Cisco Secure Workload UI のナビゲーションウィンドウで、[調査（Investigate）] > [トラフィック（Traffic）] の順に選択すると、[フロー検索（Flow Search）] ページが表示されます。[フロー検索（Flow Search）] ページでは、フローコーパスをすばやくフィルタリングおよびドリルダウンできます。フロー検索の基本単位となるフロー観測データは、固有のフローごとに分単位で集約されます。

トラフィックフローには、コンシューマとプロバイダーの 2 つの側があります。コンシューマがフローを開始し、プロバイダーがコンシューマに応答します（たとえば、それぞれクライアントとサーバーになります）。

それぞれの観測では、フローの各方向のパケット数、バイト数、およびその他のメトリックが分間隔で追跡されます。フローを迅速にフィルタリングできるだけでなく、[観測結果の確認（Explore Observations）] を使用してフローを可視化できます。フロー観測結果のリストをクリックして、そのフローのライフタイム全体を通した遅延、パケット数、バイト数などのフローの詳細情報を表示できます。

警告	優れた可視化エージェントや適用エージェントを備えたホストの場合、Secure Workload はフローデータをそのフローを提供または利用するプロセスと関連付けることができます。その結果、プロセスの起動に使用されるデータベースや API ログイン情報などの機密情報を含む可能性のある、すべてのコマンドライン引数を分析や表示に利用できます。

これは、コーパス全体における現在の [範囲（Scope）] の、フィルタ処理されていない要約された時系列データです。このコンポーネントの目的は、表示されている日付範囲を把握し、コンポーネント内をドラッグしてその日付範囲を簡単に変更できるようにすることです。チャート内のデータは、選択すべき時間範囲の決定に役立つ場合があります。表示するメトリックの種類は選択できます。デフォルトでは、[フロー観測（flow observations）] の数が表示されます。

コーパスセレクタは、現在およそ [20億のフロー観測（2 billion flow observations）] を選択できるようになっています。

ここで、検索結果を絞り込むためのフィルタを定義します。[フィルタ（Filters）] という単語の横にある [?] アイコンをクリックすると、ディメンションの候補がすべて表示されます。ユーザーラベルデータについては、これらの列も適切な間隔で使用できます。この入力は and、or、not、および括弧などのキーワードもサポートしており、これらを使用してより複雑なフィルタを表現します。たとえば、IP 1.1.1.1 と 2.2.2.2 の間の指示に依存しないフィルタは次のように記述できます。

Consumer Address = 1.1.1.1 and Provider Address = 2.2.2.2 or Consumer Address = 2.2.2.2 and Provider Address = 1.1.1.1

And to additionally filter on Protocol = TCP:

Consumer Address = 1.1.1.1 and Provider Address = 2.2.2.2 or Consumer Address = 2.2.2.2 and Provider Address = 1.1.1.1

フィルタ入力機能は、「-」を範囲クエリに変換することで、ポート、コンシューマアドレス、プロバイダーアドレスの「,」と「-」もサポートします。以下に有効なフィルタの例を示します。

（注）	フローデータは取り込み時にのみユーザーラベルでラベル付けされるため、ユーザーラベルは有効にしてもすぐには表示されません。フロー検索でラベルが表示されるまでに数分かかる場合があります。また、使用可能なユーザーラベルは、[コーパスセレクタ（Corpus Selector）] で選択した部分によって異なります。有効化されたラベルがさまざまな時点で変更されている可能性があるためです。

このコンポーネントは、選択した間隔（前述のコーパスセレクタで行った選択）のさまざまなメトリックの集約合計を表示します。ドロップダウンを使用して、表示されるメトリックを変更します。

このコンポーネントでは、選択した間隔をさらに狭めることもできます。注目したいグラフの領域をクリックすると、上位 N チャートとその下のデータがすべて更新され、選択した間隔のデータのみが含まれます。

このチャートには、左側のフィルタ済みの時系列チャートの選択に影響を与える上位 N 件の値が表示されます。時系列チャートのフロー観測データでピークを選択し、上位 N 件チャートでホスト名を選択すると、それらのフロー観測データに最も影響を与えるホスト名（コンシューマとプロバイダー）のリストが表示されます。また、時系列チャートが SRTT を表示するように設定されている場合、上位のホスト名には、選択した SRTT に最も影響を与えるホスト名が表示されます。

上位 N 件チャートのいずれかの項目をクリックすると、その値を [ドリルダウン（Drill-Down）] または [除外（Exclude）] できるメニューが表示されます。

