- AccessControlRuleAction
-
接続をロギングした設定に関連付けられているアクション。
セキュリティ インテリジェンスによってモニターされている接続の場合、そのアクションは、接続によってトリガーされる最初のモニター以外のアクセス コントロール ルールのアクションであるか、またはデフォルト アクションです。同様に、モニター ルールに一致するトラフィックは常に後続のルールまたはデフォルト
アクションによって処理されるため、モニター ルールによってロギングされた接続と関連付けられたアクションが [モニター（Monitor）] になることはありません。ただし、モニタ ルールに一致する接続の相関ポリシー違反をトリガーする可能性があります。
|
アクション
|
説明
|
|
許可（Allow）
|
アクセス コントロールによって明示的に許可された、またはユーザーがインタラクティブ ブロックをバイパスしたために許可された接続。
|
|
ブロック（Block）、リセットしてブロック（Block with reset）
|
次を含むブロックされた接続：
-
プレフィルタ ポリシーによってブロックされたトンネルおよびその他の接続
-
セキュリティ インテリジェンスによってブロックされた接続
-
SSL ポリシーによってブロックされた暗号化接続
-
侵入ポリシーによってエクスプロイトがブロックされた接続
-
ファイル ポリシーによってファイル（マルウェアを含む）がブロックされた接続。
システムが侵入またはファイルをブロックする接続では、アクセス コントロールの許可ルールを使用してディープ インスペクションを呼び出す場合にも、システムはブロックを表示します。
|
|
高速パス（Fastpath）
|
プレフィルタ ポリシーによって高速パスが適用された暗号化されていないトンネルおよびその他の接続。
|
|
インタラクティブ ブロック（Interactive Block）、リセット付きインタラクティブ ブロック（Interactive Block with reset）
|
システムがインタラクティブ ブロック ルールを使用してユーザーの HTTP 要求を最初にブロックしたときにログに記録された接続。システムにより表示される警告ページでユーザーがクリックスルーすると、そのセッションでログに記録されるその後の接続に許可アクションが付きます。
|
|
信頼（Trust）
|
アクセス コントロールによって信頼された接続。デバイス モデルに応じて、システムは信頼された TCP 接続を別にログに記録します。
|
|
デフォルト アクション（Default Action）
|
アクセス コントロール ポリシーのデフォルト アクションによって処理される接続。
|
|
（空白/空）
|
ルールに一致するのに十分なパケットが渡される前に接続が閉じられました。
侵入防御などのアクセス制御以外の機能によって接続がログに記録される場合にのみ発生します。
|
- AccessControlRuleName
-
接続を処理したアクセス コントロール ルールまたはデフォルト アクションと、その接続に一致した最大 8 つのモニター ルール。
接続が 1 つのモニター ルールに一致した場合、Secure Firewall Management Center は接続を処理したルールの名前を表示し、その後にモニター ルール名を表示します。接続が複数のモニター ルールに一致した場合、一致するモニター ルールの数が表示されます（Default Action + 2 Monitor Rules など）。
- AccessControlRuleReason
-
接続がロギングされた 1 つまたは複数の原因（使用可能な場合）。
IP ブロック、DNS ブロック、および URL ブロックの理由による接続には、固有のイニシエータ レスポンダ ペアごとに 15 秒のしきい値があります。システムがこれらのいずれかの接続をブロックした後、イベントを生成した時点から 15 秒の間、この
2 つのホスト間で接続がブロックされたとしても、ポートやプロトコルの違いに関わらず、接続イベントを生成しません。
- ACPolicy
-
接続をモニターしたアクセス コントロール ポリシー。
- ApplicationProtocol
-
接続で検出された、ホスト間の通信を表すアプリケーション プロトコル。
- Client
-
接続で検出されたクライアント アプリケーション。
接続に使用されている特定のクライアントをシステムが特定できなかった場合、このフィールドは汎用的な名称としてアプリケーション プロトコル名の後に「client」という語を付加して FTP client などと表示します。
- ClientVersion
-
接続で検出されたクライアント アプリケーションのバージョン（使用可能な場合）。
-
このフィールドはリリース 6.5 で追加されました。
ある接続と別の同時接続を区別するカウンタ。このフィールドは、それ自体には意味がありません。
[DeviceUUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、接続イベントを識別できます。
-
このフィールドはリリース 6.5 で追加されました。
接続イベントを処理した Snort インスタンス。このフィールドは、それ自体には意味がありません。
[DeviceUUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、接続イベントを識別できます。
- ConnectionDuration
-
このフィールドはバージョン 6.3 で導入されました。
このフィールドは、接続の最後にロギングが発生した場合にのみ、値が備わっています。接続開始の syslog メッセージでは、このフィールドは出力されません。その時点では不明であるためです。
接続終了の syslog メッセージでは、このフィールどは最初のパケットと最後のパケットまでの秒数が表示されます。短時間の接続ではゼロになることがあります。たとえば、syslog のタイムスタンプが 12:34:56 で ConnectionDuration
が 5 の場合、最初のパケットは 12:34:51 に検出されました。
- DestinationSecurityGroup
-
このフィールドはリリース 6.5 で導入されました。
接続に関係する宛先のセキュリティグループ。
このフィールドには、 Destinationsecuritygrouptag（使用可能な場合）の数値に関連付けられているテキスト値が保持されます。グループ名をテキスト値として使用できない場合、このフィールドには、[DestinationSecurityGroupTag] フィールドと同じ整数値が含まれます。
- DestinationSecurityGroupTag
-
このフィールドはリリース 6.5 で導入されました。
接続に関係する宛先のセキュリティグループタグ（SGT）数値属性。
リリース 6.6 では、この値は [DestinationSecurityGroupType] フィールドで指定されたソースから取得されます。
リリース 6.5 では、この値は ISE（SXP またはユーザーセッションのいずれか）から取得されます。
「SourceSecurityGroupTag」も参照してください。
-
このフィールドはリリース 6.6 で導入されました。
このフィールドには、セキュリティグループタグを取得した送信元が表示されます。
|
値
|
説明
|
|
インライン
|
送信元 SGT 値はパケットからのものです
|
|
Session Directory
|
送信元 SGT 値は、セッション ディレクトリ トピックによる ISE からのものです
|
|
SXP
|
送信元 SGT 値は SXP トピックによる ISE からのものです
|
- DeviceUUID
-
このフィールドはリリース 6.5 で追加されました。
イベントを生成したデバイスの一意の識別子。
[DeviceUUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、接続イベントを識別できます。
- DNS_Sinkhole
-
システムが接続をリダイレクトしたシンクホール サーバーの名前。
- DNS_TTL
-
DNS サーバーが DNS リソース レコードをキャッシュする秒数。
- DNSQuery
-
ドメイン名を検索するために接続でネーム サーバーに送信された DNS クエリ。
リリース 6.7 以降（実験段階の機能として）：
このフィールドには、DNS フィルタリングが有効になっている場合の URL フィルタリング一致のドメイン名も保持できます。この場合、[URL] フィールドは空白になり、[URL Category] フィールドと [URL Reputation]
フィールドにはドメインに関連付けられた値が含まれます。
- DNSRecordType
-
接続で送信された DNS クエリを解決するために使用された DNS リソース レコードのタイプ。
- DNSResponseType
-
問い合わせ時に接続でネーム サーバーに返された DNS レスポンス。
- DNSSICategory
- 「URLSICategory」を参照してください。
- DstIP
-
セッションレスポンダの IP アドレス（宛先 IP アドレス）（および DNS 解決が有効化されている場合はホスト名）。
プレフィルタポリシーによってブロックされるか、または高速パスが適用されたプレーンテキストのパススルートンネルでは、イニシエータとレスポンダの IP アドレスはトンネルエンドポイント（トンネルの両側のネットワークデバイスのルーテッドインターフェイス）を表します。
- DstPort
-
セッション レスポンダが使用するポート。
- EgressInterface
-
接続に関連付けられた出力インターフェイス。展開に非対称のルーティング設定が含まれている場合は、入力と出力のインターフェイスが同じインライン ペアに属する場合があります。
- EgressVRF
-
このフィールドのサポートはバージョン 6.6 で追加されました。
仮想ルーティングおよびフォワーディングを使用するネットワークでは、トラフィックがネットワークから出るときに通過する仮想ルータの名前。
- EgressZone
-
接続に関連付けられた出力セキュリティ ゾーン。
再ゾーン化されたカプセル化接続の場合、出力フィールドは空白になります。
- Endpoint Profile
-
ISE で指定されたユーザーのエンドポイント デバイス タイプ。
-
このフィールドはリリース 6.5 で追加されました。
