンクをクリックします。たとえば、分析を送信元 IP アドレスの 1 つ（おそらく、潜在的な攻撃者）から生成されたイベントに制限するには、[送信元 IP アドレス（Source IP Address）] 列の IP アドレスをクリックします。
テーブル ビューの 1 つまたは複数の行を選択し、[表示（View）] をクリックすると、パケット ビューが表示されます。パケット ビューは、ルールをトリガーとして使用したパケットまたはイベントを生成したプリプロセッサに関する情報を提供します。パケット ビューの各セクションには、パケット内の特定の層についての情報が含まれます。折りたたまれたセクションを展開すると、より多くの情報を参照できます。
（注） | それぞれのポートスキャン イベントは複数のパケットによってトリガーとして使用されるため、ポートスキャン イベントは特別なバージョンのパケット ビューを使用します。 |
事前定義済みのワークフローが特定のニーズに合致しない場合は、必要な情報だけを表示するカスタム ワークフローを作成できます。カスタム侵入イベントのワークフローには、ドリルダウン ページ、イベントのテーブル ビュー、またはその両方を含めることができます。システムはパケット ビューを最後のページとして自動的に組み込みます。イベントを調査する方法に応じて、定義済みワークフローと独自のカスタム ワークフローを簡単に切り替えることができます。
侵入イベント ワークフローの使用
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
イベントのドリルダウン ビューとテーブル ビューは、イベントのリストを絞り込み、関連するイベントのグループに分析を集中するために使用できる共通機能を共有します。
別のワークフロー ページで同じ侵入イベントを表示しないようにするため、ページの下部にあるリンクをクリックして別のページのイベントを表示すると時間範囲は一時停止し、クリックして後続のページでその他のアクションを実行すると再開します。
 ヒント | プロセスの任意の時点で、制約を検索条件のセットとして保存できます。たとえば、ネットワークが数日にわたり単一の IP アドレスから攻撃者によって探られていることに気付いた場合、調査中に制約をいったん保存し、後で使用することができます。ただし、複合制約を検索条件のセットとして保存することはできません。 |
| ステップ 1 | を使用して侵入イベント ワークフローにアクセスします。 | ||||
| ステップ 2 | オプションで、侵入イベント ドリルダウン ページの制約または侵入イベント テーブル ビューの制約の説明に従って、イベント ビューに表示される侵入イベントの数を制限します。 | ||||
| ステップ 3 | 次の選択肢があります。
|
）をクリックします。侵入イベント ドリルダウン ページの制約
次の表では、ドリルダウン ページの使用方法について説明します。
侵入イベント テーブル ビューの制約
）をクリックして検索制約を拡張し、[無効の列（Disabled Columns）]
）をクリックします。侵入イベント パケット ビューの使用
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
パケット ビューは、侵入イベントを生成したルールをトリガーとして使用したパケットに関する情報を表示します。
ヒント | イベントを検出するデバイスで [パケットの転送（Transfer Packet）] オプションが無効になっている場合、Firepower Management Center でのパケット ビューにはパケット情報は含まれません。 |
パケット ビューは、パケットがトリガーとして使用した侵入イベントに関する情報を提供することによって、イベントのタイム スタンプ、メッセージ、分類、優先度、イベントを生成したルール（イベントが標準テキスト ルールによって生成された場合）など、特定のパケットがキャプチャされた理由を示します。パケット ビューは、パケットのサイズなど、パケットに関する一般情報も表示します。
さらに、パケット ビューにはパケット内の各層（データ リンク、ネットワーク、およびトランスポート）について説明したセクションと、パケットを構成するバイトについて説明したセクションがあります。システムがパケットを復号化した場合は、復号化されたバイトを表示できます。折りたたまれたセクションを展開すると、詳細情報を参照できます。
（注） | それぞれのポートスキャン イベントは複数のパケットによってトリガーとして使用されるため、ポートスキャン イベントは特別なバージョンのパケット ビューを使用します。 |
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
| ステップ 1 | 侵入イベント テーブル ビューの制約の説明に従って、侵入イベントのテーブル ビューで、表示するパケットを選択します。 | ||
| ステップ 2 | 複数のイベントを選択した場合は、オプションで、ページの下部にあるページ番号を使用することによって、パケット ビューでパケットのページを切り替えることができます。 | ||
