FireSIGHT システム ユーザ ガイド バージョン 5.3.1

ホスト統計情報

ライセンス：Protection

[Intrusion Event Statistics] ページの [Host Statistics] セクションは、アプライアンス自体に関する情報を提供します。防御センターでは、このセクションはすべての管理対象デバイスに関する情報も提供します。

この情報には、次の内容が含まれます。

• [Time] は、アプライアンス上の現在の時刻を表示します。

• [Uptime] は、アプライアンス自体が再起動してから経過した日数、時間、および分数を示します。防御センターでは、[Uptime] に各管理対象デバイスの最終起動時刻、ログインしたユーザの数、および負荷平均も示されます。

• [Disk Usage] は使用中のディスクの割合を示します。

• [Memory Usage] は使用中のシステム メモリの割合を示します。

• [Load Average] は、過去 1 分間、5 分間、15 分間の CPU キュー内の平均プロセス数を示します。

イベントの概要

ライセンス：Protection

[Intrusion Event Statistics] ページの [Event Overview] セクションは、侵入イベント データベースにある情報の概要を示します。

これらの統計には、次が含まれています。

• [Events] は、侵入イベント データベース内のイベント数を示します。

• [Events in Time Range] は、現在選択されている時間範囲と、時間範囲内に収まるデータベースのイベントの割合を示します。

• [First Event] は、イベント データベース内の最初のイベントのイベント メッセージを示します。

• [Last Event] は、イベント データベース内の最後のイベントのイベント メッセージを示します。

注 防御センターでは、管理対象デバイスを選択した場合、そのデバイスの [Event Overview] セクションが代わりに表示されることに注意してください。

イベント統計情報

ライセンス：Protection

[Intrusion Event Statistics] ページの [Event Statistics] セクションでは、侵入イベント データベース内の情報に関する具体的な情報が表示されます。

この情報には、次に関する詳細が含まれます。

• 上位 10 個のイベント タイプ

• 上位 10 個のソース IP アドレス

• 上位 10 個の宛先 IP アドレス

• 上位 10 個の宛先ポート

• イベント数が最大であるプロトコル、イングレスとイーグレスのセキュリティ ゾーン、およびデバイス

侵入イベントのパフォーマンス統計グラフの生成

ライセンス：Protection

1 秒あたりの侵入イベントの数、1 秒あたりのメガビット数、1 パケットあたりの平均バイト数、Snort によって検査されていないパケットの割合、および TCP 正規化の結果としてブロックされたパケットの数に基づいて、防御センターまたは管理対象デバイスのパフォーマンス統計を示すグラフを生成できます。

注 新しいデータは 5 分ごとに統計グラフに蓄積されます。したがって、グラフをすばやくリロードしても、次の 5 分の差分更新が実行されるまでデータは変更されていない場合があります。

次の表に、表示可能なグラフの種類を示します。

侵入イベントのパフォーマンス グラフを生成する方法：

アクセス：Admin/Maint

ステップ 1 [Overview] > [Summary] > [Intrusion Event Performance] を選択します。

[Intrusion Event Performance] ページが表示されます。

ステップ 2 [Select Device] リストから、データを表示するデバイスを選択します。

ステップ 3 [Select Graph(s)] リストから、作成するグラフの種類を選択します。

ステップ 4 [Select Time Range] リストから、グラフに使用する時間範囲を選択します。

過去 1 時間、前日、先週、または先月から選択できます。

ステップ 5 [Graph] をクリックします。

グラフが表示され、ユーザが指定した情報が表示されます。

ステップ 6 グラフを保存するには、グラフを右クリックし、ブラウザでイメージを保存する手順に従います。

侵入イベントについて

ライセンス：Protection

システムは、ホストとそのデータの可用性、整合性、および機密性に影響する可能性のある悪意のあるアクティビティについて、ネットワークを通過するパケットを検査します。システムは、潜在的な侵入を特定すると 侵入イベント を生成します。これは、エクスプロイトの日付、時間、タイプ、および攻撃元とそのターゲットに関するコンテキスト情報のデータです。パケットベースのイベントの場合、イベントをトリガーとして使用したパケットのコピーも記録されます。

次のリストで、侵入イベントに含まれる情報について説明します。侵入イベントのテーブル ビューの一部のフィールドはデフォルトで無効になっていることに注意してください。セッション中にフィールドを有効にするには、展開矢印（ ）をクリックして、検索制限を拡張してから、[Disabled Columns] の下の列名をクリックします。

Time

イベントの日付と時刻。

Priority

シスコ VRT で指定されたイベントの優先度。

Impact

このフィールドの影響レベルは、侵入データ、ネットワーク検出 データ、脆弱性情報との関係を示します。詳細については、「影響レベルを使用してイベントを評価する」を参照してください。

NetFlow データに基づいてネットワーク マップに追加されたホストで使用可能なオペレーティング システム情報が存在しない場合、ホスト入力機能を使用してホストのオペレーティング システム ID を手動で設定しない限り、防御センターはこれらのホストに関係した侵入イベントに対して影響レベル [Vulnerable]（影響レベル 1：赤）を割り当てることができないことに注意してください。

Inline Result

次のいずれかです。

• 黒い下矢印。ルールをトリガーとして使用したパケットをシステムがドロップしたことを示します

• 灰色の下矢印。[Drop when Inline] ポリシー オプション（インライン展開環境）を有効にした場合、またはシステムがプルーニングしている間に [Drop and Generate] ルールがイベントを生成した場合、IPS がパケットをドロップしたことを示します

• ブランク。トリガーとして使用されたルールが [Drop and Generate Events] に設定されてないことを示します

侵入ポリシーのルールの状態またはインライン ドロップ動作にかかわらず、インライン インターフェイスがタップ モードになっている場合を含め、パッシブ展開環境ではシステムはパケットをドロップしないことに注意してください。詳細については、「ルール状態の設定」、「インライン展開での破棄動作の設定」、「パッシブ インターフェイスの設定」、および「タップ モード」を参照してください。