接続イベントが優先度の高いイベントであるかどうか。高優先度（High）のイベントは、侵入、セキュリティ インテリジェンス、ファイル、またはマルウェアイベントに関連付けられた接続イベントです。他のすべてのイベントは低優先度（Low）イベントです。
- FileCount
-
1 つ以上のファイル イベントに関連付けられている接続で検出またはブロックされたファイル（マルウェア ファイルを含む）の数。
-
このフィールドはリリース 6.5 で追加されました。
システムが最初のパケットを検出した時間。
[DeviceUUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、接続イベントを識別できます。
- HTTPReferer
-
接続で検出された HTTP トラフィックの要求 URL の参照元を示す HTTP 参照元（他の URL へのリンクを提供した Web サイト、他の URL からリンクをインポートした Web サイトなど）。
- HTTPResponse
-
クライアントからの接続経由の HTTP 要求に応じて送信される HTTP ステータス コード。ステータスコードは、HTTP 要求の成功や失敗の理由を示します。
HTTP レスポンスコードの詳細については、RFC 2616（HTTP）の「Section 10」を参照してください。
- ICMPCode
-
セッションレスポンダが使用する ICMP コード。
- ICMPType
-
セッションイニシエータが使用する ICMP タイプ。
- IngressInterface
-
接続に関連付けられた入力インターフェイス。展開に非対称のルーティング設定が含まれている場合は、入力と出力のインターフェイスが同じインライン ペアに属する場合があります。
- Ingressvrf
-
このフィールドのサポートはバージョン 6.6 で追加されました。
仮想ルーティングおよびフォワーディングを使用するネットワークでは、トラフィックがネットワークに入るときに通過する仮想ルータの名前。
- IngressZone
-
接続に関連付けられた入力セキュリティ ゾーン。
再区分されたカプセル化接続では、元の入力セキュリティ ゾーンの代わりに、割り当てたトンネル ゾーンが入力フィールドに表示されます。
- InitiatorBytes
-
セッション イニシエータが送信した合計バイト数。
- InitiatorPackets
-
セッション イニシエータが送信した合計パケット数。
- , IPReputationSICategory
- 「URLSICategory」を参照してください。
- IPSCount
-
接続に関連付けられた侵入イベント（ある場合）の数。
- NAPPolicy
-
イベントの生成に関連付けられているネットワーク分析ポリシー（NAP）（ある場合）。
- NAT_InitiatorIP, NAT_ResponderIP
-
このフィールドのサポートはバージョン 7.1 で追加されました。
-
セッションのイニシエータまたはレスポンダの NAT 変換後の IP アドレス。
- NAT_InitiatorPort, NAT_ResponderPort
-
このフィールドのサポートはバージョン 7.1 で追加されました。
-
セッションのイニシエータまたはレスポンダの NAT 変換後のポート。
- NetBIOSDomain
-
セッションで使用された NetBIOS ドメイン。
- originalClientSrcIP
-
X-Forwarded-For（XFF）、True-Client-IP、またはカスタム定義の HTTP ヘッダーからの、元のクライアント IP アドレス。このフィールドに入力するには、元のクライアントに基づいてプロキシ トラフィックを処理するアクセス
コントロール ルールを有効にする必要があります。
- Prefilter Policy
-
接続を処理したプレフィルタ ポリシー。
- Protocol
-
接続に使用されるトランスポート プロトコルです。特定のプロトコルを検索するには、名前を使用するか、http://www.iana.org/assignments/protocol-numbers に記載されたプロトコルの番号を指定します。
- ReferencedHost
-
接続のプロトコルが HTTP または HTTPS の場合、このフィールドにはそれぞれのプロトコルが使用していたホスト名が表示されます。
- ResponderBytes
-
セッションレスポンダが受信した合計バイト数。
- ResponderPackets
-
セッションレスポンダが受信した合計パケット数。
- SecIntMatchingIP
-
どの IP アドレスが一致しているか。
有効な値：None、Destination、またはSource。
- セキュリティ グループ（Security Group）
-
リリース 6.5 では、このフィールドが SourceSecurityGroupTag フィールドに置き換えられ、SourceSecurityGroup、DestinationSecurityGroupTag、および DestinationSecurityGroup の新しいフィールドが導入されました。
