FireSIGHT System バージョン 5.4.1 ユーザ ガイド

テーブルのカラムの内容について詳しく調べる

監査ログ テーブルについてで詳細を参照してください。

監査レコードを表示する際に使われる時間範囲を変更する

詳細については、イベント時間の制約の設定を参照してください。

イベント ビューを時間によって制約している場合は、（グローバルかイベントに特有かに関係なく）アプライアンスに設定されている時間枠の範囲外に生成されたイベントがイベント ビューに表示されることがあることに注意してください。アプライアンスに対してスライドする時間枠を設定した場合でも、この状況が発生することがあります。

現在のワークフロー ページでイベントをソートおよび制約する

テーブル ビュー ページのソートおよびレイアウトの変更で詳細を参照してください。

現在のワークフロー ページ内で移動する

ワークフロー内の他のページへのナビゲートで詳細を参照してください。

現在の制限を維持して、現在のワークフロー内のページ間を移動する

ワークフロー ページの左上で、該当するページ リンクをクリックします。詳細については、ワークフローのページの使用を参照してください。

ワークフロー内の次のページにドリルダウンする

次のいずれかの方法を使用します。

• 特定の値に制限して、次のワークフロー ページにドリルダウンするには、行内の値をクリックします。この操作はドリルダウン ページでのみ可能です。テーブル ビューの行内の値をクリックすると、テーブル ビューが制約されます（次のページにはドリルダウン されません ）。
• いくつかのイベントによって制約したまま次のワークフロー ページにドリルダウンするには、次のワークフロー ページに表示するイベントの横のチェックボックスを選択し、[表示（View）] をクリックします。
• 現在の制限を維持して次のワークフロー ページにドリルダウンするには、[すべて表示（View All）] をクリックします。

詳細については、イベントの制約を参照してください。

特定の 1 つの値で制約する

行内の値をクリックします。

ドリルダウン ページで値をクリックすると、次のページに移動し、その値だけに制約されます。

テーブル ビューの行内の値をクリックすると、テーブル ビューが制限され、次のページにドリルダウン されない ことに注意してください。

詳細については、イベントの制約を参照してください。

監査レコードを削除する

次のいずれかの方法を使用します。

• いくつかの項目を削除するには、削除するイベントの横にあるチェック ボックスを選択し、[削除（Delete）] をクリックします。
• 現在の制限付きビューにあるすべての項目を削除するには、[すべて削除（Delete All）] をクリックした後、すべてのイベントを削除することを確認します。

一時的に他のワークフローを使用する

[（ワークフローの切り替え）（（switch workflow））] をクリックします。詳細については、ワークフローの選択を参照してください。

すぐに戻ることができるように現在のページをブックマークする

[このページをブックマーク（Bookmark This Page）] をクリックします。詳細については、ブックマークの使用を参照してください。

ブックマークの管理ページへ移動する

[ブックマークの表示（View Bookmarks）] をクリックします。詳細については、ブックマークの使用を参照してください。

現在のビューのデータに基づいてレポートを生成する

[レポート デザイナ（Report Designer）] をクリックします。詳細については、イベント ビューからのレポート テンプレートの作成を参照してください。

監査ログに記録されている変更の概要を表示する

[メッセージ（Message）] カラムの該当するイベントの横にある比較アイコン（ ）をクリックします。詳細については、監査ログを使って変更を調査するを参照してください。

アドレス（Address）

AuditBlock.address という名前のファイルを作成し、監査ログから抑制する IP アドレスを 1 行に 1 つずつ含めます。アドレスの先頭からマッピングされる場合に限り、部分的な IP アドレスを使用できます。たとえば、部分的なアドレス 10.1.1 は、 10.1.1.0 から 10.1.1.255 までのアドレスと一致します。

メッセージ

AuditBlock.message という名前のファイルを作成し、抑制するメッセージ部分文字列を 1 行に 1 つずつ含めます。

たとえば backup をこのファイルに含めた場合、部分文字列の照合により backup という語を含むすべてのメッセージが抑制されることに注意してください。

サブシステム

AuditBlock.subsystem という名前のファイルを作成し、抑制するサブシステムを 1 行に 1 つずつ含めます。

部分文字列は照合 されない ことに注意してください。正確な文字列を使用する必要があります。監査されるサブシステムのリストについては、 サブシステム名 の表を参照してください。

