ワークフローを使用して表示および検索できるマルウェア イベントには、このセクションにリストするフィールドがあります。個別のイベントで利用可能な情報は、いつ、どのように生成されたかによって異なることに注意してください。
![](https://www.cisco.com/content/dam/en/us/td/i/templates/note.gif) (注) |
ネットワーク向け AMP によってマルウェアとして識別されたファイルは、ファイル イベントとマルウェア イベントの両方を生成します。エンドポイント向け AMP によって生成されたマルウェア イベントには対応するファイル イベントはありません。また、ファイル イベントにはエンドポイント向け
AMP 関連のフィールドはありません。
|
[アクション(Action)]
ファイルを検出したファイル ポリシー ルールに関連したアクション、および関連するファイル アクション オプション。
AMP クラウド(AMP Cloud)
AMP for Endpoints イベントが発信された AMP クラウドの名前。
アプリケーション ファイル名(Application File Name)
AMP for Endpoints 検出が行われたときに、マルウェア ファイルにアクセスしていたクライアント アプリケーション。これらのアプリケーションはネットワーク検出またはアプリケーション制御とは関係ありません。
アプリケーション ファイル SHA256(Application File SHA256)
検出が行われたときに、AMP for Endpoints で検出された、または隔離されたファイルにアクセスした親ファイルの SHA-256 のハッシュ値。
[アプリケーション プロトコル(Application Protocol)]
管理対象デバイスがファイルを検出したトラフィックで使用されるアプリケーション プロトコル。
アプリケーション プロトコル カテゴリまたはタグ(Application Protocol Category or Tag)
アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。
アプリケーションのリスク(Application Risk)
接続で検出されたアプリケーション トラフィックに関連するリスク:Very High、High、Medium、Low、または Very Low。接続で検出されたアプリケーションのタイプごとに、関連するリスクがあります。このフィールドでは、それらのうち最も高いものが表示されます。
[アーカイブの深さ(Archive Depth)]
アーカイブ ファイル内でファイルがネストされたレベル(存在する場合)。
[アーカイブ名(Archive Name)]
マルウェア ファイルが含まれていたアーカイブ ファイル(ある場合)の名前。
アーカイブ ファイルの内容を表示するには、[分析(Analysis)] > [ファイル(Files)] にある、アーカイブ ファイルの一覧が表示されるいずれかのテーブルに移動し、アーカイブ ファイルのテーブルの行を右クリックしてコンテキスト メニューを開いてから、[アーカイブの内容の表示(View Archive
Contents)] をクリックします。
[SHA256 のアーカイブ(Archive SHA256)]
マルウェア ファイルを含むアーカイブ ファイル(ある場合)の SHA-256 ハッシュ値。
アーカイブ ファイルの内容を表示するには、[分析(Analysis)] > [ファイル(Files)] にある、アーカイブ ファイルの一覧が表示されるいずれかのテーブルに移動し、アーカイブ ファイルのテーブルの行を右クリックしてコンテキスト メニューを開いてから、[アーカイブの内容の表示(View
Archive Contents)] をクリックします。
ビジネスとの関連性(Business Relevance)
接続で検出されたアプリケーション トラフィックに関連するビジネス関連性:Very High、High、Medium、Low、または Very Low。接続で検出されたアプリケーションのタイプごとに、関連するビジネス関連性があります。このフィールドでは、それらのうち最も低いもの(関連が最も低い)が表示されます。
カテゴリ(Category)/ファイル タイプ カテゴリ(File Type Category)
ファイル タイプの一般的なカテゴリ(Office ドキュメント、アーカイブ、マルチメディア、実行可能ファイル、PDF ファイル、エンコード ファイル、グラフィック、システム ファイルなど)。
[クライアント(Client)]
1 つのホストで実行され、ファイルを送信するためにサーバに依存するクライアント アプリケーション。
クライアント カテゴリまたはタグ(Client Category or Tag)
アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。
メンバー数(Count)
複数の同じ行を作成する制約を適用した後の、各行の情報に一致するイベントの数。
検出名(Detection Name)
検出されたマルウェアの名前。
ディテクタ(Detector)
マルウェアを識別した AMP for Endpoints ディテクタ(ClamAV、Spero、SHA など)。
Device
ネットワーク向け AMP によって生成されたファイル イベントとマルウェア イベントの場合は、ファイルを検出したデバイスの名前。
