Firepower Management Center バージョン6.2.1 コンフィギュレーションガイド

接続およびセキュリティインテリジェンスイベントフィールド

表形式およびグラフィカルワークフローを使用して表示や検索ができる接続およびセキュリティインテリジェンスイベントには、次に示すフィールドがあります。個別のイベントで利用可能な情報は、システムがいつ、なぜ、どのようにして接続を記録したかによって異なることに注意してください。

（注）

各セキュリティインテリジェンスイベントには、同一の、個別に保存された接続イベントがあります。すべてのセキュリティインテリジェンスイベントに、入力済みの [セキュリティインテリジェンスカテゴリ（Security Intelligence Category）] フィールドがあります。

接続グラフは接続サマリーに基づいているため、接続サマリーを制約しているのと同じ条件が接続グラフを制約します。検索ページのアスタリスク（*）が付いたフィールドは、接続グラフおよび接続サマリーを制約します。無効な検索条件を使用して接続サマリーを検索し、カスタムワークフローの接続サマリーページを使用して結果を見る場合、無効な条件には適用不可（N/A）としてラベルが付けられ、取り消し線が引かれます。

全般情報（General Information）

アクセスコントロールポリシー（Access Control Policy）

接続をモニタしたアクセスコントロールポリシー。

アクセスコントロールルール（Access Control Rule）

接続を処理したアクセスコントロールルールまたはデフォルトアクションと、その接続に一致した最大 8 つのモニタルール。

接続が 1 つのモニタルールに一致した場合、Firepower Management Center は接続を処理したルールの名前を表示し、その後にモニタルール名を表示します。接続が複数のモニタルールに一致したときは、イベントビューアは一致したモニタルールの数を Default Action + 2 Monitor Rules などと表示します。

接続に一致した最初の 8 つのモニタルールのリストをポップアップウィンドウに表示するには、[N モニタルール（NMonitor Rules）] をクリックします。

アクション（Action）

接続をロギングした設定に関連付けられているアクション。

セキュリティインテリジェンスによってモニタされている接続の場合、そのアクションは、接続によってトリガーされる最初のモニタ以外のアクセスコントロールルールのアクションであるか、またはデフォルトアクションです。同様に、モニタルールに一致するトラフィックは常に後続のルールまたはデフォルトアクションによって処理されるため、モニタルールによってロギングされた接続と関連付けられたアクションが [モニタ（Monitor）] になることはありません。ただし、モニタルールに一致する接続の相関ポリシー違反をトリガーする可能性があります。


アクション	説明
許可（Allow）	アクセスコントロールによって明示的に許可された、またはユーザがインタラクティブブロックをバイパスしたために許可された接続。
ブロック（Block）、リセットしてブロック（Block with reset）	次を含むブロックされた接続：プレフィルタポリシーによってブロックされたトンネルおよびその他の接続セキュリティインテリジェンスによってブラックリストに載せられた接続 SSL ポリシーによってブロックされた暗号化接続侵入ポリシーによってエクスプロイトがブロックされた接続ファイルポリシーによってファイル（マルウェアを含む）がブロックされた接続。システムが侵入またはファイルをブロックする接続では、アクセスコントロールの許可ルールを使用してディープインスペクションを呼び出す場合にも、システムは`ブロック`を表示します。
高速パス（Fastpath）	プレフィルタポリシーによって高速パスが適用された暗号化されていないトンネルおよびその他の接続。
インタラクティブブロック（Interactive Block）、リセット付きインタラクティブブロック（Interactive Block with reset）	システムがインタラクティブブロックルールを使用してユーザの HTTP 要求を最初にブロックしたときにログに記録された接続。システムにより表示される警告ページでユーザがクリックスルーすると、そのセッションでログに記録されるその後の接続に許可アクションが付きます。
信頼（Trust）	アクセスコントロールによって信頼された接続。デバイスモデルに応じて、システムは信頼された TCP 接続を別にログに記録します。信頼されている接続のロギングを参照してください。
デフォルトアクション（Default Action）	アクセスコントロールポリシーのデフォルトアクションによって処理される接続。

接続（Connections）

接続サマリーに含まれる接続数。長時間接続（複数回の接続サマリー間隔にまたがる接続）の場合、最初の接続サマリー間隔の分だけ増加します。[接続（Connections）] 条件を使用した検索で意味のある結果を表示するには、接続サマリーページを持つカスタムワークフローを使用する必要があります。

メンバー数（Count）

各行に表示される情報に一致する接続数。[カウント（Count）] フィールドは、複数の同一行が生成される制限を適用した後でのみ表示されることに注意してください。カスタムワークフローを作成し、ドリルダウンページに [カウント（Count）] カラムを追加しない場合、各接続は個別に表示され、パケット数とバイト数は合計されません。

エンドポイントロケーション（Endpoint Location）

ISE で指定された、ユーザの認証に ISE を使用したネットワークデバイスの IP アドレス。

エンドポイントプロファイル（Endpoint Profile）

ISE で指定されたユーザのエンドポイントデバイスタイプ。

最初のパケットまたは最後のパケット（First Packet or Last Packet）

セッションの最初または最後のパケットが検出された日時。

イニシエータ/レスポンダバイト（Initiator/Responder Bytes）

セッションイニシエータまたはセッションレスポンダが送信した合計バイト数。

イニシエータ/レスポンダパケット（Initiator/Responder Packets）

セッションイニシエータが送信した合計パケット数。

イニシエータユーザ（Initiator User）（サマリーおよびグラフを制約）

セッションイニシエータにログインしていたユーザ。このフィールドに [認証なし（No Authentication）] が入力されている場合、ユーザトラフィックは次のようになります。

関連付けられたアイデンティティポリシーがないアクセスコントロールポリシーに一致しました。
アイデンティティポリシーのいずれのルールにも一致しませんでした。

IOC

マルウェアイベントが、接続に関与したホストに対する侵入の痕跡（IOC）をトリガーしたかどうか。

ネットワーク分析ポリシー（Network Analysis Policy）

イベントの生成に関連付けられているネットワーク分析ポリシー（NAP）（ある場合）。

プレフィルタポリシー（Prefilter Policy）

接続を処理したプレフィルタポリシー。

理由（Reason）

多くの場合に接続がロギングされた 1 つまたは複数の原因。完全なリストについては、接続イベントの理由を参照してください。

IP ブロック、DNS ブロック、および URL ブロックの理由による接続には、固有のイニシエータレスポンダペアごとに 15 秒のしきい値があります。システムがこれらのいずれかの接続をブロックした後、イベントを生成した時点から 15 秒の間、この 2 つのホスト間で接続がブロックされたとしても、ポートやプロトコルの違いに関わらず、接続イベントを生成しません。

セキュリティコンテキスト（Security Context）

ASA FirePOWER でマルチコンテキストモードで処理される接続で、トラフィックが通過した仮想ファイアウォールグループを特定するメタデータ。

セキュリティグループタグ（Security Group Tag）

接続に関係するパケットのセキュリティグループタグ（SGT）属性。SGT は、信頼ネットワーク内での、トラフィックの送信元の権限を指定します。セキュリティグループアクセス（Cisco TrustSec と Cisco ISE の両方に共通の機能）は、パケットがネットワークに入るときに属性を適用します。