ユーザ（User）

AuditBlock.user という名前のファイルを作成し、抑制するユーザ アカウントを 1 行に 1 つずつ含めます。ユーザ名の先頭からマッピングされる場合に限り、部分的な文字列の照合を使用できます。たとえば、部分的なユーザ名 IPSAnalyst は、ユーザ名 IPSAnalyst1 および IPSAnalyst2 と一致します。

管理

管理機能：システムとアクセス権の設定、時刻の同期、バックアップと復元、デバイス管理、ユーザ アカウントの管理、スケジュール設定など

アラート（Alerting）

アラート機能：電子メール、SNMP、syslog アラートなど

監査ログ（Audit Log）

監査イベントの表示

監査ログ検索（Audit Log Search）

監査イベントの検索

コマンド ライン

コマンドライン インターフェイス

設定（Configuration）

電子メール アラート機能

COOP

継続的な運用機能

日付（Date）

イベント ビューの日時範囲

デフォルトのサブシステム（Default Subsystem）

サブシステムが割り当てられていないオプション

検出および防御ポリシー（Detection & Prevention Policy）

侵入ポリシーのメニュー オプション

エラー（Error）

システムレベルのエラー

eStreamer

eStreamer の設定

EULA

エンド ユーザ ライセンス契約書の確認

イベント

侵入およびディスカバリ イベント ビュー

イベント クリップボード（Events Clipboard）

侵入イベント クリップボード

レビューされたイベント（Events Reviewed）

レビューされた侵入イベント

イベント検索（Events Search）

すべてのイベント検索

ルール アップデートのインストール失敗（Failed to install rule update rule_update_id ）

ルール更新のインストール

ヘッダー

ユーザ ログイン後のユーザ インターフェイスの最初の表示

状態

ヘルス モニタリング

ヘルス イベント（Health Events）

ヘルス モニタリング イベントの表示

ヘルプ

オンライン ヘルプ

高可用性

高可用性機能

IDS インパクト フラグ（IDS Impact Flag）

インパクト フラグの設定

IDS ポリシー（IDS Policy）

侵入ポリシー

IDS ポリシー（IDS Policy）> policy_name > アプライアンス（Appliance）> det_engine_name

侵入ポリシーの適用

IDSRule sid： sig_id rev： rev_num

SID による侵入ルール

[インシデント（Incidents）]

侵入インシデント

ポリシー適用ジョブの挿入（Insert Policy Apply Job）

ポリシーの適用

インストール

更新のインストール

侵入イベント

侵入イベント

ログイン（Login）

Web インターフェイスのログイン/ログアウト機能

メニュー

すべてのメニュー オプション

設定のエクスポート（Configuration export）> config_type > config_name

特定のタイプ/名前の設定のインポート

権限エスカレーション（Permission Escalation）

ユーザ ロールのエスカレーション

初期設定

ユーザ アカウントのタイム ゾーンや個々のイベント設定などのユーザ設定

ポリシー

侵入ポリシーを含むすべてのポリシー

登録

防御センター でのデバイスの登録

RemoteStorageDevice

リモート ストレージ デバイスの設定

レポート

レポート リスト機能およびレポート デザイナ機能

ルール（Rule）

侵入ルール（ルール エディタとルールのインポート プロセスを含む）

ルール更新のインポート ログ（Rule Update Import Log）

ルール更新のインポート ログの表示

ルール更新のインストール（Rule Update Install）

ルール更新のインストール

ステータス（Status）

syslog およびホストやパフォーマンスの統計情報

システム

システム全体のさまざまな設定

システム ポリシー（System Policy）> policy_name アプライアンス（Appliance）> appliance_name

システム ポリシーの適用

タスク キュー

タスク キューの表示

Users

ユーザ アカウントとロールの作成および変更

時刻（Time）

アプライアンスが監査レコードを生成した日時。

ユーザ（User）

監査イベントをトリガーしたユーザのユーザ名。

サブシステム

監査レコードが生成されたときにユーザがたどったメニュー パス。たとえば、[システム（System）] > [モニタリング（Monitoring）] > [監査（Audit）] は、監査ログを表示するためのメニュー パスです。

メニュー パスが該当しない数少ないケースでは、[サブシステム（Subsystem）] フィールドにイベント タイプのみが表示されます。たとえば、 Login はユーザのログイン試行を分類します。

メッセージ

ユーザが実行した操作。

たとえば Page View は、[サブシステム（Subsystem）] で示されたページをユーザが単に表示しただけであることを意味します。一方、 Save は、ユーザがページの [保存（Save）] ボタンをクリックしたことを意味します。

