Firepower System バージョン 6.3 データベース アクセス ガイド

カスタム Java プログラムのサンプル コード

RunQuery ソース コードでは、後述する関数が使用されます。次のコード例に、可能な実装方法の 1 つを示します。

SSL プロバイダー接続の動的な設定

クライアントに SSL セキュリティ証明書をインストールしたら（クライアント SSL 証明書のインストールを参照）、プログラムで次の行を使用して JSSE プロバイダーを動的に登録できます。

プログラムの JDBC ドライバの初期設定

Class.forName() メソッドを使用して Java アプリケーションに JDBC ドライバ クラスを次のようにロードできます。

コマンド ラインから起動するプログラムの場合は、ユーザが次のように JDBC クラスを指定できます。

program_name はプログラムの名前です。

データベースへのプログラムの接続

プログラムがクエリを送信する前に、プログラムで JDBC 接続オブジェクトを取得する必要があります。接続を確立して接続オブジェクトを取得するには、次のように DriverManager.getConnection メソッドを使用します。

my_dc は Firepower Management Center の FQDN または IP アドレス、 user はデータベース アクセス ユーザ アカウント名、 password はアカウント パスワードです。

シスコ テーブルのデータの照会

クエリを送信し、取得したレコードを結果セットに割り当てるため、SQL クエリ オブジェクトを次のように作成します。

sql は SQL クエリです。サポートされている SQL 関数については、データベースの照会を参照してください。

テーブル クエリの結果の作成

上記のクエリにより生成される結果セット（ rs ）から、次のようにフィールドを出力できます。

スキーマ情報の取得

プログラムは、データベースのテーブルを次のようにリストできます。

プログラムは、テーブルの列を次のようにリストできます。

table_name は、データベース テーブルの名前です。

アプリケーションの実行

アプリケーションを実行する前に、クライアント コンピュータの CLASSPATH を設定し、アプリケーションの JAR ファイルの場所と現在のディレクトリを組み込む必要があります。

JDBC ドライバのダウンロードの説明に従ってデータベース アクセスの ZIP パッケージをダウンロードして解凍した場合は、 CLASSPATH を次のように更新します。

UNIX 環境でアプリケーションを実行するには：

ステップ 1 次のコマンドを使用します。

path は、Firepower Management Center からダウンロードした ZIP パッケージを解凍したディレクトリ パスです。

Windows 7 環境でアプリケーションを実行するには：

ステップ 1 [Computer] アイコンを右クリックして [Properties] を選択します。

[System] ウィンドウが表示されます。

ステップ 2 [Advanced System Settings] をクリックします。

[System Properties] ウィンドウが表示されます。

ステップ 3 [Advanced] タブを選択します。

ステップ 4 [Environment Variables...] をクリックします。

[Environment Variables] ウィンドウが表示されます。

ステップ 5 CLASSPATH システム変数を選択して [Edit...] をクリックします。

[Edit System Variable] ウィンドウが表示されます。

ステップ 6 [Variable value:] フィールドに次を追加します。

path は、Firepower Management Center からダウンロードした ZIP パッケージを解凍したディレクトリ パスです。

ステップ 7 [OK] をクリックして、値を保存します。

[Environment Variables] ウィンドウが表示されます。

ステップ 8 [OK] をクリックして、値を保存します。これでアプリケーションを実行できます。

サポートされている SHOW ステートメント構文

SHOW ステートメントは、Firepower システム データベースのすべてのテーブルをリストします。Firepower システム データベースの照会に使用できる、サポートされている MySQL SHOW ステートメント構文を次に示します。

上記にない SHOW ステートメント構文はサポートされていません。

サポートされている DESCRIBE または DESC ステートメント構文

Firepower システム データベースでは、 DESCRIBE ステートメントを限定的に使用できます。Firepower システム データベースでは、 DESCRIBE ステートメントの出力には列の名前と各列のデータのタイプだけがリストされます。Firepower システム データベースの照会に使用できる、サポートされている MySQL DESCRIBE ステートメント構文を次に示します。

DESCRIBE table_name ;

Firepower システム データベースでは、これと同一のコマンド DESC もサポートされています。

DESC table_name;

上記にない DESCRIBE ステートメント構文はサポートされていません。特に、Firepower システム データベース アクセス機能では次の要素はサポートされていません。

