FireSIGHT System バージョン 5.4.1 ユーザ ガイド

事前定義ワークフローとカスタム ワークフローの比較

ライセンス： 任意（Any）

FireSIGHT システムには、（これ以降の項で説明されている） 事前定義 ワークフローのセットが備わっており、ユーザはこれを使用して、イベントや収集した他のデータを分析することができます。

カスタム ワークフローは、組織に特有のニーズに合わせて作成するワークフローです。カスタム ワークフローを作成するときには、ワークフローのベースとなるイベント（またはデータベース テーブル）の種類を選択します。Defense Center では、カスタム ワークフローをカスタム テーブルのベースにすることができます。また、カスタム ワークフローに含まれるページを選択することもできます。カスタム ワークフローには、ドリルダウン、テーブル ビュー、ホストまたはパケット ビューのページを含めることができます。

Defense Center には、いくつかの 保存済みカスタム ワークフロー が付属しています。このワークフローは、Defense Center に付属している保存済みのカスタム テーブルに基づいています。事前定義のテーブルとカスタム テーブルに基づいたワークフローの違いについては、次のセクション事前定義テーブルとカスタム テーブルのワークフローの比較で説明します。

事前定義テーブルとカスタム テーブルのワークフローの比較

ライセンス： FireSIGHT

カスタム テーブルの機能を使用して、複数のイベント タイプのデータを使用するテーブルを作成することができます。これにより、たとえば、ユーザが侵入イベントのデータと検出データを関連付けるテーブルおよびワークフローを作成して、重要なシステムに影響を及ぼすイベントを簡単に検索できるようになるため、役立ちます。カスタム テーブルの作成については、カスタム テーブルの使用を参照してください。

それぞれのカスタム テーブルにはデフォルトでワークフローが含まれており、これを使用して、テーブルに関連付けられているイベントを表示することができます。ワークフローの機能は、使用するテーブルのタイプによって異なります。たとえば、侵入イベント テーブルに基づいたカスタム テーブルのワークフローは、必ずパケット ビューで終了します。ただし、検出イベントに基づいたカスタム テーブルのワークフローは、必ずホスト ビューで終了します。

事前定義のイベント テーブルに基づいたワークフローとは異なり、カスタム テーブルに基づいたワークフローには、他のタイプのワークフローへのリンクがありません。

事前定義の侵入イベント ワークフロー

ライセンス： Protection

次の表で、FireSIGHT システムに含まれている事前定義の侵入イベント ワークフローについて説明します。これらのワークフローへのアクセスについては、侵入イベントの表示および侵入イベントの確認を参照してください。

：

事前定義のマルウェア ワークフロー

ライセンス： 任意（Any）

サポートされるデバイス： 機能に応じて異なる

サポートされる防御センター： 機能に応じて異なる

次の表で、Defense Center に含まれている事前定義のマルウェア ワークフローについて説明します。すべての事前定義のマルウェア ワークフローは、マルウェア イベントのテーブル ビューを使用します。

DC500 シリーズ 2 Defense Center、シリーズ 2 のデバイス、および Blue Coat X-Series 向け Cisco NGIPS は、高度なマルウェア防御をサポートしていないため、DC500 Defense Center ではこの機能のデータが表示されないことと、シリーズ 2 デバイスおよび Blue Coat X-Series 向け Cisco NGIPS はこのデータを検出しないことに注意してください。

マルウェア イベントへのアクセスについては、マルウェア イベントの操作を参照してください。

事前定義のファイル ワークフロー

ライセンス： Protection

次の表で、Defense Center に含まれている事前定義のファイル イベント ワークフローについて説明します。すべての事前定義のファイル イベント ワークフローは、ファイル イベントのテーブル ビューを使用します。ファイル イベントへのアクセスについては、ファイル イベントの操作を参照してください。

事前定義されたキャプチャ ファイル ワークフロー

ライセンス： Malware

サポートされるデバイス： 機能に応じて異なる

サポートされる防御センター： 機能に応じて異なる

次の表で、Defense Center に含まれている事前定義のキャプチャ ファイルワークフローについて説明します。すべての事前定義のキャプチャ ファイル ワークフローは、キャプチャ ファイルのテーブル ビューを使用します。

DC500 シリーズ 2 Defense Center、シリーズ 2 のデバイス、および Blue Coat X-Series 向け Cisco NGIPS は、高度なマルウェア防御をサポートしていないため、DC500 Defense Center ではこの機能のデータが表示されないことと、シリーズ 2 デバイスおよび Blue Coat X-Series 向け Cisco NGIPS はこのデータを検出しないことに注意してください。

キャプチャされたファイルへのアクセスについては、キャプチャ ファイルの操作を参照してください。

事前定義の接続データ ワークフロー

ライセンス： FireSIGHT

次の表で、Defense Center に含まれている事前定義の接続データ ワークフローについて説明します。すべての事前定義の接続データ ワークフローは、接続データのテーブル ビューを使用します。接続データへのアクセスについては、接続データとセキュリティ インテリジェンスのデータの表示を参照してください。

事前定義のセキュリティ インテリジェンス ワークフロー

ライセンス： Protection

サポートされるデバイス： すべて（シリーズ 2 を除く）

サポートされる防御センター： DC500 を除くいずれか

次の表で、Defense Center に含まれている事前定義のセキュリティ インテリジェンス ワークフローについて説明します。すべての事前定義のセキュリティ インテリジェンス ワークフローは、セキュリティ インテリジェンス イベントのテーブル ビューを使用します。セキュリティ インテリジェンス イベント データへのアクセスについては、接続データとセキュリティ インテリジェンスのデータの表示を参照してください。

事前定義のホスト ワークフロー

ライセンス： FireSIGHT

次の表で、ホスト データで使用できる事前定義のワークフローについて説明します。

事前定義の侵入の痕跡ワークフロー

ライセンス： FireSIGHT

次の表は、IOC（侵入の痕跡）データで使用できる事前定義のワークフローについて説明します。

事前定義のアプリケーション ワークフロー

ライセンス： FireSIGHT

次の表で、アプリケーション データで使用できる事前定義のワークフローについて説明します。

事前定義のアプリケーション詳細ワークフロー

ライセンス： FireSIGHT

次の表で、アプリケーションの詳細およびクライアント データで使用できる事前定義のワークフローについて説明します。

事前定義のサーバ ワークフロー

ライセンス： FireSIGHT

次の表で、サーバ データで使用できる事前定義のワークフローについて説明します。

事前定義のホスト属性ワークフロー

ライセンス： FireSIGHT

次の表で、ホスト属性のデータで使用できる事前定義のワークフローについて説明します。

事前定義のディスカバリ イベント ワークフロー

ライセンス： FireSIGHT

次の表で、ディスカバリ イベントのデータで使用できる事前定義のワークフローについて説明します。

事前定義のユーザ ワークフロー

ライセンス： FireSIGHT

次の表で、Defense Center に含まれている事前定義のユーザ ワークフローについて説明します。

事前定義の脆弱性ワークフロー

ライセンス： FireSIGHT

次の表で、Defense Center に含まれている事前定義の脆弱性ワークフローについて説明します。

事前定義のサードパーティの脆弱性ワークフロー

ライセンス： FireSIGHT

次の表で、Defense Center に含まれている事前定義のサードパーティの脆弱性ワークフローについて説明します。

事前定義の相関およびホワイトリスト ワークフロー

ライセンス： FireSIGHT

相関データ、ホワイトリスト イベント、ホワイトリスト違反、および修正ステータス イベントの各タイプについて、1 つの事前定義ワークフローが用意されています。

事前定義のシステム ワークフロー

ライセンス： 任意（Any）

FireSIGHT システムには、ルール更新のインポートやアクティブ スキャンの結果を表示するワークフロー、およびシステム イベント（監査イベントやヘルス イベント）などのいくつかの追加ワークフローが用意されています。