セキュリティインテリジェンスのカテゴリ（Security Intelligence Category）

接続でブラックリストに記載された IP アドレスを表すか、もしくはそれを含む、ブラックリストに記載されたオブジェクトの名前。セキュリティインテリジェンスのカテゴリは、ネットワークオブジェクトまたはグループ、ブラックリスト、カスタムセキュリティインテリジェンスのリストまたはフィード、またはインテリジェンスフィードのカテゴリのいずれかの名前にすることができます。

インテリジェンスフィードのカテゴリの詳細については、セキュリティインテリジェンスオプションを参照してください。

TCP フラグ（TCP Flags）

NetFlow データから生成された接続において、接続で検出された TCP フラグ。このフィールドを検索する場合は、TCP フラグのカンマ区切りリストを入力することで、これらのフラグが 1 つ以上あるすべての接続が表示されます。

時刻（Time）

システムが接続を接続サマリーに集約するために使用した 5 分間隔の終了時刻。このフィールドは検索できません。

トラフィック（KB）（Traffic (KB)）（検索のみ）

接続で送信されたデータの総量（キロバイト単位）。

合計パケット（Total Packets）（検索のみ）

接続で送信された合計パケット数。

トンネル/プレフィルタルール（Tunnel/Prefilter Rule）

トンネルルール、プレフィルタルール、または接続を処理したプレフィルタポリシーのデフォルトアクション。

Networking

宛先ポート/ICMP コード（Destination Port/ICMP Code）（サマリーおよびグラフを制約）

セッションレスポンダが使用するポートまたは ICMP コード。

DNS クエリ（DNS Query）

ドメイン名を検索するために接続でネームサーバに送信された DNS クエリ。

DNS レコードタイプ（DNS Record Type）

接続で送信された DNS クエリを解決するために使用された DNS リソースレコードのタイプ。

DNS レスポンス（DNS Response）

問い合わせ時に接続でネームサーバに返された DNS レスポンス。

DNS シンクホール名（DNS Sinkhole Name）

システムが接続をリダイレクトしたシンクホールサーバの名前。

DNS TTL

DNS サーバが DNS リソースレコードをキャッシュする秒数。

HTTP 応答コード（HTTP Response Code）

クライアントからの接続経由の HTTP 要求に応じて送信される HTTP ステータスコード。

入力/出力セキュリティゾーン（Ingress/Egress Security Zone）

接続に関連付けられた入力または出力のセキュリティゾーン。

再区分されたカプセル化接続では、元の入力セキュリティゾーンの代わりに、割り当てたトンネルゾーンが入力フィールドに表示されます。出力フィールドは空白です。

イニシエータ/レスポンダ IP（Initiator/Responder IP）（サマリーおよびグラフを制約）

セッションイニシエータまたはレスポンダの IP アドレス（および DNS 解決が有効化されている場合はホスト名）。ブラックリストに記載された接続でブラックリストに記載された IP アドレスを識別できるように、ブラックリストに記載された IP アドレスの横のアイコンは見た目が少し異なります。

プレフィルタポリシーによってブロックされるか、高速パスが適用されたプレーンテキストのパススルートンネルでは、これらの IP アドレスはトンネルエンドポイント（トンネルの両側のネットワークデバイスのルーテッドインターフェイス）を表します。

クライアントのオリジナル IP（Original Client IP）

X-Forwarded-For（XFF）、True-Client-IP、またはカスタム定義の HTTP ヘッダーからの、元のクライアント IP アドレス。このフィールドに入力するには、元のクライアントに基づいてプロキシトラフィックを処理するアクセスコントロールルールを有効にする必要があります。

プロトコル（Protocol）（サマリーおよびグラフを制約、検索のみ）

接続に使用されるトランスポートプロトコルです。特定のプロトコルを検索するには、名前を使用するか、http://www.iana.org/assignments/protocol-numbers に記載されたプロトコルの番号を指定します。

送信元ポート/ICMP タイプ（Source Port/ICMP Type）（サマリーおよびグラフを制約）

セッションイニシエータが使用するポートまたは ICMP タイプ。

VLAN ID（Admin. VLAN ID）

接続をトリガーしたパケットに関連付けられている最内部 VLAN ID。

位置情報（GeoLocation）

イニシエータ/レスポンダ国（Initiator/Responder Country）: ルーティング可能な IP が検出された場合の、セッションイニシエータまたはレスポンダの IP アドレスに関連付けられた国。システムにより、国旗のアイコンと、国の ISO 3166-1 alpha-3 国番号が表示されます。国旗アイコンの上にポインタを移動すると、国の完全な名称が表示されます。
イニシエータ/レスポンダ大陸（Initiator/Responder Continent）: ルーティング可能な IP が検出された場合の、セッションイニシエータまたはレスポンダの IP アドレスに関連付けられた大陸。
クライアントのオリジナル国（Original Client Country）: 元のクライアントの IP アドレスが属する国。この値を取得するために、システムは元のクライアント IP アドレスを X-Forwarded-For（XFF）、True-Client-IP、またはカスタム定義の HTTP ヘッダーから抽出し、それを地理位置情報データベース（GeoDB）を使用して国にマップします。このフィールドに入力するには、元のクライアントに基づいてプロキシトラフィックを処理するアクセスコントロールルールを有効にする必要があります。

Device

デバイス（Device）（サマリーおよびグラフを制約）: 接続を検出した管理対象デバイス。または、NetFlow データから生成された接続の場合は、データを処理した管理対象デバイス。
ドメイン（Domain）: 接続を検出した管理対象デバイスのドメイン。または、NetFlow データから生成された接続の場合は、データを処理した管理対象デバイスのドメイン。このフィールドは、マルチテナンシーのために Firepower Management Center を設定したことがある場合に表示されます。
入力/出力インターフェイス（Ingress/Egress Interface）: 接続に関連付けられた入力または出力のインターフェイス。展開に非同期のルーティング設定が含まれている場合は、入力と出力のインターフェイスが同じインターフェイスセットに属する場合があります。

SSL

SSL の実際の動作（SSL Actual Action）（検索のみ）

システムが SSL ポリシーの暗号化トラフィックに適用したアクション。システムにより、検索ワークフローのページの [SSL ステータス（SSL Status）] フィールドにフィールド値が表示されます。


アクション	説明
ブロック（Block）/リセットしてブロック（Block With Reset）	ブロックされた暗号化接続を表します。
複合（再署名）（Decrypt (Resign)）	再署名サーバ証明書を使用して復号された発信接続を表します。
復号（キーの置き換え）（Decrypt (Replace Key)）	置き換えられた公開キーと自己署名サーバ証明書を使用して復号された発信接続を表します。
復号（既知のキー）（Decrypt (Known Key)）	既知の秘密キーを使用して復号された着信接続を表します。
デフォルトアクション（Default Action）	接続がデフォルトアクションによって処理されたことを示しています。
復号しない（Do Not Decrypt）	システムが復号しなかった接続を表します。

SSL 証明書ステータス（SSL Certificate Status）

これは、認証ステータスの SSL ルール条件が設定されている場合にのみ適用されます。暗号化されたトラフィックが SSL ルールに一致すると、このフィールドに次のサーバの証明書のステータス値の 1 つ以上が表示されます。