Source IP

送信元ホストが使用する IP アドレス。

Source Country

送信元ホストの国。

Destination IP

受信ホストが使用する IP アドレス。

Destination Country

受信ホストの国。

Original Client IP

X-Forwarded-For（XFF）またはTrue-Client-IP HTTP 見出しから取得された、元のクライアント IP アドレス。このフィールドの値を表示するには、ネットワーク解析ポリシーの HTTP プリプロセッサ [Extract Original Client IP Address] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

このフィールドは、デフォルトでは無効です。

Source Port / ICMP Type

送信元ホストのポート番号。ICMP トラフィックの場合は、ポート番号がないため、システムは ICMP タイプを表示します。

Destination Port / ICMP Code

トラフィックを受信するホストのポート番号。ICMP トラフィックの場合は、ポート番号がないため、システムは ICMP コードを表示します。

VLAN ID

侵入イベントをトリガーとして使用したパケットと関連付けられた内部 VLAN ID。

MPLS Label

この侵入イベントをトリガーとして使用したパケットと関連付けられたマルチプロトコル ラベル スイッチング ラベル。

このフィールドは、デフォルトでは無効です。

Message

イベントを説明するテキスト。ルールベースの侵入イベントの場合、イベント メッセージはルールから取得されます。デコーダベースおよびプリプロセッサベースのイベントの場合は、イベント メッセージはハードコーディングされています。

Classification

イベントを生成したルールが属する分類。ルールの分類名と番号のリストについては、 「ルール分類」 の表を参照してください。

Generator

イベントを生成したコンポーネント。侵入イベント ジェネレータ ID のリストについては、 「ジェネレータ ID」 の表を参照してください。

Source User

送信元ホストにログインしている既知のユーザのユーザ ID。

Destination User

宛先ホストにログインしている既知のユーザのユーザ ID。

Application Protocol

（使用可能な場合）侵入イベントをトリガーとして使用したトラフィックで検出されたホスト間の通信を表す、アプリケーション プロトコル。FireSIGHT システムが防御センター Web インターフェイスで検出されたアプリケーション プロトコルを特定する方法の詳細については、 「FireSIGHT システムのアプリケーション プロトコルの識別」 の表を参照してください。

Client

（使用可能な場合）侵入イベントをトリガーとして使用したトラフィックで検出されたモニタ対象のホストで実行されているソフトウェアを表す、クライアント アプリケーション。

Web Application

侵入イベントをトリガーとして使用したトラフィックで検出された HTTP トラフィックの内容または要求された URL を表す、Web アプリケーション。

システムが HTTP のアプリケーション プロトコルを検出し、特定の Web アプリケーションを検出できなかった場合、システムはここで一般的な Web ブラウジング指定を提供することに注意してください。

IOC

侵入イベントをトリガーとして使用したトラフィックが、接続に関係するホストに対する侵入の痕跡（IOC）もトリガーとして使用したかどうか。IOC の詳細については、「侵害の兆候について」を参照してください。

Category、Tag（Application Protocol、Client、Web Application）

アプリケーションの機能を理解するのに役立つ、アプリケーションを特徴づける条件。詳細については、 「アプリケーションの特徴」 の表を参照してください。

Application Risk

侵入イベントをトリガーとして使用したトラフィックで、検出されたアプリケーションと関連付けられたリスク。接続で検出されるアプリケーションのタイプごとに関連するリスクがあります。このフィールドは、それらのうち最も高いリスクを表示します。詳細については、 「アプリケーションの特徴」 の表を参照してください。

Business Relevance

侵入イベントをトリガーとして使用したトラフィックで、検出されたアプリケーションと関連付けられたビジネスとの関連性。接続で検出されるアプリケーションのタイプごとに関連するビジネスとの関連性があります。このフィールドは、それらのうち最も低い（関連性が最も低い）ものを表示します。詳細については、 「アプリケーションの特徴」 の表を参照してください。

Ingress Security Zone

イベントをトリガーとして使用したパケットの入力セキュリティ ゾーン。パッシブ展開環境では、このセキュリティ ゾーン フィールドだけに入力されます。「セキュリティ ゾーンの操作」を参照してください。

Egress Security Zone

インライン展開環境の場合、イベントをトリガーとして使用したパケットの出力セキュリティ ゾーン。パッシブ展開環境では、このセキュリティ ゾーンのフィールドには入力されません。「セキュリティ ゾーンの操作」を参照してください。

Device

アクセス コントロール ポリシーが適用された管理対象デバイス。「デバイスの管理」を参照してください。

Security Context

トラフィックが通過した仮想ファイアウォール グループを識別するメタデータ。マルチコンテキスト モードの ASA FirePOWER デバイスでは、システムはこのフィールドにのみ入力することに注意してください。

Ingress Interface

イベントをトリガーとして使用したパケットの入力インターフェイス。パッシブ インターフェイスの場合、このインターフェイスの列だけに入力されます。「インターフェイスの設定」を参照してください。

Egress Interface

インライン セットの場合、イベントをトリガーとして使用したパケットの出力インターフェイス。パッシブ インターフェイスの場合、このインターフェイスの列には入力されません。「インターフェイスの設定」を参照してください。

Intrusion Policy

イベントを生成した侵入ルール、プリプロセッサ ルール、またはデコーダ ルールが有効にされた侵入ポリシー。アクセス コントロール ポリシーのデフォルト アクションとして侵入ポリシーを選択するか、アクセス コントロール ルールと侵入ポリシーを関連付けることができます。「デフォルト アクションの設定」および「許可されたトラフィックに対するファイル インスペクションと侵入インスペクションの実行」を参照してください。

Access Control Policy

イベントを生成した侵入ルール、プリプロセッサ ルール、またはデコーダ ルールが有効にされた侵入ポリシーが含まれるアクセス コントロール ポリシー。「アクセス コントロール ポリシーの使用」を参照してください。

Access Control Rule

イベントを生成した侵入ルールと関連付けられたアクセス コントロール ルール。「許可されたトラフィックに対するファイル インスペクションと侵入インスペクションの実行」を参照してください。[Default Action] は、ルールが有効にされた侵入ポリシーがアクセス コントロール ルールに関連付けられていないことと、代わりにアクセス コントロール ポリシーのデフォルト アクションとして設定されていることを示します。「デフォルト アクションの設定」を参照してください。