保存済みのカスタム ワークフロー

ライセンス： Protection + FireSIGHT

修正できない事前定義のワークフローに加えて、Defense Center には保存済みのカスタム ワークフローもいくつか含まれています。これらのワークフローはそれぞれ 1 つのカスタム テーブルに基づいており、修正することができます。これらのワークフローへのアクセスについては、カスタム テーブルに基づいたワークフローの表示を参照してください。

ワークフローの選択

ライセンス： 任意（Any）

FireSIGHT システムは、次の表に記載されているデータのタイプに対して、事前定義のワークフローを提供しています。

上記の表に記載されているいずれかの種類のデータを表示する場合、そのデータのデフォルトのワークフローの最初のページにイベントが表示されます。

また、ワークフローのアクセスは、以下のとおりに、自身のユーザ ロールによって異なります（ユーザ ロールの設定を参照してください）。

• 管理者（Administrator）ユーザはすべてのワークフローにアクセスできます。また、管理者（Administrator）は監査ログ、スキャン結果、およびルール更新のインポート ログにアクセスできる唯一のユーザです。
• メンテナンス（Maintenance）ユーザは、ヘルス イベントにアクセスできます。
• セキュリティ アナリスト（Security Analyst）およびセキュリティ アナリスト（Security Analyst）（読み取り専用）ユーザは、侵入、マルウェア、ファイル、接続、ディスカバリ、脆弱性、相関、およびヘルスのワークフローにアクセスできます。

デフォルト以外のワークフローを使用してデータを表示する方法：

アクセス： Admin/Any Security Analyst

手順 1 ワークフローを使用する機能 の表に記載されているように、適切なメニュー パスとオプションを選択します。

対象のデータ タイプに対するデフォルト ワークフローの最初のページが表示されます。別のデフォルト ワークフローの指定方法については、イベント ビュー設定の設定を参照してください。

手順 2 必要に応じて、別のワークフローを使用します。ワークフローのタイトルの隣にある [ワークフロー切り替え（switch workflow）] をクリックして、使用するワークフローを選択します。

手順 3 選択したワークフローの最初のページが表示されます。

ワークフローのツールバーについて

ライセンス： 任意（Any）

ワークフローの各ページには、関連する機能へすばやくアクセスするためのツールバーが含まれています。次の表に、ツールバー上の各リンクについて説明します。

ワークフローのページの使用

ライセンス： 任意（Any）

ユーザがワークフローのページ上で実行できるアクションは、ページのタイプによって異なります。テーブル ビュー ページおよびドリルダウン ページには、ユーザが表示するイベント セットの制約、またはワークフローへのナビゲートに使用できる多数の機能が含まれています。各タイプのページで使用できる機能の詳細については、以降の項を参照してください。

• 共通のテーブル ビューまたはドリルダウン ページ機能の使用
• 地理位置情報の使用
• テーブル ビュー ページの使用
• ドリルダウン ページの使用
• ホスト ビュー、パケット ビュー、または脆弱性の詳細ページの使用

共通のテーブル ビューまたはドリルダウン ページ機能の使用

ライセンス： 任意（Any）

テーブル ビューおよびドリルダウン ワークフローのページでは、テーブル見出しおよびテーブル行に一連のアイコンおよび他の機能が用意されています。これを使用して、表示されたデータについてアクションを実行できます。

次の表で機能について説明します。

地理位置情報の使用

ライセンス： FireSIGHT

サポートされるデバイス： 機能に応じて異なる

サポートされる防御センター： 任意（DC500 を除く）

ネットワークの監視中、 地理位置情報 機能によって、ルート可能な IP アドレスの地理的な送信元について、追加のデータ（国や大陸など）が提供されます。たとえば、このデータを使用して、自身の組織と未接続の国が接続の発信元または宛先であるかどうかを判断することができます。

地理位置情報は、侵入イベント、接続イベント、ファイル イベント、マルウェア イベント、ホスト プロファイル、およびユーザ プロファイルで使用することができます。地理位置情報は、Context Explorer およびダッシュボードでも使用できます。

この目的でカスタムな地理位置情報オブジェクトを作成するだけでなく、アクセス コントロール ルールの条件として地理位置情報データ（送信元および宛先の国/大陸）を使用することもできます。また、相関ルールおよびトラフィック プロファイルの条件として、送信元/宛先の国データを使用することもできます。詳細については、地理位置情報オブジェクトの操作、ネットワークまたは地理的位置によるトラフィックの制御、相関ポリシーのルールの作成、およびトラフィック プロファイル条件の指定を参照してください。

地理位置情報データベース（GeoDB）の更新をインストールすると [位置情報の詳細（Geolocation Details）] ページが表示され、IP アドレスに関して使用可能な詳細情報（郵便番号、緯度/経度の座標、タイム ゾーン、自律システム番号（ASN）、インターネット サービス プロバイダー（ISP）、使用タイプ（個人または会社）、組織、ドメイン名、接続タイプ、プロキシ情報など）が示されます。また、サードパーティの 4 つのマップ ツールのいずれかを使用して、検出された場所を特定することもできます。GeoDB が更新されていない場合は、国旗アイコンおよび国名のみが表示され、[位置情報の詳細（Geolocation Details）] ページを参照することはできません。GeoDB のインストールと更新については、位置情報データベースの更新を参照してください。[ヘルプ（Help）] > [バージョン情報（About）] をクリックして GeoDB 更新の最新バージョンを表示することができます。

使用可能なデータに応じて、[位置情報の詳細（Geolocation Details）] ページに多数のフィールドが表示されることがあります。情報が含まれないフィールドは表示されません。次の表で、これらのフィールドの情報について示します。

地理位置情報の詳細を表示するには、以下を行います。

アクセス： 任意（Any）

手順 1 イベント ビュー、ホスト プロファイル、またはその他の地理情報をサポートしているページで、個々のデータ ポイントのそばに表示される小さい国旗のアイコンまたは ISO 国コードをクリックします（国旗のアイコンが存在しても、[接続サマリ（Connection Summary）] ダッシュボードなどで、集約的な地理情報から詳細を表示することはできません）。

ヒント イベント ビューで国旗のアイコンの上にポインタを移動すると、ツールチップとして国名が示されます。

[位置情報の詳細（Geolocation Details）] ページが新しいウィンドウに表示されます。

テーブル ビュー ページの使用

ライセンス： 任意（Any）

デフォルトでカラムが有効になっている場合、テーブル ビューには、データベースの各フィールドに対するカラムが含まれています。テーブル ビューでカラムを無効にし、そのカラムを無効にすることによって同じ行が複数生成される場合には、FireSIGHT システムはイベント ビューに [カウント（Count）] カラムを追加します。テーブル ビュー ページで 1 つの値をクリックすると、その値によって制約することができます。カスタム ワークフローを作成する場合は、[テーブル ビューの追加（Add Table View）] をクリックしてテーブル ビューを追加します。