エンドポイント向け AMP によって生成されたマルウェア イベントと AMP クラウドによって生成されたレトロスペクティブ マルウェア イベントの場合は、Firepower Management Center の名前。
[後処理/ファイルの後処理(Disposition / File Disposition)]
ファイルの性質:
- マルウェア(Malware)
-
AMP クラウドでそのファイルがマルウェアとして分類された、ローカル マルウェア分析でマルウェアとして識別された、またはファイル ポリシーで定義されたマルウェアしきい値をファイルの脅威スコアが超えたことを示します。
- クリーン(Clean)
-
AMP クラウドでそのファイルがクリーンとして分類されているか、ユーザがファイルをクリーン リストに追加したことを示します。クリーンのファイルがマルウェア テーブルに含められるのは、そのファイルがクリーンに変更された場合だけです。
- 不明
-
システムが AMP クラウドに問い合わせましたが、ファイルの性質が割り当てられていませんでした。言い換えると、AMP クラウドがファイルを正しく分類していませんでした。
- カスタム検出(Custom Detection)
-
ユーザがカスタム検出リストにファイルを追加したことを示します。
- [応対不可(Unavailable)]
-
システムがAMPクラウドに問い合わせできなかったことを示します。この性質に関するイベントが、わずかながら存在する可能性があります。これは予期された動作です。
- 該当なし
-
[ファイル検出(Detect Files)] または [ファイル ブロック(Block Files)] ルールがファイルを処理し、Firepower Management Center が AMP クラウドに問い合わせなかったことを示します。
ファイルの後処理は、システムが AMP クラウドにクエリを実行したファイルについてのみ表示されます。
ドメイン
ネットワーク向け AMP によって生成されたファイル イベントとマルウェア イベントの場合は、ファイルを検出したデバイスのドメイン。エンドポイント向け AMP によって生成されたマルウェア イベントおよび AMP クラウドによって生成される遡及的マルウェア
イベントの場合、イベントを報告した AMP クラウド接続に関連付けられたドメイン。
This field is only present if you have ever configured the Firepower Management Center for multitenancy.
イベント サブタイプ(Event Subtype)
マルウェア検出につながった AMP for Endpoints アクション([作成(Create)]、[実行(Execute)]、[移動(Move)]、[スキャン(Scan)] など)。
イベント タイプ(Event Type)
マルウェア イベントのサブタイプ。
[ファイル名(File Name)]
ファイルの名前。
ファイル パス(File Path)
AMP for Endpoints によって検出されたマルウェア ファイルのファイル パス(ファイル名を含まない)。
[ファイル ポリシー(File Policy)]
ファイルを検出したファイル ポリシー。
[ファイル ストレージ/保存済み(File Storage / Stored)](検索のみ)
イベントに関連付けられたファイルのストレージ ステータス:
- 保存(Stored)
-
関連するファイルが現在保存されているすべてのイベントを返します。
- 関連保存(Stored in connection)
-
関連するファイルが現在保存されているかどうかに関係なく、関連するファイルをシステムがキャプチャおよび保存したすべてのイベントを返します。
- 失敗しました(Failed)
-
関連するファイルをシステムが保存できなかったすべてのイベントを返します。
ファイルのタイムスタンプ(File Timestamp)
AMP for Endpoints が検出したマルウェア ファイルが作成された日時。
HTTP 応答コード(HTTP Response Code)
ファイルの転送時にクライアントの HTTP 要求に応じて送信される HTTP ステータス コード。
IOC
マルウェア イベントが、接続に関与したホストに対する侵入の痕跡(IOC)をトリガーしたかどうか。AMP for Endpoints データが IOC ルールをトリガーした場合、タイプ AMP IOC で、完全なマルウェア イベントが生成されます。
メッセージ(Message)
マルウェア イベントに関連付けられる追加情報。ファイル イベントおよびネットワーク向け AMP によって生成されたマルウェア イベントでは、このフィールドは、後処理が変更された、つまり関連付けられたレトロスペクティブ イベントがあるファイルに対してのみ入力されます。
受信側の大陸(Receiving Continent)
ファイルを受信するホストの大陸。
受信側の国(Receiving Country)
ファイルを受信するホストの国。
受信側 IP(Receiving IP)
ファイル イベントおよびネットワーク向け AMP によって生成されたマルウェア イベントの場合、ファイルを受信するホストの IP アドレス。
エンドポイント向け AMP によって生成されたマルウェアのイベントの場合、コネクタがイベントを報告したエンドポイントの IP アドレス。