HTTP Hostname

HTTP 要求のホスト 見出しから取得されたホスト名（存在する場合）。要求パケットにホスト名が常に含まれているわけではないことに注意してください。

ホスト名を表示するには、HTTP 検査プリプロセッサ [Log Hostname] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

この列には、取得されたホスト名の最初の 50 文字が表示されます。ホストの省略名の表示部分にポインタを合わせると、最大 256 バイトまでの完全な名前を表示することができます。また、最大 256 バイトまでの完全なホスト名をパケット ビューに表示することもできます。詳細については、「イベント情報の表示」を参照してください。

このフィールドは、デフォルトでは無効です。

HTTP URI

（存在する場合）侵入イベントをトリガーとして使用した HTTP 要求パケットに関連付けられた raw URI。要求パケットに URI が常に含まれているわけではないことに注意してください。

取得された URI を表示するには、HTTP 検査プリプロセッサ [Log URI] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

HTTP 応答によってトリガーとして使用された侵入イベントの関連 HTTP URI を参照するには、[Perform Stream Reassembly on Both Ports] オプションに HTTP サーバのポートを設定する必要があります。ただし、これにより、トラフィックのリアセンブル用のリソース要求が増加することに注意してください。「ストリームの再アセンブリのオプションの選択」を参照してください。

この列には、取得された URI の最初の 50 文字が表示されます。省略 URI の表示部分にポインタを合わせると、最大 2048 バイトまでの完全な URI を表示することができます。また、最大 2048 バイトまでの完全な URI をパケット ビューに表示することもできます。詳細については、「イベント情報の表示」を参照してください。

このフィールドは、デフォルトでは無効です。

Email Sender

SMTP MAIL FROM コマンドから取得された電子メール送信者のアドレス。このフィールドの値を表示するには、SMTP プリプロセッサの [Log From Address] オプションを有効にする必要があります。複数の送信者アドレスがサポートされます。詳細については、「SMTP デコードについて」を参照してください。

このフィールドは、デフォルトでは無効です。

Email Recipient

SMTP RCPT TO コマンドから取得された電子メール受信者のアドレス。このフィールドの値を表示するには、SMTP プリプロセッサの [Log To Addresses] オプションを有効にする必要があります。複数の受信者アドレスがサポートされます。詳細については、「SMTP デコードについて」を参照してください。

このフィールドは、デフォルトでは無効です。

Email Attachments

MIME の Content-Disposition 見出しから取得された MIME 添付ファイル名。添付ファイルの名前を表示するには、SMTP プリプロセッサの [Log MIME Attachment Names] オプションを有効にする必要があります。複数の添付ファイル名がサポートされます。詳細については、「SMTP デコードについて」を参照してください。

このフィールドは、デフォルトでは無効です。

Reviewed By

イベントを確認したユーザの名前。「侵入イベントについて」を参照してください。

Count

各行に表示される情報と一致するイベントの数。[Count] フィールドは 2 つ以上の同一の行を作成する制約を適用した後にのみ表示されることに注意してください。

侵入イベントと関連付けられた接続データの表示

ライセンス：Protection

侵入ポリシーをアクセス コントロール ルールまたはアクセス コントロール ポリシーのデフォルト アクションと関連付けた場合、システムは侵入イベントが検出された接続をログに記録できます。このロギングはアクセス コントロール ルールで自動的に行われますが、デフォルト アクションに関連する接続データを参照するには、接続ロギングを手動で有効にする必要があります。「デフォルト アクションの接続のロギング」を参照してください。

1 つ以上の侵入イベントに関連付けられた接続データを表示する方法：

アクセス：Admin

ステップ 1 [Analysis] > [Intrusions] > [Events] を選択します。

デフォルトの侵入イベントのワークフローの最初のページが表示されます。

関連データの表示は、イベントのテーブル ビュー間を移動する場合に非常に役立ちます。分析にとって重要な侵入イベントにビューを絞り込む方法の詳細については、「侵入イベントのワークフロー ページについて」を参照してください。

ステップ 2 イベント ビューアのチェック ボックスを使用して侵入イベントを選択してから、[Jump to] ドロップダウン リストから [Connections] を選択します。

同じ方法で、特定の接続に関連した侵入イベントを表示できます。詳細については、「ワークフロー間のナビゲート」を参照してください。

関連イベントを確認するとき、防御センターはデフォルトの接続データのワークフローを使用します。接続データの詳細については、「接続およびセキュリティ インテリジェンス のデータの使用」を参照してください。

ヒント 侵入イベントのテーブル ビューが含まれないカスタム ワークフローを使用している場合、ワークフローのタイトルの横にある [(switch workflow)] をクリックして、アプライアンスに付属の定義済みワークフローのいずれかを選択します。

侵入イベントについて

ライセンス：Protection

侵入イベントを調べて、そのイベントがネットワーク セキュリティに対して脅威ではないことがわかったら（おそらく、ネットワーク上のどのホストも検出されたエクスプロイトに対して脆弱でないことがわかったため）、そのイベントを確認済みとしてマークできます。ユーザの名前がレビューアとして表示され、確認されたイベントはデフォルトの侵入イベント ビューには表示されなくなります。確認済みとしてマークしたイベントはイベント データベースに残りますが、侵入イベントのビューには表示されなくなります。

侵入イベントに確認済みのマークを付けるには：

アクセス：Admin/Intrusion Admin

ステップ 1 侵入イベントが表示されるページで、次の 2 つの方法を選択できます。

• イベントのリストから 1 つまたは複数の侵入イベントにマークを付けるには、イベントの横にあるチェック ボックスを選択し、[Review] をクリックします。

• イベントのリストからすべての侵入イベントにマークを付けるには、[Review All] をクリックします。

成功メッセージが表示され、確認済みイベント リストが更新されます。

侵入イベント ビューに表示されるイベントの詳細については、「侵入イベントについて」を参照してください。分析にとって重要な侵入イベントにビューを絞り込む方法の詳細については、「侵入イベントのワークフロー ページについて」を参照してください。