| ステップ 3 | 次のオプションもあります。
|
イベント情報のフィールド
パケット ビューで、[イベント情報（Event Information）] セクションのパケットに関する情報を表示できます。
イベント
イベントのメッセージ。ルールベースのイベントの場合、これはルール メッセージに対応します。他のイベントの場合、これはデコーダまたはプリプロセッサによって決まります。
イベントの ID は、(GID:SID:Rev) の形式でメッセージに付加されます。GID は、ルール エンジン、デコーダ、またはイベントを生成したプリプロセッサのジェネレータ ID です。SID は、ルール、デコーダ メッセージ、またはプリプロセッサ メッセージの ID です。Rev はルールのリビジョン番号です。
Timestamp
分類（Classification）
イベントの分類。ルールベースのイベントの場合、これはルールの分類に対応します。他のイベントの場合、これはデコーダまたはプリプロセッサによって決まります。
[プライオリティ（Priority）]
イベントの優先度。ルールベースのイベントの場合、これは priority キーワードの値または classtype キーワードの値に対応します。他のイベントの場合、これはデコーダまたはプリプロセッサによって決まります。
入力セキュリティ ゾーン（Ingress Security Zone）
イベントをトリガーしたパケットの入力セキュリティ ゾーン。パッシブ展開環境では、このセキュリティ ゾーン フィールドだけに入力されます。
出力セキュリティ ゾーン（Egress Security Zone）
イベントをトリガーとして使用したパケットの出力セキュリティ ゾーン。パッシブ展開では、このフィールドには入力されません。
ドメイン
管理対象デバイスが属するドメイン。このフィールドは、マルチテナンシーのために Firepower Management Center を設定したことがある場合に表示されます。
Device
アクセス コントロール ポリシーが展開された管理対象デバイス。
スタック構成設定では、プライマリ デバイスとセカンダリ デバイスは、別々のデバイスであるかのように侵入イベントをレポートすることに注意してください。
セキュリティ コンテキスト（Security Context）
トラフィックが通過した仮想ファイアウォール グループを識別するメタデータ。マルチ コンテキスト モードの ASA FirePOWER の場合に、システムがこのフィールドにデータを設定することに注意してください。
入力インターフェイス（Ingress Interface）
イベントをトリガーしたパケットの入力インターフェイス。パッシブ インターフェイスの場合、このインターフェイスの列だけに入力されます。
出力インターフェイス（Egress Interface）
送信元/宛先 IP（Source/Destination IP）
イベントをトリガーとして使用したパケットの発生元（送信元）であるホスト IP アドレスまたはドメイン名、またはイベントをトリガーとして使用したトラフィックのターゲット（宛先）ホスト。
送信元ポート/ICMP タイプ（Source Port/ICMP Type）
イベントをトリガーしたパケットの送信元ポート。ICMP トラフィックの場合は、ポート番号がないため、システムは ICMP タイプを表示します。
宛先ポート/ICMP コード（Destination Port/ICMP Code）
トラフィックを受信するホストのポート番号。ICMP トラフィックの場合は、ポート番号がないため、システムは ICMP コードを表示します。
電子メールのヘッダー（Email Headers）
電子メール ヘッダーから取得したデータ。電子メール ヘッダーは侵入イベントのテーブル ビューには表示されませんが、電子メール ヘッダー データは検索条件として使用できることに注意してください。
電子メールのヘッダーを SMTP トラフィックの侵入イベントと関連付けるには、SMTP プリプロセッサの [ヘッダーのログ（Log Headers）] オプションを有効にする必要があります。ルールベースのイベントの場合、この行は電子メール データが取得されたときに表示されます。
HTTP ホスト名（HTTP Hostname）
（存在する場合）HTTP 要求のホスト ヘッダーから取得されたホスト名。この行には、最大 256 バイトの完全なホスト名が表示されます。ホスト名が 1 行より長い場合は、完全なホスト名を展開できます。
ホスト名を表示するには、HTTP 検査プリプロセッサ [ホスト名のログ（Log Hostname）] オプションを有効にする必要があります。
HTTP 要求パケットにホスト名が常に含まれているわけではないことに注意してください。ルールベースのイベントの場合、この行はパケットに HTTP ホスト名または HTTP URI が含まれる場合に表示されます。
HTTP URI