自署（Self Signed）
有効（Valid）
署名が無効（Invalid Signature）
発行元が無効（Invalid issuer）
期限切れ
不明
まだ有効ではない（Not Valid Yet）
失効（Revoked）

復号できないトラフィックが SSL ルールと一致する場合、このフィールドには [未チェック（Not Checked）] と表示されます。

SSL 証明書情報（SSL Certificate Information）（検索のみ）

トラフィックを暗号化するための公開キー証明書に保存される次の情報：

件名/発行元共通名（Subject/Issuer Common Name）
件名/発行元組織（Subject/Issuer Organization）
件名/発行元組織ユニット（Subject/Issuer Organization Unit）
有効期間の開始/終了（Not Valid Before/After）
シリアル番号（Serial Number）
証明書フィンガープリント（Certificate Fingerprint）
公開キーフィンガープリント（Public Key Fingerprint）

SSL 暗号スイート（SSL Cipher Suite）

接続を暗号化するのに使用される暗号スイートを表すマクロ値。暗号スイート値の指定については、www.iana.org/assignments/tls-parameters/tls-parameters.xhtml を参照してください。

接続に適用された SSL 暗号化（SSL Encryption applied to the connection）（検索のみ）

yes または no を [SSL（SSL）] 検索フィールドに入力することで、SSL 暗号化された接続または暗号化されていない接続が表示されます。

SSL 予想アクション（SSL Expected Action）（検索のみ）

有効な SSL ルールで指定された、暗号化トラフィックに適用されると予想されるアクション。[SSL の実際の動作（SSL Actual Action）] にリストされている値を入力します。

SSL 失敗理由（SSL Failure Reason）

システムが暗号化されたトラフィックの復号に失敗した理由：

不明
不一致（No Match）
Success
キャッシュされないセッション（Uncached Session）
不明な暗号スイート（Unknown Cipher Suite）
サポートされていない暗号スイート（Unsupported Cipher Suite）
サポートされていない SSL バージョン（Unsupported SSL Version）
SSL 圧縮の使用（SSL Compression Used）
パッシブモードで復号できないセッション（Session Undecryptable in Passive Mode）
ハンドシェイクエラー（Handshake Error）
復号化エラー（Decryption Error）
保留サーバ名カテゴリルックアップ（Pending Server Name Category Lookup）
保留共通名カテゴリルックアップ（Pending Common Name Category Lookup）
内部エラー（Internal Error）
ネットワークパラメータを使用できません（Network Parameters Unavailable）
無効なサーバ証明書の処理（Invalid Server Certificate Handle）
サーバ証明書フィンガープリントを使用できません（Server Certificate Fingerprint Unavailable）
サブジェクト DN をキャッシュできません（Cannot Cache Subject DN）
発行元 DN をキャッシュできません（Cannot Cache Issuer DN）
不明の SSL バージョン（Unknown SSL Version）
外部証明書リストを使用できません（External Certificate List Unavailable）
外部証明書フィンガープリントを使用できません（External Certificate Fingerprint Unavailable）
内部証明書リストが無効です（Internal Certificate List Invalid）
内部証明書リストを使用できません（Internal Certificate List Unavailable）
内部証明書を使用できません（Internal Certificate Unavailable）
内部証明書フィンガープリントを使用できません（Internal Certificate Fingerprint Unavailable）
サーバ証明書検証を使用できません（Server Certificate Fingerprint Unavailable）
サーバ証明書検証エラー（Server Certificate Validation Failure）
無効なアクション（Invalid Action）

フィールド値は、検索ワークフローのページの [SSL ステータス（SSL Status）] フィールドに表示されます。

SSL フローエラー（SSL Flow Error）

エラーが SSL セッション中に発生した場合はエラー名および 16 進数コード。エラーが発生しない場合は [成功（Success）]。

SSL フローフラグ（SSL Flow Flags）

暗号化された接続の最初の 10 個のデバッグレベルフラグ。ワークフローページでは、すべてのフラグを表示するには、省略記号（…）をクリックします。

SSL フローメッセージ（SSL Flow Messages）

次のキーワードは、暗号化トラフィックが SSL ハンドシェイク時にクライアントとサーバ間で交換される指定されたメッセージタイプに関連付けられていることを示します。詳細については、http://tools.ietf.org/html/rfc5246を参照してください。

HELLO_REQUEST
CLIENT_ALERT
SERVER_ALERT
CLIENT_HELLO
SERVER_HELLO
SERVER_CERTIFICATE
SERVER_KEY_EXCHANGE
CERTIFICATE_REQUEST
SERVER_HELLO_DONE
CLIENT_CERTIFICATE
CLIENT_KEY_EXCHANGE
CERTIFICATE_VERIFY
CLIENT_CHANGE_CIPHER_SPEC
CLIENT_FINISHED
SERVER_CHANGE_CIPHER_SPEC
SERVER_FINISHED
NEW_SESSION_TICKET
HANDSHAKE_OTHER
APP_DATA_FROM_CLIENT
APP_DATA_FROM_SERVER

SSL ポリシー（SSL Policy）

接続を処理した SSL ポリシー。

SSL ルール（SSL Rule）

接続を処理した SSL ルールまたはデフォルトアクションと、その接続に一致した最初のモニタルール。接続が 1 つのモニタルールに一致した場合、Firepower Management Center は接続を処理したルールの名前を表示し、その後にモニタルール名を表示します。

SSL セッション ID（SSL Session ID）

SSL ハンドシェイク時にクライアントとサーバ間でネゴシエートされた 16 進数セッション ID。

SSL ステータス（SSL Status）

暗号化された接続を記録した、[SSL の実際の動作（SSL Actual Action）]（SSL ルール、デフォルトアクション、または復号できないトラフィックアクション）に関連したアクション。ロックアイコン（）は、SSL 証明書の詳細にリンクしています。証明書を利用できない場合（たとえば、SSL ハンドシェイクエラーにより接続がブロックされる場合）、ロックアイコンはグレー表示になります。

システムが暗号化接続を復号できなかった場合は、[SSL の実際の動作（SSL Actual Action）]（実行された復号不能のトラフィックアクション）と、[SSL 失敗理由（SSL Failure Reason）] が表示されます。たとえば、不明な暗号スイートによって暗号化されたトラフィックをシステムが検出し、それ以上のインスペクションをせずにこれを許可した場合、このフィールドには [Do Not Decrypt (Unknown Cipher Suite)] が表示されます。

このフィールドを検索する場合は、[SSL の実際の動作（SSL Actual Action）] と [SSL 失敗理由（SSL Failure Reason）] の 1 つ以上の値を入力することで、システムが処理した、または復号に失敗した暗号化トラフィックが表示されます。