注 確認されたイベントは、侵入イベントに関連したワークフローのページに表示されませんが、イベント要約の統計情報には含まれます。

以前に確認済みとマークされたイベントを表示する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [Analysis] > [Intrusions] > [Reviewed Events] を選択します。

デフォルトの確認済み侵入イベントのワークフローの最初のページが表示されます。別のデフォルト ワークフローの指定方法については、「イベント ビュー設定の設定」を参照してください。イベントが表示されない場合は、時間範囲の調整が必要になることがあります。「イベント時間の制約の設定」を参照してください。

ヒント 侵入イベントのテーブル ビューが含まれないカスタム ワークフローを使用している場合、ワークフローのタイトルの横にある [(switch workflow)] をクリックして、アプライアンスに付属の定義済みワークフローのいずれかを選択します。

確認済み侵入イベント ビューに表示されるイベントの詳細については、「侵入イベントについて」を参照してください。分析にとって重要な侵入イベントにビューを絞り込む方法の詳細については、「侵入イベントのワークフロー ページについて」を参照してください。

確認済みイベントに未確認のマークを付けるには：

アクセス：Admin/Intrusion Admin

ステップ 1 確認済みイベントが表示されるページで、次の 2 つの方法を選択できます。

• 確認済みイベント リストから個別の侵入イベントを削除するには、イベントの横にあるチェック ボックスを選択し、[Unreview] をクリックします。

• 確認済みイベント リストからすべての侵入イベントを削除するには、[Unreview All] をクリックします。

成功メッセージが表示され、確認済みイベント リストが更新されます。

イベント情報の表示

ライセンス：Protection

パケット ビューで、[Event Information] セクションのパケットに関する情報を表示できます。

Event

イベントのメッセージ。ルールベースのイベントの場合、これはルール メッセージに対応します。他のイベントの場合、これはデコーダまたはプリプロセッサによって決まります。

イベントの ID は、 (GID:SID:Rev) の形式でメッセージに付加されます。 GID は、ルール エンジン、デコーダ、またはイベントを生成したプリプロセッサのジェネレータ ID です。 SID は、ルール、デコーダ メッセージ、またはプリプロセッサ メッセージの ID です。 Rev はルールのリビジョン番号です。詳細については、「プリプロセッサのジェネレータ ID の読み取り」を参照してください。

Timestamp

パケットが検出された時間。

Classification

イベントの分類。ルールベースのイベントの場合、これはルールの分類に対応します。他のイベントの場合、これはデコーダまたはプリプロセッサによって決まります。

Priority

イベントの優先度。ルールベースのイベントの場合、これは priority キーワードの値または classtype キーワードの値に対応します。他のイベントの場合、これはデコーダまたはプリプロセッサによって決まります。

Ingress Security Zone

イベントをトリガーとして使用したパケットの入力セキュリティ ゾーン。パッシブ展開環境では、このセキュリティ ゾーン フィールドだけに入力されます。「セキュリティ ゾーンの操作」を参照してください。

Egress Security Zone

インライン展開環境の場合、イベントをトリガーとして使用したパケットの出力セキュリティ ゾーン。「セキュリティ ゾーンの操作」を参照してください。

Device

アクセス コントロール ポリシーが適用された管理対象デバイス。「デバイスの管理」を参照してください。

Security Context

トラフィックが通過した仮想ファイアウォール グループを識別するメタデータ。マルチコンテキスト モードの ASA FirePOWER デバイスでは、システムはこのフィールドにのみ入力することに注意してください。

Ingress Interface

イベントをトリガーとして使用したパケットの入力インターフェイス。パッシブ インターフェイスの場合、このインターフェイスの列だけに入力されます。「インターフェイスの設定」を参照してください。

Egress Interface

インライン セットの場合、イベントをトリガーとして使用したパケットの出力インターフェイス。「インターフェイスの設定」を参照してください。

Source/Destination IP

イベント（ソース）をトリガーとして使用したパケットの発生元であるホスト IP アドレスまたはドメイン名、またはイベントをトリガーとして使用したトラフィックのターゲット（宛先）ホスト。

ドメイン名を表示するには、IP アドレス解決を有効にする必要があることに注意してください。詳細については、「イベント ビュー設定の設定」を参照してください。

アドレスまたはドメイン名をクリックしてコンテキスト メニューを表示してから、whois 検索を実行する場合は [Whois] を、ホスト情報を表示する場合は [View Host Profile] を、アドレスをグローバル ブラックリストまたはホワイトリストに追加する場合は [Blacklist Now] または [Whitelist Now] を選択します。「ホスト プロファイルの使用」および「グローバル ホワイトリストおよびブラックリストの操作」を参照してください。

Source Port/ICMP Type

イベントをトリガーとして使用したパケットの送信元ポート。ICMP トラフィックの場合は、ポート番号がないため、システムは ICMP タイプを表示します。

Destination Port/ICMP Code

トラフィックを受信するホストのポート番号。ICMP トラフィックの場合は、ポート番号がないため、システムは ICMP コードを表示します。

Email Headers

電子メール 見出しから取得したデータ。電子メール 見出しは侵入イベントのテーブル ビューには表示されませんが、電子メール 見出し データは検索条件として使用できることに注意してください。

電子メール 見出しを SMTP トラフィックの侵入イベントと関連付けるには、SMTP プリプロセッサの [Log Headers] オプションを有効にする必要があります。詳細については、「SMTP デコードについて」を参照してください。ルールベースのイベントの場合、この行は電子メール データが取得されたときに表示されます。

HTTP Hostname

（存在する場合）HTTP 要求のホスト 見出しから取得されたホスト名。この行には、最大 256 バイトの完全なホスト名が表示されます。ホスト名が単一行よりも長い場合、展開矢印（ ）をクリックすると完全なホスト名が表示されます。

ホスト名を表示するには、HTTP 検査プリプロセッサ [Log Hostname] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

HTTP 要求パケットにホスト名が常に含まれているわけではないことに注意してください。ルールベースのイベントの場合、この行はパケットに HTTP ホスト名または HTTP URI が含まれる場合に表示されます。