• INDEX FOR 句
• TABLE 句
• PROCEDURE 句

サポートされている SELECT ステートメント構文

Firepower システム データベースの照会に使用できる、サポートされている MySQL SELECT ステートメント構文を次に示します。

SELECT

[ALL | DISTINCT]

[COUNT ( field ) | COUNT (*) ]

select_expr [, select_expr... ]

FROM table_references

[WHERE where_condition]

[GROUP BY { column_name | position } [ ASC | DESC ], …]

[HAVING where_condition]

[ORDER BY { column_name | position } [ ASC | DESC ], …]

[LIMIT { [offset,] row_count | row_count OFFSET offset}]

次の表に、上記の SELECT ステートメントの句と引数の必須構文について詳しく説明します。

サポートされている MySQL 構文の記述方法に慣れていない場合は、次の表でヒントを参照してください。

上記にない SELECT ステートメント構文はサポートされていません。特に、Firepower システム データベース アクセス機能では次の要素はサポートされていません。

• SELECT * ：フィールドを明示的に指定する必要があります。
• ユニオン
• サブクエリ
• GROUP BY 句の WITH ROLLUP 修飾子
• INTO 句
• FOR UPDATE 句

結合の制約

パフォーマンスおよびその他の実際的な理由から、Firepower システム データベースのテーブルに対して実行できる結合は限定されています。シスコ では、その結果がイベント分析に役立つ可能性のない結合は実行できません。

内部結合または左（外部）結合だけを実行できます。入れ子になった結合、クロス結合、自然結合、右（外部）結合、フル（外部）結合、および USING 句を使用した結合はサポート されていません 。

スキーマに関するドキュメントでは、各テーブルでサポートされている結合が示されています。リストされていない結合はサポートされていません。たとえば、 compliance_event テーブルと intrusion_event テーブルを IP アドレス フィールドで結合することはできません。これは、両方のテーブルに IP アドレス情報が含まれている場合でも同様です。また、廃止されたテーブルと廃止されたフィールドでの結合はリストされていません。

使い慣れていない形式で保存されているデータの照会

Firepower システム データベースでは、表示に適していない形式で一部のデータが保存されています。以降の項では、さまざまなフィールドに対してクエリを実行し、クエリが正常に完了し、予期しているとおりの結果が表示されるようにする方法について詳しく説明します。

• IPv6 形式のアドレス
• IPv4 アドレス
• MAC アドレス
• パケット データ
• UNIX タイムスタンプ

IPv6 形式のアドレス

Firepower システム データベースには、IPv6 アドレスがバイナリ形式で保存されます。結果を 16 進数形式で表示するには、 HEX() 関数を使用します。特定の IPv6 アドレスのデータベースを照会するには、 UNHEX() 関数を使用します。

たとえば、モニタ対象セッションに関する情報を含む connection_log テーブルを照会し、その照会を特定の IPv6 アドレスで制限するステートメントを次に示します。

SELECT HEX(initiator_ip), HEX(responder_ip), packets_sent, bytes_sent

FROM connection_log

WHERE initiator_ip = UNHEX('20010db8000000000000000000004321');

IPv4 アドレス

Firepower システム データベースでは、IPv6 アドレスと同じフィールドに、IPv4 アドレスがバイナリ形式で保存されます。IPv6 アドレスと同様に、16 進数形式で表示する場合は HEX() 関数を使用します。データベースは RFC に準拠するためにビット 80 ～ 95 に 1 を取り込みますが、これによって無効な IPv6 アドレスが生成されます。たとえば IPv4 アドレス 10.5.15.1 は 00000000000000000000FFFF0A050F01 として保存されます。

MAC アドレス

Firepower システム データベースには、MAC アドレスがバイナリ形式で保存されます。結果を 16 進数形式で表示するには、 HEX() 関数を使用します。

たとえば、次のステートメントは rna_host_mac_map テーブルを照会します。このテーブルには、IP アドレスでは識別されなかったホストと その MAC アドレスに関する情報が含まれており、照会で取得できるホストが最初の 5 つのホストに限定されます。

SELECT HEX(host_id), HEX(mac_address)

FROM rna_host_mac_map

LIMIT 5;

パケット データ

Firepower システム データベースは、侵入イベントのパケット データをバイナリ形式で保存します。結果を 16 進数形式で表示するには、 HEX() 関数を使用します。

たとえば、次のステートメントは intrusion_event_packet テーブルを照会し、特定イベントのパケット データを取得します。

SELECT HEX(packet_data)