• [ドリルダウン（Drill-down）] をクリックすると、結果をその値だけに限定するフィルタが追加されます。

• [除外（Exclude）] をクリックすると、結果からその値を除外するフィルタが追加されます。

（注）	[ドリルダウン（Drill-down）] または [除外（Exclude）] をクリック後、フィルタを有効にするには、[フィルタ（Filter）] アイコンを押す必要があります。これで、途中でページが繰り返し更新されることなく、複数の [除外（Exclude）] アクションをすばやく実行できます。

これは、上のページのフィルタおよび選択と一致する、実際の [フロー観測（Flow Observations）] のリストです。デフォルトでは、間隔の最初から 20 個がロードされます。ドロップダウンを使用すると、ロードされる数を増やせます。[順番（In Order）] ではなく [サンプル（Sampled）] を使用して、選択された間隔からフロー観測のランダムセットの読み込みも可能です。[サンプル（Sampled）] 設定は、間隔の最初から順番に読み込むのではなく、選択した間隔からより代表的なフロー観測のセットを取得するのに役立ちます。

高次元データをすばやく探索できるチャートビュー（[平行座標（Parallel Coordinates）] チャート）を有効にするには、[観察結果の参照（Explore Observations）] をクリックします。最初は少し難しいかもしれませんが、関心のある次元のみを有効にする場合（[次元（Dimensions）] ドロップダウンの項目のチェックを外す) や、次元の順序を並べ替える場合、このチャートは役立ちます。このチャートの 1 本の線は 1 つの観測値を表し、その線がさまざまな軸と交差する場所は、その次元での観測値を示しています。チャートの下にある観測結果のリストにカーソルを合わせると、より明確になり、チャート内の観測結果を示す線が強調表示されます。

フローデータの高次元の性質により、このチャートの範囲はデフォルトでは広いため、チャート全体を表示するには右にスクロールする必要があります。このため、関心のある次元以外はすべて無効にすると便利です。

サンプリング観測と順次観測の比較

[観測結果の確認（Explore Observations）] では、サンプリングを有効にして、より多くのフローを対象にすることを推奨します。これにより、選択した期間内に発生したさまざまなフローをより多く確認できます。したがって、上の時系列チャートで 200 万件のフロー観測を選択した場合、1000 件のサンプルが期間全体で均一にロードされます。一方、フローの順次ロードでは、期間の最初から 1000 件のフロー観測データがロードされます。

順序どおりの観測データの場合は、すべてタイムスタンプが 9:09 から始まる点や、サンプリングの場合は観測データが選択された期間全体で均等に分散されている点に注目してください。

フィルタリング

いずれかの軸に沿ってカーソルをドラッグすると、選択範囲が作成され、その選択範囲に一致する観測データのみが表示されます。軸を再度クリックすると、いつでも選択範囲を解除できます。一度に任意の数の軸を選択できます。観測データのリストが更新され、選択した観測データのみが表示されます。

フローの方向（クライアント/サーバーまたはプロバイダー/コンシューマの分類）は、可視性、自動ポリシー検出、および適用にとって重要です。すべてのユニキャストフローには、クライアントとサーバーの分類があります。

たとえば、HTTPS を使用して Web サーバー（192.168.2.1）にアクセスするクライアント（192.168.1.1 ～ 192.168.1.3）がある場合、通常、送信元ポートは 1025 ～ 65535 の範囲のエフェメラルポートであり、宛先ポートは 443 です。

正確なクライアントサーバーの方向は次のとおりです。

• クライアント：192.168.1.1 ～ 3

• サーバー：192.168.2.1

• サービス：TCP ポート 443

自動ポリシー検出によって生成されたポリシーが図に示されています（左側のエンドポイントがグループ化されています）。

ここで、クライアントとサーバーの方向の判断が逆になった場合（不正確な分類）、次のようになります。

• クライアント：192.168.2.1

• サーバー：192.168.1.1 ～ 3

• サービス：エフェメラルポートのリスト（45680、51112、45553）

次に、上記の不正確な分類では、生成されたポリシーが図のようになる可能性があります。

この結果、ポリシーの適用に関してより多くのリソースが消費されます。さらに、ポリシーの適用方法によっては、192.168.1.1 ～ 3 では当該エフェメラルポートを使用しても、192.168.2.1 にアクセスできません。たとえば、Secure Workload ソフトウェアセンサーの適用を使用する場合、前述のクライアントから Web（ESTAB）への適用ポリシーは、Web 宛てのクライアントによって生成されたトラフィック（NEW、ESTAB）と一致しません。

