Firepower Management Center バージョン 6.0 コンフィギュレーション ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年12月13日
章のタイトル： ワークフロー
- 概要：ワークフロー
- 定義済みワークフロー
- 定義済み侵入イベントのワークフロー
- 定義済みマルウェアのワークフロー
- 定義済みファイルのワークフロー
- 定義済みキャプチャ ファイルのワークフロー
- 定義済み接続データのワークフロー
- 定義済みセキュリティ インテリジェンスのワークフロー
- 定義済みホストのワークフロー
- 定義済み侵害の兆候のワークフロー
- 定義済みアプリケーション ワークフロー
- 定義済みアプリケーション詳細ワークフロー
- 定義済みサーバのワークフロー
- 定義済みホスト属性のワークフロー
- 定義済み検出イベントのワークフロー
- 定義済みユーザ ワークフロー
- 定義済み脆弱性のワークフロー
- 定義済みのサードパーティ脆弱性のワークフロー
- 定義済み相関ワークフロー、ホワイト リスト ワークフロー
- 定義済みのシステムのワークフロー
- カスタム テーブル ワークフロー
- ワークフローの使用
- イベント時間の制約
ワークフロー
以下のトピックでは、ワークフローの使用方法について説明します。
概要：ワークフロー
ワークフローは Firepower Management Center Web インターフェイス上でユーザに合わせて作成された一連のデータ ページで、アナリストはワークフローを使用して、システムで生成されたイベントを評価することができます。
Firepower Management Center では、以下のタイプのワークフローを使用できます。
- 定義済みワークフロー
-
システムに付属のプリセット ワークフローです。定義済みのワークフローの編集や削除を行うことはできません。ただし、定義済みワークフローをコピーして、そのコピーをカスタム ワークフローの基礎として使用することができます。
- 保存済みのカスタム ワークフロー
-
Firepower Management Center に付属の保存済みカスタム テーブルに基づくカスタム ワークフロー。これらのワークフローは編集、削除、コピーすることができます。
- カスタム ワークフロー
-
特定のニーズに対応するために作成してカスタマイズするワークフロー、またはカスタム テーブルを作成するとシステムによって自動的に生成されるワークフローです。これらのワークフローは編集、削除、コピーすることができます。
通常、ワークフローに表示されるデータは、管理対象デバイスのライセンスおよび展開状況や、データを提供する機能を設定しているかどうかによって異なります。
定義済みワークフロー
以下の項で説明する定義済みワークフローは、システムに付属しているものです。定義済みワークフローを編集または削除することはできません。ただし、定義済みワークフローをコピーして、そのコピーをカスタム ワークフローのベースとして使用することができます。
- 定義済み侵入イベントのワークフロー
- 定義済みマルウェアのワークフロー
- 定義済みファイルのワークフロー
- 定義済みキャプチャ ファイルのワークフロー
- 定義済み接続データのワークフロー
- 定義済みセキュリティ インテリジェンスのワークフロー
- 定義済みホストのワークフロー
- 定義済み侵害の兆候のワークフロー
- 定義済みアプリケーション ワークフロー
- 定義済みアプリケーション詳細ワークフロー
- 定義済みサーバのワークフロー
- 定義済みホスト属性のワークフロー
- 定義済み検出イベントのワークフロー
- 定義済みユーザ ワークフロー
- 定義済み脆弱性のワークフロー
- 定義済みのサードパーティ脆弱性のワークフロー
- 定義済み相関ワークフロー、ホワイト リスト ワークフロー
- 定義済みのシステムのワークフロー
定義済み侵入イベントのワークフロー
次の表では、Firepower System に備わっている定義済み侵入イベントのワークフローについて説明します。
定義済みマルウェアのワークフロー
次の表では、Firepower Management Center に備えられた定義済みマルウェアのワークフローについて説明します。定義済みマルウェアのワークフローでは、必ずマルウェア イベントのテーブル ビューを使用します。
定義済みファイルのワークフロー