接続に関係するパケットのセキュリティ グループ タグ（SGT）属性。SGT は、信頼ネットワーク内での、トラフィックの送信元の権限を指定します。セキュリティ グループ アクセス（Cisco TrustSec と Cisco ISE の両方に共通の機能）は、パケットがネットワークに入るときに属性を適用します。
- SourceSecurityGroup
-
このフィールドはリリース 6.5 で導入されました。
接続に関係する送信元のセキュリティグループ。
このフィールドには、 [SourceSecurityGroupTag]（使用可能な場合）の数値に関連付けられているテキスト値が保持されます。グループ名をテキスト値として使用できない場合、このフィールドには、[SourceSecurityGroupTag] フィールドと同じ整数値が含まれます。タグは、インラインデバイス（送信元
SGT 名が指定されていない）または ISE（送信元を指定している）から取得できます。
- SourceSecurityGroupTag
-
リリース 6.5 では、Security Group フィールドがこのフィールドに置き換えられました。
接続に関係するパケットのセキュリティグループタグ（SGT）属性の数値表現。SGT は、信頼ネットワーク内での、トラフィックの送信元の権限を指定します。セキュリティ グループ アクセス（Cisco TrustSec と Cisco ISE の両方に共通の機能）は、パケットがネットワークに入るときに属性を適用します。
「DestinationSecurityGroupTag」も参加してください。
- SourceSecurityGroupType
-
このフィールドはリリース 6.6 で導入されました。
このフィールドには、セキュリティグループタグを取得した送信元が表示されます。
|
値
|
説明
|
|
インライン
|
送信元 SGT 値はパケットからのものです
|
|
Session Directory
|
送信元 SGT 値は、セッション ディレクトリ トピックによる ISE からのものです
|
|
SXP
|
送信元 SGT 値は、SXP トピックによる ISE からのものです
|
- SrcIP
-
セッションイニシエータ の IP アドレス（送信元 IP アドレス）（および DNS 解決が有効化されている場合はホスト名）。
プレフィルタポリシーによってブロックされるか、または高速パスが適用されたプレーンテキストのパススルートンネルでは、イニシエータとレスポンダの IP アドレスはトンネルエンドポイント（トンネルの両側のネットワークデバイスのルーテッドインターフェイス）を表します。
- SrcPort
-
セッション イニシエータが使用するポート。
- SSLActualAction
-
システムが SSL ポリシーの暗号化トラフィックに適用したアクション。
|
アクション
|
説明
|
|
ブロック/リセット付きブロック（Block/Block with reset）
|
ブロックされた暗号化接続を表します。
|
|
[復号（再署名）（Decrypt (Resign)）]
|
再署名サーバー証明書を使用して復号された発信接続を表します。
|
|
[復号（キーの交換）（Decrypt (Replace Key)）]
|
置き換えられた公開キーと自己署名サーバー証明書を使用して復号化された発信接続を表します。
|
|
[復号（既知のキー）（Decrypt (Known Key)）]
|
既知の秘密キーを使用して復号化された着信接続を表します。
|
|
[デフォルトアクション（Default Action）]
|
接続がデフォルト アクションによって処理されたことを示します。
|
|
[復号しない（Do not Decrypt）]
|
システムが復号化しなかった接続を表します。
|
- SSLCertificate
-
トラフィックを暗号化するための公開キー証明書に保存される次の情報：
-
サブジェクト/発行元共通名（Subject/Issuer Common Name）
-
サブジェクト/発行元組織（Subject/Issuer Organization）
-
サブジェクト/発行元組織単位（Subject/Issuer Organization Unit）
-
有効期間の開始/終了（Not Valid Before/After）
-
シリアル番号（Serial Number）
-
証明書フィンガープリント（Certificate Fingerprint）
-
公開キー フィンガープリント（Public Key Fingerprint）
- SSLExpectedAction
-
有効な SSL ルールで指定された、暗号化トラフィックに適用されると予想されるアクション。
- SSLFlowStatus
-
システムが暗号化されたトラフィックの復号化に失敗した理由。
-
不明
-
No Match
-
Success
-
Uncached Session
-
不明な暗号スイート
-
サポートされていない暗号スイート
-
Unsupported SSL Version
-
SSL Compression Used
-
Session Undecryptable in Passive Mode
-
Handshake Error
-
Decryption Error
-
Pending Server Name Category Lookup
-
Pending Common Name Category Lookup