テーブル ビュー ページには、ドリルダウン、ホスト ビュー、パケット ビュー、または脆弱性の詳細ページでは利用できない追加機能が用意されています。次の表で、これらの機能の詳細な情報について説明します。

ドリルダウン ページの使用

ライセンス： 任意（Any）

ドリルダウン ページには、データベースで使用できるカラムのサブセットが含まれています。事前定義のワークフローに対するドリルダウン ページには、必ず [カウント（Count）] カラムがあることに注意してください。ドリルダウン ページでは、表示するイベントの範囲を絞り込んで、ワークフローの先へ進むことができます。ドリルダウン ページで 1 つの値をクリックすると（たとえば、その値によって制約を行い、ワークフローの次のページへ進むと）、選択した値に一致するイベントに絞り込むことができます。ドリルダウン ページで値をクリックした場合は、次のページがテーブル ビューであっても、値が存在するカラムは無効になりません。カスタム ワークフローを作成する場合は、[ページの追加（Add Page）] をクリックして、ドリルダウン ページを追加します。

ドリルダウン ページの機能を使用して、ワークフローを移動するときにイベント セットを制約する方法の詳細については、共通のテーブル ビューまたはドリルダウン ページ機能の使用を参照してください。

ホスト ビュー、パケット ビュー、または脆弱性の詳細ページの使用

ライセンス： 任意（Any）

ディスカバリ（検出）イベント、ホスト、ホスト属性、侵入の痕跡（兆候）、サーバ、クライアント アプリケーション、または接続データのワークフローの最終ページはホスト ビューです。脆弱性のワークフローの最終ページは、脆弱性の詳細ページです。侵入イベントのワークフローは必ず、パケット ビューで終了します。ワークフローの最終ページで詳細セクションを展開して、ワークフローの進行中に絞り込んだセットの各オブジェクトについて、具体的な情報を表示することができます。Web インターフェイスは、ワークフローの最終ページに制約を表示しませんが、以前に設定した制約は保持されており、データのセットに適用されます。

イベント時間の制約の設定

ライセンス： 任意（Any）

各イベントには、そのイベントがいつ発生したかを示すタイム スタンプがあります。時間枠（タイム ウィンドウ、時間範囲とも呼ばれる）を設定することによって、いくつかのワークフローに表示される情報を制約することができます。

時間によって制約できるイベントに基づいたワークフローには、ページの上部に次の図に示すような時間範囲を表す行が含まれています。

デフォルトでは、Cisco アプライアンス上のワークフローは、1 時間前が開始時間として設定された時間枠を使用します。たとえば、午前 11:30 にログインした場合、午前 10:30～11:30 の間に発生したイベントが表示されます。時間が経過するにしたがって、時間枠が拡張されます。午後 12:30 には、午前 10:30～午後 12:30 の間に発生したイベントが表示されます。

デフォルトで独自の時間枠を設定することによって、この動作を変更することができます。これにより、次の 3 つのプロパティが影響を受けます。

• 時間枠のタイプ（静的、拡張、またはスライディング）
• 時間枠の長さ
• 時間枠の数（複数の時間枠、または単一のグローバル時間枠）

デフォルトの時間枠の一般的な情報については、デフォルトの時間枠を参照してください。

ページの上部にある時間範囲をクリックして [日時（Date/Time）] ポップアップ ウィンドウを表示し、デフォルトの時間枠の設定に関係なく、イベントの分析中に時間枠を手動で変更することができます。設定した時間枠の数、および使用しているアプライアンスのタイプに応じて [日時（Date/Time）] ウィンドウを使用して、表示しているイベントのタイプに対するデフォルトの時間枠を変更することもできます。

最後に、時間枠は一時停止することができるため、時間枠の変更と削除、または必要のないイベントを追加することなく、ワークフローで提供されたデータを調べることができます。ページの下部にあるリンクをクリックしてイベントの他のページを表示する場合は、異なるワークフロー ページで同じイベントを表示しないように、時間枠が自動的に一時停止することに注意してください。準備ができたら時間枠の一時停止を解除できます。

詳細については、次の項を参照してください。

• 時間枠の変更
• イベント タイプのデフォルトの時間枠の変更
• 時間枠の一時停止

時間枠の変更

ライセンス： 任意（Any）

デフォルトの時間枠（タイム ウィンドウ）に関係なく、イベントの分析中に時間枠を手動で変更することができます。

（注） 手動による時間枠の設定は、現行のセッションに対してのみ有効です。いったんログアウトしてからもう一度ログインすると、時間枠はデフォルトにリセットされます。

ユーザが設定した時間枠の数によっては、1 つのワークフローの時間枠の変更が、アプライアンス上の他のワークフローに影響を与えることがあります。たとえば、単一のグローバルな時間枠がある場合、1 つのワークフローの時間枠を変更すると、アプライアンス上の他のすべてのワークフローの時間枠が変更されます。一方、複数の時間枠を使用している場合は、監査ログまたはヘルス イベント ワークフローの時間枠を変更しても、他の時間枠には影響がありませんが、他の種類のイベントで時間枠を変更すると、時間によって制約されるすべてのイベント（監査イベントとヘルス イベントは除く）が影響を受けます。

すべてのワークフローを時間によって制約できるわけではないため、時間枠の設定は、ホスト、ホスト属性、アプリケーション、アプリケーションの詳細、脆弱性、ユーザ、またはホワイトリスト違反に基づいたワークフローには影響を与えないことに注意してください。

[日時（Date/Time）] ウィンドウの [タイム ウィンドウ（Time Window）] タブを使用して、時間枠を手動で設定します。デフォルトの時間枠設定で設定した時間枠の数によって、タブのタイトルは以下のいずれかになります。

• [イベント タイム ウィンドウ（Events Time Window）]：複数の時間枠を設定し、監査ログまたはヘルス イベント ワークフロー以外のワークフローに対して時間枠を設定している場合
• [ヘルス モニタリング タイム ウィンドウ（Health Monitoring Time Window）]：複数の時間枠を設定し、ヘルス イベント ワークフローに対して時間枠を設定している場合
• [監査ログ タイム ウィンドウ（Audit Log Time Window）]：複数の時間枠を設定し、監査ログに対して時間枠を設定している場合
• [グローバル タイム ウィンドウ（Global Time Window）]：単一の時間枠を設定している場合

時間枠を設定する場合には、最初に、使用する時間枠のタイプを決定する必要があります。

• 静的な 時間枠は、特定の開始時間から特定の終了時間の間に生成されたすべてのイベントを表示します。
• 拡張 時間枠は、特定の開始時間から現在までの間に生成されたすべてのイベントを表示します。時間の経過とともに時間枠が拡張され、イベント ビューに新しいイベントが追加されます。
• スライディング 時間枠は、特定の開始時間（1 週間前など）から現在までの間に生成されたすべてのイベントを表示します。時間の経過とともに時間枠が「スライド」し、自身が設定した範囲（この例では、過去 1 週間）のイベントのみが表示されます。