SSL 件名/発行元国（SSL Subject/Issuer Country）（検索のみ）

暗号化証明書に関連付けられた件名または発行元国の 2 文字の ISO 3166-1 alpha-2 国番号。

SSL チケット ID（SSL Ticket ID）

SSL ハンドシェイク時に送信されたセッションチケット情報の 16 進数のハッシュ値。

SSL バージョン（SSL Version）

接続の暗号化に使用された SSL または TLS プロトコルバージョン。

不明
SSLv2.0
SSLv3.0
TLSv1.0
TLSv1.1
TSLv1.2

Application

アプリケーションプロトコル（Application Protocol）（サマリーおよびグラフを制約）

接続で検出された、ホスト間の通信を表すアプリケーションプロトコル。

アプリケーションプロトコルカテゴリとタグ（Application Protocol Category and Tag）

アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。

アプリケーションのリスク（Application Risk）

接続で検出されたアプリケーショントラフィックに関連付けられたリスク。「非常に高い（Very High）」、「高（High）」、「中（Medium）」、「低（Low）」、「非常に低い（Very Low）」のいずれかとなります。接続で検出されたアプリケーションのタイプごとに、関連するリスクがあります。このフィールドでは、それらのうち最も高いものが表示されます。

ビジネスとの関連性（Business Relevance）

接続で検出されたアプリケーショントラフィックに関連するビジネス関連性：Very High、High、Medium、Low、または Very Low。接続で検出されたアプリケーションのタイプごとに、関連するビジネス関連性があります。このフィールドでは、それらのうち最も低いもの（関連が最も低い）が表示されます。

クライアントおよびクライアントバージョン（Client and Client Version）

接続で検出されたクライアントのクライアントアプリケーションとバージョン。

接続に使用されている特定のクライアントをシステムが特定できなかった場合、このフィールドは汎用的な名称としてアプリケーションプロトコル名の後に「client」という語を付加して FTP client などと表示します。

クライアントカテゴリとタグ（Client Category and Tag）

アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。

HTTP リファラ（HTTP Referrer）

接続で検出された HTTP トラフィックの要求 URL のリファラを示す HTTP リファラ（他の URL へのリンクを提供した Web サイト、他の URL からリンクをインポートした Web サイトなど）。

参照ホスト（Referenced Host）

接続のプロトコルが HTTP または HTTPS の場合、このフィールドにはそれぞれのプロトコルが使用していたホスト名が表示されます。

ユーザエージェント（User Agent）

接続で検出された HTTP トラフィックから取得したユーザエージェント文字列アプリケーションの情報。

Web アプリケーション（Web Application）

接続で検出された HTTP トラフィックの内容または要求された URL を表す Web アプリケーション。

Web アプリケーションがイベントの URL に一致しない場合、そのトラフィックは通常、参照先のトラフィックです（アドバタイズメントのトラフィックなど）。システムは、参照先のトラフィックを検出すると、参照元のアプリケーションを保存し（可能な場合）、そのアプリケーションを Web アプリケーションとして表示します。

HTTP トラフィックに含まれる特定の Web アプリケーションをシステムが特定できなかった場合、このフィールドには [Web ブランジング（Web Browsing）] と表示されます。

Web アプリケーションのカテゴリとタグ（Web Application Category and Tag）

アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。

URL

URL、URL カテゴリ、および URL レピュテーション（URL, URL Category, and URL Reputation）

セッション中にモニタ対象のホストによって要求された URL と、関連付けられたカテゴリおよびレピュテーション（利用できる場合）。

システムが SSL アプリケーションを識別またはブロックする場合、要求された URL は暗号化トラフィック内にあるため、システムは、SSL 証明書に基づいてトラフィックを識別します。したがって SSL アプリケーションの場合、このフィールドは証明書に含まれる一般名を表示します。

NetFlow

NetBIOS ドメイン（NetBIOS Domain）: セッションで使用された NetBIOS ドメイン。
NetFlow 送信元/宛先の自律システム（NetFlow Source/Destination Autonomous System）: NetFlow データから生成された接続の場合、接続のトラフィックの送信元または宛先に対する、Border Gateway Protocol の自律システム番号。
NetFlow 送信元/宛先のプレフィックス（NetFlow Source/Destination Prefix）: NetFlow データから生成された接続の場合、送信元または宛先の IP アドレスに、送信元と宛先のプレフィックスマスクが追加されたもの。
NetFlow 送信元/宛先 TOS（NetFlow Source/Destination TOS）: NetFlow データから生成された接続の場合、接続トラフィックが NetFlow 対応デバイスに入ったか、NetFlow エクスポータから出たときの Type of Service（TOS）バイトの設定。
NetFlow SNMP 入出力（NetFlow SNMP Input/Output）: NetFlow データから生成された接続の場合、接続トラフィックが NetFlow 対応デバイスに入ったか、NetFlow エクスポータから出た際のインターフェイスのインターフェイスインデックス。
ソースデバイス（Source Device）（サマリーおよびグラフを制約）: 接続の生成に使用されたデータをブロードキャストする NetFlow エクスポータの IP アドレス。管理対象デバイスによって接続が検出された場合、このフィールドには Firepower と表示されます。

QoS

QoS がドロップされたイニシエータのバイト数（QoS-Dropped Initiator Bytes）/QoS がドロップされたレスポンダのバイト数（QoS-Dropped Responder Bytes）: レート制限によりセッションイニシエータまたはセッションレスポンダからドロップされたバイト数。
QoS がドロップされたイニシエータのパケット数（QoS-Dropped Initiator Packets）/QoS がドロップされたレスポンダのパケット数（QoS-Dropped Responder Packets）: レート制限によりセッションイニシエータまたはセッションレスポンダからドロップされたパケット数。
QoS が適用されたインターフェイス（QoS-Applied Interface）: レート制限された接続で、レート制限を適用するインターフェイスの名前。
QoS ポリシー（QoS Policy）: 接続のレートを制限する QoS ポリシー。
QoS ルール（QoS Rule）: 接続のレートを制限する QoS ルール。

