スキーマ：相関テーブル

compliance_event
remediation_status
white_list_event
white_list_violation

スキーマ：相関テーブル

この章では、相関関連イベント（修復ステータスやホワイトリストイベントなど）のスキーマとサポートされている結合について説明します。詳細については、次の表に示す項を参照してください。

表 9-1 相関テーブルのスキーマ
参照先	次の内容が格納されるテーブル	Version
compliance_event	相関イベント。このイベントは、アクティブな相関ポリシー内の相関ルールがトリガーされると生成されます。	4.10.x+
remediation_status	修復ステータスイベント。このイベントは、アクティブな相関ポリシーによって応答として修復がトリガーされると生成されます。	4.10.x+
white_list_event	ホワイトリストイベント。このイベントは、アクティブなホワイトリストコンプライアンスポリシーでホワイトリストのコンプライアンスに準拠していないホストが検出されると、生成されます。	4.10.x+
white_list_violation	ホワイトリスト違反。この違反は、ネットワーク上のホストが、アクティブなコンプライアンスポリシーのコンプライアンスホワイトリストにどのように違反しているかを追跡します。	4.10.x+

compliance_event

compliance_event テーブルには、Firepower Management Center により生成される相関イベントに関する情報が格納されます。

詳細については、次の項を参照してください。

compliance_event のフィールド

このテーブルのフィールドの多くは、相関ルールをトリガーしたイベントのタイプに応じて空白になることがある点に注意してください。たとえば、システムで特定のアプリケーションプロトコルまたは特定のポートで稼働している Web アプリケーションが検出されたために、Firepower Management Center により相関イベントが生成される場合、その相関イベントには、侵入関連の情報は含まれません。また、このテーブルのフィールドは、Firepower システムの設定に基づいて空白になることもあります。たとえば Control ライセンスを所有していない場合、相関イベントにはユーザアイデンティティ情報が含まれません。

バージョン 5.0 以降、Firepower システムは検出エンジンではなく、管理対象デバイスレベルでのネットワークおよびユーザアクティビティの検出を記録することに注意してください。現在、 compliance_event テーブルの detection_engine_name フィールドと detection_engine_uuid フィールドは空白だけを返し、これらのフィールドを結合するクエリはレコードを返しません。イベントが検出された場所に関する情報については、 detection_engine_uuid フィールドではなく sensor_uuid フィールドを照会する必要があります。