選択するタイプによっては、[日時（Date/Time）] ウィンドウが変化し、さまざまな設定オプションを提供します。次の図は、拡張の時間枠を使用するよう指定した [日時（Date/Time）] ウィンドウを示しています。拡張の時間枠では、[終了時間（End Time）] カレンダーがグレー表示され、終了時間は「現在（Now）」と示されます。

静的な時間枠を使用する場合は、終了時間を設定できます。

スライディング時間枠を使用するよう選択すると、オプションがさらに変わります。

（注） FireSIGHT システムは、タイム ゾーンのプリファレンスに指定された時間に基づいて、24 時間の時計を使用します。タイム ゾーンの設定の詳細については、デフォルトのタイム ゾーン設定を参照してください。

次の表で、[タイム ウィンドウ（Time Window）] タブで設定できるさまざまな設定について説明します。

イベントの分析中に時間枠を変更する方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 時間に制約されるワークフローで、時間範囲のアイコン（ ）をクリックします。

[日時（Date/Time）] ウィンドウが表示されます。

手順 2 [タイム ウィンドウ（Time Window）] タブで、 時間枠の設定 の表に記載されているように時間枠を設定します。

ヒント 時間枠をデフォルトの設定に戻すには、[リセット（Reset）] をクリックします。

手順 3 [適用（Apply）] をクリックします。

ウィンドウが閉じて、イベント ビュー ページに新しい時間枠のイベントが表示されます。

イベント タイプのデフォルトの時間枠の変更

ライセンス： 任意（Any）

イベントの分析中に、[日時（Date/Time）] ウィンドウの [設定（Preferences）] タブを使用し、表示しているイベントのタイプに対するデフォルトの時間枠を（イベント ビューの設定を使用せずに）変更することができます（デフォルトの時間枠を参照してください）。

この方法でデフォルトの時間枠を変更すると、表示しているイベントのタイプのデフォルト時間枠のみが変わります。たとえば、複数の時間枠を設定した場合、[設定（Preferences）] タブでデフォルトの時間枠を変更すると、イベント、ヘルス モニタリング、または監査ログ ウィンドウのいずれかの設定が変更されます。つまり、最初のタブで示されている時間枠が変更されます。1 つの時間枠を設定した場合、[設定（Preferences）] タブでデフォルトの時間枠を変更すると、イベントのすべてのタイプのデフォルト時間枠が変わります。

次の図は、複数の時間枠が設定されているアプライアンスにおける、[設定（Preferences）] タブの Defense Center バージョンを示しています。

次の表で、[設定（Preferences）] タブで設定できるさまざまな設定について説明します。

イベントの分析中に時間枠の設定を変更するには、以下を行います。

アクセス： Admin/Maint/Any Security Analyst

手順 1 時間に制約されるワークフローで、時間範囲のアイコン（ ）をクリックします。

[日時（Date/Time）] ウィンドウが表示されます。

手順 2 [設定（Preferences）] タブを選択し、 時間枠の設定 の表に記載されているようにプリファレンスを変更します。

手順 3 [設定の保存（Save Preferences）] をクリックします。

設定が保存されます。

手順 4 以下の 2 つの対処法があります。

• 使用しているイベント ビューに新しいデフォルト時間枠の設定を適用するには、[適用（Apply）] をクリックして [日時（Date/Time）] ウィンドウを閉じてイベント ビューをリフレッシュします。
• デフォルトの時間枠設定を適用せずに分析を続けるには、[適用（Apply）] をクリックせずに [日時（Date/Time）] ウィンドウを閉じます。

時間枠の一時停止

ライセンス： 任意（Any）

時間枠を一時停止することができます。これにより、ワークフローで提供されたデータのスナップショットを調べることができます。一時停止されないワークフローが更新されると、調査するイベントが削除されたり、調査対象外のイベントが追加されたりすることがあるため、この機能は有用です。

静的な時間枠は一時停止できないので注意してください。また、イベント時間枠の一時停止はダッシュボードには影響を与えず、ダッシュボードの一時停止も時間枠の一時停止に影響しません。

分析が完了したら、時間枠の一時停止を解除できます。時間枠の一時停止を解除すると、設定に従って時間枠が更新されます。また、一時停止を解除した時間枠を反映するようにイベント ビューが更新されます。

1 つのワークフロー ページで表示できるイベントよりも多くのイベントがデータベースに含まれている場合は、ページの下部にあるリンクをクリックして、他のイベントを表示できます（ワークフロー内の他のページへのナビゲートを参照してください）。この際、同じイベントが 2 回表示されないように時間枠が自動的に一時停止します。準備ができたら、時間枠の一時停止を解除できます。

時間枠を一時停止する方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 時間枠のコントロールで、一時停止のアイコン（ ）をクリックします。

一時停止を解除するまで、時間枠は一時停止します。

時間枠の一時停止を解除する方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 時間範囲のコントロールで、再生のアイコン（ ）をクリックします。

時間枠の一時停止が解除され、設定に従って更新されます。現行の時間枠を反映するようにイベント ビューが更新されます。

イベントの制約

ライセンス： 任意（Any）

ワークフロー ページに表示される情報は、ユーザが設定した制約によって異なります。たとえばイベント ワークフローを最初に開いた場合、情報は、最後の 1 時間に生成されたイベントに制約されています。

ワークフローの次のページに進んで、表示されるデータを特定の値で制約する場合は、ページでこれらの値を持つ行を選択し、[表示（View）] をクリックします。現在の制約を保持し、すべてのイベントを含めた状態でワークフローの次のページに進むには、[すべて表示（View All）] を選択します。

（注） 複数の不可算値を持つ行を選択し、[表示（View）] を選択すると、複合的な制約が作成されます。複合的な制約の詳細については、複合的な制約の使用を参照してください。

ワークフローのデータを制約するための 3 番目の方法があります自身が選択した値を持つ行のみが表示されるようページを制約し、ページの上部に示される制約リストに選択した値を追加するには、ページの行で値をクリックします。

たとえば、次のイベントでページ上の [イニシエータ IP（Initiator IP）] カラムの [10.10.60.119] をクリックすると、

制約されたページには、この IP アドレスを持つイベントのみが示されます。

 

---

ヒント 監視ルールの条件に基づいて接続イベントを制約するための手順は少し異なり、いくつかの追加手順が必要になる場合があります。また、関連付けられているファイルや侵入情報によって接続イベントを制約することはできません。詳細については、接続およびセキュリティ インテリジェンスのデータ テーブルの使用を参照してください。

---

検索を使用して、ワークフローの情報を制約することもできます。検索ページで入力した検索条件はページの上部に制約として表示され、これに従って制約されたイベントが合わせて表示されます。Defense Center では、複合的な制約でない限り、他のワークフローにナビゲートしたときにも現在の制約が適用されます（ワークフロー間のナビゲートを参照してください）。