タイムスタンプと TCP フラグは、クライアントとサーバーの方向を判断するために Secure Workload で使用されます。たとえば、パケットが UDP/ICMP である可能性があるか、方向信号をサポートしていない HW センサーが使用されているため、TCP フラグ情報（SYN、SYN/ACK）がない場合、ユーザー定義のオーバーライドルール、タイムスタンプ、およびその他のヒューリスティックは、フローの方向を推測するために使用されます。定義上、ヒューリスティックは 100% の精度を保証しません。クライアントとサーバーの精度は、使用されるセンサーのタイプと、センサーの使用条件の関数で得られます。Cisco Secure Workload の REST-API（OpenAPI）を使用してクライアントとサーバーのオーバーライドルールを挿入し、Secure Workload が誤った方向を取得したフロータイプのサーバーポートを識別できます。次に、Secure Workload はそれらのルールを適用してキャプチャされた新しいフローデータを処理し、フローの方向が固定されている期間にポリシーを生成します。オーバーライドルールを指定する API の詳細については、「クライアントサーバー構成」を参照してください。ポリシーを手動で定義し、不要なポリシーを調査または削除することもできます。不要なポリシーを定義または削除する方法の詳細については、「ポリシー」を参照してください。

Cisco Secure Workload は、次のフロー分析の忠実度モードをサポートしています。

• 詳細モード：詳細モードでは、エージェントによって確認されたすべてのフローと詳細な統計情報がキャプチャされます。キャプチャされる統計には、パケット数とバイト数、TCP フラグ、接続統計、ネットワーク遅延、SRTT などがあります。このタイプのレポートは多くの場合望ましいものですが、データをレポートして処理するための計算負荷が大きくなります。さらに、プライマリのユースケースがセグメンテーションの場合、厳密な要件ではない場合があります。

• カンバセーションモード：カンバセーションモードは、従来の詳細モードよりも軽量な代替モードになります。カンバセーションモードのエージェントは、クライアントとサーバーを正確に分類できる場合はフローではなくカンバセーションをレポートすることを目指します。これは、TCP、UDP、および ICMP フローに適用されます。

詳細モードでは、TCP/UDP フローの場合、5 タプルフロー（送信元と宛先の IP、送信元と宛先のポート、およびプロトコル）をレポートします。カンバセーションモードでは、送信元ポートは（新しく接続されるたびに変更される）エフェメラルポートであるため、エージェントは送信元ポートを省略し、4 タプルフローにします。

（注）	4 タプルとしてのフローの検出は、クライアントサーバー検出アルゴリズムにも依存しています。このアルゴリズムは、サーバー/宛先ポートがウェルノウンポート（0 ～ 1023）であることに依存しているため、

ウェルノウンサーバー/宛先ポートを使用しないカスタムアプリケーションを使用している場合は、OpenAPI インターフェイスを使用してウェルノウンサーバーポートにアクセスできます。これらの設定は過去のフローには適用されず、その時点以降のフローのマーキングにのみ影響します。サーバーポートを最適化するには、「Client Server Configuration」を参照してください。

カンバセーションモードのエージェントレポートには、削減された情報、省略されたフィールドの完全なリストが含まれます。

• [TCP/UDP送信元ポート（エフェメラルポート）（TCP/UDP source port (ephemeral ports)）]

• [順方向/逆方向TCPボトルネック（Fwd/Rev TCP bottleneck）]

• [TCPハンドシェイクバケット（TCP handshake bucket）]

• [SRTT（マイクロ秒）（SRTT(µs)）]

• [順方向/逆方向パケットの再送信（Fwd/Rev Packet retransmissions）]

• [SRTT使用可能（SRTT Available）]

• [順方向/逆方向輻輳ウィンドウの削減（Fwd/Rev Congestion Window Reduced）]

• [変更された順方向/逆方向MSS（Fwd/Rev MSS Changed）]

• [順方向/逆方向TCP受信Window Zero（Fwd/Rev TCP Rcv Window Zero?）] [順方向/逆方向バーストインジケータ（Fwd/Rev Burst Indicator）]

• [順方向/逆方向最大バーストサイズ（KB）（Fwd/Rev Max Burst Size (KB)）]