（存在する場合）侵入イベントをトリガーした HTTP 要求パケットに関連付けられた raw URI。この行には、最大 2048 バイトの完全な URI が表示されます。URI が 1 行より長い場合は、完全な URI を展開できます。
URI を表示するには、HTTP 検査プリプロセッサ [URI のログ（Log URI）] オプションを有効にする必要があります。
HTTP 要求パケットに URI が常に含まれているわけではないことに注意してください。ルールベースのイベントの場合、この行はパケットに HTTP ホスト名または HTTP URI が含まれる場合に表示されます。
HTTP 応答によってトリガーとして使用された侵入イベントの関連 HTTP URI を参照するには、[両方のポートでのストリーム再構成の実行（Perform Stream Reassembly on Both Ports）] オプションに HTTP サーバのポートを設定する必要があります。ただし、これにより、トラフィックのリアセンブル用のリソース要求が増加することに注意してください。
侵入ポリシー（Intrusion Policy）
（存在する場合）侵入イベントを生成した侵入、プリプロセッサ、デコーダのルールが有効にされた侵入ポリシー。アクセス コントロール ポリシーのデフォルト アクションとして侵入ポリシーを選択するか、アクセス コントロール ルールと侵入ポリシーを関連付けることができます。
アクセス コントロール ポリシー（Access Control Policy）
イベントを生成した侵入ルール、プリプロセッサ ルール、またはデコーダ ルールが有効にされた侵入ポリシーが含まれるアクセス コントロール ポリシー。
アクセス コントロール ルール（Access Control Rule）
イベントを生成した侵入ルールと関連付けられたアクセス コントロール ルール。[デフォルト アクション（Default Action）] は、ルールが有効にされた侵入ポリシーがアクセス コントロール ルールに関連付けられていないことと、代わりにアクセス コントロール ポリシーのデフォルト アクションとして設定されていることを示します。
ルール（Rule）
標準テキスト ルール イベントの場合、イベントを生成したルール。
イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。
ルール データにはネットワークに関する機密情報が含まれるため、管理者はユーザがローカル ルールの表示権限を使用してパケット ビューでルール情報を表示できる機能を、ユーザ ロール エディタで切り替えることができます。
アクション（Actions）
標準テキスト ルール イベントの場合は、[アクション（Actions）] を展開して、イベントをトリガーとして使用したルールに対して次の操作のいずれかを実行します。
イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。
パケット ビュー内での侵入ルールの設定
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
侵入イベントのパケット ビュー内で、イベントをトリガーとして使用したルールに対して複数のアクションを実行できます。イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。
| ステップ 1 | 侵入ルールによって生成された侵入イベントのパケット ビュー内で、[イベント情報（Event Information）] セクションの [アクション（Actions）] を展開します。 | ||||||
| ステップ 2 | 次の選択肢があります。
|
パケット ビュー内でのしきい値オプションの設定
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
侵入イベントのパケット ビューでしきい値オプションを設定することによって、ルールごとに時間の経過とともに生成されるイベントの数を制御できます。ローカルで編集できるすべてのポリシーに、またはローカルで編集できる場合は現在のポリシー（つまり、イベントを生成したポリシー）のみに、しきい値オプションを設定できます。
パケット ビュー内での抑制オプションの設定
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
抑制オプションを使用して、侵入イベントをまとめて、または送信元 IP アドレスまたは宛先 IP アドレスに基づいて抑制できます。ローカルで編集できるすべてのポリシーで抑制オプションを設定できます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）のみに抑制オプションを設定することもできます。
フレーム情報のフィールド
パケット ビューで、[フレーム（Frame）] の横にある矢印をクリックして、キャプチャされたフレームに関する情報を表示します。パケット ビューには単一フレームまたは複数フレームを表示できます。各フレームには、個々のネットワーク パケットに関する情報が表示されます。たとえば、タグ付きパケットまたは再構成された TCP ストリーム内のパケットの場合、複数のフレームが表示されます。