次の表に、 compliance_event テーブルでアクセスできるデータベースフィールドについて説明します。

表 9-2 compliance_event のフィールド
フィールド	説明
`blocked`	侵入イベントをトリガーしたパケットの処理を示す値。 `0` ：パケットはドロップされなかった `1` ：パケットはドロップされた（インライン型、スイッチ型、またはルーティング型展開） `2` ：侵入ポリシーが、インライン型、スイッチ型、またはルーティング型展開のデバイスに適用されている場合は、イベントをトリガーしたパケットがドロップされている可能性がある。
`description`	相関イベントと、このイベントがどのように引き起こされたかに関する情報。
`detection_engine_name`	バージョン 5.0 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`detection_engine_uuid`	バージョン 5.0 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`domain_name`	イベントが検出されたドメインの名前。
`domain_uuid`	イベントが検出されたドメインの UUID。これはバイナリで示されます。
`dst_host_criticality`	相関イベントに関連する宛先ホストにユーザが割り当てたホスト重要度： `None` 、 `Low` 、 `Medium` 、または `High`
`dst_host_type`	宛先ホストのタイプ： `Host` 、 `Router` 、 `Bridge` 、 `NAT Device` 、または `Load Balancer`
`dst_ip_address`	バージョン 5.2 で廃止されたフィールド。後方互換性を維持するため、このフィールドの値は `null` には設定されませんが、信頼できません。
dst_ip_address_v6	バージョン 5.2 で廃止されたフィールド。後方互換性を維持するため、このフィールドの値は `null` には設定されませんが、信頼できません。
dst_ipaddr	トリガーイベントに関連する宛先ホストの IPv4 または IPｖ6 アドレスのバイナリ表現。
`dst_os_product`	宛先ホストのオペレーティングシステムの名前。
`dst_os_vendor`	宛先ホストのオペレーティングシステムのベンダー。
`dst_os_version`	宛先ホストのオペレーティングシステムのバージョン番号。
`dst_port`	イベントプロトコルタイプが TCP または UDP の場合にトラフィックを受信するホストのポート番号。プロトコルタイプが ICMP の場合は ICMP コード。
`dst_rna_service`	トリガーイベントに関連付けられている送信元ホストのアプリケーションプロトコル（判明している場合）。判明していない場合は、次のいずれかになります。 `none` または空白：アプリケーションプロトコルトラフィックがありません。 `unknown` ：既知のサーバフィンガープリントに基づいてサーバを識別できませんでした。 `pending` ：システムにさらに情報が必要です。
`dst_user_dept`	宛先ユーザの所属部門。
`dst_user_email`	宛先ユーザの電子メールアドレス。
`dst_user_first_name`	宛先ユーザの名前。
`dst_user_id`	宛先ユーザの内部識別番号。宛先ユーザとは、イベント発生前に宛先ホストにログインした最終ユーザです。
`dst_user_last_name`	宛先ユーザの姓。
`dst_user_last_seen_sec`	システムが宛先ユーザのログインを最後に報告した日時を示す UNIX タイムスタンプ。
`dst_user_last_updated_sec`	宛先ユーザの情報の最終更新日時を示す UNIX タイムスタンプ。
`dst_user_name`	宛先ユーザのユーザ名。
`dst_user_phone`	宛先ユーザの電話番号。
`dst_vlan_id`	宛先ホストの VLAN ID 番号（該当する場合）。
`event_id`	デバイスによって生成されたトリガー侵入イベントの識別番号。
`event_time_sec`	トリガーイベントの日時を示す UNIX タイムスタンプ。
`event_time_usec`	トリガーイベントのタイムスタンプのマイクロ秒単位の増分。
`event_type`	相関ルールをトリガーした基礎となるイベントのタイプ、または Firepower Management Center が相関イベントを生成する原因となった基礎となるイベントのタイプ値は次のとおりです。 `ids` ：侵入イベントトリガー `rna` ：検出イベント、ホスト入力イベント、接続イベント、またはトラフィックプロファイル変更トリガー `rua` ：ユーザ検出イベントトリガー `whitelist` ：コンプライアンスホワイトリスト違反トリガー
`host_event_type`	イベントタイプ（ `New Host` 、 `Identity Conflict` など）。
`id`	相関イベントの内部識別番号。
`impact`	イベントの影響フラグ値。値は次のとおりです。 `1` ：レッド（脆弱） `2` ：オレンジ（脆弱の可能性あり） `3` ：イエロー（現在は脆弱でない） `4` ：ブルー（不明なターゲット） `5` ：グレー（不明な影響）相関ルールが侵入イベントによってトリガーされた場合にのみ設定します。
`interface_egress_name`	接続に関連付けられた入力インターフェイス。
`interface_ingress_name`	接続に関連付けられた出力インターフェイス。
`policy_name`	違反が発生した相関ポリシー。
`policy_rule_name`	ポリシー違反をトリガーした相関ルール。
`policy_rule_uuid`	相関ルールの固有識別子。
`policy_time_sec`	相関イベントが生成された日時を示す UNIX タイムスタンプ。
`policy_uuid`	相関ポリシーの固有識別子。
`priority`	相関イベントのプライオリティ。ユーザインターフェイスで設定されます。このイベントプライオリティは、トリガーされたルールのプライオリティまたは違反が発生した相関ポリシーのプライオリティによって決まります。
`protocol_name`	イベントに関連付けられているプロトコル（使用可能な場合）。
`protocol_num`	IANA 指定のプロトコル番号（使用可能な場合）。
`rna_event_type`	バージョン 5.0 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`rua_event_type`	バージョン 5.0 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`rule_generator_id`	トリガー侵入イベントを生成したコンポーネントのジェネレータ ID 番号（GID）。
`rule_message`	相関ルールをトリガーした侵入イベントを説明するテキスト。ルールベースのイベントの場合、イベントメッセージはルールから生成されます。デコーダベースおよびプリプロセッサベースのイベントの場合、メッセージはハードコーディングされています。
`rule_signature_id`	イベントのシグニチャ ID（SID）。トリガー侵入イベントが生成される原因となった特定のルール、デコーダメッセージ、またはプリプロセッサメッセージを識別します。
`security_zone_egress_name`	相関イベントの出力セキュリティゾーン。
`security_zone_ingress_name`	相関イベントの入力セキュリティゾーン。
`sensor_address`	コンプライアンスイベントをトリガーした基礎となるイベントを生成した管理対象デバイスの IP アドレス。形式は ipv4_address,ipv6_address です。
`sensor_name`	コンプライアンスイベントをトリガーした基礎となるイベントを生成した管理対象デバイス。
`sensor_uuid`	管理対象デバイスの固有識別子（ `sensor_name` が `null` の場合は `0` ）。
`src_host_criticality`	コンプライアンスイベントに関連する送信元ホストにユーザが割り当てたホスト重要度： `None` 、 `Low` 、 `Medium` 、または `High` 。
`src_host_type`	送信元ホストのタイプ： `Host` 、 `Router` 、 `Bridge` 、 `NAT Device` 、または `Load Balancer` 。
`src_ip_address`	バージョン 5.2 で廃止されたフィールド。後方互換性を維持するため、このフィールドの値は `null` には設定されませんが、信頼できません。
src_ip_address_v6	バージョン 5.2 で廃止されたフィールド。後方互換性を維持するため、このフィールドの値は `null` には設定されませんが、信頼できません。
src_ipaddr	トリガーイベントに関連する送信元ホストの IPv4 または IPv6 アドレスのバイナリ表現。
`src_os_product`	送信元ホストのオペレーティングシステムの名前。
`src_os_vendor`	送信元ホストのオペレーティングシステムのベンダー。
`src_os_version`	送信元ホストのオペレーティングシステムのバージョン番号。
`src_port`	送信元ホストのポート番号。ICMP トラフィックの場合は ICMP タイプが表示されます。
`src_rna_service`	トリガーイベントに関連付けられている送信元ホストのアプリケーションプロトコル（判明している場合）。判明していない場合は、次のいずれかになります。 `none` または空白：アプリケーションプロトコルトラフィックがありません。 `unknown` ：既知のサーバフィンガープリントに基づいてサーバとアプリケーションプロトコルを識別できませんでした。 `pending` ：システムにさらに情報が必要です。
`src_user_dept`	送信元ユーザの所属部門。
`src_user_email`	送信元ユーザの電子メールアドレス。
`src_user_first_name`	送信元ユーザの名前。
`src_user_id`	送信元ユーザの内部識別番号。これは、イベント発生前に送信元ホストにログインしていた最終ユーザです。
`src_user_last_name`	送信元ユーザの姓。
`src_user_last_seen_sec`	システムが送信元ユーザのログインを最後に報告した日時を示す UNIX タイムスタンプ。
`src_user_last_updated_sec`	送信元ユーザの情報の最終更新日時を示す UNIX タイムスタンプ。
`src_user_name`	送信元ユーザのログインユーザ名。
`src_user_phone`	送信元ユーザの電話番号。
`src_vlan_id`	送信元ホストの VLAN 識別番号（該当する場合）。
`user_event_type`	トリガーユーザイベントのタイプ（ `New User Identity` または `User Login` など）。