FROM intrusion_event_packet

WHERE event_id = 1234;

UNIX タイムスタンプ

Firepower システム データベースではほとんどのタイムスタンプが UNIX タイムスタンプとして保存されます。UNIX タイムスタンプは、1970 年 1 月 1 日 00:00:00（UTC）以降の経過秒数を表します。現地時間で結果を表示するには、 FROM_UNIXTIME() 関数を使用します。

たとえば、次のステートメントは audit_log テーブルを照会し、最大 25 件の結果を返します。このテーブルには、アプライアンスの Web インターフェイスでのユーザ アクションがすべて記録されています。

SELECT FROM_UNIXTIME(action_time_sec), user, message

FROM audit_log

LIMIT 0, 25;


データベースのすべての時刻は UTC の時刻であることに注意してください。 CONVERT_TZ() 関数を使用できますが、この関数は結果を UTC で返します。

一部のイベントには、マイクロ秒の精度が関連付けられている点に注意してください。UNIX タイムスタンプとマイクロ秒の増分を連結するには、 CONCAT() 関数と LPAD() 関数を使用します。たとえば、次のステートメントは intrusion_event テーブルを照会します。

SELECT CONCAT(FROM_UNIXTIME(event_time_sec)), '.', LPAD (event_time_usec, 6, '0')), HEX(host_id),

rule_message

FROM intrusion_event

LIMIT 0, 25;


データベースに対し、特定の UNIX タイムスタンプのイベントを照会するには、 UNIX_TIMESTAMP() 関数を使用します。

パフォーマンス上の理由によるクエリの制限

Firepower システム データベース テーブルに対して実行できる結合はシステムにより制限されていますが、一部のコストがかかるクエリ（Firepower Management Center のパフォーマンスに悪影響を及ぼす可能性のあるクエリ）が許可されます。

したがって、大規模なテーブルの場合は結果セットを制限するようにします。戦略としては次のものがあります。

• 特定のリーフ ドメインにクエリを制限する
• 特定の時間範囲にクエリを制限する
• IP アドレスによりクエリを制限する
• LIMIT 句を使用する

展開によっては、多数のテーブルを照会する際に結果セットを制限する必要があることがあります。特に次のテーブルには、DC3000 での最大 1 億件のイベントを格納できます。

• fireamp_event
• intrusion_event
• intrusion_event_packet
• connection_log （5.0 より古いバージョンでの名前： rna_flow ）
• connection_summary （5.0 より古いバージョンでの名前： rna_flow_summary ）

モニタ対象ネットワークでシステムが検出したホストの数によっては、ネットワーク マップ テーブルに対するクエリはコストが高くなることがあります。

クエリのヒント

以降の項では、検出エンジンまたは侵入イベントを含むクエリを作成する場合に、固有の結果が得られるようにするためのヒントを示します。

デバイス名

デバイス名は複数の Firepower Management Center 間で必ずしも一意である必要はありません。一意であるようにするには、特定のデバイス UUID をクエリに含めます。

侵入イベント

複数の管理対象デバイス上の侵入イベントに一意に一致するためには、 intrusion_event テーブルの次のフィールドをクエリに指定できます。

– intrusion_event.event_id

– intrusion_event.event_time_sec

– intrusion_event.sensor_uuid

ユーザの監査レコード

次のクエリは、特定ユーザの監査ログのレコードをすべて返します。タイムスタンプは UTC で表示されます。

SELECT FROM_UNIXTIME(action_time_sec), user, message

FROM audit_log

WHERE user = 'eventanalyst';

プライオリティおよび分類別の侵入イベント

次のクエリは、[Events By Priority and Classification] ワークフローの [Drilldown of Event]、[Priority]、[Classification] ビューを複製します。ユーザ設定でデフォルトの [Intrusion Events] ワークフローを変更していない場合、これが Firepower Management Center Web インターフェイスで [Analysis] > [Intrusion Events] を選択すると最初に表示されるページです。

SELECT rule_message, priority, rule_classification, count(*) as Count

FROM intrusion_event

WHERE reviewed="0" GROUP BY rule_message, priority, rule_classification

ORDER BY Count

DESCLIMIT 0, 25;

侵入イベントおよびその関連ポリシー

次のクエリは、指定した週の侵入イベントをリストします。イベントごとに、関連する侵害ポリシー違反とルール分類が表示されます。

SELECT FROM_UNIXTIME(event_time_sec) AS event_time, event_id AS intrusion_event, intrusion_event_policy_name AS policy, rule_classification AS classification