フレーム n（Frame n）
キャプチャされたフレーム。n は単一フレーム パケットの場合は 1、複数フレーム パケットの場合は差分フレーム番号です。フレーム内のキャプチャされたバイト数はフレーム番号に追加されます。
到着時間（Arrival Time）
キャプチャ済みのフレームの時間デルタ（Time delta from previous captured frame）
表示済みのフレームの時間デルタ（Time delta from previous displayed frame）
参照以降または先頭フレームからの時間（Time since reference or first frame）
フレーム番号（Frame Number）
フレーム長（Frame Length）
キャプチャ長（Capture Length）
フレームのマーク付け（Frame is marked）
フレームのプロトコル（Protocols in frame）
データリンク層情報フィールド
パケット ビューで、データリンク層プロトコル（たとえば、[イーサネット II（Ethernet II）] ）の横にある矢印をクリックして、パケットに関するデータリンク層情報を表示します。これには、送信元ホストおよび宛先ホストの 48 ビットの Media Access Control（MAC）アドレスが含まれます。ハードウェア プロトコルに応じて、パケットに関する他の情報も表示されることがあります。
（注） | この例では、イーサネット リンク層情報について説明していることに注意してください。他のプロトコルも表示されることがあります。 |
パケット ビューはデータリンク層で使用されるプロトコルを反映します。次のリストでは、パケット ビューでイーサネット II または IEEE 802.3 イーサネット パケットについて参照できる情報について説明します。
[接続先（Destination）]
（注） | イーサネットは、宛先アドレスとしてマルチキャストおよびブロードキャスト アドレスを使用することもできます。 |
ソース（Source）
タイプ（Type）
イーサネット II パケットの場合、イーサネット フレームでカプセル化されるパケットの種類。たとえば、IPv6 または ARP データグラム。この項目はイーサネット II パケットの場合にのみ表示されることに注意してください。
長さ（Length）
IEEE 802.3 イーサネット パケットの場合、チェックサムを含まないパケットのトータル長（バイト単位）。この項目は IEEE 802.3 イーサネット パケットの場合にのみ表示されることに注意してください。
ネットワーク層情報の表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
|
IPv4 ネットワーク層の情報フィールド
バージョン（Version）
ヘッダー長（Header Length）
差別化サービス（Differentiated Services）フィールド
トータル長（Total Length）
ID
送信元ホストから送信される IP データグラムを一意に識別する値。この値は同じデータグラム フラグメントをトレースするために使用されます。
フラグ（Flags）
[最終フラグメント（Last Fragment）] フラグの値は、データグラムに関連付けられた追加のフラグメントが存在するかどうかを次のように示します。
[フラグメント化しない（Don’t Fragment）] フラグの値は、データグラムをフラグメント化できるかどうかを次のように制御します。
フラグメント オフセット（Fragment Offset）
存続時間（ttl）（Time to Live (ttl)）
プロトコル
ヘッダー チェックサム（Header Checksum）
IP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損したか、侵入回避の試行において使用中である可能性があります。
送信元/宛先（Source/Destination）
送信元（または宛先）ホストの IP アドレスまたはドメイン名。
ドメイン名を表示するには、IP アドレス解決を有効にする必要があることに注意してください。
アドレスまたはドメイン名をクリックしてコンテキスト メニューを表示してから、whois 検索を実行する場合は [Whois] を、ホスト情報を表示する場合は [ホスト プロファイルの表示（View Host Profile）] を、アドレスをグローバル ブラックリストまたはホワイトリストに追加する場合は [今すぐブラックリスト化する（Blacklist Now）] または [今すぐホワイトリスト化する（Whitelist Now）] を選択します。
IPv6 ネットワーク層の情報フィールド
トラフィック クラス（Traffic Class）