次の表では、Firepower Management Center に備えられる定義済みファイル イベントのワークフローについて説明しています。定義済みファイル イベントのワークフローでは、必ずファイル イベントのテーブル ビューを使用します。
定義済みキャプチャ ファイルのワークフロー
次の表では、Firepower Management Center での定義済みキャプチャ ファイルのワークフローについて説明しています。定義済みキャプチャ ファイルのワークフローは、必ずキャプチャ ファイルのテーブル ビューを使用します。
定義済み接続データのワークフロー
次の表では、Firepower Management Center に備えられる定義済み接続データのワークフローについて説明しています。定義済み接続データ ワークフローでは、必ず接続データのテーブル ビューを使用します。
定義済みセキュリティ インテリジェンスのワークフロー
次の表では、Firepower Management Center に備えられている定義済みセキュリティ インテリジェンスのワークフローについて説明しています。定義済みセキュリティ インテリジェンスのワークフローでは、必ずセキュリティ インテリジェンス イベントのテーブル ビューを使用します。
定義済みホストのワークフロー
次の表では、ホスト データと共に使用できる定義済みワークフローについて説明します。
|
このワークフローには、ホストのテーブル ビューと、その後にホスト ビューが含まれます。ホスト テーブルに基づくワークフロー ビューでは、ホストに関連付けられているすべての IP アドレスのデータを容易に表示できます。 |
|
定義済み侵害の兆候のワークフロー
次の表では、IOC（侵害の兆候）と共に使用できる定義済みワークフローについて説明します。
定義済みアプリケーション ワークフロー
次の表では、アプリケーション データと共に使用できる定義済みワークフローについて説明しています。
定義済みアプリケーション詳細ワークフロー
次の表では、アプリケーションの詳細とクライアント データと共に使用できる定義済みワークフローについて説明しています。
|
このワークフローを用いて、ネットワーク上のクライアント アプリケーションをさらに詳しく分析することができます。また、このワークフローでは、クライアント アプリケーションのテーブル ビューを表示し、その後ホスト ビューを表示します。 |
|
定義済みサーバのワークフロー
次の表では、サーバ データと共に使用できる定義済みワークフローについて説明します。
定義済みホスト属性のワークフロー
次の表では、ホスト属性データと共に使用できる定義済みワークフローについて説明します。
定義済み検出イベントのワークフロー
次の表では、検出データとアイデンティティ データの表示に使用できる定義済みワークフローについて説明しています。
定義済みユーザ ワークフロー
次の表では、ユーザ検出データとユーザ アイデンティティ データの表示に使用できる定義済みワークフローを説明します。
|
Users |
このワークフローでは、ユーザ ID ソースによって収集されるユーザ情報リストが表示されます。 |
定義済み脆弱性のワークフロー
次の表では、Firepower Management Center に備えられている定義済み脆弱性のワークフローについて説明します。
|
このワークフローを使用して、ネットワーク上で検出されたホストに適用するこれらのアクティブな脆弱性のみのテーブル ビューなど、データベース内の脆弱性を検討できます。このワークフローにより脆弱性詳細ビューが提供され、これには制約に適合するそれぞれの脆弱性に関する詳細な説明が含まれています。 |
定義済みのサードパーティ脆弱性のワークフロー
次の表では、Firepower Management Center に備えられた定義済みのサードパーティ脆弱性のワークフローについて説明します。
|
このワークフローを使用して、監視対象のネットワーク上のホスト IP アドレスごとに検出されたサードパーティの脆弱性の数をすぐに確認できます。 |
|
|
このワークフローを使用して、QualysGuard Scanner などサードパーティの脆弱性の送信元ごとに検出されたサードパーティの脆弱性の数をすぐに確認できます。 |
定義済み相関ワークフロー、ホワイト リスト ワークフロー
相関データ、ホワイト リスト イベント、ホワイト リスト違反、修復ステータス イベントのそれぞれのタイプには、定義済みワークフローがあります。
