Firepower eStreamer バージョン 6.2.2 統合ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2018年5月11日
章のタイトル： 検出と接続データ構造の概要
- ディスカバリ イベントと接続イベントのデータ メッセージ
- ディスカバリ イベントのメタデータ
- フィンガープリント レコード
- クライアント アプリケーション レコード
- 脆弱性レコード
- 重要度レコード
- ネットワーク プロトコル レコード
- 属性レコード
- スキャン タイプ レコード
- サーバ レコード
- ソース タイプ レコード
- ソース アプリケーション レコード
- ソースディテクタ レコード
- サードパーティ スキャナの脆弱性レコード
- ユーザ レコード
- Web アプリケーション レコード
- 侵入ポリシー名レコード
- アクセス コントロール ルール アクション レコード メタデータ
- URL カテゴリ レコード メタデータ
- URL レピュテーション レコード メタデータ
- アクセス コントロール ルール理由メタデータ
- アクセス コントロール ポリシー メタデータ
- プレフィルタ ポリシー メタデータ
- トンネルまたはプレフィルタのルールのメタデータ
- セキュリティ インテリジェンス カテゴリ メタデータ
- セキュリティ インテリジェンス送信元/宛先レコード
- 5.3+ の IOC ステート データ ブロック
- 5.3+ の IOC 名データ ブロック
- ディスカバリ イベント ヘッダー 5.2+
- ディスカバリ イベントと接続イベントのタイプとサブタイプ
- イベント タイプ別ホスト ディスカバリ構造
- 新規ホスト メッセージと最後の確認日時ホスト メッセージ
- サーバ メッセージ
- 新規ネットワーク プロトコル メッセージ
- 新規トランスポート プロトコル メッセージ
- クライアント アプリケーション メッセージ
- IP アドレス変更メッセージ
- オペレーティング システム更新メッセージ
- IP アドレスを再利用とホスト タイムアウト/削除メッセージ
- ホップ変更メッセージ
- TCP と UDP のポート クローズ メッセージ/タイムアウト メッセージ
- MAC アドレス メッセージ
- ブリッジ/ルータとして識別したホスト メッセージ
- VLAN タグ情報更新メッセージ
- NetBIOS 名変更メッセージ
- 更新バナー メッセージ
- ポリシー制御の概要
- 接続統計データ メッセージ
- 接続チャンク メッセージ
- バージョン 4.6.1+ のユーザ設定脆弱性メッセージ
- ユーザ追加/削除ホスト メッセージ
- ユーザ削除サーバ メッセージ
- ユーザ設定ホスト重要度メッセージ
- 属性メッセージ
- 属性値メッセージ
- ユーザ サーバ メッセージとオペレーティング システム メッセージ
- ユーザ プロトコル メッセージ
- ユーザ クライアント アプリケーション メッセージ
- スキャン結果を追加メッセージ
- 新規オペレーティング システム メッセージ
- アイデンティティ競合とアイデンティティ タイムアウト システム メッセージ
- ホスト IOC セット メッセージ
- イベント タイプ別のユーザ データ構造
- 文字列データ ブロック
- BLOB データ ブロック
- リスト データ ブロック
- 汎用リスト ブロック
- サブサーバ データ ブロック
- プロトコル データ ブロック
- 整数型（INT32）データ ブロック
- VLAN データ ブロック
- サーバ バナー データ ブロック
- 文字列情報データ ブロック
- 属性アドレス データ ブロック 5.2+
- 属性リスト項目データ ブロック
- 属性値データ ブロック
- フル サブサーバ データ ブロック
- オペレーティング システム データ ブロック 3.5+
- ポリシー エンジン制御メッセージ データ ブロック
- 4.7+ の定義属性データ ブロック
- ユーザ プロトコル データ ブロック
- 5.1.1+ のユーザ クライアント アプリケーション データ ブロック
- ユーザ クライアント アプリケーション リスト データ ブロック
- 5.2+ の IP アドレス範囲データ ブロック
- 属性指定データ ブロック
- ホスト IP アドレス データ ブロック
- MAC アドレス指定データ ブロック
- アドレス指定データ ブロック
- 6.1+ の接続チャンク データ ブロック
- フィックス リスト データ ブロック
- ユーザ サーバ データ ブロック
- ユーザ サーバ リスト データ ブロック
- ユーザ ホスト データ ブロック 4.7+
- ユーザ脆弱性変更データ ブロック 4.7+
- ユーザ重要度変更データ ブロック 4.7+
- ユーザ属性値データ ブロック 4.7+
- ユーザ プロトコル リスト データ ブロック 4.7+
- ホスト脆弱性データ ブロック 4.9.0+
- アイデンティティ データ ブロック
- ホスト MAC アドレス 4.9+
- セカンダリ ホストの更新
- 5.0+ の Web アプリケーション データ ブロック
- 接続統計データ ブロック 6.2+
- スキャン結果データ ブロック 5.2+
- ホスト サーバ データ ブロック 4.10.0+
- フル ホスト サーバ データ ブロック 4.10.0+
- 4.10.x、5.0 ～ 5.0.2 のサーバ情報データ ブロック
- フル サーバ情報データ ブロック
- 4.10.0+ の汎用スキャン結果データ ブロック
- 4.10.0+ のスキャン脆弱性データ ブロック
- フル クライアント アプリケーション データ ブロック 5.0+
- 5.0+ のホスト クライアント アプリケーション データ ブロック
- ユーザ脆弱性データ ブロック 5.0+
- オペレーティング システム フィンガープリント データ ブロック 5.1+
- 5.1+ デバイス のモバイル情報データ ブロック
- ホスト プロファイル データブロック 5.2+
- ユーザ製品データ ブロック 5.1+
検出と接続データ構造の概要
この章では、ディスカバリ イベントと接続イベントの eStreamer メッセージに使用するデータ構造と、これらイベントのメタデータについて詳しく述べます。ディスカバリ イベント メッセージと接続イベント メッセージの違いはデータ ブロック自体の内容であり、使用する一般的なメッセージ形式とデータ ブロック シリーズは同じです。
ディスカバリ イベントには、次の 2 つのイベント サブカテゴリがあります。
- ホスト ディスカバリ イベント。これは、パケットのコンテンツから検出した、ホストで実行しているアプリケーションなど、管理対象ネットワーク上の新規ホストと変更ホストと、ホスト脆弱性を識別します。
- ログインなど、新規ユーザとユーザ アクティビティの検出を報告するユーザ イベント。
接続イベントは、監視対象のホストと他のすべてのホスト間のセッション トラフィックに関する情報を報告します。接続情報には、トランザクションの最初と最後のパケット、送信元と宛先の IP アドレス、送信元と宛先のポート、送受信したパケットとバイトの数があります。可能であれば、接続イベントでは、そのセッションに関係するクライアント アプリケーションと URL を報告します。
eStreamer サーバからのディスカバリ イベントまたは接続イベントの要求については、要求フラグを参照してください。
eStreamer イベント データ構造メッセージの一般的構造については、イベント データ メッセージの構成についてを参照してください。
ディスカバリ イベントと接続イベント データ構造の詳細については、この章の以下のセクションを参照してください。
- ディスカバリ イベントと接続イベントのデータ メッセージでは、eStreamer がホスト ディスカバリ メッセージ、ユーザ メッセージ、接続メッセージに使用する構造の概要を紹介します。
- ディスカバリ イベントと接続イベントのレコード タイプでは、ディスカバリ イベントと接続イベント レコード タイプについて説明します。
- ディスカバリ イベントのメタデータでは、たとえば、イベント内のユーザ ID をユーザ名に変換するなど、数字データとコード化データをテキストに変換するためのコンテキスト情報を要求できるメタデータ レコードについて説明します。
- ディスカバリ イベント ヘッダー 5.2+では、すべてのディスカバリ メッセージと接続メッセージで使用する標準イベント ヘッダーの構造と、イベント タイプ フィールドとイベント サブタイプ フィールドで発生する値について説明します。さらに、イベント タイプ フィールドとサブタイプ フィールドは、メッセージで伝えるデータ レコードの構造を定義します。
- イベント タイプ別ホスト ディスカバリ構造では、eStreamer が各種ホスト ディスカバリ イベント タイプに使用するデータ レコードの構造について説明します。
- イベント タイプ別のユーザ データ構造では、eStreamer が各種ユーザ イベント タイプに使用するデータ レコードの構造について説明します。
- ディスカバリ（シリーズ 1）ブロックでは、ディスカバリ イベント メッセージと接続イベント メッセージで複雑なレコードを伝えるために使用する一連のデータ ブロック構造について説明します。シリーズ 1 のデータ ブロックは、相関イベントでも使用します。
- ユーザ脆弱性データ ブロック 5.0+では、複雑なユーザ イベント レコードを伝えるために使用するその他の シリーズ 1 ブロック構造について説明します。
ヒント
サンプル ディスカバリ イベントを扱った例については、“データ構造の例” sectionを参照してください。
ディスカバリ イベントと接続イベントのデータ メッセージ
eStreamer は、ディスカバリ イベントと接続イベント データを同じメッセージ構造でパッケージングします。このパッケージには、以下の要素を格納します。
- オプションの netmap ID
- レコード タイプを定義するレコード ヘッダー
- イベントを識別し、その特性を表すディスカバリ イベント ヘッダー。具体的にはイベント タイプとサブタイプを識別します。詳細については、ディスカバリ イベント ヘッダー 5.2+を参照してください。
- ブロック ヘッダーとデータ ブロックからなるデータ レコード。ディスカバリ イベントと接続イベントのデータ メッセージは、シリーズ 1 のデータ ブロックを使用します。詳細については、ホスト ディスカバリ データ ブロックと接続データ ブロックまたはユーザ脆弱性データ ブロック 5.0+を参照してください。
ディスカバリ イベントと接続イベントのレコード タイプ
次の表は、ホスト ディスカバリ イベントと接続イベントのイベント レコード タイプと、レコード タイプ別のイベント メッセージ構造までのリンクです。このリストにはメタデータ レコード タイプもあります。レコードによっては、データの特定部分を保存するデータ ブロック 1 つだけのものがあります。これらのデータ ブロックは、ほとんどのデータ タイプを含むシリーズ 1 ブロックと、ディスカバリ データだけを含むシリーズ 2 ブロックに分かれます。次の表は、各バージョンのステータスです（現在またはレガシー）。現在のレコードは最新バージョンです。レガシー レコードは、以降のバージョンによって取って代わられていますが、eStreamer から要求することができます。
|
|
|
|
|
|
|
|---|---|---|---|---|---|
ディスカバリ イベントのメタデータ
メタデータ バージョン番号でメタデータを要求します。Firepower システム のバージョンに対応するメタデータ バージョンについては、メタデータについてを参照してください。eStreamer によるメタデータ レコードのストリーミング方法の重要な情報については、メタデータの伝送を参照してください。
ホスト ディスカバリ レコードとユーザ イベント レコードの各種メタデータ レコード タイプの構造については、以下のページを参照してください:
- フィンガープリント レコード
- クライアント アプリケーション レコード
- 脆弱性レコード
- 重要度レコード
- ネットワーク プロトコル レコード
- 属性レコード
- スキャン タイプ レコード
- サーバ レコード
- ソース タイプ レコード