接続イベントの理由

接続イベントの [理由（Reason）] フィールドには、次の状況で接続がロギングされた理由が表示されます。


理由（Reason）	説明
コンテンツ制限（Content Restriction）	セーフサーチまたは YouTube EDU 機能のいずれかに関連したコンテンツ制限を実施するために、パケットが変更されました。
DNS ブロック（DNS Block）	ドメイン名とセキュリティインテリジェンスデータに基づいて、インスペクションなしで接続が拒否されました。DNS ブロックの理由は、DNS ルールアクションに応じて、[ブロック（Block）]、[ドメインが見つかりません（Domain not found）]、[シンクホール（Sinkhole）] のアクションと対として組み合わされます。
DNS モニタ（DNS Monitor）	システムはドメイン名とセキュリティインテリジェンスデータに基づいて接続を拒否するはずでしたが、システムは接続を拒否するのではなくモニタするように設定されています。
ファイルブロック（File Block）	ファイルまたはマルウェアファイルが接続に含まれており、システムがその送信を防いでいます。[ファイルブロック（File Block）] の理由は必ず [ブロック（Block）] のアクションと対として組み合わされます。
ファイルカスタム検出（File Custom Detection）	カスタム検出リストにあるファイルが接続に含まれており、システムがその送信を防いでいます。
ファイルモニタ（File Monitor）	システムが接続において特定のファイルの種類を検出しました。
ファイル復帰許可（File Resume Allow）	ファイル送信がはじめに [ファイルブロック（Block Files）] ルールまたは [マルウェアブロック（Block Malware）] ファイルルールによってブロックされました。ファイルを許可する新しいアクセスコントロールポリシーが展開された後、HTTP セッションが自動的に再開しました。この理由はインライン展開のみで表示されます。
ファイル復帰ブロック（File Resume Block）	ファイル送信がはじめに [ファイル検出（Detect Files）] ルールまたは [マルウェアクラウドルックアップ（Malware Cloud Lookup）] ファイルルールによって許可されました。ファイルをブロックする新しいアクセスコントロールポリシーが展開された後、HTTP セッションが自動的に停止しました。この理由はインライン展開のみで表示されます。
インテリジェントアプリケーションバイパス（Intelligent App Bypass）	インテリジェントアプリケーションバイパス（IAB）モード：アクションが [信頼（Trust）] の場合、IAB はバイパスモードでした。一致するトラフィックは、追加のインスペクションなしで通過しました。アクションが [許可（Allow）] の場合、IAB はテストモードでした。一致するトラフィックは、追加のインスペクションに使用できました。
侵入ブロック（Intrusion Block）	接続で検出されたエクスプロイト（侵入ポリシー違反）をシステムがブロックしたか、ブロックするはずでした。[侵入ブロック（Intrusion Block）] の原因は、ブロックされたエクスプロイトの場合は [ブロック（Block）]、ブロックされるはずだったエクスプロイトの場合は [許可（Allow）] のアクションと対として組み合わされます。
侵入モニタ（Intrusion Monitor）	接続で検出されたエクスプロイトをシステムが検出したものの、ブロックしなかったことを示します。これは、トリガーされた侵入ルールの状態が [イベントを生成する（Generate Events）] に設定されている場合に発生します。
IP ブロック（IP Block）	IP アドレスとセキュリティインテリジェンスデータに基づいて、インスペクションなしで接続が拒否されました。[IP ブロック（IP Block）] の原因は必ず [ブロック（Block）] のアクションと対として組み合わされます。
IP モニタ（IP Monitor）	システムは IP アドレスとセキュリティインテリジェンスデータに基づいて接続を拒否するはずでしたが、システムは接続を拒否するのではなくモニタするように設定されています。
SSL ブロック（SSL Block）	システムが SSL インスペクション設定に基づいて暗号化接続をブロックしました。[SSL ブロック（SSL Block）] の理由は必ず [ブロック（Block）] のアクションと対として組み合わされます。
URL ブロック（URL Block）	URL とセキュリティインテリジェンスデータに基づいて、インスペクションなしで接続が拒否されました。[URL ブロック（URL Block）] の原因は必ず [ブロック（Block）] のアクションと対として組み合わされます。
URL モニタ（URL Monitor）	システムは URL とセキュリティインテリジェンスデータに基づいて接続を拒否するはずでしたが、システムは接続を拒否するのではなくモニタするように設定されています。
ユーザバイパス（User Bypass）	最初にユーザの HTTP 要求をブロックしましたが、ユーザのクリックによって警告ページからサイトを表示しました。[ユーザバイパス（User Bypass）] の理由は必ず [許可（Allow）] のアクションと対として組み合わされます。

接続イベントフィールドの入力の要件

接続イベント、セキュリティインテリジェンスイベント、接続サマリーで利用可能な情報は、いくつかの要因によって異なります。

アプライアンスモデルおよびライセンス

多くの機能は、ターゲットデバイスで特定のライセンス付与対象の機能を有効にしなければ使用できません。また、一部のモデルでしか使用できない機能も多くあります。

たとえば、NGIPSv デバイスは SSL インスペクションをサポートしません。これらのデバイスは暗号化されたトラフィックを検査できないため、記録される接続イベントには暗号化された接続に関する情報は含まれていません。

トラフィックの特性（Traffic Characteristics）

システムは、ネットワークトラフィック内に存在する（および検出可能な）情報だけを報告します。たとえば、イニシエータホストに関連付けられているユーザがいない、またはプロトコルが DNS、HTTP、または HTTPS ではない接続で検出される参照先ホストがいない可能性があります。

発信元/検出方法：トラフィックベースの検出と NetFlow

NetFlow 専用フィールドを除き、NetFlow レコードで利用可能な情報は、トラフィックベースの検出によって生成される情報よりも限定されます。NetFlow データと管理対象デバイスデータの違いを参照してください。

評価ステージ

各タイプのトラフィックのインスペクションと制御は、最大限の柔軟性とパフォーマンスを引き出すために最も意味がある局面で実行されます。

たとえば、システムは、さらなるリソース集中型評価を行う前に、セキュリティインテリジェンスを強制します。接続がセキュリティインテリジェンスによってブロックされた場合、結果として生成されるイベントには、その後の評価によってシステムで収集されることになっていた情報（ユーザ ID など）が含まれません。

ロギング方法：接続の開始または終了

システムが接続の検出時にその接続の開始または終了（またはその両方）をログに記録できるかどうかは、システムがその接続をどのように検出して処理するように設定されているかによって異なります。

接続開始イベントには、セッション期間にわたってトラフィックを調査して判別しなければならない情報が伴ってません（送信されたデータの合計量や、接続の最終パケットのタイムスタンプなど）。また、接続開始イベントにセッションのアプリケーションや URL トラフィックに関する情報が伴っている保証もなく、セッションの暗号化に関する詳細は含まれていません。通常、ブロックされる接続については、接続開始イベントのログへの記録が唯一のオプションになります。

接続イベントタイプ：個々またはサマリー

接続サマリーには、集約された接続に関連付けられたすべての情報が含まれているのではありません。たとえば、接続サマリーに接続を集約する際にクライアント情報は使用されないため、サマリーにクライアント情報は含まれません。

接続グラフは、接続終了ログのみを使用する接続サマリーのデータに基づいていることに注意してください。接続開始データだけをロギングするようにシステムが設定されている場合、接続グラフと接続サマリーのイベントビューにはデータが表示されません。

その他の設定

接続のロギングに影響するその他の設定には以下のものが含まれますが、これらに限定されるわけではありません。

Active Directory ドメインコントローラで認証するユーザに関連付けられている接続では、ISE が設定されている場合にのみ、ISE 関連のフィールドにデータが入力されます。接続イベントには、LDAP、RADIUS、RSA ドメインコントローラで認証するユーザの ISE データは含まれません。
[セキュリティグループタグ（Security Group Tag）] フィールドにデータが入力されるのは、ISE をアイデンティティソースとして設定した場合、またはカスタム SGT ルール条件を追加した場合のみです。
プレフィルタ関連のフィールド（セキュリティゾーンフィールドのトンネルゾーン情報を含む）には、プレフィルタポリシーで処理される接続の場合にのみ、データが入力されます。
SSL 関連のフィールドには、SSL ポリシーで処理される暗号化接続の場合にのみ、データが入力されます。
ファイル情報フィールドには、ファイルポリシーと関連付けられたアクセスコントロールルールによってログに記録される接続の場合にのみ、データが入力されます。
侵入情報フィールドには、侵入ポリシーに関連付けられているアクセスコントロールルールあるいはデフォルトアクションによってログに記録される接続の場合にのみ、データが入力されます。
QoS 関連のフィールドには、レート制限が適用される接続の場合にのみ、データが入力されます。
[理由（Reason）] フィールドには、特定の場合にのみデータが入力されます（ユーザがインタラクティブブロック設定をバイパスしている場合など）。
[ドメイン（Domain）] フィールドが表示されるのは、マルチテナンシー用に Firepower Management Center を設定した場合のみです。
アクセスコントロールポリシーの詳細設定では、HTTP セッションのモニタ対象ホストによって要求された URL ごとにシステムが接続ログに保存する文字数を制御できます。この設定を使用して URL のロギングを無効化する場合、システムは接続ログで個々の URL を表示しませんが、カテゴリとレピュテーションデータは参照できます（存在する場合）。