カンバセーションモードを有効にするには、「ソフトウェアエージェントの設定」の「フローの可視性設定」セクションを参照してください。

（注）	エージェントをカンバセーションモードでレポートするように変更することで得られる確実な利点は、TCP フローのパーセンテージ、既定のサービスポートでリッスンするサービスの数、エージェントのメモリ制限など、複数の要因によって異なる場合があります。

（注）	一部のエージェントのカンバセーションモードをオンにすると、フロー検索ページの観測結果にカンバセーションとフローが混在する場合があります。

プロキシは、クライアントマシンとインターネットの間に配置されたサーバーとして機能し、インターネットへの直接クライアントアクセスを制御および制限します。クライアントがインターネットサービスにアクセスする場合、クライアントは、代わりに Web サーバーとの TCP 接続を開始するようにプロキシサーバーに指示します。接続が正常に確立されると、ステータスとともに HTTP レスポンスがプロキシからクライアントに送信されます。その後、クライアントは確立された TCP 接続を介して対話するため、Web サービスと直接通信しているように見えます。プロキシはブリッジとして機能し、2 つの TCP 接続間でのデータ送信を容易にします。

CSW エージェントがインストールされているアプリケーションをホストするワークロードが、インターネットサービスのリクエストを開始します。最初に、代わって通信チャネルを作成するようにプロキシに指示します。インターネットサービスとの対話は、プロキシへの確立された接続を介して行われます。CSW エージェントは、ワークロードとプロキシサーバー間のフローのみをキャプチャします。このフローの実際の接続先は、現在の CSW エージェント設定では不明のままです。

エージェントは、現在の PCAP フィルタ処理を使用してすべての発信 TCP パケットを分析し、ペイロード内の「CONNECT」 HTTP 動詞をスキャンします。このプロセスにより、エージェントはフロー内のプロキシリクエストをキャプチャできます。フローをコレクタにエクスポートすると、エージェントによって、識別されたプロキシフローごとに有効なフローが生成されます。これは、related_key フィールドを使用し、5 タプル情報を組み込んで、プロキシとプロキシされたフロー間の接続を確立します。

（注）	プロキシされたフローの可視性は、デフォルトで有効になっています。この機能を無効化にするには、enable_proxy_flows_visibility: 0 をセンサー設定ファイルに追加します。

前提条件

[フロー分析の忠実度（Flow Analysis Fidelity）] を [詳細（Detailed）] モードに設定します。

（注）	HTTP/HTTPS プロキシのみで動作します。 CONNECT 要求のみをキャプチャします。現在、GET 要求はサポートされていません。 デフォルトでは、エージェントのフロー分析の忠実度モードは「カンバセーション」です。

手順

1. ナビゲーションメニューから、[Investigate] > [トラフィック（Traffic）] の順に選択します。

   [トラフィック（Traffic）] ページでは、フローコーパスの迅速なフィルタリングと詳細な調査が容易になります。

2. [展開（Expand）] アイコンをクリックして、フローの詳細を表示します。

   バージョン 3.9 以降のエージェントは、プロキシされたフローの接続先をキャプチャできます。[Investigate] > [トラフィック（Traffic）] ページでは、次の 2 つの異なるフローを確認できます。

   • [プロキシフロー（Proxy Flow）]：ワークロードからプロキシに送信されます。

   • [プロキシされたフロー（Proxied Flow）]：ワークロードからリモートの完全修飾ドメイン名（FQDN）または IP アドレスへの効果的なトンネリングされたフローを表します。

   これらのフローは相互接続され、[関連（Related）] として指定されます。固有の考慮事項は次のとおりです。

   • プロキシへのリクエストがリモート FQDN に送信される場合、有効なフローのプロバイダーアドレスは [不明（Unknown）] としてマークされますが、プロバイダードメイン名は FQDN に設定されます。

   • プロキシへのリクエストがリモート IP アドレス宛ての場合、プロバイダーアドレスはその特定のアドレスですが、プロバイダードメイン名は空のままになります。

   

   

Cisco Secure Workload 脅威インテリジェンス データ パックは、既知の悪意のある IPv4 アドレスで 24 時間ごとに更新されます。コンシューマまたはプロバイダから発信されたトラフィックは、これらの悪意のある IPv4 アドレスに対して分析されます。この分析は、[フロー検索（Flow Search）] ページで、これらの悪意のある IPv4 アドレスに接続しているワークロードを識別するために役立ちます。既知の悪意のある IPv4 アドレスに接続するフローをフィルタ処理するには、以下のクエリを使用します。

Malicious? = true、Provider Malicious? = true、または Consumer Malicious? = true