compliance_event の結合

次の表に、 compliance_event テーブルで実行できる結合について説明します。

表 9-3 compliance_event の結合
このテーブルで結合に使用するフィールド	結合できるフィールド
`dst_ipaddr` または `src_ipaddr`	`rna_host_ip_map.ipaddr user_ipaddr_history.ipaddr`

compliance_event のサンプルクエリ

次のクエリは、1 週間の相関イベントレコードを最大 25 件返します。これらのレコードには、イベント時刻、送信元と宛先の IP アドレス、送信元と宛先のポート、ポリシー情報などのイベント情報が含まれています。

SELECT event_id, policy_time_sec, impact, blocked, src_ipaddr, dst_ipaddr, src_port, dst_port, description, policy_name, policy_rule_name, priority, src_host_criticality, dst_host_criticality, security_zone_egress_name, security_zone_ingress_name, sensor_name, interface_egress_name, interface_ingress_name

FROM compliance_event WHERE event_type!="whitelist"

AND policy_time_sec

BETWEEN UNIX_TIMESTAMP("2011-10-01 00:00:00")

AND UNIX_TIMESTAMP("2011-10-07 23:59:59")

domain_name= "Global \ Company B \ Edge"

ORDER BY policy_time_sec

DESC LIMIT 0, 25;

remediation_status

remediation_status テーブルには、修復イベントに関する情報が格納されます。修復イベントは、Firepower Management Center が相関ポリシー違反に対応して修復を開始すると生成されます。