受信側のポート(Receiving Port)
ファイルが検出されたトラフィックによって使用される宛先ポート。
[セキュリティ コンテキスト(Security Context)]
トラフィックが通過した仮想ファイアウォール グループを識別するメタデータ。複数のコンテキスト モードで実行している 1 台以上の ASA FirePOWER デバイスを管理する場合、システムはこのフィールドのみを表示します。
送信側の大陸(Sending Continent)
ファイルを送信するホストの大陸。
送信側の国(Sending Country)
ファイルを送信するホストの国。
送信側 IP(Sending IP)
ファイルを送信するホストの IP アドレス。
送信側のポート(Sending Port)
ファイルが検出されたトラフィックによって使用される送信元ポート。
[SHA256/ファイル SHA256/(SHA256/File SHA256)]
ファイルの SHA-256 ハッシュ値。
SHA256 値を得るには、ファイルが次のいずれかによって処理されている必要があります。
-
[ファイルの保存(Store files)] が有効になっているファイル検出ファイル ルール。
-
[ファイルの保存(Store files)] が有効になっているファイル ブロック ファイル ルール。
-
マルウェア クラウド ルックアップ ファイル ルール
-
マルウェア ブロック ファイル ルール
-
AMP for Endpoints
また、この列には最後に検出されたファイル イベントおよびファイルの後処理を表し、ネットワーク ファイル トラジェクトリにリンクするネットワーク ファイル トラジェクトリ アイコンも表示されます。
[サイズ(KB)/ファイル サイズ(KB)(Size (KB) / File Size (KB))]
ファイルのサイズ(バイト単位)。
ファイルが完全に受信される前にシステムがファイルのタイプを特定した場合は、ファイル サイズが計算されない場合があります。この状況では、このフィールドは空白です。
[SSL の実際のアクション(SSL Actual Action)](検索のみ)
システムが暗号化されたトラフィックに適用したアクション。
- [ブロック(Block)] または [リセットしてブロック(Block with reset)]
-
ブロックされた暗号化接続を表します。
- [復号(再署名)(Decrypt (Resign))]
-
再署名サーバ証明書を使用して復号された発信接続を表します。
- [復号(キーの交換)(Decrypt (Replace Key))]
-
置き換えられた公開キーと自己署名サーバ証明書を使用して復号化された発信接続を表します。
- [復号(既知のキー)(Decrypt (Known Key))]
-
既知の秘密キーを使用して復号化された着信接続を表します。
- [デフォルトアクション(Default Action)]
-
接続がデフォルト アクションによって処理されたことを示します。
- [復号しない(Do not Decrypt)]
-
システムが復号化しなかった接続を表します。
フィールド値は、検索ワークフロー ページの [SSL ステータス(SSL Status)] フィールドに表示されます。
[SSL 証明書情報(SSL Certificate Information)](検索のみ)
トラフィックを暗号化するための公開キー証明書に保存される次の情報:
-
サブジェクト/発行元共通名(Subject/Issuer Common Name)
-
サブジェクト/発行元組織(Subject/Issuer Organization)
-
サブジェクト/発行元組織単位(Subject/Issuer Organization Unit)
-
有効期間の開始/終了(Not Valid Before/After)
-
シリアル番号(Serial Number)、証明書フィンガープリント(Certificate Fingerprint)
-
公開キー フィンガープリント(Public Key Fingerprint)
[SSL 失敗の理由(SSL Failure Reason)](検索のみ)
システムが暗号化されたトラフィックの復号化に失敗した理由。
-
不明
-
不一致(No Match)
-
Success
-
キャッシュされていないセッション(Uncached Session)
-
不明な暗号スイート(Unknown Cipher Suite)
-
サポートされていない暗号スイート(Unsupported Cipher Suite)
-
サポートされていない SSL バージョン(Unsupported SSL Version)
-
使用された SSL 圧縮(SSL Compression Used)
-
パッシブ モードで復号化できないセッション(Session Undecryptable in Passive Mode)
-
ハンドシェイク エラー(Handshake Error)
-
復号エラー(Decryption Error)
-
保留中のサーバ名カテゴリの検索(Pending Server Name Category Lookup)
-
保留中の共通名カテゴリの検索(Pending Common Name Category Lookup)
-
内部エラー(Internal Error)
-
使用不可能なネットワーク パラメータ(Network Parameters Unavailable)
-