定義済みのシステムのワークフロー
Firepower System には、監査イベントやヘルスイベントなどのシステム イベントなど、いくつかの追加のワークフロー、ルール更新インポート、アクティブ スキャンの結果をリストにしたワークフローが提供されています。
|
このワークフローは、成功したルールの更新インポートと失敗したルールの更新インポートに関する情報をリストしたテーブル ビューを含みます。 |
|
カスタム テーブル ワークフロー
カスタム テーブルの機能を使用して、複数のイベント タイプのデータを使用するテーブルを作成することができます。これにより、たとえば、ユーザが侵入イベントのデータとディスカバリ データを関連付けるテーブルおよびワークフローを作成して、重要なシステムに影響を及ぼすイベントを簡単に検索できるようになるため、役立ちます。
カスタム テーブルを作成すると、システムは自動的にワークフローを作成します。このテーブルを使って関連するイベントを表示することができます。ワークフローの機能は、使用するテーブルのタイプによって異なります。たとえば、侵入イベント テーブルに基づいたカスタム テーブルのワークフローは、必ずパケット ビューで終了します。ただし、検出イベントに基づいたカスタム テーブルのワークフローは、必ずホスト ビューで終了します。
事前定義のイベント テーブルに基づいたワークフローとは異なり、カスタム テーブルに基づいたワークフローには、他のタイプのワークフローへのリンクがありません。
ワークフローの使用
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
（ワークフローに応じて）Admin/Maint/Any Security Analyst |
| ステップ 1 | ワークフローの選択に記載されているように、適切なメニュー パスとオプションを選択します。 | ||||
| ステップ 2 | 現在のワークフロー内で移動します。
| ||||
| ステップ 3 | 現在のワークフローの表示を変更します。
| ||||
| ステップ 4 | 現在のワークフロー内の追加データを表示します。
| ||||
| ステップ 5 | 別のワークフローに移動します。
別のワークフローを使用して同じイベント タイプを表示するには、ワークフローのタイトルの横にある（ワークフローの切り替え）をクリックして、使用するワークフローを選択します。スキャン結果には別のワークフローを使用できないことに注意してください。 |
）をクリックします。
）をクリックして、表示する列を制約します。表示されるポップアップ ウィンドウで、[適用（Apply）] をクリックします。
）か、または降順である（
、または侵害の兆候に関連付けられたユーザの場合は
）をクリックします。ユーザ アイコンは、そのユーザがデータベースにない場合（つまり、AMP for Endpoints Connector ユーザの場合）は淡色表示されます。
）をクリックします。ユーザ ロールによるワークフローへのアクセス
ワークフローへのアクセスはユーザのロールにより異なります。詳細については、次の表を参照してください。
|
ユーザ ロール |
アクセス可能なワークフロー |
|---|---|
|
管理者（Administrator） |
すべてのワークフローにアクセスできます。また、Administrator は監査ログ、スキャン結果、およびルール更新のインポート ログにアクセスできる唯一のユーザです。 |
|
メンテナンスユーザ |
ヘルス イベントにアクセスできます。 |
|
セキュリティ アナリストとセキュリティ アナリスト（読み取り専用） |
侵入、マルウェア、ファイル、接続、検出、脆弱性、相関、ヘルスワークフローにアクセスできます。 |
ワークフローの選択
Firepower システムには、次の表に記載されているデータのタイプに対して、事前定義のワークフローが用意されています。
|
ホワイトリスト イベント（White List Events） |
||
上記の表に記載されているいずれかの種類のデータを表示する場合、そのデータのデフォルトのワークフローの最初のページにイベントが表示されます。イベント ビューの設定項目を設定することによって、別のデフォルト ワークフローを指定することができます。ワークフローへのアクセス権限は、ユーザの役割によって異なります。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