接続イベントフィールドで利用可能な情報

このトピックの表に、システムが接続およびセキュリティインテリジェンスのフィールドに値を読み込むことができるタイミングを示します。表の列は、次のイベントタイプを示しています。

[発信元：直接（Origin: Direct）]：Firepower システムの管理対象デバイスで検出および処理される接続を表すイベント。
[発信元：NetFlow（Origin: NetFlow）]：NetFlow エクスポータでエクスポートされる接続を表すイベント。
[ロギング：開始（Logging: Start）]：開始時にログに記録される接続を表すイベント。
[ロギング：終了（Logging: End）]：終了時にログに記録される接続を表すイベント。

表内の「はい（yes）」は、システムが接続イベントフィールドに値を読み込む必要があることを意味するものではなく、読み込むことができることを意味します。システムは、ネットワークトラフィック内に存在する（および検出可能な）情報だけを報告します。たとえば、SSL 関連のフィールドには、SSL ポリシーによって処理される暗号化された接続のレコードについてのみ値が読み込まれます。


接続イベントフィールド	[発信元：直接（Origin: Direct）]	[発信元：NetFlow（Origin: NetFlow）]	[ロギング：開始（Logging: Start）]	[ロギング：終了（Logging: End）]
アクセスコントロールポリシー（Access Control Policy）	Yes	No	Yes	Yes
アクセスコントロールルール（Access Control Rule）	Yes	No	Yes	Yes
操作	Yes	No	Yes	Yes
アプリケーションプロトコル	Yes	Yes	利用可能な場合	Yes
アプリケーションプロトコルカテゴリとタグ（Application Protocol Category & Tag）	Yes	No	利用可能な場合	Yes
アプリケーションのリスク（Application Risk）	Yes	No	利用可能な場合	Yes
ビジネスとの関連性（Business Relevance）	Yes	No	利用可能な場合	Yes
クライアント（Client）	Yes	No	利用可能な場合	Yes
クライアントカテゴリとタグ（Client Category & Tag）	Yes	No	利用可能な場合	Yes
クライアントバージョン（Client Version）	Yes	No	利用可能な場合	Yes
接続（Connections）	Yes	Yes	No	Yes
メンバー数（Count）	Yes	Yes	Yes	Yes
宛先ポート/ICMP タイプ（Destination Port/ICMP Type）	Yes	Yes	Yes	Yes
Device	Yes	Yes	Yes	Yes
ドメイン（Domain）	Yes	Yes	Yes	Yes
DNS クエリ（DNS Query）	Yes	No	Yes	Yes
DNS レコードタイプ（DNS Record Type）	Yes	No	Yes	Yes
DNS レスポンス（DNS Response）	Yes	No	Yes	Yes
DNS シンクホール名（DNS Sinkhole Name）	Yes	No	Yes	Yes
DNS TTL	Yes	No	Yes	Yes
出力インターフェイス（Egress Interface）	Yes	No	Yes	Yes
出力セキュリティゾーン（Egress Security Zone）	Yes	No	Yes	Yes
エンドポイントロケーション（Endpoint Location）	Yes	No	Yes	Yes
エンドポイントプロファイル（Endpoint Profile）	Yes	No	Yes	Yes
ファイル	Yes	No	No	Yes
最初のパケット（First Packet）	Yes	Yes	Yes	Yes
HTTP リファラ（HTTP Referrer）	Yes	No	No	Yes
HTTP 応答コード（HTTP Response Code）	Yes	No	Yes	Yes
入力インターフェイス（Ingress Interface）	Yes	No	Yes	Yes
入力セキュリティゾーン（Ingress Security Zone）	Yes	No	Yes	Yes
イニシエータバイト数（Initiator Bytes）	Yes	Yes	有用でない	Yes
イニシエータの国（Initiator Country）	Yes	No	Yes	Yes
イニシエータ IP（Initiator IP）	Yes	Yes	Yes	Yes
イニシエータパケット（Initiator Packets）	Yes	Yes	有用でない	Yes
イニシエータユーザ（Initiator User）	Yes	Yes	Yes	Yes
侵入イベント	Yes	No	No	Yes
侵入ポリシー（Intrusion Policy）	Yes	No	Yes	Yes
IOC（侵害の兆候）（IOC (Indication of Compromise)）	Yes	No	Yes	Yes
最後のパケット（Last Packet）	Yes	Yes	No	Yes
NetBIOS ドメイン（NetBIOS Domain）	Yes	No	Yes	Yes
NetFlow 送信元/宛先の自律システム（NetFlow Source/Destination Autonomous System）	No	Yes	No	Yes
NetFlow 送信元/宛先のプレフィックス（NetFlow Source/Destination Prefix）	No	Yes	No	Yes
NetFlow 送信元/宛先 TOS（NetFlow Source/Destination TOS）	No	Yes	No	Yes
NetFlow SNMP 入出力（NetFlow SNMP Input/Output）	No	Yes	No	Yes
ネットワーク分析ポリシー（Network Analysis Policy）	Yes	No	Yes	Yes
クライアントのオリジナル国（Original Client Country）	Yes	No	Yes	Yes
クライアントのオリジナル IP（Original Client IP）	Yes	No	Yes	Yes
プレフィルタポリシー（Prefilter Policy）	Yes	No	Yes	Yes
QoS が適用されたインターフェイス（QoS-Applied Interface）	Yes	No	No	Yes
QoS がドロップされたイニシエータのバイト数（QoS-Dropped Initiator Bytes）	Yes	No	No	Yes
QoS がドロップされたイニシエータのパケット数（QoS-Dropped Initiator Packets）	Yes	No	No	Yes
QoS がドロップされたレスポンダのバイト数（QoS-Dropped Responder Bytes）	Yes	No	No	Yes
QoS がドロップされたレスポンダのパケット数（QoS-Dropped Responder Packets）	Yes	No	No	Yes
QoS ポリシー	Yes	No	No	Yes
QoS ルール（QoS Rule）	Yes	No	No	Yes
理由（Reason）	Yes	No	Yes	Yes
参照ホスト（Referenced Host）	Yes	No	No	Yes
レスポンダバイト数（Responder Bytes）	Yes	Yes	有用でない	Yes
レスポンダの国（Responder Country）	Yes	No	Yes	Yes
レスポンダ IP（Responder IP）	Yes	Yes	Yes	Yes
レスポンダパケット（Responder Packets）	Yes	Yes	有用でない	Yes
セキュリティコンテキスト（ASA のみ）（Security Context (ASA only)）	Yes	No	Yes	Yes
セキュリティグループタグ（SGT）（Security Group Tag (SGT)）	Yes	No	Yes	Yes
セキュリティインテリジェンスのカテゴリ（Security Intelligence Category）	Yes	No	Yes	Yes
送信元デバイス（Source Device）	Yes	Yes	Yes	Yes
送信元ポート/ICMP タイプ（Source Port/ICMP Type）	Yes	Yes	Yes	Yes
SSL 証明書ステータス（SSL Certificate Status）	Yes	No	No	Yes
SSL 暗号スイート（SSL Cipher Suite）	Yes	No	No	Yes
SSL フローエラー（SSL Flow Error）	Yes	No	No	Yes
SSL フローフラグ（SSL Flow Flags）	Yes	No	No	Yes
SSL フローメッセージ（SSL Flow Messages）	Yes	No	No	Yes
SSL ポリシー（SSL Policy）	Yes	No	No	Yes
SSL ルール（SSL Rule）	Yes	No	No	Yes
SSL セッション ID（SSL Session ID）	Yes	No	No	Yes
SSL ステータス（SSL Status）	Yes	No	No	Yes
SSL バージョン（SSL Version）	Yes	No	No	Yes
TCP フラグ（TCP Flags）	No	Yes	No	Yes
時刻（Time）	Yes	Yes	No	Yes
トンネル/プレフィルタルール（Tunnel/Prefilter Rule）	Yes	No	Yes	Yes
URL	Yes	No	利用可能な場合	Yes
URL Category	Yes	No	利用可能な場合	Yes
URLレピュテーション（URL Reputation）	Yes	No	利用可能な場合	Yes
ユーザエージェント（User Agent）	Yes	No	No	Yes
VLAN ID（Admin. VLAN ID）	Yes	No	Yes	Yes
Web アプリケーション（Web Application）	Yes	No	利用可能な場合	Yes
Web アプリケーションのカテゴリとタグ（Web Application Category & Tag）	Yes	No	利用可能な場合	Yes