HTTP URI

（存在する場合）侵入イベントをトリガーとして使用した HTTP 要求パケットに関連付けられた raw URI。この行には、最大 2048 バイトの完全な URI が表示されます。URI が単一行よりも長い場合、展開矢印（ ）をクリックすると完全な URI が表示されます。

URI を表示するには、HTTP 検査プリプロセッサ [Log URI] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

HTTP 要求パケットに URI が常に含まれているわけではないことに注意してください。ルールベースのイベントの場合、この行はパケットに HTTP ホスト名または HTTP URI が含まれる場合に表示されます。

HTTP 応答によってトリガーとして使用された侵入イベントの関連 HTTP URI を参照するには、[Perform Stream Reassembly on Both Ports] オプションに HTTP サーバのポートを設定する必要があります。ただし、これにより、トラフィックのリアセンブル用のリソース要求が増加することに注意してください。「ストリームの再アセンブリのオプションの選択」を参照してください。

Intrusion Policy

（存在する場合）侵入イベントを生成した侵入、プリプロセッサ、デコーダのルールが有効にされた侵入ポリシー。アクセス コントロール ポリシーのデフォルト アクションとして侵入ポリシーを選択するか、アクセス コントロール ルールと侵入ポリシーを関連付けることができます。「デフォルト アクションの設定」および「許可されたトラフィックに対するファイル インスペクションと侵入インスペクションの実行」を参照してください。

Access Control Policy

イベントを生成した侵入ルール、プリプロセッサ ルール、またはデコーダ ルールが有効にされた侵入ポリシーが含まれるアクセス コントロール ポリシー。「アクセス コントロール ポリシーの使用」を参照してください。

Access Control Rule

イベントを生成した侵入ルールと関連付けられたアクセス コントロール ルール。「許可されたトラフィックに対するファイル インスペクションと侵入インスペクションの実行」を参照してください。[Default Action] は、ルールが有効にされた侵入ポリシーがアクセス コントロール ルールに関連付けられていないことと、代わりにアクセス コントロール ポリシーのデフォルト アクションとして設定されていることを示します。「デフォルト アクションの設定」を参照してください。

Rule

標準テキスト ルール イベントの場合、イベントを生成したルール。

イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。

ルール データにはネットワークに関する機密情報が含まれるため、管理者はユーザが View Local Rules 権限を使用してパケット ビューでルール情報を表示できる機能を、ユーザ ロール エディタで切り替えることができます。詳細については、「ユーザ特権とオプションの変更」を参照してください。

Actions

標準テキスト ルール イベントの場合は、[Actions] を展開して、イベントをトリガーとして使用したルールに対して次の操作のいずれかを実行します。

– ルールを編集する

– ルールのリビジョンのドキュメントを表示する

– ルールにコメントを追加する

– ルールの状態を変更する

– ルールのしきい値を設定する

– ルールを抑制する

詳細については、「パケット ビュー アクションの使用」、「パケット ビュー内でのしきい値オプションの設定」、および「パケット ビュー内での抑制オプションの設定」を参照してください。

イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。

パケット ビュー アクションの使用

ライセンス：Protection

パケット ビューで、イベントを生成したルールの [Event Information] セクションにあるいくつかのアクションを実行できます。イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。ルールのアクションを表示するには、[Actions] を展開する必要があります。

編集

標準テキスト ルール イベントの場合、[Edit] をクリックして、イベントを生成したルールを変更します。

イベントが、共有オブジェクト ルール、デコーダ、またはプリプロセッサに基づいている場合は、ルールを使用できないことに注意してください。

注 シスコによって提供された（カスタム 標準テキスト ルール ではない）ルールを編集する場合、実際には新規のローカル ルールを作成していることになります。ローカル ルールを設定して、イベントを生成し、現在の侵入ポリシーで元のルールを無効にしていることを確認してください。ただし、デフォルトのポリシーのローカル ルールは有効にできないことに注意してください。詳細については、「既存のルールの変更」を参照してください。

マニュアルの表示

標準テキスト ルール イベントの場合、[View Documentation] をクリックして、イベントを生成したルール リビジョンの説明を確認します。

ルールのコメント

標準テキスト ルール イベントの場合、[Rule Comment] をクリックして、イベントを生成したルールにテキスト コメントを追加します。

これにより、ルールや、特定されたエクスプロイトまたはポリシー違反に関するコンテキストおよび情報を提供できます。さらに、ルール エディタでルールのコメントの追加および表示を行うこともできます。詳細については、「ルールにコメントを追加する」を参照してください。

このルールを無効にする

このイベントが標準テキスト ルールによって生成された場合は、必要に応じてルールを無効にできます。ローカルで編集できるすべてのポリシーにルールを設定できます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）のみにルールを設定することもできます。

詳細については、「ルール状態の設定」を参照してください。

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーを編集できますが、シスコが提供するデフォルト ポリシーは編集できません。

注 パケット ビューから 共有オブジェクト ルール を無効にしたり、デフォルトのポリシーでルールを無効にしたりすることはできません。

イベントを生成するようにこのルールを設定する

このイベントが標準テキスト ルールによって生成された場合は、ルールを設定して、ローカルで編集できるすべてのポリシーでイベントを生成できます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）のみにルールを設定することもできます。

詳細については、「ルール状態の設定」を参照してください。

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーを編集できますが、シスコが提供するデフォルト ポリシーは編集できません。

注 共有オブジェクト ルールでパケット ビューからイベントを生成するようにを設定したり、デフォルト ポリシーのルールを無効にしたりすることはできません。

ドロップするようにこのルールを設定する

管理対象デバイスがネットワーク上でインライン展開されている場合、イベントをトリガーとして使用したルールを設定して、ローカルで編集できるすべてのポリシーでルールをトリガーするパケットをドロップできます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）のみにルールを設定することもできます。

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーを編集できますが、シスコが提供するデフォルト ポリシーは編集できません。このオプションは [Drop when Inline] が現在のポリシーで有効になっている場合のみ表示されることに注意してください。詳細については、「インライン展開での破棄動作の設定」を参照してください。