- ソース アプリケーション レコード
- ソースディテクタ レコード
- サードパーティ スキャナの脆弱性レコード
- ユーザ レコード
- Web アプリケーション レコード
- 侵入ポリシー名レコード
- アクセス コントロール ルール アクション レコード メタデータ
- URL カテゴリ レコード メタデータ
- URL レピュテーション レコード メタデータ
- アクセス コントロール ルール理由メタデータ
- セキュリティ インテリジェンス カテゴリ メタデータ
- セキュリティ インテリジェンス送信元/宛先レコード
侵入イベントと相関イベントのメタデータ レコードについては、侵入イベントとメタデータのレコード タイプを参照してください。
フィンガープリント レコード
eStreamer サービスは、次の形式のフィンガープリント レコードで、イベントのフィンガープリント メタデータを送信します。（フィンガープリント メタデータは、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、フィンガープリント レコードを示す 54 です。
次の表では、フィンガープリント レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
クライアント アプリケーション レコード
eStreamer サービスは、次の形式のクライアント アプリケーション レコードで、イベントのクライアント アプリケーション メタデータを送信します。（クライアント アプリケーション メタデータは、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、クライアント アプリケーション レコードを示す 55 です。
次の表では、クライアント アプリケーション レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
脆弱性レコード
eStreamer サービスは、次の形式の脆弱性レコードで、イベントの脆弱性情報を格納したメタデータを送信します。（脆弱性情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、脆弱性レコードを示す 57 です。
|
|
|
|
|---|---|---|
侵入データ、ホスト ディスカバリ イベント、脆弱性アセスメント間の相関に基づいて決定した影響レベルに対応した、脆弱性の影響。ここに設定可能な値の範囲は |
||
重要度レコード
eStreamer サービスは、次の形式の重要度レコードで、イベントのホスト重要度情報を格納したメタデータを送信します。（重要度情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、重要度レコードを示す 58 です。
|
|
|
|
|---|---|---|
ネットワーク プロトコル レコード
eStreamer サービスは、次の形式のネットワーク プロトコル レコードで、イベントのネットワーク プロトコル情報を格納したメタデータを送信します。（ネットワーク プロトコル情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、ネットワーク プロトコル レコードを示す値 59 です。
次の表では、ネットワーク プロトコル レコードのフィールドについて解説します。
|
|
|
|
|---|---|---|
属性レコード
eStreamer サービスは、次の形式の属性レコードで、イベントの属性情報を格納したメタデータを送信します。（属性情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、属性レコードを示す 60 です。
|
|
|
|
|---|---|---|
スキャン タイプ レコード
eStreamer サービスは、次の形式のスキャン タイプ レコードで、イベントのスキャン タイプ情報を格納したメタデータを送信します。（スキャン タイプ情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、スキャン タイプ レコードを示す 61 です。
次の表では、スキャン タイプ レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
サーバ レコード
eStreamer サービスは、次の形式のサーバ レコードで、イベントのサーバ情報を格納したメタデータを送信します。サーバのアプリケーション プロトコルのアプリケーション ID は、メタデータまでのクロスリファレンスを提供します。（サーバ情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、サーバ レコードを示す 63 です。
次の表では、サーバ レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
ソース タイプ レコード
eStreamer サービスは、次の形式の送信元タイプ レコードで、イベントの送信元アプリケーションに関する情報を格納したメタデータを送信します。（送信元タイプ情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、送信元タイプ レコードを示す 90 です。
次の表では、ソース タイプ レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
ソース アプリケーション レコード
eStreamer サービスは、次の形式の送信元アプリケーション レコードで、ホスト ディスカバリ イベントの送信元アプリケーションに関する情報を格納したメタデータを送信します。（送信元アプリケーション情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、送信元アプリケーション レコードを示す 91 です。
次の表では、ソース アプリケーション レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
ソースディテクタ レコード
eStreamer サービスは、次の形式の送信元タイプ レコードで、ホスト ディスカバリ イベントの送信元アプリケーションに関する情報を格納したメタデータを送信します。（送信元タイプ情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、送信元ディテクタ レコードを示す 96 です。
次の表では、送信元ディテクタ レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
サードパーティ スキャナの脆弱性レコード
eStreamer サービスは、次の形式のサードパーティ スキャナ脆弱性レコードで、イベントのサードパーティ脆弱性情報を格納したメタデータを送信します。（脆弱性情報は、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、サードパーティ スキャナ脆弱性レコードを示す 106 です。
|
|
|
|
|---|---|---|
ユーザ レコード
eStreamer サービスは、次の形式のユーザ レコードで、システムが検出したユーザに関する情報を格納したメタデータを送信します。（バージョン 4 メタデータとポリシー イベント要求フラグ（それぞれ要求メッセージの要求フラグ フィールドのビット 20 と 22）を設定すると、ユーザ情報が送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、ユーザ レコードを示す 98 です。
|
|
|
|
|---|---|---|
データ ブロックの長さ。データのバイト数に 2 つのデータ ブロック ヘッダー フィールドの 8 バイトを加えたバイト数です。 |
||
ブロック タイプ フィールドとヘッダー フィールドの 8 バイトにユーザ名フィールドのバイト数を加えたユーザ名文字列データ ブロックのバイト数。 |
||
Web アプリケーション レコード
システムは、Web サイトから送信される HTTP トラフィックの内容を検出します（該当する場合）。ホスト ディスカバリ イベント用の Web アプリケーション メタデータには、特定のタイプのコンテンツを格納できます。（WMV や QuickTime など）。
eStreamer サービスは、次の形式の Web アプリケーション レコードで、イベントの Web アプリケーション メタデータを送信します。（Web アプリケーション メタデータは、以下のメタデータ フラグの 1 つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、Web アプリケーション レコードを示す 109 です。
次の表では、Web アプリケーション レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
侵入ポリシー名レコード
eStreamer サービスは、次の形式の侵入ポリシー名レコードで、接続イベントの侵入ポリシー名情報を格納したメタデータを送信します。（侵入ポリシー名情報は、メタデータ フラグ（要求メッセージの要求フラグ フィールドのバージョン 4 メタデータ ビット 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長さフィールドの後のレコード タイプ フィールドの値は、侵入ポリシー名レコードを示す 118 です。シリーズ 2 セットのデータ ブロックのブロック タイプ 14 の UUID 文字列データ ブロックが含まれています。
次の表では、侵入ポリシー名データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
データ ブロックの長さ。データのバイト数に 2 つのデータ ブロック ヘッダー フィールドの 8 バイトを加えたバイト数です。 |
||
ブロック タイプ フィールドとヘッダー フィールドの 8 バイトに侵入ポリシー名のバイト数を加えた侵入名文字列データ ブロックのバイト数。 |
||
アクセス コントロール ルール アクション レコード メタデータ
eStreamer サービスは、次の形式のアクセス コントロール ルール アクション レコードで、トリガーのかかったアクセス コントロール ルールに関連付けられたアクションを格納したメタデータを送信します。（アクセス コントロール ルール アクション情報は、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、アクセス コントロール ルール アクション レコードを示す 120 です。
次の表では、アクセス コントロール ルール アクション レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
URL カテゴリ レコード メタデータ
eStreamer サービスは、次の形式の URL カテゴリ レコードで、接続ログの URL に関連付けられたカテゴリ名を格納したメタデータを送信します。（URL カテゴリ情報は、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、URL カテゴリ レコードを示す 121 です。
次の表では、URL カテゴリ レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
URL レピュテーション レコード メタデータ
eStreamer サービスは、次の形式の URL レピュテーション レコードで、URL に関連付けられたレピュテーション（リスク レベル） を格納したメタデータを送信します。（URL レピュテーション情報は、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長さフィールドの後の URL レピュテーション メタデータ レコード フィールドの値は、URL レピュテーション メタデータ レコードを示す 122 です。
次の表では、URL レピュテーション レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
アクセス コントロール ルール理由メタデータ