FireSIGHT システムに対して加えられた変更は比較アイコン（ ）付きで表示され、これをクリックすると変更の概要を表示できます。詳細については、監査ログを使って変更を調査するを参照してください。

ソース IP

ユーザが使用したホストに関連付けられている IP アドレス。

メンバー数（Count）

各行に表示された情報と一致するイベントの数。[カウント（Count）] フィールドは、複数の同一行が生成される制限を適用した後でのみ表示されることに注意してください。

ユーザ（User）

対象となる監査イベントをトリガーとして使用したユーザを示すユーザ名を入力します。このフィールドでは、ワイルドカード文字としてアスタリスク（ * ）を使用できます。

「 jsmith 」を指定すると、jsmith というユーザに関連したすべての監査レコードが返されます。

サブシステム

対象となる監査レコードが生成されたときにユーザがたどった完全メニュー パスを入力します。このフィールドでは、ワイルドカード文字としてアスタリスク（ * ）を使用できます。

たとえば、[システム（System）] > [モニタリング（Monitoring）] > [監査（Audit）] と「 *Audit 」のどちらを指定した場合も、監査ログの使用に関連した監査レコードが返されます。

「 *Audit* 」の場合、上記のレコードに加えて、監査レコードの検索に関連したレコードも返されます。

メッセージ

ユーザが実行したアクション、またはユーザがページでクリックしたボタン。このフィールドでは、ワイルドカード文字としてアスタリスク（ * ）を使用できます。

「 Apply 」を指定すると、ユーザが侵入ポリシーを適用した監査レコードが返されます。

「 Save Rule 」を指定すると、ユーザが相関ルールを保存した監査レコードが返されます。

「 Page View 」を指定すると、ユーザがページを表示した監査レコードが返されます。

時刻（Time）

監査レコードが生成された日時を指定します。時間入力の構文については、検索での時間制約の指定を参照してください。

「 > 2006-01-15 13:30:00 」を指定すると、2006 年 1 月 15 日午後 1 時 30 分以降に生成されたすべての監査レコードが返されます。

ソース IP

対象となる監査レコードに関連するホストの IP アドレスを入力します。

（注） 具体的な IP アドレスを入力する必要があります。監査ログを検索するときには、IP 範囲を使用できません。

「 172.16.1.37 」を指定すると、IP アドレス 172.16.1.37 からユーザによって生成されたすべての監査レコードが返されます。

構成の変更（Configuration Change）

構成の変更に関する監査レコードを表示するかどうかを指定します。

「 yes 」を指定すると、構成変更の監査レコードが返されます。

.

任意の文字またはスペースと一致します

Admi. は、 Admin 、 AdmiN 、 Admi1 、および Admi& と一致します。

[[:alpha:]]

任意の英文字 1 字と一致します

[[:alpha:]]dmin は、 Admin 、 bdmin 、および Cdmin と一致します

[[:upper:]]

任意の大文字の英文字 1 字と一致します

[[:upper:]]dmin は、 Admin 、 Bdmin 、および Cdmin と一致します

[[:lower:]]

任意の小文字の英文字 1 字と一致します

[[:lower:]]dmin は、 admin 、 bdmin 、および cdmin と一致します

[[:digit:]]

任意の数字 1 字と一致します

[[:digit:]]dmin は、 0dmin 、 1dmin 、および 2dmin と一致します

[[:alnum:]]

任意の英数字 1 字と一致します

[[:alnum:]]dmin は、 1dmin 、 admin 、 2dmin 、および bdmin と一致します

[[:space:]]

タブを含む、任意のスペース 1 字と一致します

Feb[[:space:]]29 は 2 月 29 日のログと一致します。

*

その前にある文字または表現のゼロ個以上のインスタンスと一致します

ab* は、 a 、 ab 、 abb 、 ca 、 cab 、および cabb と一致します

[ab]* はすべてのものと一致します

?

ゼロ個または 1 個のインスタンスと一致します

ab? は、 a または ab と一致します。

\

これを使用すると、通常は正規表現構文と解釈される文字を検索できます

alert\? は、 alert? と一致します。

11 月 5 日に生成

Nov[[:space:]]*5

ユーザ名「Admin」を含む

管理

11 月 5 日の認証デバッグ情報を含む

Nov[[:space:]]*5.*AUTH.*DEBUG