しきい値オプションを設定する

このオプションを使用して、ローカルで編集できるすべてのポリシーでも、これをトリガーとして使用したルールのしきい値を作成できます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）でのみしきい値を作成することもできます。

しきい値オプションについては、「パケット ビュー内でのしきい値オプションの設定」で説明します。

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーは編集できますが、シスコが提供するデフォルトの侵入ポリシーは編集できません。

抑制オプションを設定する

このオブジェクトを使用して、ローカルで編集できるすべてのポリシーで、このイベントをトリガーとして使用したルールを抑制できます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）のみでルールを制約することもできます。

抑制オプションについては、「パケット ビュー内での抑制オプションの設定」で説明します。

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーを編集できますが、シスコが提供するデフォルト ポリシーは編集できません。

パケット ビュー内でのしきい値オプションの設定

ライセンス：Protection

侵入イベントのパケット ビューでしきい値オプションを設定することによって、ルールごとに時間の経過とともに生成されるイベントの数を制御できます。ローカルで編集できるすべてのポリシーに、またはローカルで編集できる場合は現在のポリシー（つまり、イベントを生成したポリシー）のみに、しきい値オプションを設定できます。

パケット ビュー内でしきい値オプションを設定する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 侵入ルールによって生成された侵入イベントのパケット ビュー内で、[Event Information] セクションの [Actions] を展開し、[Set Thresholding Options] を展開し、次の 2 つのオプションのいずれかを選択します。

• in the current policy

• in all locally created policies

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーを編集できますが、シスコが提供するデフォルト ポリシーは編集できません。

しきい値オプションが表示されます。

ステップ 2 設定するしきい値の種類を選択します。

• [limit] を選択して、通知を期間ごとに指定したイベント インスタンスの数に制限します。

• [threshold] を選択して、期間ごとに指定したイベント インスタンス数に達するたびに通知します。

• [both] を選択して、指定したイベント インスタンス数に達したら、期間ごとに 1 度通知します。

ステップ 3 イベント インスタンスを [Source] または [Destination] IP アドレスでトラックするかどうかを示すため、該当するオプション ボタンを選択します。

ステップ 4 [Count] フィールドで、しきい値として使用するイベント インスタンスの数を入力します。

ステップ 5 [Seconds] フィールドで、イベント インスタンスをトラックする期間を指定する 1 から 86400 までの数を入力します。

ステップ 6 既存の侵入ポリシーでこのルールの現在のしきい値をオーバーライドする場合、[Override any existing settings for this rule] を選択します。

ステップ 7 [Save Thresholding] をクリックします。

システムはしきい値を追加し、成功を示すメッセージを表示します。既存の設定をオーバーライドしない選択をした場合に競合が発生すると、競合を通知するメッセージが表示されます。

パケット ビュー内での抑制オプションの設定

ライセンス：Protection

抑制オプションを使用して、侵入イベントをまとめて、または発信元 IP アドレスまたは宛先 IP アドレスに基づいて抑制できます。ローカルで編集できるすべてのポリシーで抑制オプションを設定できます。または、現在のポリシーをローカルで編集できる場合は、現在のポリシー（つまり、イベントを生成したポリシー）のみに抑制オプションを設定することもできます。

パケット ビュー内で侵入イベントを抑制する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 侵入ルールによって生成された侵入イベントのパケット ビュー内で、[Event Information] セクションの [Actions] を展開し、[Set Suppression Options] を展開し、次の 2 つのオプションのいずれかをクリックします。

• in the current policy

• in all locally created policies

現在のポリシー オプションは、現在のポリシーを編集できる場合にのみ表示されることに注意してください。たとえば、カスタム ポリシーを編集できますが、シスコが提供するデフォルト ポリシーは編集できません。

抑制オプションが表示されます。

ステップ 2 次のいずれかの [Track By] オプションを選択します。

• このイベントをトリガーとして使用したルールのイベントを完全に抑制するには、[Rule] を選択します。

• 指定した送信元 IP アドレスから発信されたパケットによって生成されるイベントを抑制するには、[Source] を選択します。

• 指定した宛先 IP アドレスに入るパケットによって生成されるイベントを抑制するには、[Destination] を選択します。

ステップ 3 [IP address] または [CIDR block] フィールドで、発信元または宛先 IP アドレスとして指定する IP アドレスまたは CIDR ブロック/プレフィクス長を入力します。

FireSIGHT システムで CIDR 表記およびプレフィクス長を使用する方法の詳細については、「IP アドレスの表記法」を参照してください。

ステップ 4 [Save Suppression] をクリックします。

侵入ポリシー内の抑制オプションは、ユーザの仕様に従って変更されます。既存の設定をオーバーライドしない選択をした場合に競合が発生すると、競合を通知するメッセージが表示されます。

フレーム情報の表示

ライセンス：Protection

パケット ビューで、[Frame] の横にある矢印をクリックして、キャプチャされたフレームに関する情報を表示します。パケット ビューには単一フレームまたは複数フレームを表示できます。各フレームには、個々のネットワークのパケットに関する情報が表示されます。たとえば、タグ付きパケットまたはリアセンブルされたTCP ストリーム内のパケットの場合、複数のフレームが表示されます。タグ付きパケットの詳細については、「攻撃後トラフィックの評価」を参照してください。リアセンブルされた TCP ストリームの詳細については、「TCP ストリームの再アセンブリ」を参照してください。

Frame n

キャプチャされたフレーム。 n は単一フレーム パケットの場合は 1、複数フレーム パケットの場合は差分フレーム番号です。フレーム内のキャプチャされたバイト数はフレーム番号に追加されます。

Arrival Time

フレームがキャプチャされた日時。

Time delta from previous captured frame

複数フレーム パケットの場合、前のフレームがキャプチャされてからの経過時間。

Time delta from previous displayed frame

複数フレーム パケットの場合、前のフレームが表示されてからの経過時間。

Time since reference or first frame

複数フレーム パケットの場合、最初のフレームがキャプチャされてからの経過時間。

Frame Number

差分フレーム番号。

Frame Length

フレームの長さ（バイト単位）。

Capture Length

キャプチャされたフレームの長さ（バイト単位）。

Frame is marked

フレームがマークされているかどうか（true または false）。

Protocols in frame

フレームに含まれるプロトコル。

データリンク層情報の表示

ライセンス：Protection

パケット ビューで、データリンク層プロトコル（たとえば、イーサネット II）の横にある矢印をクリックして、パケットに関するデータリンク層情報を表示します。これには、送信元ホストおよび宛先ホストの 48 ビットの Media Access Control（MAC）アドレスが含まれます。ハードウェア プロトコルに応じて、パケットに関する他の情報も表示されることがあります。