eStreamer サービスは、次の形式のアクセス コントロール ルール理由レコードで、アクセス コントロール ルールで侵入イベントまたは接続イベントにトリガーがかかった理由に関する情報を格納したメタデータを送信します。アクセス コントロール ルール理由メタデータは、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、アクセス コントロール ルール理由レコードを示す 124 です。このメタデータには、アクセス コントロール ルール理由ブロックを格納します（アクセス コントロール ルール理由データ ブロック 5.1+を参照）。アクセス コントロール ルール理由データ ブロックのブロック タイプは、シリーズ 2 のブロック タイプ 21 です。
次の表では、アクセス コントロール ルール ID データ ブロックのフィールドについて説明します。
アクセス コントロール ポリシー メタデータ
eStreamer サービスは、次の形式のアクセス コントロール ポリシー メタデータ レコードで、侵入イベントまたは接続イベントにトリガーをかけたアクセス コントロール ポリシーに関する情報を格納したメタデータを送信します。アクセス コントロール ルール ポリシー メタデータは、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、アクセス コントロール ポリシー メタデータ レコードを示す 145 です。このメタデータには、アクセス コントロール ポリシー メタデータ ブロックを格納します（アクセス コントロール ポリシー メタデータ ブロック 6.0+を参照）。アクセス コントロール ポリシー メタデータ ブロックのブロック タイプは、シリーズ 2 のブロック タイプ 64 です。
次の表では、アクセス コントロール ルール ID データ ブロックのフィールドについて説明します。
プレフィルタ ポリシー メタデータ
eStreamer サービスは、次の形式のプレフィルタ ポリシーレコードで、侵入イベントまたは接続イベントにトリガーをかけたプレフィルタ ポリシーに関する情報を格納したメタデータを送信します。プレフィルタ ポリシー メタデータは、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、プレフィルタポリシー メタデータ レコードであることを示す 146 です。このメタデータには、アクセス コントロール ポリシー メタデータ ブロックを格納します（アクセス コントロール ポリシー メタデータ ブロック 6.0+を参照）。アクセス コントロール ポリシー メタデータ ブロックのブロック タイプは、シリーズ 2 のブロック タイプ 64 です。
次の表では、プレフィルタ ポリシー メタデータ ブロックのフィールドについて説明します。
トンネルまたはプレフィルタのルールのメタデータ
eStreamer サービスは、次の形式のアクセス コントロール ルール理由レコードで、トンネル ルールまたはプレフィルタ ルールで侵入イベントまたは接続イベントにトリガーがかかった理由に関する情報を格納したメタデータを送信します。トンネル ルールまたはプレフィルタ ルールの理由メタデータは、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、プレフィルタ ルール理由レコードであることを示す 147 です。
内容が同じなので、アクセス コントロール ルール理由ブロックを格納します（アクセス コントロール ルール データ ブロックを参照）。アクセス コントロール ルール理由データ ブロックのブロック タイプは、シリーズ 2 のブロック タイプ 15 です。
次の表では、トンネルまたはプレフィルタ ルール理由メタデータ ブロックのフィールドについて説明します。
セキュリティ インテリジェンス カテゴリ メタデータ
eStreamer サービスは、次の形式のセキュリティ インテリジェンス カテゴリ レコードで、セキュリティ インテリジェンス カテゴリに関する情報を格納したメタデータを送信します。アクセス コントロール ルール理由メタデータは、バージョン 4 メタデータ フラグ（要求メッセージの要求フラグ フィールドのビット 20）が設定されると送信されます。要求フラグを参照してください。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、セキュリティ インテリジェンス カテゴリ レコードを示す 280 です。これには、セキュリティ インテリジェンス カテゴリ データ ブロックを格納します（セキュリティ インテリジェンス カテゴリ データ ブロック 5.1+を参照）。セキュリティ インテリジェンス データ ブロックのブロック タイプは、シリーズ 2 のブロック タイプ 22 です。
次の表では、セキュリティ インテリジェンス カテゴリ レコードのフィールドについて説明します。
セキュリティ インテリジェンス送信元/宛先レコード
eStreamer サービスは、次の形式のセキュリティ インテリジェンス送信元/宛先レコードで、セキュリティ インテリジェンスで検出した IP アドレスが、送信元 IP アドレスと宛先 IP アドレスのいずれであるかを示すメタデータを送信します。（送信元/宛先 IP 情報は、以下のメタデータ フラグの 1つ（要求メッセージの要求フラグ フィールドのビット 1、14、15、または 20）が設定されると送信されます。要求フラグを参照してください）。ちなみに、メッセージ長フィールドの後のレコード タイプ フィールドの値は、セキュリティ インテリジェンス送信元/宛先レコードを示す 281 です。
次の表では、セキュリティ インテリジェンス送信元/宛先レコードのフィールドについて説明します。
|
|
|
|
|---|---|---|
5.3+ の IOC ステート データ ブロック
IOC ステート データ ブロックは、Indication of Compromise（IOC） に関する情報を提供します。これは シリーズ 1 のブロック タイプ 150 です。このブロックに、ホスト トラッカはホスト上の侵害に関する情報を保存します。次の図は IOC ステート データ ブロックの構造です。
次の表では、IOC ステート データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
IOC ステート データ ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のデータ バイト数を加えた IOC ステート データ ブロックの合計バイト数。 |
||
5.3+ の IOC 名データ ブロック
これは Indication of Compromise（IOC）のカテゴリとイベント タイプを提供するデータ ブロックです。レコード タイプは 161 で、シリーズ 2 のブロック タイプ 39 です。これは IOC 情報があるすべてのイベントでメタデータとして適用されます。該当するイベントには、マルウェア イベント、ファイル イベント、侵入イベントがあります。
次の表では、IOC データ名データ ブロックのフィールドについて説明します。
ディスカバリ イベント ヘッダー 5.2+
ディスカバリ イベントおよび接続イベントのメッセージには、ディスカバリ イベント ヘッダーが含まれます。これは、イベントのタイプおよびサブタイプ、イベントが発生した時刻、イベントが発生したデバイス、およびメッセージ内のイベント データの構造を伝えます。このヘッダーには、実際のホスト ディスカバリ、ユーザ、または接続イベントのデータが続きます。さまざまなイベントのタイプ/サブタイプ値に関連付けられる構造の詳細については、イベント タイプ別ホスト ディスカバリ構造で説明します。このヘッダーは IPv6 をサポートしており、ディスカバリ イベント ヘッダー 5.0 ～ 5.1.1.xはサポートを停止しました。
ディスカバリ イベント ヘッダーのイベント タイプ フィールドおよびイベント サブタイプ フィールドは、送信されたイベント メッセージの構造を示します。イベント データ ブロックの構造が一度判別されたら、プログラムはメッセージを適切に解析できます。
次の図の網掛けされた行は、ディスカバリ イベント ヘッダーの形式を例示しています。
次の表は、ディスカバリ イベント ヘッダーについての説明です。
|
|
|
|
|---|---|---|
ディスカバリ イベントを生成したデバイスの ID 番号。バージョン 3 および 4 のメタデータを要求すると、デバイスのメタデータを入手できます。詳細については、管理対象デバイス レコードのメタデータを参照してください。 |
||
このフィールドは予約済みですが、設定されておりません。IPv4 アドレスは IPv6 アドレス フィールドに保存されます。詳細については、IP アドレスを参照してください。 |
||
イベント タイプ（新規イベントは |
||
イベント サブタイプ。使用可能なイベント サブタイプの一覧の詳細については、イベント タイプ別ホスト ディスカバリ構造を参照してください。 |
||
ディスカバリ イベントと接続イベントのタイプとサブタイプ
イベント タイプとイベント サブタイプ フィールド値でホストのディスカバリ メッセージまたはユーザ データ内のイベントを特定し、分類します。メッセージのデータ構造も識別します。
次の表は、ディスカバリ イベントと接続イベントのイベント タイプとイベント サブタイプです。
|
|
|
|
|---|---|---|
ヒント 各イベント タイプ/サブタイプに使用するデータ構造については、イベント タイプ別ホスト ディスカバリ構造を参照してください。
イベント タイプ別ホスト ディスカバリ構造
eStreamer は、ディスカバリ イベント ヘッダーで指定されたイベント タイプに基づいてホスト ディスカバリ イベント メッセージを構築します。次の項では、各イベント タイプの概略構造を紹介します。
- 新規ホスト メッセージと最後の確認日時ホスト メッセージ
- サーバ メッセージ
- 新規ネットワーク プロトコル メッセージ
- 新規トランスポート プロトコル メッセージ
- クライアント アプリケーション メッセージ
- IP アドレス変更メッセージ
- オペレーティング システム更新メッセージ
- IP アドレスを再利用とホスト タイムアウト/削除メッセージ
- ホップ変更メッセージ
- ホップ変更メッセージ
- TCP と UDP のポート クローズ メッセージ/タイムアウト メッセージ
- MAC アドレス メッセージ
- ブリッジ/ルータとして識別したホスト メッセージ
- VLAN タグ情報更新メッセージ
- NetBIOS 名変更メッセージ
- 更新バナー メッセージ
- ポリシー制御の概要
- 接続統計データ メッセージ
- 接続チャンク メッセージ
- バージョン 4.6.1+ のユーザ設定脆弱性メッセージ
- ユーザ追加/削除ホスト メッセージ
- ユーザ削除サーバ メッセージ
- ユーザ設定ホスト重要度メッセージ
- 属性メッセージ
- 属性値メッセージ
- ユーザ サーバ メッセージとオペレーティング システム メッセージ
- ユーザ プロトコル メッセージ
- ユーザ クライアント アプリケーション メッセージ
- スキャン結果を追加メッセージ
- 新規オペレーティング システム メッセージ
- アイデンティティ競合とアイデンティティ タイムアウト システム メッセージ
- ホスト IOC セット メッセージ
新規ホスト メッセージと最後の確認日時ホスト メッセージ
新規ホスト イベント メッセージと最後の確認日時ホスト イベント メッセージには、標準ディスカバリ イベント ヘッダーとホスト プロファイル データ ブロックがあります（ホスト プロファイル データブロック 5.2+を参照）。ホスト プロファイル データ ブロックのブロック タイプは、シリーズ 1 のブロック タイプ 139 です。
なお、最後の確認日時ホスト メッセージにある情報は、ホスト上のディスカバリ検出ポリシーで設定した更新間隔内で変更されたサーバのサーバ情報のみです。つまり、最後の確認日時ホスト メッセージに含まれるのは、システムが前回情報を報告した後に変更されたサーバ ホストのみです。
（注） ホスト プロファイル データ ブロックは、どのシステム バージョンでメッセージを作成したかによって異なります。ホスト プロファイル データ ブロックのレガシー バージョンについては、レガシー ホスト データ構造を参照してください。
サーバ メッセージ