ワークフローのページ
ワークフローのタイプによってデータは異なりますが、すべてのワークフローで共通の機能セットを共有しています。ワークフローには、数種類のページを含めることができます。ユーザがワークフローのページ上で実行できるアクションは、ページのタイプによって異なります。
ワークフローのドリル ダウンのページとテーブル ビューのページを使用すれば、データのビューをすばやく絞り込むことができるため、分析にとって重要なイベントに集中できます。テーブル ビューのページとドリルダウンのページの両方で、ユーザが表示するイベント セットに制約を適用したり、ワークフローをナビゲートしたりするために使用できる機能が多数サポートされています。ドリルダウン ページ、またはワークフロー内のテーブル ビューでデータを表示する場合、ソートに使用できる任意のカラムに基づいてデータを昇順または降順でソートできます。1 つのワークフローのページに表示できるイベント数よりも多くのイベントがデータベースに含まれている場合は、ページの下部にあるリンクをクリックして、さらにイベントを表示できます。これらのリンクの 1 つをクリックすると時間枠が自動的に一時停止されるため、同じイベントが 2 回表示されません。準備ができたら時間枠の一時停止を解除できます。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
テーブル ビュー
ページがデフォルトで有効になっている場合、テーブル ビューには、ワークフローのベースとなるデータベースの各フィールドに対するカラムが含まれています。
テーブル ビューでカラムを無効にし、それによって同じ行が複数生成される場合、Firepower システムによってイベント ビューに [カウント（Count）] カラムが追加されます。テーブル ビュー ページで 1 つの値をクリックすると、その値によって制約することができます。カスタム ワークフローを作成する場合は、[テーブル ビューの追加（Add Table View）] をクリックしてテーブル ビューを追加します。
ドリルダウン ページ
ドリルダウン ページは、通常テーブル ビューのページに移動する前に調査対象を絞り込むために使用する中間ページです。ドリルダウン ページには、データベースで使用できるカラムのサブセットが含まれています。
たとえば、検出イベントのドリルダウン ページには、[IP アドレス（IP Address）]、[MAC アドレス（MAC Address）]、および [時刻（Time）] カラムだけが含まれています。また、侵入イベントのドリルダウン ページには、[優先順位（Priority）]、[影響フラグ（Impact Flag）]、[インラインの結果（Inline Result）]、および [メッセージ（Message）] カラムが含まれています。
ドリルダウン ページを使用すれば、表示するイベントの範囲を絞り込んだり、ワークフローで先へ進んだりできます。ドリルダウン ページで 1 つの値をクリックすると（たとえば、その値で制約を加えて、ワークフローの次のページに進んだ場合）、選択した値に一致するイベントをさらに詳しく調べることができます。ドリルダウン ページで値をクリックした場合、次のページがテーブル ビューであっても、値が存在するカラムは無効になりません。事前定義のワークフローのドリルダウン ページには、必ず [カウント（Count）] カラムがあることに注意してください。カスタム ワークフローを作成する場合は、[ページの追加（Add Page）] をクリックしてドリルダウン ページを追加します。
グラフ
接続データに基づくワークフローには、グラフ ページ（接続グラフとも呼ばれる）を含めることができます。
たとえば接続グラフには、一定期間にシステムで検出された接続の数を示す線グラフを表示することができます。一般的に接続グラフは、ドリルダウン ページと同様に、ユーザが調査対象を絞り込むために使用する中間ページです。
最終ページ
ワークフローの最終ページは、ワークフローがベースとするイベントのタイプによって異なります。
-
ホスト ビューとは、アプリケーション、アプリケーションの詳細、検出イベント、ホスト、侵害の兆候（IOC）、サーバ、ホワイトリスト違反、ホスト属性、またはサードパーティ製の脆弱性に基づいたワークフローの最終ページです。このページからホスト プロファイルを表示することにより、ユーザは、複数のアドレスを持つホストに関連付けられているすべての IP アドレス上のデータを簡単に表示することができます。