接続およびセキュリティインテリジェンスイベントテーブルの使用


スマートライセンス	従来のライセンス	サポートされるデバイス	サポートされるドメイン	アクセス（Access）
任意（Any）	任意（Any）	任意（Any）	任意（Any）	Admin/Any Security Analyst

Firepower Management Center を使用して、接続イベントまたはセキュリティインテリジェンスイベントのテーブルを表示することができます。ここでユーザは、検索する情報に応じてイベントビューを操作することができます。

マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。

接続グラフにアクセスしたときに表示されるページは、使用するワークフローによって異なります。イベントのテーブルビューで終わる事前定義されたワークフローを使用できます。また、特定のニーズを満たす情報だけを表示するカスタムワークフローを作成することもできます。

接続またはセキュリティインテリジェンスワークフローテーブルを使用すると、たくさんの一般的なアクションを実行できます。

ドリルダウンページで接続イベントを制約する場合、同一のイベントからのパケット数とバイト数が合計されることに注意してください。ただし、カスタムワークフローを使用しており、ドリルダウンページに [カウント（Count）] カラムを追加していない場合、イベントは個別に表示され、パケット数とバイト数は合計されません。

システムが生成した接続イベントが 25 個を超えると、[接続イベント（Connection Events）] テーブルビューに、使用可能なイベントのページ数ではなく、「1 of Many」と表示されます。

手順

ステップ 1

次のいずれかを選択します。

[分析（Analysis）] > [接続（Connections）] > [イベント（Events）]（接続イベントの場合）
[分析（Analysis）] > [接続（Connections）] > [セキュリティインテリジェンスイベント（Security Intelligence Events）]

（注）

テーブルの代わりに接続グラフが表示された場合、ワークフロータイトルで [(ワークフローの切り替え)（(switch workflow)）] をクリックし、事前定義された [接続イベント（Connection Events）] ワークフローまたはカスタムワークフローを選択します。事前定義されたすべての接続イベント（接続グラフを含む）は、接続のテーブルビューで終了することに注意してください。

ステップ 2

次の選択肢があります。

時間範囲：時間範囲を調整（イベントが表示されない場合に役立ちます）する方法については、時間枠の変更を参照してください。

フィールド名：テーブルのカラムの内容について詳しく調べるには、接続およびセキュリティインテリジェンスイベントフィールドを参照してください。

ヒント

イベントのテーブルビューでは、各アプリケーションタイプの [カテゴリ（Category）] および [タグ（Tag）] フィールド、NetFlow 関連のフィールド、SSL 関連のフィールドなど、いくつかのフィールドがデフォルトで非表示です。イベントビューに非表示フィールドを表示するには、検索制約を展開し、[無効にされたカラム（Disabled Columns）] の下のフィールド名をクリックします。

ホストプロファイル：IP アドレスのホストプロファイルを表示するには、ホストプロファイルのアイコン（）をクリックします。アクティブな侵害の兆候（IOC）タグのあるホストの場合は、IP アドレスの横に表示される侵害されたホストのアイコン（）をクリックします。
ユーザプロファイル：ユーザ ID 情報を表示するには、ユーザ ID の横に表示されるユーザアイコン（または IOC に関連付けられたユーザのユーザアイコン）をクリックします。
ファイルおよびマルウェア：接続で検出されたまたはブロックされたマルウェアを含むファイルを表示するには、ファイルの表示アイコン（）をクリックし、接続で検出されたファイルとマルウェアの表示の説明に従って続行します。

侵入イベント：接続に関連付けられている侵入イベントを優先順位や影響とともに表示するには、[侵入イベント（Intrusion Events）] カラムの侵入イベントアイコン（）をクリックして、接続に関連付けられた侵入イベントの表示の説明に従って続行します。

ヒント

1 つまたは複数の接続に関連付けられた侵入、ファイル、マルウェアイベントをすばやく表示するには、イベントビューアのチェックボックスを使用して接続を選択し、[ジャンプ（Jump to）] ドロップダウンリストから該当するオプションを選択します。セキュリティインテリジェンスによりブラックリストに載せられている接続に関連するファイルまたは侵入が、アクセスコントロールルールの評価の前にブロックされることによって、1 つも存在しない可能性があることに注意してください。ブラックリストではなく、接続をモニタするようにセキュリティインテリジェンスを設定した場合に限り、セキュリティインテリジェンスイベントに関するこの情報が表示されます。

証明書：接続を暗号化するために使用される利用可能な証明書についての詳細を表示するには、[SSL ステータス（SSL Status）] カラムの有効なロックアイコン（）をクリックします。

制約：表示されるカラムを制約にするには、非表示にするカラムの見出しにある閉じるアイコン（）をクリックします。表示されるポップアップウィンドウで、[適用（Apply）] をクリックします。

ヒント

他のカラムを表示または非表示にするには、[適用（Apply）] をクリックする前に、該当するチェックボックスをオンまたはオフにします。無効になったカラムをビューに再び追加するには、検索制約を展開し、[無効にされたカラム（Disabled Columns）] の下のカラム名をクリックします。

イベントの削除：現在の制約されたビューにある一部またはすべての項目を削除するには、削除する項目の横にあるチェックボックスをオンにし、[削除（Delete）] または [すべて削除（Delete All）] をクリックします。