次の TCP サーバ イベント メッセージと UDP サーバ イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+参照）があり、サーバ データ ブロック（ホスト サーバ データ ブロック 4.10.0+参照、シリーズ 1 のブロック タイプ 103）がそれに続きます。
（注） サーバ データ ブロックは、どのシステム バージョンでメッセージを作成したかによって異なります。サーバ データ ブロックのレガシー バージョンについては、レガシー データ構造の概要を参照してください。
新規ネットワーク プロトコル メッセージ
新しいネットワーキング プロトコル イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ネットワーク プロトコルの 2 バイトフィールド（次の表のプロトコル値を使用）が続きます。
新規トランスポート プロトコル メッセージ
新規トランスポート プロトコルのイベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照。シリーズ 1 のブロック タイプ 4）と、トランスポート プロトコル番号の 1 バイト フィールド（次の表の値を使用）があります。
クライアント アプリケーション メッセージ
新規クライアント アプリケーション、クライアント アプリケーション アップデート、クライアント アプリケーション タイムアウト イベントは同じ形式であり、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）と、続けてクライアント アプリケーション データ ブロック（5.0+ のホスト クライアント アプリケーション データ ブロックを参照。シリーズ 1 のブロック タイプ 122）があります。ディスカバリ イベント ヘッダーにあるレコード タイプ、イベント タイプ、イベント サブタイプは、送信されるイベントによって異なります。
（注） クライアント アプリケーション データ ブロックは、メッセージを作成したシステム バージョンによって異なります。クライアント アプリケーション データ ブロックのレガシー バージョンについては、レガシー データ構造の概要を参照してください。
IP アドレス変更メッセージ
次のホスト ディスカバリ メッセージには、標準イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）と、2 種類の形式/構造（IP アドレスの 4 バイトと IP アドレスの 16 バイト）があります。
次の場合は、IP アドレスに（IP アドレス オクテット）4 バイトを使用します。
次の場合は、IP アドレスに（IP アドレス オクテット）16 バイトを使用します。
オペレーティング システム更新メッセージ
OS 情報更新イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、オペレーティング システム データ ブロック（オペレーティング システム データ ブロック 3.5+を参照。シリーズ 1 のブロック タイプ 53）がそれに続きます。
IP アドレスを再利用とホスト タイムアウト/削除メッセージ
次のホスト イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があります。他にデータはありません。
ホップ変更メッセージ
ホップ変更イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があります。ホップ カウントの 1 バイト フィールドがそれに続きます。
TCP と UDP のポート クローズ メッセージ/タイムアウト メッセージ
TCP ポートと UDP のポート クローズ メッセージ/タイムアウト メッセージは、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ポート番号の 2 バイトがそれに続きます。
MAC アドレス メッセージ
ホストの MAC 情報変更と追加 MAC 検出メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）、TTL 値の 1 バイト、MAC アドレスの 6 バイト、ARP/DHCP トラフィックで実際の MAC アドレスとして MAC アドレスを検出したかどうかを示す 1バイトがあります。
（注） バージョン 4.9.x を実行するシステムから MAC アドレス メッセージを受信したら、MAC アドレスのデータ ブロックの長さを確認し、それに応じて復号してください。データ ブロックの長さが 8 バイト（16 バイトとヘッダー）の場合、MAC アドレス メッセージを参照してください。データ ブロックの長さが 12 バイト（20 バイトとヘッダー）の場合、ホスト MAC アドレス 4.9+を参照してください。
なお、MAC アドレス データ ブロック ヘッダーは、MAC 情報変更メッセージとホストに追加 MAC 検出メッセージ内では使用 しません 。
ブリッジ/ルータとして識別したホスト メッセージ
ブリッジ/ルータのイベントとして識別したホスト メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ホスト タイプと一致する値の 4 バイトフィールドが続きます。
VLAN タグ情報更新メッセージ
VLAN タグ情報更新イベントには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、VLAN データ ブロックが続きます（VLAN データ ブロックを参照）。VLAN データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 14 です。
NetBIOS 名変更メッセージ
NetBIOS 名を変更イベント メッセージには、標準ディスカバリ イベント ヘッダーがあり（ディスカバリ イベント ヘッダー 5.2+を参照）、文字列データ ブロックがそれに続きます（文字列情報データ ブロックを参照）。文字列情報データ ブロックのブロック タイプは、シリーズ 1 のブロック タイプ 35 です。
（注） NetBIOS ドメインを変更イベントを、Firepower システム は現在生成しません。
更新バナー メッセージ
更新バナー イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、サーバ バナーのデータ ブロックがそれに続きます（サーバ バナー データ ブロックを参照）。サーバ バナーのデータ ブロックのブロック タイプは、シリーズ 1 のブロック タイプ 37 です。
ポリシー制御の概要
ポリシー制御ポリシー イベントには、標準ディスカバリ イベント ヘッダーがあり（ディスカバリ イベント ヘッダー 5.2+を参照）、ポリシー制御メッセージ データ ブロックがそれに続きます。ポリシー制御メッセージ データ ブロックの形式はシステム バージョンによって異なります。現行バージョンのポリシー制御メッセージ データ ブロック形式については、ポリシー エンジン制御メッセージ データ ブロックを参照してください。
接続統計データ メッセージ
接続統計イベントには、標準ディスカバリ イベント ヘッダーがあり（ディスカバリ イベント ヘッダー 5.2+を参照）、接続統計データ ブロックがそれに続きます。接続統計データ ブロックの各バージョンのドキュメントには、それを使用するシステム バージョンを格納します。バージョンの 6.1+ の接続統計データ ブロックの形式については、接続統計データ ブロック 6.2+を参照してください。
（注） 接続統計データ ブロックは、どのシステム バージョンでメッセージを作成したかによって異なります。レガシー バージョンについては、接続統計データ ブロックを参照してくださいレガシー データ構造の概要。
接続チャンク メッセージ
接続チャンク イベントには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、接続チャンク データ ブロックがそれに続きます。形式は、システム バージョンによって異なります。現行バージョンの接続チャンク データ ブロックの形式については、6.1+ の接続チャンク データ ブロックを参照してください。接続チャンク データ ブロックのブロック タイプは、シリーズ 1 のブロック タイプ 136 です。
バージョン 4.6.1+ のユーザ設定脆弱性メッセージ
ユーザ設定の有効な脆弱性、ユーザ設定の無効な脆弱性、ユーザ脆弱性資格メッセージは、同じデータ形式を使用します。すなわち、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）にユーザ脆弱性変更データ ブロックが続きます（ユーザ脆弱性変更データ ブロック 4.7+を参照。シリーズ 1 のブロック タイプ 80）。これらはレコード タイプ、イベント タイプ、イベント サブタイプで区別します。
ユーザ追加/削除ホスト メッセージ
次のホスト入力イベント メッセージには、標準ディスカバリ イベント ヘッダーがあり（ディスカバリ イベント ヘッダー 5.2+を参照）、ユーザ ホスト データ ブロックがそれに続きます（ユーザ ホスト データ ブロック 4.7+を参照。シリーズ 1 のブロック タイプ 78）。
ユーザ削除サーバ メッセージ
ユーザ削除サーバ メッセージには、標準ディスカバリ イベント ヘッダーがあり（ディスカバリ イベント ヘッダー 5.2+を参照）、ユーザ サーバ リスト データ ブロックがそれに続きます（ユーザ サーバ リスト データ ブロックを参照）。ユーザ サーバ リスト データ ブロックはシリーズ 1 のブロック タイプ 77 です。
ユーザ設定ホスト重要度メッセージ
ユーザ設定ホスト重要度メッセージには、標準ディスカバリ イベント ヘッダーがあり（ディスカバリ イベント ヘッダー 5.2+を参照）、ユーザ重要度変更データ ブロックがそれに続きます（ユーザ重要度変更データ ブロック 4.7+を参照）。ユーザ重要度変更データ ブロックのブロック タイプは、シリーズ 1 ブロック タイプ 81 です。
属性メッセージ
次のイベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、属性定義データ ブロック（4.7+ の定義属性データ ブロックを参照。シリーズ 1 ブロック タイプ 55）がそれに続きます。
属性値メッセージ
次のイベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ユーザ属性値データ ブロック（ユーザ属性値データ ブロック 4.7+を参照。シリーズ 1 ブロック タイプ 82）がそれに続きます。
ユーザ サーバ メッセージとオペレーティング システム メッセージ
次のイベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ユーザ製品データ ブロック（ユーザ製品データ ブロック 5.1+を参照。シリーズ 1 ブロック タイプ 60）がそれに続きます。
ユーザ プロトコル メッセージ
次のイベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ユーザ プロトコル リスト データ ブロック（ユーザ プロトコル リスト データ ブロック 4.7+を参照。シリーズ 1 ブロック タイプ 83）がそれに続きます。
ユーザ クライアント アプリケーション メッセージ
次のイベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ユーザ クライアント アプリケーション リスト データ ブロック（ユーザ クライアント アプリケーション リスト データ ブロックを参照。シリーズ 1 ブロック タイプ 60）がそれに続きます。
スキャン結果を追加メッセージ
スキャン結果を追加イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、スキャン結果データ ブロックがそれに続きます（スキャン結果データ ブロック 5.2+を参照）。スキャン結果データ ブロックのブロック タイプは、シリーズ 1 ブロック タイプ 142 です。
新規オペレーティング システム メッセージ