検索する場合は、検索対象のテーブルに検索の制約を適用するかどうかに注意する必要があります。たとえば、クライアント データは接続サマリでは使用できません。接続で検出されたクライアントに基づいて接続イベントを検索し、結果を接続サマリ イベント ビューで表示すると、Defense Center では、制約が設定されていない場合と同じように接続データが表示されます。無効な制約は、非適用（N/A）とラベルが付けられ、取り消し線が付けられます。

次の表では、制約を適用する場合に実行できるそれぞれのアクションについて説明します。

 

表 58-27 検索の制約機能

目的	クリックする対象
ビューを、1 つの値に一致するイベントに制約する	テーブルの値。 たとえば、記録された接続のリストを表示する場合に、アクセス制御を使用して、自身が許可したものだけがリストに示されるよう制約する場合は、[アクション（Action）] カラムで [許可（Allow）] をクリックします。他の例では、侵入イベントを表示する場合に、宛先ポートが 80 のイベントのみがリストに示されるよう制約する場合は、[DST ポート/ICMP コード（DST Port/ICMP Code）] カラムで [80 (http)/tcp] をクリックします。
ビューを、複数の値に一致するイベントに制約する	これらの値を持つイベントのチェック ボックスをオンにし、[表示（View）] をクリックします。 行に複数の不可算値が含まれている場合は、複合的な制約が追加されることに注意してください。複合的な制約の詳細については、複合的な制約の使用を参照してください。
制約を削除する	[制約の検索（Search Constraints）] ボックスで制約の名前をクリックします。
検索ページを使用して制約を編集する	[制約の検索（Search Constraints）] ボックスで [制約の編集（Edit Search）] をクリックします。 1 つのカラム内の複数の値について制約する場合は、この機能を使用します。たとえば、2 つの IP アドレスに関連しているイベントを表示する場合は、[検索の編集（Edit Search）] をクリックし、[検索（Search）] ページで対象の [IP アドレス（IP address）] フィールドを変更して両方のアドレスが含まれるようにして、[検索（Search）] をクリックします。
保存済みの検索として制約を保存する	[制約の検索（Search Constraints）] ボックスで [検索の保存（Save Search）] をクリックし、クエリに名前を指定します。 複合的な制約が含まれているクエリは保存できないことに注意してください。複合的な制約の詳細については、複合的な制約の使用を参照してください。
別のイベント ビューで同じ制約を使用する	[移動先（Jump to）] をクリックしてイベント ビューを選択します。詳細については、ワークフロー間のナビゲートを参照してください。 別のワークフローに切り替えると、複合的な制約は保持されないことに注意してください。複合的な制約の詳細については、複合的な制約の使用を参照してください。
制約の表示を切り替える	展開の矢印（ ）をクリックします。制約のリストが長く、画面の大半を占有する場合に、この機能は役立ちます。

複合的な制約の使用

ライセンス： 任意（Any）

複合的な制約は、特定のイベントに対するすべての不可算値に基づいています。複数の不可算値を持つ行を選択する場合は、ページ上の対象行におけるすべての不可算値と一致するイベントのみを取得する複合的な制約を設定します。たとえば、送信元 IP アドレスが 10.10.31.17 で、宛先 IP アドレスが 10.10.31.15 である行と、送信元 IP アドレスが 172.10.10.17 で宛先 IP アドレスが 172.10.10.15 である行を選択すると、次のすべての結果が取得されます。

• 送信元 IP アドレスが 10.10.31.17 で、かつ宛先 IP アドレスが 10.10.31.15 のイベント

または

• 送信元 IP アドレスが 172.10.31.17 で、かつ宛先 IP アドレスが 172.10.31.15 のイベント

複合的な制約と単純な制約を組み合わせると、複合的な制約の各セットに単純な制約が追加されます。たとえば、上記に記載されている複合的な制約に対して、プロトコル値 tcp の単純な制約を追加すると、次のすべての結果が取得されます。

• 送信元 IP アドレスが 10.10.31.17 で、かつ宛先 IP アドレスが 10.10.31.15 で、かつプロトコルが tcp であるイベント

または

• 送信元 IP アドレスが 172.10.31.17 で、かつ宛先 IP アドレスが 172.10.31.15 で、かつプロトコルが tcp であるイベント

複合的な制約について、検索および検索の保存を実行することはできません。また、別のワークフローに切り替えるのに、イベント ビューのリンクを使用した場合、または [ワークフロー切り替え（switch workflow）] をクリックした場合は、複合的な制約は保持できません。複合的な制約が適用されているイベント ビューをブックマークしても、制約はブックマークに保存されません。

複合的な制約をすべて消去するには、[複合的な制約（Compound Constraints）] をクリックします。

テーブル ビュー ページのソートおよびレイアウトの変更

ライセンス： 任意（Any）

ワークフローのデータを表示する場合に、使用可能なカラムに基づいてデータをソートすることも、表示するカラムを削除して復元することもできます。カラムによってデータを昇順または降順でソートできます。

ヒント カスタム ワークフローを作成すると、ページ上のカラムの配置を完全にカスタマイズしたり、ページのソート順を事前定義したりできます。詳細については、カスタム ワークフローの作成を参照してください。

 

表 58-28 ソートおよびレイアウトの機能

目的	クリックする対象
カラムをソートする	カラムのタイトル。ソート順を逆にするには、カラムのタイトルをもう一度クリックします。 ヒント 矢印のアイコン（ ）は、データのソート基準になっているカラム、およびソートが昇順である（上向き矢印のアイコン）か、または降順である（下向き矢印のアイコン）かを表します。
テーブル ビューからカラムを削除する	非表示にするカラムの見出しの閉じるアイコン（ ）。表示されるポップアップ ウィンドウで、[適用（Apply）] をクリックします。 カラムを無効にすると、そのカラムは（後で元に戻さない限り）そのセッションの期間中は無効になります。最初のカラムを無効にすると、[カウント（Count）] カラムが追加されることに注意してください。[カウント（Count）] カラムは無効にすることができません。 ヒント 他のカラムを表示または非表示にするには、[適用（Apply）] をクリックする前に、対象のチェック ボックスをオンまたはオフにします。無効になったカラムをビューに戻すには、展開アイコン（ ）をクリックして検索の制約を展開し、[無効になったカラム（Disabled Columns）] の下にあるカラム名をクリックします。
無効にしたカラムをビューに戻す	[無効になったカラム（Disabled Columns）] の下のカラム名。 デフォルトで無効になっているカラムを有効にすると、そのカラムは（後で無効にしない限り）セッションの期間中は有効になります。カラムを有効にしても同一行が複数作成されない場合、[カウント（Count）] カラムは削除されることに注意してください。

ドリルダウン ワークフロー ページのソート

ライセンス： 任意（Any）

ワークフローまたはイベント ビューのデータを表示する場合に、使用可能なカラムに基づいてデータをソートしたり、表示するカラムを削除して復元したりすることができます。カラムによってデータを昇順または降順でソートできます。矢印のアイコン（ ）は、データのソート基準になっているカラム、およびソートが昇順である（上向き矢印のアイコン）か、または降順である（下向き矢印のアイコン）かを表します。

ヒント カスタム ワークフローを作成すると、ページ上のカラムの配置を完全にカスタマイズしたり、ページのソート順を事前定義したりできます。詳細については、カスタム ワークフローの作成を参照してください。