-
Internal Error
-
Network Parameters Unavailable
-
Invalid Server Certificate Handle
-
Server Certificate Fingerprint Unavailable
-
Cannot Cache Subject DN
-
Cannot Cache Issuer DN
-
Unknown SSL Version
-
External Certificate List Unavailable
-
External Certificate Fingerprint Unavailable
-
Internal Certificate List Invalid
-
Internal Certificate List Unavailable
-
Internal Certificate Unavailable
-
Internal Certificate Fingerprint Unavailable
-
Server Certificate Validation Unavailable
-
Server Certificate Validation Failure
-
無効なアクション（Invalid Action）
- SSLPolicy
-
接続を処理した SSL ポリシー。
リリース 6.7 以降： アクセス コントロール ポリシーの詳細設定で TLS サーバーのアイデンティティ検出が有効になっている場合で、そのアクセス コントロール ポリシーに関連付けられている SSL ポリシーがない場合、このフィールドにはどの SSL イベントについても何も保持されません。
- SSLRuleName
-
接続を処理した SSL ルールまたはデフォルト アクションと、その接続に一致した最初のモニター ルール。接続がモニター ルールに一致した場合、フィールドには接続を処理したルールの名前が表示され、その後にモニター ルール名が表示されます。
- SSLServerCertStatus
-
これは、認証ステータスの SSL ルール条件が設定されている場合にのみ適用されます。暗号化されたトラフィックが SSL ルールに一致すると、このフィールドに次のサーバーの証明書のステータス値の 1 つ以上が表示されます。
-
[自署（Self Signed）]
-
Valid
-
Invalid Signature
-
Invalid Issuer
-
Expired
-
Unknown
-
Not Valid Yet
-
[失効（Revoked）]
復号できないトラフィックが SSL ルールと一致する場合、このフィールドには [未チェック（Not Checked）] と表示されます。
- SSLServerName
-
クライアントが暗号化された接続を確立した相手側サーバーのホスト名。
- SSLSessionID
-
TLS/SSL ハンドシェイク時にクライアントとサーバー間でネゴシエートされた 16 進数セッション ID。
- SSLTicketID
-
TLS/SSL ハンドシェイク時に送信されたセッション チケット情報の 16 進数のハッシュ値。
- SSLURLCategory
-
暗号化接続でアクセスされた URL の URL カテゴリ
システムが TLS/SSL アプリケーションを識別またはブロックする場合、要求された URL は暗号化トラフィック内にあるため、システムは、SSL 証明書に基づいてトラフィックを識別します。したがって TLS/SSL アプリケーションの場合、このフィールドは証明書に含まれる一般名を表示します。
- SSLVersion
-
接続の暗号化に使用された TLS/SSL プロトコル バージョン。
-
不明
-
SSLv2.0
-
SSLv3.0
-
TLSv1.0
-
TLSv1.1
-
TLSv1.2
- SSSLCipherSuite
-
接続を暗号化するのに使用される暗号スイートを表すマクロ値。暗号スイート値の指定については、www.iana.org/assignments/tls-parameters/tls-parameters.xhtml を参照してください。
- TCPFlags
-
NetFlow データから生成された接続において、接続で検出された TCP フラグ。
- Tunnel または Prefilter Rule
-
トンネル ルール、プレフィルタ ルール、または接続を処理したプレフィルタ ポリシーのデフォルト アクション。
- URL
-
セッション中にモニター対象のホストによって要求された URL。
リリース 6.7 以降（実験段階の機能として）：
[URL] 列が空で、DNS フィルタリングが有効になっている場合、[DNS Query] フィールドにドメインが表示され、[URL Category] と [URL Reputation] の値がドメインに適用されます。
- URLCategory
-
セッション中にモニター対象ホストによって要求された URL のカテゴリ（使用可能な場合）。
リリース 6.7 以降（実験段階の機能として）：
[URL] 列が空で、DNS フィルタリングが有効になっている場合、[DNS Query] フィールドにドメインが表示され、[URL Category] と [URL Reputation] の値がドメインに適用されます。
フィードバック