• Splunk 向け Cisco Secure Firewall アプリには、バージョン 6.0 以降を実行している Firewall Management Center から Splunk に送信されたセキュリティおよびネットワーク イベント情報が表示されます。どの機能を使用できるかは、Firewall Management Center のバージョンによって異なります。

• サポートされている Splunk のバージョンおよびその他の互換性情報については、 https://splunkbase.splunk.com/app/4388/を参照してください。

• このアプリを使用する前に、Firewall Management Center のイベントデータが Splunk で利用できることを確認してください。

  Firewall Management Center のデータを Splunk に取り込むには、Cisco Secure eStreamer Client Add-On for Splunk（旧 Cisco eStreamer eNcore Add-on for Splunk）を使用します。このテクニカル アドオン（TA）は https://splunkbase.splunk.com/app/3662/ から入手できます。

  この TA のドキュメントは https://www.cisco.com/c/en/us/support/security/defense-center/products-programming-reference-guides-list.html から入手できます。

• Splunk アプリケーションで分析に使用できるイベントデータのタイプについては、https://splunkbase.splunk.com/app/3662/を参照してください。

ネットワークは、ネットワークの内部で発生した攻撃を簡単に特定できるように構成してください（特にホーム ネットワークでの特定）。

• システムが識別した脅威をシステムがブロックしていることを確認します：

  [脅威（Threats）] > [脅威サマリー（Threat Summary）]ページで、方向に関係なく、ブロックされなかった脅威をフィルタリングします。

  [脅威（Threats）] > [侵入イベント（Intrusion Events）]ページで、ブロックされていない影響 1 の脅威をフィルタリングします。

• 侵害された内部ホストを探します：

  攻撃が内部ホストによって開始されている場合、常に侵害を示しています。

  • [脅威（Threats）] > [侵入イベント（Intrusion Events）]ページで、ブロックされたかどうかにかかわらず、影響 3 の脅威をフィルタリングし、タイムラインの下にある円グラフで、関連する内部ホストのオプションをクリックします。ページの下部にある表で内部 IP アドレスを調べます。

  • 次に、影響 2 のイベントについて同じ手順を実行します。

  • [脅威（Threats）] > [脅威サマリー（Threat Summary）]ページで、内部ホストで発生した脅威（ブロックされたかどうかには関係なく）をフィルタリングし、脅威がブロックされたかどうかに関係なく、関与している内部ホストを調査します。

• 脅威であると認識される前にネットワークに侵入したマルウェアの影響を受けているホストを特定します：

  [脅威（Threats）] > [脅威サマリー（Threat Summary）]ページにあるレトロスペクティブ マルウェア イベントのグラフを使用して、影響を受けているホストを特定します。

• 承認されていないアプリケーションや使用中の非標準ポートなど、ネットワーク上に異常がないかを探します：

  • [ネットワーク（Network）] ページのグラフを確認します。

  • [ネットワーク（Network）] ページの [最も観察されていない TCP ポートで使用中の上位サーバーアプリケーション（Top Server Applications In Use with Least Seen TCP Ports）] グラフで強調表示されている、一般的ではないポートでのアクティビティを探します。

• のデータを調べて、異常（想定外に頻繁またはあまり見られないアクティビティまたはパラメータ）を確認します。

• ネットワーク上の予期しないホストを調査します。

  ネットワーク上のホスト検出に関連していないレベル 0 の侵入イベントは、ゴースト ネットワークの存在を示している可能性があります。

  （レベル 0 の侵入イベントは、ネットワーク検出ポリシーが適切に実装されていないことを示している可能性もあります）。

• 時間の経過とともに生じている、または主要なホスト（サーバーなど）に対する優先度の高い攻撃のスパイクやトレンドを探します。

  これらは、 [脅威（Threats）] メニューの各ページにあるタイムライン グラフで確認するのが最も簡単です。

  さまざまな時間範囲を選択して、何が顕著であるかを確認してください。

• 重要でないデータの大きなチャンクを排除して、重要なデータを目立つようにすることができます。

• 一意のイベントを慎重に調べてください。これらのイベントは、的を絞った攻撃を示している可能性があります。

• 関心のある項目をドリルダウンします。

  フラグを発生させるパターン、ホスト、ユーザー、アプリケーション、ポートなどを見つけたら、ドリルダウンしてフィルタリングを行い、関連するエンティティに関係する他のトランザクションを確認します。また、項目を右クリックして、追加情報が利用可能かどうかを確認します。

• 調査する際は、その他の疑わしい動作も探します。次に例を示します。

  • 単一の URL が、時間の経過とともに複数の IP アドレスと MAC アドレスに予期せず関連付けられている。

  • ホストが SSH を使用して、過去 1 時間に 30 の異なるエンドポイントに予期せず接続した。

• 特定の IP アドレスに関連付けられたイベントとデータを検索します。

  [脅威（Threats）] > [コンテキスト エクスプローラ（Context Explorer）]ページを使用します。

  （注）	フィルタに多数の IP アドレスを含めている場合、データのセットアップにもよりますが、アプリの動作が非常に遅くなる可能性があります。

• 侵入イベント影響レベルも参照してください。

ウィジェットの説明：

このアプリケーションのほとんどのウィジェットは、 Firewall Management Center の同等のウィジェットと同じです。これらのウィジェットの詳細については、https://www.cisco.com/c/en/us/support/security/defense-center/products-installation-and-configuration-guides-list.html にある、お使いのバージョンの Cisco Secure Firewall Management Center 構成ガイドを参照してください。