インシデントをフィルタ処理して次のように表示することができます。

• 日付選択 - 各フィールドをクリックするとカレンダーが開くので、開始日（[From]）および終了日（[To]）を指定します。

  • デフォルトでは、過去 45 日間が表示されます。

  • 最大の日付範囲は 45 日間です。

  • 指定可能な日付範囲は、過去 45 日間です。

  • また、[1 day]、[3 days]、[7 days]、[30 days]、[45 days] をクイッククリックすることもできます。

• [Search] フィールド - ユーザ名、クライアントの IP アドレス、またはインシデントの名前（正規表現またはワイルドカードなし）を入力して、[Filter] ボタンをクリックします。

• [Show] - AMP および/または Cognitive Intelligence のインシデント、確認済みインシデント、低信頼度のインシデントを表示するチェックボックス、およびインシデントの状態別に表示するタブがあります。

  • [Triage] -（デフォルト）新規または再発し、かつ調査する必要があるインシデント。

  • [Investigating] - 調査中および作業中のインシデント。

  • [Remediating] - 解決中のインシデント、デバイスのクリーニング待ち。

  • [Resolved]

    • [Remediated] - 修復されたインシデント、デバイスはクリーニング済み。

    • [False Positives] - 誤検出と判断されたインシデント。

    • [Ignored] - 無視され調査されていないとマーキングされたインシデント。たとえば、ゲスト Wi-Fi ゾーンのデバイス用のインシデント。

  • [All] - 状態またはマーキングを無視したすべてのインシデント。

  （注）	インシデントは、[Incident Details] ページでドロップダウンリストを使用してマーキングできます。

グローバル設定を構成するには、ページの右上隅にある歯車アイコンのドロップダウンメニューをクリックします。

• [Email Notifications] - 新規および更新されたインシデントのサマリーを送信する電子メールアドレスを 24 時間ごとに入力します。

• [Cisco Threat Response] - セキュリティイベントおよびアラートを一元的に把握し、その他のセキュリティサービスからのデータによってそれらの情報を拡張できます。これにより、インシデントレスポンダと SOC アナリストは、セキュリティイベントの検出、関連付け、および優先順位付けに必要なデータを得られます。事例集やピボットメニューなどの強力なツールが含まれています。Threat Response を有効にするには、Threat Response アカウントリージョンを選択し、[Authorize] をクリックして、Threat Response アカウントにサインインします。AMP for Endpoints のお客様全員に自動的に Threat Response アカウントが付与されます。

• [CTA STIX/TAXII Service] - CTA STIX/TAXII サービスを使用して、さらなる分析、インシデント対応、およびデータアーカイブのための SIEM クライアントまで Cognitive Intelligence で検出されたインシデントの情報を取り出します。「CTA STIX/TAXII Service」を参照してください。

• [Device Accounts] - 1 つ以上のソースプロキシデバイスから分析用 Cognitive Intelligence システムにログファイルのテレメトリデータをアップロードします。このサービスにアクセスするには、外部テレメトリ機能を有効にして、企業用にプロビジョニングする必要があります。外部テレメトリ機能がない場合は、Cisco Security アカウントチームにお問い合わせください。「プロキシデバイスのアップロード」を参照してください。

• [Ignored Networks] - 無視する IPv4 アドレスとネットワーク範囲をリストしてアラートを非表示にします。これは、ゲストネットワークやその他の重要度の低いネットワークからのアラートなど、不要なアラートをフィルタリングする場合に役立ちます。インシデントのリストから非表示にするホスト、ネットワーク、または IPv4 アドレス範囲の IPv4 アドレス（例：10.100.10.1、10.100.10.0/24、10.100.10.1-10.100.10.254）を入力します。

• [Release Notes] - リリースごとのアップデート、変更、および修正を集約します。

次のテーブルヘッダー内およびグローバル設定メニューボタンの下。

• Download ボタンをクリックして、（表示された現在のフィルタから）デバイスの CSV ファイルにインシデントをエクスポートします。

• ページ設定ボタンをクリックして、どのカラムを表示するかを選択します。

• カラムの見出しのソート矢印をクリックすると、そのカラムの情報に従って表の行がソートされます。

• カラムヘッダーセル間の線をドラッグして、カラム幅を変更します。

• カラムを選択（ヘッダーをクリック）してテーブルカラムの順序を変更し、ポインタが交差矢印に変わったら、カラムのヘッダーをドラッグしてテーブル内の新しい場所にドロップします。

インシデントをさらに詳しく調査するには、そのインシデントの列の上にカーソルを置くと、その行がハイライト表示されます。その行をクリックして、インシデントの詳細ページを開きます。また、インシデントを右クリックし、[Open incident in a new window] を選択すると、新しいウィンドウでインシデントの詳細ページを開くことができます。

最初の主なセクションは次のインシデントヘッダーです。

• [Incident Classification] - リスクと信頼度を含む検出された主な動作の種類。

  • [Risk] - ネットワークに影響を与えているインシデントのリスクを、1 から 10 までの数値で表したもの。数字が大きければリスクも高くなります。そのため、低リスクのインシデントよりも高リスクのインシデントを先に調査し、インシデント分析に優先順位を付けることをお勧めします。