IPv4 で提供される差別化サービス機能と同じように、IPv6 パケット クラスまたは優先度を特定する IPv6 見出し内の Experimental 8 ビットのフィールド。未使用の場合、このフィールドはゼロに設定されます。
フロー ラベル（Flow Label）
非デフォルトの QoS またはリアルタイム サービスなどの特別なフローを特定する、1 から FFFF までの、オプションの 20 ビットの IPv6 16 進数値。未使用の場合、このフィールドはゼロに設定されます。
ペイロード長（Payload Length）
IPv6 ペイロードのオクテットの数を特定する 16 ビット フィールド。これは、任意の拡張子見出しを含む、IPv6 見出しに続くすべてのパケットで構成されます。
次ヘッダー（Next Header）
IPv4 プロトコル フィールドと同じ値を使用して、IPv6 見出しのすぐ後に続く、見出しの種類を特定する 8 ビットのフィールド。
ホップ リミット（Hop Limit）
パケットを転送するノードごとに 1 つずつデクリメントする 8 ビットの 10 進整数。デクリメントした値がゼロになると、パケットは破棄されます。
ソース（Source）
[接続先（Destination）]
トランスポート層情報の表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
| ステップ 1 | パケット ビューで、トランスポート層プロトコル（たとえば [TCP]、[UDP]、または [ICMP]）の横にある矢印をクリックします。 | ||
| ステップ 2 | オプションで、存在する場合、[データ（Data）] をクリックして、パケット ビューの [パケット情報（Packet Information）] セクションで、プロトコルのすぐ上にあるペイロードの最初の 24 バイトを表示します。 | ||
| ステップ 3 | TCP パケット ビューのフィールド、UDP パケット ビューのフィールド、またはICMP パケット ビュー フィールドの説明に従って、TCP、UDP、ICMP プロトコルのトランスポート層の内容を表示します。
|
TCP パケット ビューのフィールド
ソース ポート
接続先ポート（Destination port）
シーケンス番号（Sequence number）
次のシーケンス番号（Next sequence number）
確認応答番号（Acknowledgement number）
ヘッダー長（Header Length）
フラグ（Flags）
ウィンドウ サイズ（Window size）
チェックサム（Checksum）
TCP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損したか、回避の試行において使用中である可能性があります。
緊急ポインタ（Urgent Pointer）
オプション（Options）
UDP パケット ビューのフィールド
ソース ポート
接続先ポート（Destination port）
長さ（Length）
チェックサム（Checksum）
UDP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損した可能性があります。
ICMP パケット ビュー フィールド
タイプ（Type）
コード（Code）
ICMP メッセージ タイプに付随するコード。ICMP メッセージ タイプ 3、5、11、および 12 には、RFC 792 で説明されている対応コードがあります。
チェックサム（Checksum）
ICMP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損した可能性があります。
パケット バイト情報の表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
侵入イベントのクリップボード
クリップボードは、任意の侵入イベント ビューから侵入イベントをコピーできる保存エリアです。
クリップボードの内容は、イベントが生成された日時別にソートされます。クリップボードに侵入イベントを追加した後、クリップボードからそれらを削除することも、クリップボードの内容のレポートを生成することもできます。
クリップボードの侵入イベントをインシデントに追加することもできます。インシデントとは、セキュリティ ポリシーの違反の可能性に関係していると思われるイベントのコンパイルです。
クリップボードのレポートの生成
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
-
クリップボードに 1 つ以上のイベントを追加します。詳細については、侵入イベント ワークフローの使用または侵入イベント パケット ビューの使用を参照してください。
クリップボードからのイベントの削除
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
インシデントに追加したくない侵入イベントがクリップボード上にある場合は、そのイベントを削除できます。