無効なサーバ証明書の処理(Invalid Server Certificate Handle)
-
使用不可能なサーバ証明書フィンガープリント(Server Certificate Fingerprint Unavailable)
-
サブジェクト DN をキャッシュできない(Cannot Cache Subject DN)
-
発行元 DN をキャッシュできない(Cannot Cache Issuer DN)
-
不明な SSL バージョン(Unknown SSL Version)
-
使用不可能な外部証明書リスト(External Certificate List Unavailable)
-
使用不可能な外部証明書フィンガープリント(External Certificate Fingerprint Unavailable)
-
無効な内部証明書リスト(Internal Certificate List Invalid)
-
使用不可能な内部証明書リスト(Internal Certificate List Unavailable)
-
使用不可能な内部証明書(Internal Certificate Unavailable)
-
使用不可能な内部証明書フィンガープリント(Internal Certificate Fingerprint Unavailable)
-
使用不可能なサーバ証明書の検証(Server Certificate Validation Unavailable)
-
サーバ証明書の検証エラー(Server Certificate Validation Failure)
-
無効なアクション(Invalid Action)
フィールド値は、検索ワークフローのページの [SSL ステータス(SSL Status)] フィールドに表示されます。
SSL ステータス(SSL Status)
暗号化接続をログに記録した [SSL の実際のアクション(SSL Actual Action)](SSL ルール、デフォルトのアクション、または復号化できないトラフィック アクション)に関連付けられているアクション。ロック アイコン(
)は、TLS/SSL 証明書の詳細にリンクしています。証明書を利用できない場合(たとえば、TLS/SSL ハンドシェイク エラーにより接続がブロックされる場合)、ロック アイコンはグレー表示になります。
システムが暗号化接続を復号できなかった場合は、[SSL の実際の動作(SSL Actual Action)](実行された復号不能のトラフィック アクション)と、[SSL 失敗理由(SSL Failure Reason)] が表示されます。たとえば、不明な暗号スイートによって暗号化されたトラフィックをシステムが検出し、それ以上のインスペクションをせずにこれを許可した場合、このフィールドには [Do Not Decrypt (Unknown Cipher Suite)] が表示されます。
このフィールドを検索する場合は、[SSL の実際の動作(SSL Actual Action)] と [SSL 失敗理由(SSL Failure Reason)] の 1 つ以上の値を入力し、システムが処理した、または復号に失敗した暗号化トラフィックを表示します。
[SSL 件名/発行者の国(SSL Subject/Issuer Country)](検索のみ)
暗号化証明書に関連付けられた件名または発行元国の 2 文字の ISO 3166-1 alpha-2 国番号。
[脅威の名前(Threat Name)]
検出されたマルウェアの名前。
[脅威スコア(Threat Score)]
このファイルに関連付けられている最新の脅威スコア。これは、動的分析中に観察された悪意がある可能性がある動作に基づいた 0 ~ 100 の値です。
脅威スコア アイコンは、[動的分析要約(Dynamic Analysis Summary)] レポートにリンクされています。
時刻(Time)
イベントが生成された日時。このフィールドは検索できません。
[タイプ/ファイル タイプ(Type/File Type)]
ファイルのタイプ(HTML や MSEXE など)。
[URI/ファイル URI(URI/File URI)](
ファイル トランザクションに関連付けられている接続の URI。たとえば、ユーザがファイルをダウンロードした URL など。
[ユーザ(User)]
イベントが発生したホストに関連付られているユーザ名(Receiving IP)。
ファイル イベントおよびネットワーク向け AMP によって生成されたマルウェア イベントの場合、このユーザはネットワーク検出によって判別されます。ユーザは宛先ホストに関連付けられているため、内部ホストがマルウェア ファイルをアップロードしたマルウェア
イベントにユーザは関連付けられません。
エンドポイント向け AMP によって生成されたマルウェア イベントの場合、エンドポイント向け AMP がユーザ名を判別します。これらのユーザをユーザ検出または制御に関連付けることはできません。それらは [ユーザ(Users)] テーブルに含まれず、それらのユーザの詳細を表示することもできません。
[Web アプリケーション(Web Application)]
接続で検出された HTTP トラフィックについて、内容を表すまたは URL を要求したアプリケーション。
Web アプリケーションのカテゴリまたはタグ(Web Application Category or Tag)
アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。