カラムをソートする方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 カラムのタイトルをクリックします。

ソートの順序を逆にする方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 カラムのタイトルをもう一度クリックします。

ワークフロー ページの行の選択

ライセンス： 任意（Any）

ワークフロー ページで行を選択し、処理を行うにはいくつかの方法があります。

 

• ページ上のすべての行を選択するには、ページの上部にあるチェック ボックスをオンにします。

ページの下部にあるいずれかのボタン（[表示（View）] や [削除（Delete）] など）をクリックすると、そのページ上のすべてのイベントにそのアクションを実行することができます。

• 1 行を選択するには、それぞれの行の隣にあるチェック ボックスをオンにします。

ページの下部にあるいずれかのボタンをクリックすると、その行に関連付けられているイベントでのみ、そのアクションを実行することができます。

• 1 行を選択し、ワークフローの次のページでその行に関連するイベントを表示するには、矢印のアイコン（
）をクリックします。

---

（注） 複数のページから一度に行を選択することはできません。

---

ワークフロー内の他のページへのナビゲート

ライセンス： 任意（Any）

1 つのワークフロー ページで表示できるイベントよりも多くのイベントがデータベースに含まれている場合は、ページの下部にあるリンクをクリックして、さらにイベントを表示できます。

これらのリンクの 1 つをクリックすると時間枠が自動的に一時停止されるため、同じイベントが 2 回表示されません。準備ができたら時間枠の一時停止を解除できます。詳細については、イベント時間の制約の設定を参照してください。

次の表で、ナビゲート リンクの使用方法について説明します。

ワークフロー間のナビゲート

ライセンス： 任意（Any）

ワークフロー ページの [移動先...（Jump to...）] ドロップダウン リストのリンクを使用して、他のワークフローへナビゲートできます。ドロップダウン リストを選択し、追加のワークフローを表示および選択します。

新しいワークフローを選択すると、（適切な場合は）、選択する行で共有されているプロパティおよび設定する制約が、新しいワークフローで使用されます。設定した制約またはイベントのプロパティが、新しいワークフローのフィールドにマップされない場合は、これらはドロップされます。また、ワークフローを切り替えた場合には、複合的な制約は保持されません。キャプチャ ファイルのワークフローの制約は、ファイルおよびマルウェアのイベント ワークフローのみに転送されます。

（注） 所定の時間範囲のイベント数を表示する場合、詳細なデータを利用できるイベントの数が、イベントの総数に反映されないことがあります。これは、ディスク領域の使用率を管理するために、古いイベントの詳細がシステムによってプルーニングされることがあるために発生します。イベント詳細のプルーニングを最小限にするために、対象の展開にとって最も重要なイベントだけを記録するようにイベント ロギングを調整できます。詳細については、ネットワーク トラフィックの接続のロギングを参照してください。

時間枠を一時停止するか、または静的な時間枠を設定していない場合、ワークフローを変更したときに時間枠も変更されることに注意してください。詳細については、イベント時間の制約の設定を参照してください。

[移動先（Jump to）] ドロップダウン リストを使用すると、次のテーブルのワークフローにすばやくアクセスできます。

• 接続イベント
• セキュリティ インテリジェンス イベント
• 侵入イベント
• マルウェア イベント
• ファイル イベント
• hosts
• 侵害の兆候
• アプリケーション
• アプリケーションの詳細
• サーバ
• ホスト属性
• 検出イベント
• ユーザ
• 脆弱性
• サードパーティの脆弱性
• 相関イベント
• ホワイトリスト イベント

この機能により、疑わしいアクティビティの調査が強化されます。たとえば、接続データを表示していて、内部ホストが異常に大量のデータを外部サイトに転送していることに気付いた場合は、応答側の IP アドレスとポートを制約として選択し、[アプリケーション（Applications）] ワークフローへ移動することができます。[アプリケーション（Applications）] ワークフローは応答側の IP アドレスとポートを IP アドレスとポートの制約として使用し、アプリケーションの種類などの追加情報を表示することができます。ページの上部にある [ホスト（Hosts）] をクリックして、リモート ホストのホスト プロファイルを表示することもできます。

アプリケーションに関する詳細を検索した後で、[相関イベント（Correlation Events）] を選択して接続データ ワークフローに戻る、制約から応答側の IP アドレスを削除する、制約にイニシエータの IP アドレスを追加する、[アプリケーションの詳細（Application Details）] を選択して、データをリモート ホストに転送するときに開始側のホストでユーザがどのクライアントを使用しているかを確認する、といったことができます。ポートの制約は、[アプリケーションの詳細（Application Details）] ページには転送されないことに注意してください。ローカル ホストを制約として保持したまま、追加情報を検索するために他のナビゲート ボタンを使用することもできます。

• ローカル ホストがいずれかのポリシーに違反しているかどうかを検出するには、IP アドレスを制約として保持したままで [移動先（Jump to）] ドロップダウン リストから [相関イベント（Correlation Events）] を選択します。
• ホストに対して侵入ルールがトリガーされた（侵害を表している）かどうかを確認するには、[移動先（Jump to）] ドロップダウン リストから [侵入イベント（Intrusion Events）] を選択します。
• ローカル ホストのホスト プロファイルを表示し、ホストが、悪用された可能性のある脆弱性の影響を受けやすくなっているかどうかを判断するには、[移動先（Jump to）] ドロップダウン リストから [ホスト（Hosts）] を選択します。

ブックマークの使用

ライセンス： 任意（Any）

イベントの分析中に所定の場所および時間にすばやく戻りたい場合には、ブックマークを作成します。ブックマークは、次の情報を保持します。

• 使用中のワークフロー
• 表示中のワークフローの部分
• ワークフローのページ番号
• 検索の制約
• 無効になっているカラム
• 使用している時間範囲

あるユーザが作成したブックマークは、ブックマーク アクセスを持っているすべてのユーザ アカウントで利用できます。これは、より詳細な分析を必要とするイベント セットを見つけた場合、簡単にブックマークを作成し、適切な権限を持った他のユーザに調査を引き継ぐことが可能であることを意味します。

（注） ブックマークに表示されているイベントが（ユーザによって直接、またはデータベースの自動クリーンアップによって）削除されると、そのブックマークにはイベントの元のセットは表示されません。

ブックマークの使用の詳細については、以下の項を参照してください。

• ブックマークの作成では、新しいブックマークを作成する方法について説明します。
• ブックマークの表示では、既存のブックマークを表示および使用する方法について説明します。
• ブックマークの削除では、ブックマークを削除する方法について説明します。

ブックマークの作成

ライセンス： 任意（Any）

新しいブックマークを作成するには、次の手順を使用します。

ブックマークを作成する方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 イベントの分析中に、表示されている対象のイベントで [このページをブックマーク（Bookmark This Page）] をクリックします。

[ブックマークの作成（Create a Bookmark）] ページが表示されます。

手順 2 [ブックマーク名（Bookmark Name）] フィールドで、ブックマークの名前を（最大 80 文字の英数字とスペースで）入力し、[ブックマークの保存（Save Bookmark）] をクリックします。