ドリルダウン：ドリルダウンページの使用を参照してください。

ヒント

ロギングされた接続に一致した複数のモニタルールのうち 1 つにドリルダウンするには、[N モニタルール（N Monitor Rules）] の値をクリックします。表示されるポップアップウィンドウで、接続イベントを抑制するために使用するモニタルールをクリックします。

このページに移動する：ワークフローページのトラバーサルツールを参照してください。
ページ間で移動する：現在の制約を維持しながら現在のワークフローのページ間で移動するには、ワークフローページの左上にある該当するページリンクをクリックします。
イベントビュー間で移動する：関連するイベントを表示するためその他のイベントビューに移動するには、[ジャンプ（Jump to）] をクリックし、ドロップダウンリストからイベントビューを選択します。
ソート：ワークフローでデータをソートするには、カラムのタイトルをクリックします。ソート順を逆にするには、カラムのタイトルをもう一度クリックします。

接続で検出されたファイルとマルウェアの表示


スマートライセンス	従来のライセンス	サポートされるデバイス	サポートされるドメイン	アクセス（Access）
脅威またはマルウェア	保護またはマルウェア	任意（Any）	任意（Any）	Admin/Any Security Analyst

1 つまたは複数のアクセスコントロールルールにファイルポリシーを関連付けると、システムは一致するトラフィックのファイル（マルウェアを含む）を検出できます。これらのルールによってロギングされた接続に関連付けられたファイルイベントがある場合は、イベントビューアを使用して確認できます。ファイルリストの代わりに、Firepower Management Center はファイル表示アイコン（）を [ファイル（Files）] 列に表示します。アイコンの数字は、その接続で検出またはブロックされたファイル数（マルウェアファイルを含む）を示します。

すべてのファイルおよびマルウェアイベントが接続に関連付けられるわけではありません。具体的には次のとおりです。

エンドポイントベースのマルウェアイベントは、接続に関連付けられていません。これらのイベントは AMP for Endpoints 展開からインポートされます。
IMAP に対応した電子メールクライアントの多くは単一 IMAP セッションを使用し、それはユーザがアプリケーションを終了したときに終了します。長時間接続はシステムによってロギングされますが、セッションでダウンロードされたファイルは、そのセッションが終了するまで接続に関連付けられません。

手順

ステップ 1

接続イベントテーブルを使用している場合、ファイル表示アイコン（）をクリックします。

ポップアップウィンドウが表示され、接続で検出されたファイルのリストとともに、そのタイプと、該当する場合はマルウェア処理が示されます。

ステップ 2

次の選択肢があります。

表示：ファイルイベントのテーブルビューを表示するには、ファイルの表示アイコン（）をクリックします。
表示：マルウェアイベントのテーブルビューに詳細を表示するには、マルウェアファイルの表示アイコン（）をクリックします。
追跡：ネットワークを経由するファイルの伝送を追跡するには、ファイルのトラジェクトリアイコン（）をクリックします。
表示：接続で検出されたファイルまたはネットワークベースのマルウェアイベントすべての詳細を表示するには、[ファイルイベントの表示（View File Events）] または [マルウェアイベントの表示（View Malware Events）] をクリックします。

接続に関連付けられた侵入イベントの表示


スマートライセンス	従来のライセンス	サポートされるデバイス	サポートされるドメイン	アクセス（Access）
脅威（Threat）	Protection	任意（Any）	任意（Any）	Admin/Any Security Analyst

アクセスコントロールルールまたはデフォルトアクションに侵入ポリシーを関連付けると、システムは一致するトラフィックのエクスプロイトを検出できます。イベントビューアを使用して、ロギングされた接続に関連付けられた侵入イベント（ある場合）と、その優先順位や影響について確認できます。

手順

ステップ 1

接続イベントテーブルを使用する場合、[侵入イベント（Intrusion Events）] カラムの侵入イベントアイコン（）をクリックします。

ステップ 2

表示されるポップアップウィンドウで、以下のオプションを選択できます。

パケットビューで詳細を表示するには、リストされたイベントの表示アイコン（）をクリックします。
[侵入イベントの表示（View Intrusion Events）] をクリックして、接続に関連付けられた侵入イベントすべての詳細を表示します。

暗号化接続の証明書の詳細

イベントビューアを使用して、システムで処理される接続を暗号化するために使用される公開キー証明書（使用可能な場合）を表示できます。証明書には次の情報が含まれています。

表 1. 暗号化接続の証明書の詳細
属性（Attribute）	説明
件名/発行元共通名（Subject/Issuer Common Name）	証明書のサブジェクトまたは証明書発行元のホストおよびドメイン名。
件名/発行元組織（Subject/Issuer Organization）	証明書のサブジェクトまたは証明書発行元の組織。
件名/発行元組織ユニット（Subject/Issuer Organization Unit）	証明書のサブジェクトまたは証明書発行元の部門。
有効期間の開始/終了（Not Valid Before/After）	証明書の有効期間。
シリアル番号（Serial Number）	発行元 CA によって割り当てられたシリアル番号。
証明書フィンガープリント（Certificate Fingerprint）	証明書の認証に使用する SHA ハッシュ値。
公開キーフィンガープリント（Public Key Fingerprint）	証明書に含まれる公開キーの認証に使用する SHA ハッシュ値。

Firepower Management Center バージョン6.2.1 コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： 接続イベントとセキュリティ インテリジェンス イベント

接続イベントとセキュリティ インテリジェンス イベント

接続イベントについて

接続イベントとセキュリティ インテリジェンス イベントの比較

NetFlow 接続

接続の概要（グラフ用集約データ）

長時間接続

外部応答側からの統合接続サマリ

接続およびセキュリティ インテリジェンス イベント フィールド

全般情報（General Information）

Networking

位置情報（GeoLocation）

Device

SSL

Application

URL

NetFlow

QoS

関連イベント（Associated Events）

接続イベントの理由

接続イベント フィールドの入力の要件

アプライアンス モデルおよびライセンス

トラフィックの特性（Traffic Characteristics）

発信元/検出方法：トラフィック ベースの検出と NetFlow

評価ステージ

ロギング方法：接続の開始または終了

接続イベント タイプ：個々またはサマリー

その他の設定

接続イベント フィールドで利用可能な情報

接続およびセキュリティ インテリジェンス イベント テーブルの使用

手順

接続で検出されたファイルとマルウェアの表示

手順

接続に関連付けられた侵入イベントの表示

手順

暗号化接続の証明書の詳細

デバイス サマリー ページの表示

手順

このドキュメントは役に立ちましたか?

シスコに問い合わせ

章のタイトル：接続イベントとセキュリティインテリジェンスイベント

接続イベントとセキュリティインテリジェンスイベント

接続イベントとセキュリティインテリジェンスイベントの比較

接続およびセキュリティインテリジェンスイベントフィールド

接続イベントフィールドの入力の要件

アプライアンスモデルおよびライセンス

発信元/検出方法：トラフィックベースの検出と NetFlow

接続イベントタイプ：個々またはサマリー

接続イベントフィールドで利用可能な情報

接続およびセキュリティインテリジェンスイベントテーブルの使用

デバイスサマリーページの表示