新規 OS イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、オペレーティング システム フィンガープリント データ ブロックがそれに続きます（オペレーティング システム フィンガープリント データ ブロック 5.1+を参照）。
アイデンティティ競合とアイデンティティ タイムアウト システム メッセージ
アイデンティティ競合イベント メッセージとアイデンティティ タイムアウト イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、アイデンティティ データ ブロックがそれに続きます（アイデンティティ データ ブロックを参照）。アイデンティティ データ ブロックのブロック タイプは、シリーズ 1 ブロック タイプ 94 です。これらのメッセージは、フィンガープリント送信元アイデンティティで競合またはタイムアウトが発生すると生成されます。
ホスト IOC セット メッセージ
ホスト IOC セット メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、整数型データ ブロックがそれに続きます（整数型（INT32）データ ブロックを参照）。この整数型データ ブロックには、ホストの IOC セットの ID 番号を格納します。
イベント タイプ別のユーザ データ構造
eStreamer は、ディスカバリ イベント ヘッダーで指定されたイベント タイプに基づいてユーザ イベント メッセージを構築します。次の項では、各イベント タイプの概略構造を紹介します。
ユーザ変更メッセージ
次のイベントのどれかがシステム検出で発生すると、ユーザ変更メッセージが送信されます:
- 新規ユーザを検出しました（新規ユーザ アイデンティティ イベント — イベント タイプ 1004、サブタイプ 1）
- ユーザが削除されます（ユーザ アイデンティティを削除イベント — イベント タイプ 1004、サブタイプ3）
- ユーザがドロップされます（ユーザ アイデンティティをドロップ。ユーザ上限に到達イベント — イベント タイプ 1004、サブタイプ 4）
ユーザ変更イベント メッセージには、標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）があり、ユーザ情報データ ブロックがそれに続きます（6.0+ の情報データ ユーザ ブロックを参照）。ユーザ情報データ ブロックはシリーズ 1 ブロック タイプ 120 です。
ユーザ情報更新メッセージ ブロック
システムがユーザのログインの変更（ユーザ ログイン イベント — イベント タイプ 1004、サブタイプ2）を検出すると、ユーザ情報更新メッセージが送信されます。
ユーザ情報更新イベント メッセージには標準ディスカバリ イベント ヘッダー（ディスカバリ イベント ヘッダー 5.2+を参照）とユーザ ログイン情報データ ブロックがあります（ユーザ ログイン情報データ ブロック 6.2+を参照）。ユーザ ログイン情報データ ブロックのブロック タイプは、シリーズ 1 ブロック タイプ 121 です。
ディスカバリ（シリーズ 1）ブロック
ほとんどのディスカバリ イベントと接続イベントには、シリーズ 1 グループ データ構造の 1 つ以上のデータ ブロックがあります。シリーズ 1 データ ブロック タイプは、それぞれ特定の情報タイプを伝えます。ブロック タイプ番号は、ブロックのデータにするデータに先行するデータ ブロック ヘッダーにあります。ブロック ヘッダー形式については、データ ブロック ヘッダーを参照してください。
シリーズ 1 データ ブロック ヘッダー シリーズ
シリーズ 1 のデータ ブロック ヘッダーには、シリーズ 2 ブロック ヘッダーと同じく、ブロックのタイプ番号とブロック長を含む 2 つの 32 ビット整数フィールドがあります。
（注） データ ブロック長フィールドには、2 つのデータ ブロック ヘッダー フィールドの 8 バイトを含むすべてのデータ ブロックでバイト数を格納します。
一部 ブロック シリーズ 1 タイプでは、ブロック ヘッダーの直後に生データが続きます。より複雑なブロック タイプでは、ヘッダーの後には標準固定長フィールドか、別のシリーズ 1 データ ブロックやブロック リストをカプセル化したシリーズ 1 プリミティブ ブロックが続きます。
シリーズ 1 プリミティブ データ ブロック
シリーズ 1 とシリーズ 2 のいずれのブロックにも、1 セットのプリミティブがあり、これで可変長ブロック リストと、さらに可変長の文字列と BLOB をメッセージ内にカプセル化します。これらのプリミティブ ブロックには、前述の標準シリーズ 1 のブロック ヘッダーがあります。これらのプリミティブを使用するのは、他のシリーズ 1 データ ブロックのみです。所定のブロック タイプに任意の数値を含めることができます。プリミティブ ブロックの構造の詳細については、次の項を参照してください:
ホスト ディスカバリ データ ブロックと接続データ ブロック
ホスト ディスカバリ イベントと接続イベント ブロック タイプのリストについては、表 4-30を参照してください。ユーザ イベント ブロック タイプについては、表 4-85を参照してください。これらはすべてシリーズ 1 データ ブロックです。
次の表のエントリには、それぞれデータ ブロックを定義したサブセクションまでのリンクがあります。ブロック タイプごとに、ステータス（現在またはレガシー）が表示されます。現在のデータ ブロックが最新バージョンです。レガシー データ ブロックは、製品の旧バージョンに使用するデータ ブロックであり、eStreamer でメッセージ形式は引き続き要求できます。
|
|
|
|
|
|---|---|---|---|
文字列データを格納します。詳細については、文字列データ ブロックを参照してください。 |
|||
サーバで検出したサブサーバに関する情報を格納します。詳細については、サブサーバ データ ブロックを参照してください。 |
|||
プロトコル データを格納します。詳細については、プロトコル データ ブロックを参照してください。 |
|||
整数型（数値）データを格納します。詳細については、整数型（INT32）データ ブロックを参照してください。 |
|||
バイナリ データの生ブロックを格納し、主にバナーに使用します。詳細については、BLOB データ ブロックを参照してください。 |
|||
その他のデータ ブロック リストを含みます。詳細については、リスト データ ブロックを参照してください。 |
|||
VLAN 情報を格納します。詳細については、VLAN データ ブロックを参照してください。 |
|||
侵入影響アラート情報を格納します。侵入影響イベントアラートのヘッダーは、他のデータ ブロックは若干異なります。詳細については、侵入の影響アラート データ 5.3 以上を参照してください。 |
|||
たとえば、クライアント アプリケーション ブロックなど、カプセル化する汎用リスト情報をブロック リストをホスト プロファイル ブロックに格納します。詳細については、汎用リスト ブロックを参照してください。 |
|||
文字列情報を格納します。たとえば、スキャン脆弱性データ ブロックで使用すると、文字列情報データ ブロックには CVE ID 番号データが格納されます。文字列情報データ ブロックを参照してください。 |
|||
サーバ バナー データを格納します。詳細については、サーバ バナー データ ブロックを参照してください。 |
|||
ホスト属性リスト項目値を格納します。詳細については、属性リスト項目データ ブロックを参照してください。 |
|||
新規クライアント アプリケーション イベントのクライアント アプリケーション情報を格納します（本製品の旧バージョンを参照のこと）。 |
|||
ホスト属性の ID 番号と値を格納します。詳細については、属性値データ ブロックを参照してください。 |
|||
サーバで検出したサブサーバに関する情報を格納します。フル サーバ情報ブロックとフル ホスト プロファイルで参照します。各サブサーバの脆弱性情報を格納します。詳細については、フル サブサーバ データ ブロックを参照してください。 |
|||
バージョン 3.5+ のオペレーティング システム情報を格納します。詳細については、オペレーティング システム データ ブロック 3.5+を参照してください。 |
|||
ユーザ ポリシー制御の変更に関する情報を格納します。詳細については、ポリシー エンジン制御メッセージ データ ブロックを参照してください。 |
|||
属性定義の情報を格納します。詳細については、4.7+ の定義属性データ ブロックを参照してください。 |
|||
ユーザ入力のプロトコル情報を格納します。詳細については、ユーザ プロトコル データ ブロックを参照してください。 |
|||
ユーザ入力のクライアント アプリケーション データを格納します。詳細については、ユーザ クライアント アプリケーション データ ブロック 5.0 ～ 5.1を参照してください。ブロック 138 に置き換わります。 |
|||
ユーザ クライアント アプリケーション データ ブロックのリストを格納します。詳細については、ユーザ クライアント アプリケーション リスト データ ブロックを参照してください。 |
|||
IP アドレス範囲指定を格納します。詳細については、IP 範囲仕様データ ブロック 5.0 ～ 5.1.1.xを参照してください。ブロック 141 に置き換わります。 |
|||
属性名と値を格納します。詳細については、属性指定データ ブロックを参照してください。 |
|||
MAC アドレス範囲指定を格納します。詳細については、MAC アドレス指定データ ブロックを参照してください。 |
|||
IP と MAC アドレス指定ブロック リストを格納します。詳細については、アドレス指定データ ブロックを参照してください。 |
|||
サードパーティ アプリケーション文字列マッピングなど、サードパーティ アプリケーションからインポートしたホスト入力データを格納します。詳細については、ユーザ製品データ ブロック 5.0.xを参照してください。5.0 で導入したサクセサ ブロック タイプ 118 には、ブロック タイプ 65 と同じ構成があります。 |
|||
接続チャンク情報を格納します。詳細については、接続チャンク データ ブロック 5.0 ～ 5.1を参照してください。5.0 で導入したサクセサ ブロック タイプ 119 には、ブロック タイプ 66 と同じ構成があります。 |
|||
ホストに適用するフィックスを格納します。詳細については、フィックス リスト データ ブロックを参照してください。 |
|||
ユーザ入力イベントのサーバ情報を格納します。詳細については、ユーザ サーバ データ ブロックを参照してください。 |
|||
ユーザ サーバ ブロックのリストを格納します。詳細については、ユーザ サーバ リスト データ ブロックを参照してください。 |
|||
ユーザ ホスト入力イベントからのホスト範囲に関する情報を格納します。詳細については、ユーザ ホスト データ ブロック 4.7+を参照してください。 |
|||
ホスト脆弱性に関する情報を格納します（本製品の旧バージョンを参照のこと）。バージョン 5.0 で導入したサクセサ ブロックのブロック タイプは 124 です。 |
|||
非アクティブ化した脆弱性のリスト、またはアクティブ化した脆弱性のリストを格納します。詳細については、ユーザ脆弱性変更データ ブロック 4.7+を参照してください。 |
|||
ホストまたはホストの重要度の変更に関する情報を格納します。詳細については、ユーザ重要度変更データ ブロック 4.7+を参照してください。 |
|||
ホストの属性値の変更を格納します。詳細については、ユーザ属性値データ ブロック 4.7+を参照してください。 |
|||
ホストのプロトコル リストを示します。詳細については、ユーザ プロトコル リスト データ ブロック 4.7+を参照してください。 |
|||
ホストに適用する脆弱性を格納します。詳細については、ホスト脆弱性データ ブロック 4.9.0+を参照してください。 |
|||
オペレーティング システム フィンガープリントのリストを格納します。詳細については、オペレーティング システム フィンガープリント データ ブロック 5.0 ～ 5.0.2を参照してください。バージョン 5.1 で導入したサクセサ ブロックのブロック タイプは 130 です。 |
|||