ブックマークが保存され、ブックマークしたイベントのページがもう一度表示されます。

ブックマークの表示

ライセンス： 任意（Any）

既存のブックマークを表示して使用するには、次の手順を使用します。

ブックマークを表示する方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 イベント ビューから [ブックマークの表示（View Bookmarks）] をクリックします。

[ブックマーク（Bookmarks）] ページが表示されます。

手順 2 使用するブックマークの隣にある [表示（View）] をクリックします。

ブックマークしたページが表示されます。

（注） 最初にブックマークに表示されていたイベントが（ユーザによって直接、またはデータベースの自動クリーンアップによって）削除されると、そのブックマークにはイベントの元のセットは表示されません。

ブックマークの削除

ライセンス： 任意（Any）

ブックマークを削除するには、次の手順を使用します。ブックマークを削除しても、そのブックマークによって取得されるイベントは影響を受けないことに注意してください。

ブックマークを削除する方法：

アクセス： Admin/Maint/Any Security Analyst

手順 1 イベント ビューから [ブックマークの表示（View Bookmarks）] をクリックします。

[ブックマーク（Bookmarks）] ページが表示されます。

手順 2 削除するブックマークの隣にある [削除（Delete）] をクリックします。

ブックマークが削除されます。

カスタム ワークフローの作成

ライセンス： 任意（Any）

Cisco 提供の事前定義済みカスタム ワークフローがニーズに合わない場合は、カスタム ワークフローを作成することができます。

ヒント 新しいカスタム ワークフローを作成する代わりに、別のアプライアンスからカスタム ワークフローをエクスポートし、それを自身のアプライアンスへインポートすることができます。その後でニーズに合わせて、インポートしたワークフローを編集することができます。詳細については、設定のインポートおよびエクスポートを参照してください。

カスタム ワークフローを作成する場合は、次の操作を行います。

• ワークフローのソースとなるテーブルを選択する
• ワークフローの名前を指定する
• ワークフローにドリル ダウン ページおよびテーブル ビュー ページを追加する

ワークフローの各ドリル ダウン ページでは、次のことができます。

• Web インターフェイスのページの上部に表示される名前を指定する
• 1 ページにつき最大 5 個のカラムを含める
• デフォルトのソート順（昇順または降順）を指定する

ワークフロー ページの順序において、任意の場所にテーブル ビュー ページを追加することができます。これらのページには編集可能なプロパティ（ページ名、ソート順、ユーザ定義可能なカラム位置など）がありません。

カスタム ワークフローの最終ページは、次の表に記載されているように、ワークフローのベースにしているテーブルによって異なります。これらの最終ページは、ワークフローを作成したときにデフォルトで追加されます。

アプライアンスは、他の種類のイベント（監査ログやマルウェア イベントなど）に基づいたカスタム ワークフローには最終ページを追加しません。

（注） 接続データに基づいてカスタム ワークフローを作成するための手順は少し異なります。詳細は、次の項カスタム接続データ ワークフローの作成を参照してください。

カスタム ワークフローを作成する方法：

アクセス： Admin/Any Security Analyst

手順 1 [分析（Analysis）] > [カスタム（Custom）] > [カスタム ワークフロー（Custom Workflows）] を選択します。

[カスタム ワークフロー（Custom Workflows）] ページが表示されます。

手順 2 [カスタム ワークフローの作成（Create Custom Workflow）] をクリックします。

[カスタム ワークフローの編集（Edit Custom Workflow）] ページが表示されます。

手順 3 [名前（Name）] フィールドにワークフローの名前を入力します。

名前には最大 60 文字の英数字およびスペースを使用できます。

手順 4 オプションで、[説明（Description）] フィールドに、ワークフローの説明を入力します。

最大 80 文字の英数字およびスペースを使用できます。

手順 5 [テーブル（Table）] ドロップダウン リストから、対象とするテーブルを選択します。

手順 6 オプションで、[ページの追加（Add Page）] をクリックして、ワークフローに 1 つ以上のドリルダウン ページを追加します。

ドリルダウン ページのセクションが表示されます。

最大 80 文字の英数字（スペースは不可）を使用して、[ページ名（Page Name）] フィールドにページの名前を入力します。

[カラム 1（Column 1）] で、ソートの優先度およびテーブルのカラムを選択します。このカラムは、ページの最も左のカラムとして表示されます。たとえば、対象とする宛先ポートを示すページを作成し、カウントでページをソートするには、[優先度のソート（Sort Priority）] ドロップダウン リストから [2] を選択し、[フィールド（Field）] ドロップダウン リストから [DST ポート/ICMP コード（DST Port/ICMP Code）] を選択します。

ページに表示するすべてのフィールドの指定が完了するまで、フィールドを選択してソートの優先度の設定を続けます。1 ページにつき最大 5 個のフィールドを指定できます。

（注） ステップ 5 で [テーブル タイプ（Table Type）] として [脆弱性（Vulnerabilities）] を選択し、テーブル カラムとして [IP アドレス（IP Address）] を追加しても、検索機能を使用して特定の IP アドレスまたはアドレスのブロックを表示するようワークフローを制約しない限り、カスタム ワークフローを使用して脆弱性を表示する場合に [IP アドレス（IP Address）] カラムは表示されません。脆弱性の検索の詳細については、脆弱性の検索を参照してください。

手順 7 オプションで、[テーブル ビューの追加（Add Table View）] をクリックして、ワークフローにテーブル ビュー ページを追加します。

（注） カスタム ワークフローには、イベントのドリルダウン ページまたはテーブル ビューを少なくとも 1 つ追加する必要があります。

手順 8 [保存（Save）] をクリックします。

新しいワークフローが保存され、カスタム ワークフローのリストに追加されます。

カスタム接続データ ワークフローの作成

ライセンス： FireSIGHT

接続データに基づいたカスタム ワークフローは他のカスタム ワークフローと似ていますが、ドリルダウン ページとテーブル ビュー ページだけでなく、接続データ グラフのページも含めることができます。必要に応じて、ワークフローにそれぞれのタイプのページを任意の数だけ、任意の順序で含めることができます。それぞれの接続データ グラフのページには 1 つのグラフ（線グラフ、棒グラフ、または円グラフ）が含まれます。線グラフと棒グラフには、複数のデータセットを含めることができます。接続のサマリ、接続グラフ、データセットなどの接続データの詳細については、接続およびセキュリティ インテリジェンスのデータについてを参照してください。

ヒント 新しいカスタム ワークフローを作成する代わりに、別のアプライアンスからカスタム ワークフローをエクスポートし、それを自身のアプライアンスへインポートすることができます。その後でニーズに合わせて、インポートしたワークフローを編集することができます。詳細については、設定のインポートおよびエクスポートを参照してください。