（注） | クリップボードからイベントを削除しても、イベント データベースからイベントは削除されません。ただし、イベント データベースからイベントを削除すると、イベントはクリップボードから削除されます。 |
侵入イベントの統計情報の表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
[侵入イベントの統計情報（Intrusion Event Statistics）] ページは、アプライアンスの現在の状態の概要と、ネットワークで生成されたすべての侵入イベントを表示します。
このページに表示される IP アドレス、ポート、プロトコル、イベント メッセージなどはそれぞれリンクになっています。関連イベントの情報を表示するには、任意のリンクをクリックします。たとえば、上位 10 個の宛先ポートのいずれかが 80（http）/tcp である場合、そのリンクをクリックすると、デフォルトの侵入イベント ワークフローの最初のページが表示され、そのポートをターゲットとするイベントがリストされます。現在の時刻範囲で表示されるのはイベント（およびイベントを生成する管理対象デバイス）のみであることに注意してください。さらに、確認済みマークを付けた侵入イベントも統計に引き続き表示されます。たとえば、現在の時刻範囲が過去 1 時間であり、最初のイベントが 5 時間前に生成された場合、[最初のイベント（First Event）] リンクをクリックすると、そのイベントは時刻範囲を変更するまでイベント ページには表示されません。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
| ステップ 1 | を選択します。 | ||
| ステップ 2 | ページの上部にある 2 つの選択ボックスから、統計を表示するゾーンおよびデバイスを選択するか、[すべてのセキュリティ ゾーン（All Security Zones）] および [すべてのデバイス（All Devices）] を選択して、侵入イベントを収集するすべてのデバイスの統計を表示します。 | ||
| ステップ 3 | [統計の取得（Get Statistics）] をクリックします。
|
ホスト統計情報
[侵入イベント統計情報（Intrusion Event Statistics）] ページの [ホスト統計情報（Host Statistics）] セクションは、アプライアンス自体に関する情報を提供します。Firepower Management Center では、このセクションはすべての管理対象デバイスに関する情報も提供します。
- 時刻（Time）
-
アプライアンスの現在の時刻。
- アップタイム（Uptime）
-
アプライアンス自体が再起動してから経過した日数、時間、および分数。Firepower Management Center では、[アップタイム（Uptime）] に各管理対象デバイスの最終起動時刻、ログインしたユーザの数、および負荷平均も示されます。
- ディスク使用率（Disk Usage）
-
使用中のディスクの割合。
- メモリ使用率（Memory Usage）
-
使用中のシステム メモリの割合。
- 負荷平均（Load Average）
-
直前の 1 分間、5 分間、15 分間の CPU キュー内の平均プロセス数。
イベントの概要
[侵入イベント統計（Intrusion Event Statistics）] ページの [イベントの概要（Event Overview）] セクションは、侵入イベント データベースにある情報の概要を示します。
- イベント
-
侵入イベント データベースのイベントの数。
- 時間範囲内のイベント（Events in Time Range）
-
現在選択されている時間範囲と、時間範囲内に収まるデータベースのイベントの割合。
- 最初のイベント（First Event）
-
イベント データベース内の最初のイベントのイベント メッセージ。
- 最後のイベント（Last Event）
-
イベント データベース内の最後のイベントのイベント メッセージ。
（注） | Firepower Management Center で侵入イベント データを表示中に管理対象デバイスを選択した場合は、そのデバイスの [イベントの概要（Event Overview）] セクションが代わりに表示されます。 |
イベント統計
[侵入イベント統計（Intrusion Event Statistics）] ページの [イベント統計（Event Statistics）] セクションでは、侵入イベント データベース内の情報に関する具体的な情報が表示されます。
（注） | マルチドメイン展開では、システムは、各リーフ ドメインに個別のネットワーク マップを作成します。その結果、リーフ ドメインには、ネットワーク内で一意である IP アドレスを含めることができますが、別のリーフ ドメイン内の IP アドレスと同じにすることができます。先祖ドメインでイベントの統計情報を表示すると、システムで、その IP アドレスの複数のインスタンスが繰り返し表示される場合があります。一見すると、エントリが重複しているように見えることがあります。ただし、各 IP アドレスのホスト プロファイル情報までドリル ダウンすると、それらが異なるリーフ ドメインに属していることがわかります。 |