詳細については、次の項を参照してください。

remediation_status のフィールド

次の表に、 remediation_status テーブルでアクセスできるデータベースフィールドについて説明します。

表 9-4 remediation_status のフィールド
フィールド	説明
`id`	違反が発生し、修復をトリガーした相関ポリシーの識別番号。
`policy_name`	違反が発生し、修復をトリガーした相関ポリシー。
`policy_rule_name`	修復をトリガーした特定の相関ルール。
`policy_rule_uuid`	相関ルールの固有識別子。
`policy_time_sec`	修復をトリガーした相関イベントの生成日時を示す UNIX タイムスタンプ。
`policy_uuid`	相関イベントをトリガーした相関ポリシーの固有識別子。
`remediation_name`	開始された修復。
`remediation_time_sec`	Firepower Management Center により修復が開始された日時を示す UNIX タイムスタンプ。
`status_text`	修復の開始時に発生した事象を説明するメッセージ（「 `successful completion of remediation` 」など）。

remediation_status の結合

remediation_status テーブルに対して結合を実行することはできません。

remediation_status のサンプルクエリ

次のクエリは、特定の日付より前に生成された最大 25 件のレコードを返します。これらのレコードには修復のステータスに関する情報（修復のタイムスタンプ、ステータスメッセージなど）が含まれます。

SELECT policy_time_sec, remediation_time_sec, remediation_name, policy_name, policy_rule_name, status_text

FROM remediation_status WHERE remediation_time_sec <= UNIX_TIMESTAMP("2011-10-01 00:00:00")

ORDER BY policy_time_sec

DESC LIMIT 0, 25;

white_list_event

white_list_event テーブルにはホワイトリストイベントが格納されます。ホワイトリストイベントは、ホストがアクティブなホワイトリストコンプライアンスポリシーのホワイトリストに準拠していないことがシステムにより検出されると生成されます。

バージョン 5.0 以降、Firepower システムは検出エンジンではなく、管理対象デバイスレベルでのネットワークおよびユーザアクティビティの検出を記録することに注意してください。 white_list_event テーブルの detection_engine_name フィールドと detection_engine_uuid フィールドは null だけを返し、またこれらのフィールドを結合するクエリはレコードを返しません。 detection_engine_uuid フィールドの代わりに sensor_uuid フィールドを照会すると、同等の情報が返されます。

詳細については、次の項を参照してください。

white_list_event のフィールド

次の表に、 white_list_event テーブルでアクセスできるデータベースフィールドについて説明します。

表 9-5 white_list_event のフィールド
フィールド	説明
`description`	ホワイトリスト違反の説明。
`detection_engine_name`	バージョン 5.0 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`detection_engine_uuid`	バージョン 5.0 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`host_criticality`	ホワイトリストに準拠していないホストに対してユーザが割り当てた重要度（[None]、[Low]、[Medium]、または [High]）。
`host_type`	ホストのタイプ： `Host` 、 `Router` 、 `Bridge` 、 `NAT Device` 、または `Load Balancer` 。
`id`	ホワイトリストイベントの内部固有識別子。
`ip_address`	バージョン 5.2 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
ip_address_v6	バージョン 5.2 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
ipaddr	準拠していないホストの IP アドレスのバイナリ表現。
`os_product`	オペレーティングシステムの製品名。
`os_vendor`	オペレーティングシステムのベンダー。
`os_version`	オペレーティングシステムのバージョン番号。
`policy_name`	ホワイトリストを含む違反コンプライアンスポリシー。
`policy_time_sec`	イベントが生成された日時を示す UNIX タイムスタンプ。
`policy_uuid`	ホワイトリストイベントを含むコンプライアンスポリシーの固有識別子。
`port`	サービスホワイトリスト違反をトリガーしたイベント（非準拠サービスの結果として違反が発生した場合）に関連付けられているポート（存在する場合）。他のタイプのホワイトリスト違反の場合、このフィールドは空白です。
`priority`	ホワイトリストイベントのプライオリティ。ユーザインターフェイスで設定されます。
`protocol_name`	イベントに関連付けられているプロトコル（使用可能な場合）。
`protocol_num`	IANA 指定のプロトコル番号（使用可能な場合）。
`rna_service`	ホワイトリスト違反をトリガーしたサービス（使用可能な場合）。
`sensor_address`	トラフィックを検出した管理対象デバイスの IP アドレス。形式は ipv4_address,ipv6_address です。
`sensor_name`	ホワイトリストイベントを生成したデバイス。
`sensor_uuid`	管理対象デバイスの固有識別子（ `sensor_name` が `null` の場合は `0` ）。
`user_dept`	ユーザの所属部門。
`user_email`	ユーザの電子メールアドレス。
`user_first_name`	ユーザの名前。
`user_id`	イベント発生前にホストにログインしていた最終ユーザの内部 ID 番号。
`user_last_name`	ユーザの姓。
`user_last_seen_sec`	システムがユーザのログインを最後に報告した日時を示す UNIX タイムスタンプ。
`user_last_updated_sec`	ユーザの情報の最終更新日時を示す UNIX タイムスタンプ。
`user_name`	ユーザのログインユーザ名。
`user_phone`	ユーザの電話番号。
`vlan_id`	VLAN 識別番号（該当する場合）。
`white_list_name`	違反が発生したホワイトリスト。
`white_list_uuid`	ホワイトリストの固有識別子。