ホストのプロファイル情報を格納します。詳細については、ホスト プロファイル データブロック 5.2+を参照してください。バージョン 5.1 で導入したサクセサ ブロックのブロック タイプは 132 です。 |
|||
ホスト プロファイル情報一式を格納します（本製品の旧バージョンを参照のこと）。データ ブロック 47 に置き換わります。 |
|||
ホストのアイデンティティ データを格納します。詳細については、アイデンティティ データ ブロックを参照してください。 |
|||
ホストの MAC アドレス情報を格納します。詳細については、ホスト MAC アドレス 4.9+を参照してください。 |
|||
セカンダリ セカンダリ ホストの更新で報告された MAC アドレス情報のリストを格納します。 |
|||
Web アプリケーション データのリストを格納します（本製品の旧バージョンを参照のこと）。バージョン 5.0 で導入したサクセサ ブロックのブロック タイプは 123 です。 |
|||
新規クライアント アプリケーション イベントのクライアント アプリケーション情報を格納します（本製品の旧バージョンを参照のこと）。バージョン 5.0 で導入したサクセサ ブロック タイプ 122 には、ブロック タイプ 100 と同じ構造があります。 |
|||
脆弱性に関する情報を格納しており、スキャン結果を追加イベントで使用します。スキャン結果データ ブロック 5.0 ～ 5.1.1.xを参照してください。 |
|||
ホスト サーバ情報を格納します。詳細については、ホスト サーバ データ ブロック 4.10.0+を参照してください。 |
|||
ホスト サーバ情報を格納します。詳細については、フル ホスト サーバ データ ブロック 4.10.0+を参照してください。 |
|||
サーバ フィンガープリントで使用するサーバ情報を格納します。詳細については、4.10.x、5.0 ～ 5.0.2 のサーバ情報データ ブロックを参照してください。5.0 で導入したサクセサ ブロック タイプ 117 には、ブロック タイプ 105 と同じ構成があります。 |
|||
ホストで検出したサーバに関する情報を格納します。詳細については、フル サーバ情報データ ブロックを参照してください。 |
|||
Nmap スキャンで得た結果を格納します。詳細については、4.10.0+ の汎用スキャン結果データ ブロックを参照してください。 |
|||
サードパーティ スキャンで検出した脆弱性に関する情報を格納します。4.10.0+ のスキャン脆弱性データ ブロックを参照してください。 |
|||
ホスト プロファイル情報一式を格納します。詳細については、フル ホスト プロファイル データ ブロック 5.0 ～ 5.0.2を参照してください。データ ブロック 92 に置き換わります。 |
|||
脆弱性リストとともに新規クライアント アプリケーション イベントのクライアント アプリケーション情報を格納します。詳細については、フル クライアント アプリケーション データ ブロック 5.0+を参照してください。 |
|||
5.0 ～ 5.0.2 の接続統計イベントの情報を格納します。詳細については、接続統計データ ブロック 5.0 ～ 5.0.2を参照してください。バージョン 5.1 で導入したサクセサ ブロックのブロック タイプは 126 です。 |
|||
サーバ フィンガープリントで使用するサーバ情報を格納します。詳細については、4.10.x、5.0 ～ 5.0.2 のサーバ情報データ ブロックを参照してください。 |
|||
サードパーティ アプリケーション文字列マッピングなど、サードパーティ アプリケーションからインポートしたホスト入力データを格納します。詳細については、ユーザ製品データ ブロック 5.0.xを参照してください。先行ブロック タイプ 65 は 5.0 で更新され、このブロック タイプと同じ構造があります。バージョン 5.1 で導入したサクセサ ブロックのブロック タイプは 132 です。 |
|||
バージョン 4.10.1 ～ 5.1 の接続チャンク情報を格納します。詳細については、接続チャンク データ ブロック 5.0 ～ 5.1を参照してください。サクセサ ブロックは 136 です。 |
|||
バージョン 5.0 + の新規クライアント アプリケーション イベントのクライアント アプリケーション情報を格納します。詳細については、5.0+ のホスト クライアント アプリケーション データ ブロックを参照してください。これはブロック タイプ 100 に置き換わります。 |
|||
バージョン 5.0 + の Web アプリケーション データを格納します。詳細については、5.0+ の Web アプリケーション データ ブロックを参照してください。これはブロック タイプ 97 に置き換わります。 |
|||
ホスト脆弱性に関する情報を格納します。ユーザ脆弱性データ ブロック 5.0+を参照してください。これはブロック タイプ 79 に置き換わります。 |
|||
4.10.2 の接続統計イベントの情報を格納します（本製品の旧バージョンを参照のこと）。バージョン 5.1 で導入したサクセサ ブロックのブロック タイプは 115 です。 |
|||
5.1 の接続統計イベントの情報を格納します。詳細については、接続統計データ ブロック 5.1を参照してください。これはブロック タイプ 115 に置き換わります。このブロック タイプはブロック タイプ 137 に置き換わります。 |
|||
オペレーティング システム フィンガープリントのリストを格納します。詳細については、オペレーティング システム フィンガープリント データ ブロック 5.1+を参照してください。これはブロック タイプ 87 に置き換わります。 |
|||
検出したモバイル デバイスのハードウェアに関する情報を格納します。詳細については、5.1+ デバイス のモバイル情報データ ブロックを参照してください。 |
|||
ホストのプロファイル情報を格納します。詳細については、フル ホスト プロファイル データ ブロック 5.2.xを参照してください。これはブロック タイプ 91 に置き換わります。ブロック 139 に置き換わります。 |
|||
サードパーティ アプリケーション文字列マッピングなど、サードパーティ アプリケーションからインポートしたホスト入力データを格納します。詳細については、ユーザ製品データ ブロック 5.1+を参照してください。これは先行ブロック タイプ 118 に置き換わります。 |
|||
ホスト プロファイル情報一式を格納します。詳細については、フル ホスト プロファイル データ ブロック 5.1.1を参照してください。データ ブロック 111 に置き換わります。 |
|||
接続チャンク情報を格納します。詳細については、6.1+ の接続チャンク データ ブロックを参照してください。ブロック 119 に置き換わります。 |
|||
5.1.1 の接続イベントの情報を格納します。詳細については、接続チャンク データ ブロック 5.0 ～ 5.1を参照してください。これはブロック タイプ 126 に置き換わります。これはブロック タイプ 144 に置き換わります。 |
|||
ユーザ入力のクライアント アプリケーション データを格納します。詳細については、5.1.1+ のユーザ クライアント アプリケーション データ ブロックを参照してください。これはブロック タイプに置き換わります。 |
|||
ホストのプロファイル情報を格納します。詳細については、ホスト プロファイル データブロック 5.2+を参照してください。これはブロック タイプ 132 に置き換わります。 |
|||
ホスト プロファイル情報一式を格納します。詳細については、全ホスト プロファイル データ ブロック 5.3+を参照してください。データ ブロック 135 に置き換わります。 |
|||
IP アドレス範囲指定を格納します。詳細については、5.2+ の IP アドレス範囲データ ブロックを参照してください。これはブロック 61 に置き換わります。 |
|||
脆弱性に関する情報を格納しており、スキャン結果を追加イベントで使用します。スキャン結果データ ブロック 5.2+を参照してください。これはブロック 102 に置き換わります。 |
|||
ホストの IP アドレスと最後の確認日時情報を格納します。詳細については、ホスト IP アドレス データ ブロックを参照してください。 |
|||
5.2.x. の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 5.2.xを参照してください。これはブロック タイプ 137 に置き換わります。 |
|||
5.2+ のホスト属性アドレスを格納します。詳細については、属性アドレス データ ブロック 5.2+を参照してください。これはブロック タイプ 38 に取って代わります。 |
|||
ホスト プロファイル情報一式を格納します。詳細については、全ホスト プロファイル データ ブロック 5.3+を参照してください。データ ブロック 135 に置き換わります。 |
|||
5.3+ の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 5.3を参照してください。これはブロック タイプ 144 に置き換わります。 |
|||
5.3 の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 5.3.1を参照してください。これはブロック タイプ 152 に置き換わります。 |
|||
5.4 の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 5.4を参照してください。これはブロック タイプ 154 に置き換わります。 |
|||
5.4.1 の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 5.4.1を参照してください。これはブロック タイプ 155 に置き換わります。 |
|||
5.4.1 の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 6.0.xを参照してください。これはブロック タイプ 157 に置き換わります。 |
|||
6.0+ の接続イベントの情報を格納します。詳細については、接続統計データ ブロック 6.2+を参照してください。これはブロック タイプ 160 に置き換わります。 |
文字列データ ブロック
文字列データ ブロックは、シリーズ 1 ブロックの文字列データ送信に使用します。他のシリーズ 1 データ ブロックで、主に、たとえば、オペレーティング システムやサーバ名の記述に使用します。
空の文字列データ ブロック（文字列データを格納していない文字列データ ブロック） のブロック長値は 8 であり、ゼロバイトの文字列データが続きます。文字列値にコンテンツがなければ、空の文字列データ ブロックが返ります。たとえば、オペレーティング システムのベンダーが不明な場合の、オペレーティング システム データ ブロックの OS ベンダー文字列フィールドなどが該当します。
文字列データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 0 です。
（注） このデータ ブロックで返る文字列の終端は、必ずしも NULL ではありません（最後が 0 とは限りません）。
次の表に、文字列データ ブロックのフィールドの説明を示します。
|
|
|
|
|---|---|---|
BLOB データ ブロック
バイナリ データは BLOB データ ブロックで伝えることもできます。たとえば、システムがキャプチャしたサーバ バナーを BLOB データ ブロックで保存できます。BLOB データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 10 です。
次の表に、BLOB データ ブロックのフィールドの説明を示します。
|
|
|
|
|---|---|---|
BLOB データ ブロックのバイト数です。BLOB ブロック タイプとブロック長フィールドの 8 バイトと後続のバイナリ データの長さが含まれます。 |
||
リスト データ ブロック
リスト データ ブロックでは、シリーズ 1 データ ブロックのリストをカプセル化します。たとえば、TCP サーバのリストを送信する場合、データを含むサーバ データ ブロックはリスト データ ブロックにカプセル化されます。リスト データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 11 です。