侵入イベントのパフォーマンス グラフの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
[侵入イベントのパフォーマンス（Intrusion Event Performance）] ページでは、Firepower Management Center または管理対象デバイスの指定された期間の侵入イベントのパフォーマンス統計情報を示すグラフを生成できます。グラフを生成することにより、1 秒あたりの侵入イベントの数、1 秒あたりのメガビット数、1 パケットあたりの平均バイト数、Snort によって検査されていないパケットの割合、および TCP 正規化の結果としてブロックされたパケットの数を反映できます。これらのグラフは、過去 1 時間、前日、先週、または先月の操作の統計を表示できます。
（注） | 新しいデータは 5 分ごとに統計グラフに蓄積されます。したがって、グラフをすばやくリロードしても、次の 5 分の差分更新が実行されるまでデータは変更されていない場合があります。 |
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
| ステップ 1 | を選択します。 |
| ステップ 2 | [デバイスの選択（Select Device）] リストから、データを表示するデバイスを選択します。 |
| ステップ 3 | 侵入イベントのパフォーマンス統計情報グラフの種類で説明されているように、[グラフの選択（Select Graph(s)）] リストから、作成するグラフの種類を選択します。 |
| ステップ 4 | [時間範囲の選択（Select Time Range）] リストから、グラフに使用する時間範囲を選択します。 |
| ステップ 5 | [グラフ（Graph）] をクリックします。 |
| ステップ 6 | グラフを保存するには、グラフを右クリックし、ブラウザでイメージを保存する手順に従います。 |
侵入イベントのパフォーマンス統計情報グラフの種類
次の表に、表示可能なグラフの種類を示します。ネットワーク分析ポリシーの [インライン モード（Inline Mode）] 設定の影響を受けるデータを含むグラフ タイプでは、表示が異なるので注意してください。[インライン モード（Inline Mode）] が無効になっている場合、Web インターフェイスでアスタリスク（*）が付いているグラフ タイプ（下記の表では列に [はい（yes）] と記載）には、[インライン モード（Inline Mode）] が有効になっている場合に変更またはドロップされるトラフィックに関するデータが含まれています。
|
[明示的輻輳通知（Explicit Congestion Notification）] を有効にして、[パケット（Packet）] を選択します。 |
|||
|
[明示的輻輳通知（Explicit Congestion Notification）] を有効にして、[ストリーム（Stream）] を選択します。 |
|||
|
[IPv4 の正規化（Normalize IPv4）] と [DF ビットの正規化（Normalize Don’t Fragment Bit）] を有効にします。 |
[IPv4 フラグ（IPv4 Flags）] ヘッダー フィールドのシングル ビット [フラグメント禁止（Don’t Fragment）] サブフィールドがクリアされた IPv4 パケットの数。 |
||
|
[IPv4 の正規化（Normalize IPv4）] と [予約済みビットの正規化（Normalize Reserved Bit）] を有効にします。 |
[IPv4 フラグ（IPv4 Flags）] ヘッダー フィールドのシングル ビット [予約済み（Reserved）] サブフィールドがクリアされた IPv4 パケットの数。 |
||
|
[IPv4 の正規化（Normalize IPv4）] と [TOS ビットの正規化（Normalize TOS Bit）] を有効にします。 |
1 バイトの [差別化サービス（DS）（Differentiated Services (DS)）] フィールド（旧 [タイプ オブ サービス（ToS）（Type of Service (TOS)）] フィールド）がクリアされた IPv4 パケットの数。 |
||
|
[IPv4 の正規化（Normalize IPv4）]、[最大 TTL（Maximum TTL）]、および [TTL のリセット（Reset TTL）] を有効にします。 |
|||
|
[ホップバイホップ オプション（Hop-by-Hop Options）] または [宛先オプション（Destination Options）] 拡張ヘッダーの [オプション タイプ（Option Type）] フィールドが、00（スキップして処理を続行）に設定された IPv6 パケットの数。 |
|||
|