注 この例では、イーサネット リンク層情報について説明していることに注意してください。他のプロトコルも表示されることがあります。

パケット ビューはデータリンク層で使用されるプロトコルを反映します。次のリストでは、パケット ビューでイーサネット II または IEEE 802.3 イーサネット パケットについて参照できる情報について説明します。

Destination

宛先ホストの MAC アドレス。

注 イーサネットは、宛先アドレスとしてマルチキャストおよびブロードキャスト アドレスを使用することもできます。

Source

送信元ホストの MAC アドレス。

Type

イーサネット II パケットの場合、イーサネット フレームでカプセル化されるパケットの種類。たとえば、IPv6 または ARP データグラム。この項目はイーサネット II パケットの場合にのみ表示されることに注意してください。

Length

IEEE 802.3 イーサネット パケットの場合、チェックサムを含まないパケットのトータル長（バイト単位）。この項目はIEEE 802.3 イーサネット パケットの場合にのみ表示されることに注意してください。

ネットワーク層情報の表示

ライセンス：Protection

パケット ビューで、パケットにネットワーク層プロトコル（たとえば、[Internet Protocol]）の横にある矢印をクリックして、パケットに関連したネットワーク層の情報の詳細情報を表示します。

注 この例では、IP パケットについて説明していることに注意してください。他のプロトコルも表示されることがあります。

詳細については、次の項を参照してください。

• 「IPv4 ネットワーク層情報の表示」

• 「IPv6 ネットワーク層情報の表示」

IPv4 ネットワーク層情報の表示

ライセンス：Protection

次のリストは、IPv4 パケットで表示される可能性があるプロトコル固有の情報について説明します。

Version

インターネット プロトコルのバージョン番号。

Header Length

すべての IP オプションを含む、見出しのバイト数。オプションのない IP 見出しの長さは 20 バイトです。

Differentiated Services Field

送信元ホストが明示的輻輳通知（ECN）サポートする方法を示す次の差別化サービスの値。

– 0x0 ：ECN-Capable Transport（ECT）をサポートしません

– 0x1 および 0x2 ：ECT をサポートします

– 0x3 ：Congestion Experienced（CE）

Total Length

IP 見出しを差し引いた IP パケットの長さ（バイト単位）。

Identification

送信元ホストから送信される IP データグラムを一意的に識別する値。この値は同じデータグラム フラグメントをトレースするために使用されます。

Flags

IP フラグメンテーションを制御する値。

[Last Fragment] の値は、データグラムに関連付けられた追加のフラグメントが存在するかどうかを次のように示します。

– 0 ：データグラムに関連付けられた追加のフラグメントは存在しない

– 1 ：データグラムに関連付けられた追加のフラグメントが存在する

– [Don't Fragment] フラグの値は、データグラムをフラグメント化できるかどうかを次のように制御します。

– 0 ：データグラムをフラグメント化できる

– 1 ：データグラムをフラグメント化 してはならない

Fragment Offset

データグラムの先頭からのフラグメント オフセットの値。

Time to Live (ttl)

データグラムが期限切れになる前にデータグラムがルータ間で作成できるホップの数。

Protocol

IP データグラムにカプセル化されるトランスポート プロトコル。たとえば、ICMP、IGMP、TCP、または UDP。

Header Checksum

IP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損したか、侵入回避の試行において使用中である可能性があります。

Source/Destination

送信元（または宛先）ホストの IP アドレスまたはドメイン名。

ドメイン名を表示するには、IP アドレス解決を有効にする必要があることに注意してください。詳細については、「イベント ビュー設定の設定」を参照してください。

アドレスまたはドメイン名をクリックしてコンテキスト メニューを表示してから、whois 検索を実行する場合は [Whois] を、ホスト情報を表示する場合は [View Host Profile] を、アドレスをグローバル ブラックリストまたはホワイトリストに追加する場合は [Blacklist Now] または [Whitelist Now] を選択します。「ホスト プロファイルの使用」および「グローバル ホワイトリストおよびブラックリストの操作」を参照してください。

IPv6 ネットワーク層情報の表示

ライセンス：Protection

次のリストは、IPv6 パケットで表示される可能性があるプロトコル固有の情報について説明します。

Traffic Class

IPv4 で提供される差別化サービス機能と同じように、IPv6 パケット クラスまたは優先度を特定する IPv6 見出し内の Experimental 8 ビットのフィールド。　 未使用の場合、このフィールドはゼロに設定されます。

Flow Label

非デフォルトの QoS またはリアルタイム サービスなどの特別なフローを特定する、1 から FFFF までの、オプションの 20 ビットの IPv6 16 進数値。未使用の場合、このフィールドはゼロに設定されます。

Payload Length

IPv6 ペイロードのオクテットの数を特定する 16 ビット フィールド。これは、任意の拡張子見出しを含む、IPv6 見出しに続くすべてのパケットで構成されます。

Next Header

IPv4 プロトコル フィールドと同じ値を使用して、IPv6 見出しのすぐ後に続く、見出しの種類を特定する 8 ビットのフィールド。

Hop Limit

パケットを転送するノードごとに 1 つずつデクリメントする 8 ビットの 10 進整数。デクリメントした値がゼロになると、パケットは破棄されます。

Source

送信元ホストの 128 ビットの IPv6 アドレス。

Destination

宛先ホストの 128 ビットの IPv6 アドレス。

トランスポート層情報の表示

ライセンス：Protection

パケット ビューで、トランスポート層プロトコル（たとえば [TCP]、[UDP]、または [ICMP]）の横にある矢印をクリックして、パケットに関連した詳細情報を表示します。