次の図に、リスト データ ブロックの基本的な形式を示します。
次の表では、リスト データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
リスト ブロックとカプセル化されたデータのバイト数。たとえば、リストに 3 つのサブサーバ データ ブロックがある場合、その値は、サブサーバ ブロックのバイト数にリスト ブロック ヘッダーの 8 バイトを加えた値になります。 |
||
汎用リスト ブロック
汎用リスト データ ブロックでは、シリーズ 1 データ ブロックのリストをカプセル化します。たとえば、ホスト プロファイル データ ブロックでクライアント アプリケーション情報を送信すると、クライアント アプリケーション データ ブロックのリストは、汎用リスト データ ブロックでカプセル化されます。汎用リスト データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 31 です。
次の図に、汎用リストのデータ ブロックの基本的な構造を示します。
次の表では、汎用リスト データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
汎用リスト ブロックとカプセル化されたデータ ブロックのバイト数。この値は、汎用リスト ブロック ヘッダー フィールドの 8 バイトに、カプセル化されたすべてのデータ ブロックのバイト数を加えた値です。 |
||
サブサーバ データ ブロック
サブサーバ データ ブロックは、個々のサブサーバに関する情報を伝えます。これは同じホスト上で別のサーバに呼び出されたサーバであり、脆弱性に関連付けられています。サブサーバ データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 1 です。
次の表では、サブサーバ データ ブロックのフィールドについて説明します。
プロトコル データ ブロック
このプロトコル データ ブロックがプロトコルを定義します。ブロック タイプ、ブロック長、プロトコルを識別する IANA プロトコルだけのごく簡単データ ブロックです。リスト データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 4 です。
次の表では、プロトコル データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
IANA プロトコル番号、または Ethertype。扱いは、トランスポート層プロトコルとネットワーク層プロトコルでは異なります。 |
整数型（INT32）データ ブロック
整数型（INT32）データ ブロックは、リスト データ ブロックで使用して 32 ビット整数型データを伝えます。
整数型データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 7 です。
次の表では、整数型データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
VLAN データ ブロック
VLAN データ ブロックには、ホストの VLAN タグ情報を格納します。VLAN データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 14 です。次の図は、VLAN データ ブロックの形式です。
次の表では、VLAN データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
サーバ バナー データ ブロック
サーバ バナー データ ブロックには、ホストで実行するサーバのバナーに関する情報があります。これにはサーバ ポート、プロトコル、バナー データを格納します。サーバ バナー データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 37 です。
（注） 次の図のブロック タイプ フィールドの横のアスタリスク（*）は、メッセージにシリーズ 1 データ ブロックのゼロ以上のインスタンスが含まれる可能性があることを示しています。
次の表では、サーバ バナー データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
サーバ バナー ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のデータ バイト数を加えたサーバ バナー データ ブロックの合計バイト数。 |
||
文字列情報データ ブロック
文字列情報データ ブロックには文字列データを格納します。たとえば、文字列情報データ ブロックは、スキャン脆弱性データ ブロックの Common Vulnerabilities and Exposures（CVE）識別文字列の伝達に使用します。文字列情報データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 35 です。
次の表では、文字列情報データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
文字列情報データ ブロックを使用した脆弱性のデータ ブロックの Common Vulnerabilities and Exposures（CVE）ID 番号の値。 |
属性アドレス データ ブロック 5.2+
属性アドレス ブロック データは、属性リスト項目が含まれ、属性定義データ ブロック内で使用されます。このブロック タイプは シリーズ 1 ブロック グループのブロック タイプ 146 です。
次の表は、属性アドレス データ ブロックのフィールドについての説明です。
|
|
|
|
|---|---|---|
属性アドレス データ ブロックのバイト数（属性アドレス ブロック タイプと長さ用の 8 バイト、およびそれに続く属性アドレス データのバイト数を含む）。 |
||
アドレスが自動的に割り当てられる場合は、ホストの IP アドレス。アドレスは IPv4 または IPv6 を使用できます。 |
||
属性リスト項目データ ブロック
属性リスト項目データ ブロックは、属性リスト項目を格納します。属性定義データ ブロック内で使用します。このブロック タイプは シリーズ 1 ブロック グループのブロック タイプ 39 です。
次の表では、属性リスト項目データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
属性リスト項目ブロック タイプと長さの 8 バイトに、後続の属性リスト項目データ バイト数を加えた属性リスト項目データ ブロックの合計バイト数。 |
||
文字列ブロック タイプと長さの 8 バイトに、属性リスト項目名のバイト数を加えた、属性リスト項目名の文字列データ ブロックの合計バイト数。 |
||
属性値データ ブロック
属性値データ ブロックは、ホスト属性の属性 ID 番号と値を伝えます。イベントのホストに適用される各属性の属性値データ ブロックは、フル ホスト プロファイル データ ブロックのリストに格納します。属性値データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 48 です。
次の表では、属性値データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
属性値ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続の属性ブロック データのバイト数を加えた属性値データ ブロックの合計バイト数。 |
||
フル サブサーバ データ ブロック
フル サーバ データ ブロックは、ホストで検出したサーバに関連付けられたサブサーバに関する情報を伝えます。サブサーバに関する情報には、ホスト上のサブサーバのベンダー、バージョン、関連 VDB、サードパーティ の脆弱性などがあります。サブサーバは、固有の関連脆弱性があるサーバの読み込み可能なモジュールです。フル ホスト サーバ データ ブロックには、ホストで検出した各サーバのフル サブサーバ データ ブロックが含まれます。フル ホスト サーバ データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 51 です。
（注） 次の図で、シリーズ 1 データ ブロック名の横のアスタリスク（*）は、データ ブロックの複数のインスタンスが発生する可能性があることを示します。
次の表では、フル サブサーバ データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
フルサブサーバ ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のフル サブサーバ ブロックのバイト数を加えたフル サブサーバ データ ブロックの合計バイト数。 |
||
ブロック タイプ フィールドと長さフィールドの 8 バイトにサブサーバ名のバイト数を加えたサブサーバ名文字列データ ブロックのバイト数。 |
||
ブロック タイプ フィールドと長さフィールドの 8 バイトにサブサーバ名のバイト数を加えたベンダー名文字列データ ブロックのバイト数。 |
||
ブロック タイプ フィールドと長さフィールドの 8 バイトにサブサーバ バージョンのバイト数を加えたサブサーバ バージョン文字列データ ブロックのバイト数。 |
||
VDB 脆弱性データを伝えるホスト脆弱性データ ブロックを構成する汎用リスト データ ブロックを開始します。この値は常に |
||
シスコ で確認されたホスト脆弱性に関する情報を格納したホスト脆弱性データブロック。このデータ ブロックの説明の詳細については、ホスト脆弱性データ ブロック 4.9.0+を参照してください。 |
||
サード パーティ スキャン脆弱性データを伝えるホスト脆弱性データ ブロックを構成する汎用リスト データ ブロックを開始します。この値は常に |
||
サードパーティの脆弱性のスキャナで確認されたホスト脆弱性に関する情報を格納したホスト脆弱性データブロック。このデータ ブロックの説明の詳細については、ホスト脆弱性データ ブロック 4.9.0+を参照してください。 |
オペレーティング システム データ ブロック 3.5+
バージョン 3.5+ のオペレーティング システム データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 53 です。このブロックには、フィンガープリント Universally Unique Identifier（UUID）を格納します。次の図は、3.5+ のオペレーティング システム データ ブロックの形式です。
次の表では、v3.5 オペレーティング システム データ ブロックのフィールドについて説明します。
ポリシー エンジン制御メッセージ データ ブロック
ポリシー エンジン制御メッセージ データ ブロックは、ポリシー タイプの制御メッセージを伝えます。ポリシー エンジン制御メッセージ データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 54 です。
次の図は、ポリシー エンジン制御メッセージ データ ブロックの形式です。
次の表では、ポリシー エンジン制御メッセージ データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
ポリシー エンジン制御ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のポリシー エンジン制御データのバイト数を加えたポリシー エンジン制御メッセージ データ ブロックの合計バイト数。 |
||
ブロック タイプ フィールドと長さフィールドの 8 バイトに制御メッセージのバイト数を加えた制御メッセージ文字列データ ブロックのバイト数。 |
||
4.7+ の定義属性データ ブロック
属性定義データ ブロックには、属性作成、変更、または削除イベントの更新属性定義が格納されます。属性定義データ ブロックは、ホスト属性追加イベント（イベント タイプ 1002、サブタイプ 6）、ホスト属性更新イベント（イベント タイプ 1002、サブタイプ 7）、ホスト属性削除イベント（イベント タイプ 1002、サブタイプ 8）で使用します。このブロック タイプは シリーズ 1 ブロック グループのブロック タイプ 55 です。