[IPv6 の正規化（Normalize IPv6）]、[最小 TTL（Minimum TTL）]、および [TTL のリセット（Reset TTL）] を有効にします。 |
|||
|
ペイロードが TCP データフィールドよりも長かったために、ペイロードが最大セグメント サイズに切り詰められたパケットの数。 |
|||
|
選択されたすべてのデバイスにおける未検査のパケットの平均パーセンテージ。たとえば、2 つのデバイスを選択した場合、平均が 50 % であるというのは、1 つのデバイスのドロップ率が 90 % であり、もう 1 つのデバイスのドロップ率が 10 % であることを示している可能性があります。また、両方のデバイスのドロップ率が 50 % である可能性もあります。グラフは、1 つのデバイスを選択した場合にのみ合計ドロップ率を表します。 |
|||
|
[オプション パディング バイトの正規化またはクリア（Normalize/Clear Option Padding Bytes）] を有効にします。 |
|||
|
[これらの TCP オプションを許可（Allow These TCP Options）] を有効にして、[任意（any）] 以外のオプションに設定します。 |
|||
|
[明示的輻輳通知（Explicit Congestion Notification）] を有効にして、[パケット（Packet）] を選択します。 |
|||
|
[これらの TCP オプションを許可（Allow These TCP Options）] を有効にして、[任意（any）] 以外のオプションに設定します。 |
オプション フィールドが No Operation（TCP オプション 1）に設定されているオプションの数（MSS、ウィンドウ スケール、タイムスタンプ、および明示的に許可されたオプションを除く）。 |
||
|
[TCP ペイロードの正規化（Normalize TCP Payload）] を有効にします（セグメントのリアセンブリは失敗します）。 |
|||
|
[TCP ペイロードの正規化（Normalize TCP Payload）] を有効にします（セグメントのリアセンブリは成功します）。 |
再送信データの一貫性を確保するために TCP データフィールドが正規化されたパケットの数（正しくリアセンブルできないセグメントはすべてドロップされます）。 |
||
|
[これらの TCP オプションを許可（Allow These TCP Options）] を有効にして、[任意（any）] 以外のオプションに設定します。 |
SYN 制御ビットが設定されていないため、最大セグメント サイズまたはウィンドウ スケール オプションが No Operation（TCP オプション 1）に設定されたオプションの数。 |
||
|
[これらの TCP オプションを許可（Allow These TCP Options）] を有効にして、[任意（any）] 以外のオプションに設定します。 |
確認応答（ACK）制御ビットが設定されていないために、タイムスタンプ エコー応答（TSecr）オプション フィールドがクリアされたパケットの数。 |
||
|
TCP ヘッダーの [緊急ポインタ（Urgent Pointer）] フィールド（2 バイト）がペイロード長を超えていたため、ペイロード長に合わせて設定されたパケットの数。 |
|||
|
[インライン モード（Inline Mode）] または [インライン時にドロップ（Drop when Inline）] を設定します。 |
|||
|
[緊急ポインタが設定されていない場合 URG をクリア（Clear URG if Urgent Pointer is Not Set）] を有効にします。 |
|||
|
[空のペイロードに設定された緊急ポインタまたは URG をクリア（Clear Urgent Pointer/URG on Empty Payload）] を有効にします。 |
ペイロードがなかったために、TCP ヘッダーの緊急ポインタ フィールドと URG 制御ビットがクリアされたパケットの数。 |
||
|
[URG=0 の場合に緊急ポインタをクリア（Clear Urgent Pointer if URG=0）] を有効にします。 |
緊急（URG）制御ビットが設定されていなかったため、TCP ヘッダーの [緊急ポインタ（Urgent Pointer）] フィールド（16 ビット）がクリアされたパケットの数。 |
侵入イベント グラフの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威（Threat） |
Protection |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
Firepower System は、経時的な侵入イベントの傾向を示すグラフを表示します。1 つまたはすべての管理対象デバイスについて、過去 1 時間から先月までの範囲の経時的な侵入イベント グラフを生成できます。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
フィードバック