FROM intrusion_event

WHERE event_time_sec BETWEEN UNIX_TIMESTAMP(’2011-10-01 00:00:00’) AND

UNIX_TIMESTAMP(’2011-10-07 23:59:59’)

ORDER BY policy ASC;

検出されたホストのリスト

次のクエリは、ネットワークで検出されたすべての MAC ホスト（IP アドレスのないホスト）のホスト ネットワーク マップでの基本情報と、各 NIC のハードウェア ベンダーを返します。

SELECT HEX(mac_address), mac_vendor, host_type, FROM_UNIXTIME(last_seen_sec)

FROM rna_mac_host;


次のクエリは、IP アドレスを MAC アドレスにマップします。

SELECT HEX(ipaddr), HEX(mac_address), HEX(host_id)

FROM rna_host_ip_map LEFT JOIN rna_host_mac_map on

rna_host_ip_map.host_id=rna_host_mac_map.host_id;

検出されたサーバのリスト

次のクエリは、2 つの関連するテーブルを結合し、ネットワークで検出されたサーバを、その属性の多くとともにリストとして返します。これは、Firepower Management Center の Web インターフェイスでサーバのテーブル ビューに表示される内容に似ています。

SELECT FROM_UNIXTIME(s.last_used_sec), HEX(s.host_id), s.port, s.protocol, s.hits,

i.service_name, i.vendor, i.version, i.source_type, s.confidence

FROM AS s

LEFT JOIN rna_ip_host_service_info AS i ON (s.host_id = i.host_id AND s.port = i.port AND s.protocol =

i.protocol);


このクエリは、データベース アクセスで必要なため、 host_id 、 port 、および protocol のセットでテーブルを左結合する点に注意してください。rna_host_service の結合およびrna_host_service_info の結合を参照してください。

ネットワークのサーバの脆弱性

次のクエリは、2 つの脆弱性関連テーブルを結合し、特定のホストで検出された有効なサーバ関連の脆弱性と、各脆弱性がネットワーク上で悪用可能であるかどうかのリストを示します。

SELECT h.rna_vuln_id, v.title, v.remote

FROM rna_host_service_vulns AS h

LEFT JOIN rna_vuln AS v ON (h.rna_vuln_id = v.rna_vuln_id)

WHERE h.ip_address = INET_ATON('10.10.10.4')

AND h.invalid = 0;


このクエリは、rna_host_service_vulnsと rna_vuln の結合で必要なため、 rna_vuln_id でテーブルを左結合する点に注意してください。

オペレーティング システムの概要

次のクエリは、[Operating System Summary] ワークフローで [Summary of OS Names] ページを複製します。ユーザ設定でデフォルトのワークフローを変更していない場合、これが Firepower Management Center Web インターフェイスで [Analysis] > [Hosts] を選択し、次に [Hosts] を選択すると最初に表示されるページです。

SELECT vendor, product, count(*) AS total

FROM rna_host_os

GROUP BY vendor, product

ORDER BY total DESC;

ホストのオペレーティング システムの脆弱性

次のクエリは、2 つの脆弱性関連テーブルを結合し、特定のホストで検出された有効なオペレーティング システム関連の脆弱性と、各脆弱性がネットワーク上で悪用可能であるかどうかのリストを示します。

SELECT h.rna_vuln_id, v.title, v.remote

FROM rna_host_os_vulns AS h

LEFT JOIN rna_vuln AS v ON (h.rna_vuln_id = v.rna_vuln_id)

WHERE h.host_id = UNHEX('9610B6E6F1784DA4B39BEA7A210AAD68')

AND h.invalid = 0;


このクエリは、データベース アクセスで必要なため、 rna_vuln_id でテーブルを左結合する点に注意してください。rna_host_os_vulnsおよび rna_vuln の結合を参照してください。

ホストの違反カウント

次のクエリは、[Host Violation Count] ワークフローで [Host Violation Count] ページを複製します。ユーザ設定でデフォルトの [Compliance White List Violations] ワークフローを変更していない場合、これが Firepower Management Center Web インターフェイスで [Analysis] > [Correlation] > [White List Violations] を選択すると最初に表示されるページです。

SELECT host_id, HEX(host_id), white_list_name, count(*) AS total

FROM white_list_violation

GROUP BY host_id, white_list_name

ORDER BY total DESC;