  • [Confidence] - 検出カテゴリの正確さを表すパーセンテージ値。数値が高ければ高いほど、症状が正確に分類されており、インシデントがネットワークに対して実際に脅威となっているという信頼度も高くなります。Cognitive Intelligence インシデントにのみ適用されます。

• ドロップダウンリストを使用して、インシデントをトリアージ、調査中、修復中、脅威として解決済み、誤検出として解決済み、または無視として解決済みにマークします。このマーキングは主に 2 つの目的があります。1 つ目は、インシデント管理および分析のワークフローを支援するインシデントを分類します。2 つ目は、コミュニティフィードバックの一部にすることです。シスコはこれを使用し、検出アルゴリズムを向上します。調査後にインシデントをマークしてください。リストされたインシデントの表では、マーキングは、[State] 列に表示されます。

• [Affecting] - 影響を受けたユーザの ID と IP アドレス。また、オペレーティングシステムおよびインシデントがプロキシに関連しているかどうかも表示します。

  （注）	テキストが暗号化されている場合、ログファイルが分析のために Cognitive にプッシュされたときに、WSA 11.5 によってフィールド値が匿名化されました。暗号化されたテキストを非匿名化する方法については、「Configure WSA to Upload Log Files to CTA System」を参照してください。

• [Occurrence] - この動作が起こった時期とその履歴。

（注）	[View web traffic history] をクリックすると、このユーザの Web 閲覧履歴が Cisco WIRe（Web インテリジェンスレポート）レポートに表示されます。

2 つ目の主要なセクションは時間、異常、ドメイン、IP アドレスおよび自律システム間の関係を表示する平行座標グラフです。

• At-a-Glance は、インシデントおよびアソシエーションの異常に関する情報を表示します。

• 相互接続情報を表示するには、折れ線グラフの各座標のノードにカーソルを合わせます。

• 永続的接続のターゲットであるドメインは PERS インジケータと太字で強調されています。

• 詳細については、ドメイン名の横にあるドロップダウンアイコンをクリックします。

• IP アドレスには国の場所と IP レピュテーションが含まれます。

• 詳細については、IP アドレスの横にあるドロップダウンアイコンをクリックします。

• 1 つ以上のノードを選択してクリックすることで、Web フローのフィルタ処理に使用できます。関連 Web フローはグラフの下の表にリストされています。

• 重大、高、中、低を選択して、異常リスク要素でフィルタリングされたフローを表示します。

3 つ目の主要なセクションは web フロー要求の詳細をリストする表です。

• [Client IP] - IP クライアントで使用される IP アドレス。

• [Client Port] - クライアントで使用される TCP/UDP ポート。

• [Server IP] - サーバで使用される IP アドレス。サーバの場所がわかっている場合は、その場所の国旗、およびサーバの IP レピュテーションスコアも表示されます。サーバの横の赤のボックスは、そのサーバに対してマイナスの IP レピュテーションがあることを意味します。ドメイン名が含まれています。マイナスの IP レピュテーションは、攻撃者が運営するドメインからの疑わしい通信があったことを示すことがあります。

• [Server Port] - サーバで使用される TCP/UDP ポート。

• [Bytes Up] - サーバに送信されたデータの量。

• [Bytes Down] - サーバから受信したデータの量。

• [Header Content Type] - リモートサーバから送信される HTTP ヘッダーのコンテンツタイプ。

• [Body Content Type] - 応答の本文で検出されたコンテンツタイプ。ヘッダーのコンテンツタイプが異なる場合があります。たとえば、悪意のあるホストがプロキシまたはファイアウォール フィルタリング ルールによって取得を試みる場合などです。

• [URL] - クライアントがアクセスするサーバの URL。URL にカーソルを合わせると、URL にエンコードされた部分が含まれている場合、システムはデコードしたコンテンツをここで表示することを試みます。多くの場合、通過したコマンドとデータが表示されます。

• [Referrer] - リクエストされているリソースにリンクされる URL のアドレスを識別する、HTTP ヘッダーフィールド。

• [HTTP Status] - サーバから返される HTTP ステータスコード。ステータスコードの横にある赤い [x] ボックスは、Web プロキシによってフローがブロックされたことを示します。

• [Timestamp] - 接続が開始した時刻。

• [Duration] - イベントが持続した期間。

• [User Agent] - アクティビティ中に使用されていたブラウザのタイプ。

• [Category] - サイトのカテゴリ（ギャンブルやソーシャルのサイト）。

• [Filename] - ダウンロードされたファイルの名前（AMP 固有のフィールド）。

• [SHA-256] - ファイル用に計算されたセキュア ハッシュ アルゴリズム SHA-256（AMP 固有のフィールド）。

検索フィールドで、クライアント IP アドレス、サーバ IP アドレス、URL、または SHA 値（正規表現またはワイルドカードなし）を入力して、[Filter] ボタンをクリックします。

ページ設定ボタンをクリックして、どのカラムを表示するかを選択します。カラムの見出しのソート矢印をクリックすると、そのカラムの情報に従って表の行がソートされます。ヘッダーをクリック、ドラッグして列を並べ替えます。

表の下のページの下部に選択された web フローの次の統計情報の概要を示す 1 列のフッターがあります。トラフィック量、ブロックされた割合、リクエストの数、合計時間、ユーザエージェント、リファラではない割合、および HTTP ステータスコード。