white_list_event の結合

次の表に、 white_list_event テーブルで実行できる結合について説明します。

表 9-6 white_list_event の結合
このテーブルで結合に使用するフィールド	結合できるフィールド
`ipaddr`	`rna_host_ip_map.ipaddr user_ipaddr_history.ipaddr`

white_list_event のサンプルクエリ

次のクエリは、指定された時点よりも前に生成されたレコードを最大 25 件返します。これらのレコードには、ホワイトリストイベントに関する情報（コンプライアンスポリシー名、イベント生成時点のタイムスタンプ、ホワイトリストの名前など）が含まれます。

SELECT policy_name, policy_time_sec, ipaddr, user_name, port, description, white_list_name, priority, host_criticality, sensor_name

FROM white_list_event WHERE policy_time_sec <= UNIX_TIMESTAMP("2011-10-01 00:00:00")

ORDER BY policy_time_sec DESC LIMIT 0, 25;

white_list_violation

white_list_violation テーブルは、コンプライアンスホワイトリスト違反を追跡します。この違反は、ネットワーク上のホストが、アクティブなコンプライアンスポリシーのコンプライアンスホワイトリストにどのように違反しているかを追跡します。

詳細については、次の項を参照してください。

white_list_violation のフィールド

次の表に、 white_list_violation テーブルでアクセスできるデータベースフィールドについて説明します。

表 9-7 white_list_violation のフィールド
フィールド	説明
`host_id`	ホワイトリストに違反するホストの ID 番号。
`info`	ホワイトリスト違反に関連付けられたすべての利用可能なベンダー、製品、またはバージョン情報。ホワイトリストに違反するプロトコルの場合、このフィールドには、違反の原因がネットワークプロトコルとトランスポートプロトコルのどちらなのかも示されます。
`ip_address`	バージョン 5.2 で廃止されたフィールド。すべてのクエリに対して `null` を返します。
`port`	サービスホワイトリスト違反をトリガーしたイベント（非準拠サービスの結果として違反が発生した場合）に関連付けられているポート（存在する場合）。他のタイプのホワイトリスト違反の場合、このフィールドは空白です。
`protocol_name`	イベントに関連付けられているプロトコル。
`type`	ホワイトリスト違反のタイプ。非準拠が原因で違反が発生したかどうかを示します。オペレーティングシステム（os）サービス（ `service` ）クライアントアプリケーション（ `client app` ）プロトコル（protocol）
`violation_time_sec`	違反がログに記録された日時を示す UNIX タイムスタンプ。
`white_list_name`	違反が発生したホワイトリスト。
`white_list_uuid`	ホワイトリストの固有識別子。

white_list_violation の結合

white_list_violation テーブルに対して結合を実行することはできません。

white_list_violation のサンプルクエリ

次のクエリは、ホワイトリスト違反に関する情報（ホワイトリストに違反するホストの IP アドレス、違反が発生したホワイトリストの名前、違反の数など）を含むレコードを最大 25 件返します。

SELECT host_id, white_list_name, count(*)

FROM white_list_violation

GROUP BY white_list_name, host_id

ORDER BY white_list_name

DESC LIMIT 0, 25;

Firepower System バージョン 6.3 データベースアクセスガイド

偏向のない言語

翻訳について

Book Title

Firepower System バージョン 6.3 データベースアクセスガイド

Chapter Title