これらのイベントの詳細については、属性メッセージを参照してください。
次の表では、属性定義データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
属性定義データ ブロック タイプと長さの 8 バイトに、後続の属性定義データのバイト数を加えた属性定義データ ブロックのバイト数。 |
||
属性データの送信元にマッピングする ID 番号。送信元タイプによって、これは無応答（RNA）、ユーザ、スキャナ、またはサードパーティ アプリケーションにマッピングされます。 |
||
文字列ブロック タイプと長さの 8 バイトに、属性定義名のバイト数を加えた、属性定義名の文字列データ ブロックの合計バイト数。 |
||
属性リスト項目を伝える属性リスト項目データ ブロック リストで構成されたリスト データ ブロックを開始します。この値は常に |
||
リスト内のバイト数。この数値は、リスト ブロック タイプ フィールドと長さフィールドの 8 バイトに、カプセル化されたすべての属性リスト項目データ ブロックを加えた値です。 |
||
最初の属性リスト項目データ ブロックを開始します。このデータ ブロックには、他の属性リスト項目データ ブロックを、リスト ブロック長フィールドで定義した上限まで続けることができます。 |
||
ブロック タイプ フィールドとヘッダー フィールドの 8 バイトに属性リスト項目のバイト数を加えた属性リスト項目文字列データ ブロックのバイト数。 |
||
属性リスト項目データ ブロックに記載の属性リスト項目データ。 |
||
ホストの IP アドレスを属性とともに伝える属性アドレス データ ブロックで構成されるリスト データ ブロックを開始します。この値は常に |
||
リスト内のバイト数。この数値は、リスト ブロック タイプ フィールドと長さフィールドの 8 バイトに、カプセル化されたすべての属性アドレス データ ブロックを加えた値です。 |
||
最初の属性アドレス データ ブロックを開始します。このデータ ブロックには、他の属性アドレス データ ブロックを、リスト ブロック長フィールドで定義した上限まで続けることができます。 |
||
ブロック タイプ フィールドとヘッダー フィールドの 8 バイトに属性アドレスのバイト数を加えた属性アドレス データ ブロックのバイト数。 |
||
属性アドレス データ ブロック 5.2+に記載されている属性アドレス データ。 |
ユーザ プロトコル データ ブロック
ユーザ プロトコル データ ブロックには、追加したプロトコル、プロトコルのタイプ、ホストの IP アドレスの範囲と MAC アドレスの範囲に関する情報がプロトコルとともに格納されます。ユーザ プロトコル データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 57 です。
次の図は、ユーザ プロトコル データ ブロックの基本構造です。
次の表では、ユーザ プロトコル データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
ユーザ プロトコル ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のユーザ プロトコル データのバイト数を加えたユーザ プロトコル データ ブロックの合計バイト数。 |
||
IP アドレス範囲データを伝える IP 範囲仕様データ ブロック* で構成された汎用リスト データ ブロックを開始します。この値は常に |
||
リスト ヘッダーとカプセル化されたすべての IP 範囲仕様データ ブロック* を含む汎用リスト データ ブロックのバイト数。 |
||
ユーザ入力の IP アドレス範囲に関する情報を含む IP 範囲仕様データ ブロック。このデータ ブロックの説明の詳細については、5.2+ の IP アドレス範囲データ ブロックを参照してください。 |
||
MAC アドレス範囲データを伝える MAC 範囲指定データ ブロックで構成された汎用リスト データ ブロックを開始します。この値は常に |
||
リスト ヘッダーとカプセル化されたすべての MAC 範囲指定データ ブロックを含む汎用リスト データ ブロックのバイト数。 |
||
ユーザ入力の MAC アドレス範囲に関する情報を含む MAC 範囲指定データ ブロック。このデータ ブロックの説明の詳細については、MAC アドレス指定データ ブロックを参照してください。 |
||
プロトコルのタイプを示します。プロトコルには、IP などネットワーク層プロトコルの |
||
5.1.1+ のユーザ クライアント アプリケーション データ ブロック
ユーザ クライアント アプリケーション データ ブロックには、クライアント アプリケーション データの送信元に関する情報、データを追加したユーザの ID 番号、および IP アドレス範囲データ ブロックのリストが含まれます。バージョン 6.2.2 に追加されたペイロード ID は、レコードに関連付けられたアプリケーション インスタンスを指定します。ユーザ クライアント アプリケーション データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 138 です。ブロック タイプ 59 を置換します。
次の図は、ユーザ クライアント アプリケーション データ ブロックの基本構造を示しています。
次の表は、ユーザ クライアント アプリケーション データ ブロックのフィールドについての説明です。
|
|
|
|
|---|---|---|
ユーザ クライアント アプリケーション データ ブロックのバイトの合計数（ユーザ クライアント アプリケーション ブロック タイプと長さのフィールド用の 8 バイト、およびそれに続くユーザ クライアント アプリケーション データのバイト数を含む）。 |
||
IP アドレス範囲データを伝える IP 範囲仕様データ ブロック* で構成された汎用リスト データ ブロックを開始します。この値は常に |
||
リスト ヘッダーとカプセル化されたすべての IP 範囲仕様データ ブロック* を含む汎用リスト データ ブロックのバイト数。 |
||
ユーザ入力の IP アドレス範囲に関する情報を含む IP 範囲仕様データ ブロック。このデータ ブロックの説明の詳細については、5.2+ の IP アドレス範囲データ ブロックを参照してください。 |
||
クライアント アプリケーション バージョン文字列データ ブロックのバイト数（文字列ブロック タイプと長さのフィールド、およびバージョンのバイト数を含む）。 |
||
ユーザ クライアント アプリケーション リスト データ ブロック
ユーザ クライアント アプリケーション データ ブロックには、クライアント アプリケーション データの送信元に関する情報、データを追加したユーザの ID 番号、クライアント アプリケーション ブロックのリストを格納します。ユーザ クライアント アプリケーション リスト データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 60 です。
次の図は、ユーザ クライアント アプリケーション リスト データ ブロックの基本構造です。
次の表では、ユーザ クライアント アプリケーション リスト データ ブロックのフィールドについて説明します。
|
|
|
|
|---|---|---|
ユーザ クライアント アプリケーション リスト ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のユーザ クライアント リスト アプリケーション データのバイト数を加えたユーザ クライアント アプリケーション リスト データ ブロックの合計バイト数。 |
||
影響を受けるクライアント アプリケーションを追加した送信元にマッピングする ID 番号。送信元タイプによって、これは無応答（RNA）、ユーザ、スキャナ、またはサードパーティ アプリケーションにマッピングされます。 |
||
汎用リスト ブロックとカプセル化されたデータ ブロックのバイト数。この値は、汎用リスト ブロック ヘッダー フィールドの 8 バイトに、カプセル化されたすべてのデータ ブロックのバイト数を加えた値です。 |
||
リスト ブロック長の最大バイト数を上限としてカプセル化したユーザ クライアント アプリケーション データ ブロック。ユーザ クライアント アプリケーション データ ブロックの詳細については、5.1.1+ のユーザ クライアント アプリケーション データ ブロックを参照してください。 |
5.2+ の IP アドレス範囲データ ブロック
5.2+ の IP アドレス範囲データ ブロックは IP アドレス範囲を伝えます。IP アドレス範囲データ ブロックは、ユーザ プロトコル、ユーザ クライアント アプリケーション、アドレス指定、ユーザ製品、ユーザ サーバ、ユーザ ホスト、ユーザ脆弱性、ユーザ重要度、ユーザ属性値データ ブロックで使用します。IP アドレス範囲データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 141 です。
次の表では、IP アドレス範囲指定データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
IP アドレス範囲ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続の IP アドレス範囲データのバイト数を加えた IP アドレス範囲データ ブロックの合計バイト数。 |
||
属性指定データ ブロック
属性指定データ ブロックは属性名と値を伝えます。属性指定データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 62 です。
次の表では、属性指定データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
ブロック タイプ フィールドと長さフィールドの 8 バイトに属性名のバイト数を加えた属性名文字列データ ブロックのバイト数。 |
||
ブロック タイプ フィールドと長さフィールドの 8 バイトに属性名のバイト数を加えた属性名文字列データ ブロックのバイト数。 |
||
ホスト IP アドレス データ ブロック
ホスト IP アドレス データ ブロックは個々の IP アドレスを伝えます。IP アドレスには、IPv4 アドレスと IPv6 アドレスのいずれも使用できます。ホスト IP アドレス データ ブロックは、ユーザ プロトコル、アドレス指定、ユーザ ホスト データ ブロックで使用します。ホスト IP データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 143 です。
次の図は、ホスト IP アドレス データ ブロックの形式です。
次の表では、ホスト IP アドレス データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
ホスト IP ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続のホスト IP アドレス データのバイト数を加えたホスト IP アドレス データ ブロックの合計バイト数。 |
||
MAC アドレス指定データ ブロック
MAC アドレス指定データ ブロックは個々の MAC アドレスを伝えます。MAC アドレス指定データ ブロックは、ユーザ プロトコル、アドレス指定、ユーザ ホスト データ ブロックで使用します。MAC アドレス 指定データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 63 です。
次の表では、MAC アドレス指定データ ブロックのコンポーネントについて説明します。
|
|
|
|
|---|---|---|
MAC アドレス指定ブロック タイプ フィールドと長さフィールドの 8 バイトに、後続の MAC アドレス指定データのバイト数を加えた MAC アドレス指定データ ブロックの合計バイト数。 |
||
アドレス指定データ ブロック
アドレス指定のデータ ブロックには、IP アドレス範囲指定と MAC アドレス指定のリストを格納します。アドレス指定データ ブロックのブロック タイプは、シリーズ 1 ブロック グループのブロック タイプ 64 です。