ヒント （存在する場合）[Data] をクリックして、パケット ビューの [Packet Information] セクションで、プロトコルのすぐ上にあるペイロードの最初の 24 バイトを表示します。

次の各プロトコルのトランスポート層の内容は、以下で説明されています。

• 「TCP パケット ビュー」

• 「UDP パケット ビュー」

• 「ICMP パケット ビュー」

注 これらの例では、TCP、UDP、および ICMP パケットについて説明していることに注意してください。他のプロトコルも表示されることがあります。

TCP パケット ビュー

ライセンス：Protection

ここでは、TCP パケットのプロトコル固有の情報について説明します。

Source port

発信元のアプリケーション プロトコルを識別する番号。

Destination port

受信側のアプリケーション プロトコルを識別する番号。

Sequence number

TCP ストリームの初期シーケンス番号と連動する、現在の TCP セグメントの最初のバイトの値。

Next sequence number

応答パケットにおける、送信する次のパケットのシーケンス番号。

Acknowledgement number

以前に受信されたデータのシーケンス番号に連動したTCP 確認応答。

Header Length

見出しのバイト数。

Flags

TCP セグメントの転送状態を示す 6 ビット。

– U ：緊急ポインタが有効

– A ：確認応答番号が有効

– P ：受信者はデータをプッシュする必要がある

– R ：接続をリセットする

– S ：シーケンス番号を同期して新しい接続を開始する

– F ：送信者はデータ送信を終了した

Window size

受信ホストが受け入れる、確認応答されていないデータの量（バイト単位）。

Checksum

TCP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損したか、回避の試行において使用中である可能性があります。

Urgent Pointer

緊急データが終了する TCP セグメントの位置（存在する場合）。 U フラグとともに使用します。

Options

TCP オプションの値（存在する場合）。

UDP パケット ビュー

ライセンス：Protection

ここでは、UDP パケットのプロトコル固有の情報について説明します。

Source port

発信元のアプリケーション プロトコルを識別する番号。

Destination port

受信側のアプリケーション プロトコルを識別する番号。

Length

UDP 見出しとデータを組み合わせた長さ。

Checksum

UDP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損した可能性があります。

ICMP パケット ビュー

ライセンス：Protection

ここでは、ICMP パケットのプロトコル固有の情報について説明します。

Type

ICMP メッセージのタイプ。

– 0：エコー応答

– 3：宛先到達不能

– 4：ソース クエンチ（始点抑制要求）

– 5：リダイレクト

– 8：エコー要求

– 9：ルータ アドバタイズメント

– 10：ルータ送信要求

– 11：時間超過

– 12：パラメータの問題

– 13：タイムスタンプ要求

– 14：タイムスタンプ応答

– 15：情報要求（廃止）

– 16：情報応答（廃止）

– 17：アドレス マスク要求

– 18：アドレス マスク応答

Code

ICMP メッセージ タイプに付随するコード。ICMP メッセージ タイプ 3、5、11、および 12 には、RFC 792 で説明されている対応コードがあります。

Checksum

ICMP チェックサムが有効かどうかを示すインジケータ。チェックサムが無効な場合、データグラムが送信中に破損した可能性があります。

パケット バイト情報の表示

ライセンス：Protection

パケット ビューで、[Packet Bytes] の横にある矢印をクリックして、パケットを構成するバイトの 16 進数および ASCII バージョンを表示します。

クリップボードのレポートの生成

ライセンス：Protection

任意のイベント ビューで行うのと同じように、クリップボードのイベントに関するレポートを生成できます。

クリップボードの侵入イベントのレポートを生成する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 次のように、クリップボードに 1 つ以上のイベントを追加します。

• ドリルダウン ページまたはイベントのテーブル ビューからクリップボードにイベントを追加する方法については、「ドリルダウン ページとテーブル ビュー ページの使用」を参照してください。

• パケット ビューからクリップボードにイベントを追加する方法については、「パケット ビューの使用」を参照してください。

ステップ 2 [Analysis] > [Intrusions] > [Clipboard] を選択します。

クリップボードが表示されます。

ステップ 3 次の選択肢があります。

• クリップボード上のページの特定のイベントを含めるには、そのページに移動し、イベントの横にあるチェック ボックスを選択し、[Generate Report] をクリックします。

• クリップボードのすべてのイベントを含めるには、[Generate Report] をクリックします。

いずれの場合も、[Report Templates] ページが表示されます。

ステップ 4 レポートの表示方法を指定してから、[Generate] をクリックします。

[Generate Report] ポップアップ ダイアログが表示されます。

ステップ 5 1 つ以上の出力形式（HTML、PDF、CSV）を選択し、オプションで、他の設定を変更します。

ヒント レポート デザイナの使用方法の詳細については、「レポートの操作」を参照してください。

ステップ 6 [Generate] をクリックし、[Yes] をクリックします。

[Report Generation Complete] ポップアップ ウィンドウが、レポートを表示するリンクとともに表示されます。

ステップ 7 次のいずれかをクリックします。

• レポートのリンク。新しいウィンドウが開き、選択したレポートが表示されます。

• [OK]。レポートのデザインを変更できる [Report Templates] ページに戻ります。

クリップボードからのイベントの削除

ライセンス：Protection

インシデントに追加したくない侵入イベントがクリップボード上に存在する場合は、そのイベントを削除できます。

注 クリップボードからイベントを削除しても、イベント データベースからイベントは削除されません。ただし、イベント データベースからイベントを削除すると、イベントはクリップボードから削除されます。

イベントをクリップボードから削除する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [Analysis] > [Intrusions] > [Clipboard] を選択します。

クリップボードが表示されます。

ステップ 2 次の選択肢があります。

• クリップボード上のページの特定の侵入イベントを削除するには、そのページに移動し、イベントの横にあるチェック ボックスを選択し、[Delete] をクリックします。

イベントが削除されます。

• クリップボードのすべてのイベントを削除するには、[Delete All] をクリックします。

すべてのイベントがクリップボードから削除されます。[Event Preferences] で [Confirm 'All' Actions] オプションを選択した場合、最初にすべてのイベントを削除するかどうか確認するプロンプトが出されることに注意してください。