接続データに基づいてカスタム ワークフローを作成する方法：

アクセス： 管理

手順 1 [分析（Analysis）] > [カスタム（Custom）] > [カスタム ワークフロー（Custom Workflow）] を選択します。

手順 2 [カスタム ワークフローの作成（Create Custom Workflow）] をクリックします。

[カスタム ワークフローの編集（Edit Custom Workflow）] ページが表示されます。

手順 3 [名前（Name）] フィールドにワークフローの名前を入力します。

最大 60 文字の英数字およびスペースを使用できます。

手順 4 オプションで、[説明（Description）] フィールドに、ワークフローの説明を入力します。

最大 80 文字の英数字およびスペースを使用できます。

手順 5 [テーブル（Table）] ドロップダウン リストから、[接続イベント（Connection Events）] を選択します。

手順 6 オプションで、ワークフローに 1 つ以上のドリルダウン ページを追加します。

• 個々の接続に関するデータが含まれているドリルダウン ページを追加するには、[ページの追加（Add Page）] をクリックします。
• 接続のサマリ データが含まれているドリルダウン ページを追加するには、[サマリ ページの追加（Add Summary Page）] をクリックします。

いずれの場合も、ドリルダウン ページのセクションが表示されます。

最大 80 文字の英数字（スペースは不可）を使用して、[ページ名（Page Name）] フィールドにページの名前を入力します。

[カラム 1（Column 1）] で、ソートの優先度およびテーブルのカラムを選択します。このカラムは、ページの最も左のカラムとして表示されます。

ページに表示するすべてのフィールドの指定が完了するまで、フィールドを選択してソートの優先度の設定を続けます。1 ページにつき最大 5 個のフィールドを指定できます。

たとえば、監視対象ネットワーク経由で転送されるトラフィックの量を表示するページを作成し、トラフィックの転送量が最も多い応答側によってページをソートするには、[優先度のソート（Sort Priority）] ドロップダウン リストで [1] を選択し、[フィールド（Field）] ドロップダウン リストで [受信側バイト数（Responder Bytes）] を選択します。

手順 7 オプションで、[グラフの追加（Add Graph）] をクリックして、ワークフローに 1 つ以上のグラフ ページを追加します。

グラフ セクションが表示されます。

最大 80 文字の英数字（スペースは不可）を使用して、[グラフ名（Graph Name）] フィールドにページの名前を入力します。

次に、ページに含めるグラフの種類（線グラフ、棒グラフ、または円グラフ）を選択します。

グラフの X 軸と Y 軸を選択し、どのようなデータをグラフ化するのかを指定します。円グラフでは、X 軸は独立変数を表し、Y 軸は従属変数を表します。

最後に、グラフに含めるデータセットを選択します。円グラフには 1 つのデータセットしか含めることができないことに注意してください。

手順 8 オプションで、[テーブル ビューの追加（Add Table View）] をクリックして、接続データのテーブル ビューを追加します。

手順 9 [保存（Save）] をクリックします。

新しいワークフローが保存され、カスタム ワークフローのリストに追加されます。

カスタム ワークフローの表示

ライセンス： 任意（Any）

ワークフローが、事前定義のイベント テーブルまたはカスタム テーブルのいずれに基づいているかによって、ワークフローの表示に使用する方法が異なります。

カスタム ワークフローが事前定義のイベント テーブルに基づいている場合は、アプライアンスに付属しているワークフローにアクセスするのと同じ方法でアクセスします。たとえば、ホスト テーブルに基づいているカスタム ワークフローにアクセスするには、[分析 > ホスト（Analysis Hosts）] を選択します。また、カスタム ワークフローがカスタム テーブルに基づいている場合は、[カスタム テーブル（Custom Tables）] ページからアクセスする必要があります。

ヒント 任意のイベント タイプについて、デフォルト ワークフローとしてカスタム ワークフローを設定することができます。イベント ビュー設定の設定を参照してください。

詳細については、以下を参照してください。

• 事前定義のテーブルのカスタム ワークフローの表示
• カスタム テーブルのカスタム ワークフローの表示

事前定義のテーブルのカスタム ワークフローの表示

ライセンス： 任意（Any）

カスタム テーブルに基づいて いない カスタム ワークフローを表示するには、次の手順を使用します。ワークフローの選択に記載されているように、ワークフローのアクセスは使用しているプラットフォームとユーザ ロールによって異なることに注意してください。

事前定義のテーブルに基づいたカスタム ワークフローを表示する方法：

アクセス： Admin/Any Security Analyst

手順 1 ワークフローを使用する機能 の表に記載されているように、カスタム ワークフローのベースとなるテーブルについて、適切なメニュー パスとオプションを選択します。

そのテーブルのデフォルト ワークフローの最初のページが表示されます。カスタム ワークフローも含め、別のワークフローを使用するには、現行のワークフロー タイトルの隣にある [ワークフロー切り替え（switch workflow）] をクリックします。別のデフォルト ワークフローの指定方法については、イベント ビュー設定の設定を参照してください。イベントが表示されず、ワークフローを時間によって制約できる場合は、時間範囲の調整が必要なことがあります。イベント時間の制約の設定を参照してください。

カスタム テーブルのカスタム ワークフローの表示

ライセンス： FireSIGHT

カスタム テーブルに基づいているカスタム ワークフローを表示するには、次の手順を使用します。

カスタム テーブルに基づいたカスタム ワークフローを表示する方法：

アクセス： Admin/Any Security Analyst

手順 1 [分析（Analysis）] > [カスタム（Custom）] > [カスタム テーブル（Custom Tables）] を選択します。

[カスタム テーブル（Custom Tables）] ページが表示され、使用できるカスタム テーブルが示されます。

手順 2 表示するカスタム テーブルの隣にある表示アイコンをクリックするか、またはカスタム テーブルの名前をクリックします。

そのテーブルのデフォルト ワークフローの最初のページが表示されます。カスタム ワークフローも含め、別のワークフローを使用するには、現行のワークフロー タイトルの隣にある [ワークフロー切り替え（switch workflow）] をクリックします。別のデフォルト ワークフローの指定方法については、イベント ビュー設定の設定を参照してください。イベントが表示されず、ワークフローを時間によって制約できる場合は、時間範囲の調整が必要なことがあります。イベント時間の制約の設定を参照してください。

カスタム ワークフローの編集

ライセンス： 任意（Any）

イベント評価プロセスが変わった場合には、新しいニーズを満たすようにカスタム ワークフローを編集することができます。事前定義のワークフローは編集できないことに注意してください。

カスタム ワークフローを編集する方法：

アクセス： Admin/Any Security Analyst

手順 1 [分析（Analysis）] > [カスタム（Custom）] > [カスタム ワークフロー（Custom Workflows）] を選択します。

[カスタム ワークフロー（Custom Workflows）] ページが表示され、既存のカスタム ワークフローが示されます。

手順 2 編集するワークフロー名の隣にある編集アイコン（ ）をクリックします。

[ワークフローの編集（Edit Workflow）] ページが表示されます。

手順 3 ワークフローに必要な変更を加え、[保存（Save）] をクリックします。

ワークフローに対する変更が保存されます。

カスタム ワークフローの削除

ライセンス： 任意（Any）

次の手順は、不要になったカスタム ワークフローを削除する方法について説明します。

カスタム ワークフローを削除する方法：

アクセス： Admin/Any Security Analyst

手順 1 [分析（Analysis）] > [カスタム（Custom）] > [カスタム ワークフロー（Custom Workflows）] を選択します。

[カスタム ワークフロー（Custom Workflows）] ページが表示され、使用できるカスタム ワークフローが示されます。

手順 2 削除するワークフロー名の隣にある削除アイコン（ ）をクリックします。

ワークフローが削除されます。