他の種類のイベント（監査ログ イベントやマルウェア イベントなど）に基づいたワークフローには、最終ページがありません。
ワークフローの最終ページで詳細セクションを展開して、ワークフローの進行中に絞り込んだセットの各オブジェクトについて、具体的な情報を表示することができます。Web インターフェイスでは、ワークフローの最終ページに制約が表示されませんが、以前に設定した制約は保持されており、データのセットに適用されます。
ワークフロー ページのナビゲーション ツール
ワークフローのページには、ページ間の移動と、イベントの分析中に表示する情報の選択を容易にする視覚的なキューが用意されています。
ワークフロー ページのトラバーサル ツール
ワークフローに複数のデータ ページが含まれている場合は、各ページの下部にワークフロー内のページ数と、ページ間を移動するために使用できるツールが表示されます。これらのツールを次の表に示します。
|
操作 |
|
|---|---|
ファイル トラジェクトリ アイコン
ワークフロー ページで、新しいウィンドウにファイルのトラジェクトリ マップを表示する機会があるときは、ネットワーク トラジェクトリ アイコンが表示されます。このアイコンは、ファイルのステータスによって変わります。
 |
|
 |
|
 |
|
 |
|
 |
ホスト プロファイルのアイコン
ワークフロー ページでは、IP アドレスに関連付けられたホスト プロファイルをポップアップ ウィンドウで表示することができ、ホスト プロファイル アイコンが表示されます。ホスト プロファイルのアイコンがグレー表示になっている場合は、ネットワーク マップ内にそのホストが存在することができないため、ホスト プロファイルを表示できません（0.0.0.0 など）。このアイコンは、ホストのステータスによって異なって表示されます。
 |
|
 |
|
 |
ブラックリスト化されています（セキュリティ インテリジェンス データに基づいて、トラフィック フィルタリングを実行している場合にのみ表示されます）。 |
 |
ブラックリスト化され、モニタに設定されています（セキュリティ インテリジェンス データに基づいて、トラフィック フィルタリングを実行している場合にのみ表示されます）。 |
脅威スコア アイコン
ワークフロー ページで、ファイルに関連付けられているスコアが最も高い脅威に関する動的分析サマリ レポートを表示すると、脅威スコア アイコンが表示されます。このアイコンは、ファイルの最も高い脅威スコアに応じて異なります。
 |
|
 |
|
 |
|
 |
ワークフロー ツールバー
ワークフローの各ページには、関連する機能へすばやくアクセスするためのツールバーがあります。次の表で、ツールバー上の各リンクについて説明します。
ドリルダウン ページの使用
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じて異なります） |
| ステップ 1 | 「ワークフローを使用する機能」の説明に従って、適切なメニュー パスとオプションを選択してワークフローにアクセスします。 | ||
| ステップ 2 | すべてのワークフローで、次のオプションを選択できます。
|
テーブル ビュー ページの使用
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じて異なります） |
テーブル ビュー ページには、ドリルダウン、ホスト ビュー、パケット ビュー、脆弱性の詳細ページでは利用できない機能が用意されています。これらの機能は次のように使用します。
| ステップ 1 | ワークフローの選択の説明に従って、適切なメニュー パスとオプションを選択してワークフローにアクセスします。 |
| ステップ 2 | ワークフローの名前の下に表示されるワークフロー パスからテーブル ビューを選択します。 |
| ステップ 3 | 必要に応じて、次に示す機能を使用してテーブル ビュー内に配置したり、移動したりします。
|
）をクリックします。位置情報（GeoLocation）
地理位置情報機能によって、ルート可能な IP アドレスの地理的な送信元についてのデータ（国や大陸など）が提供されます。この情報は、イベント、資産のプロファイル、コンテキスト エクスプローラ、ダッシュボードやその他の分析ツールで使用できます。
 （注） | 国間を移動するモバイル デバイスやその他のホストが検出された場合、システムは特定の国ではなく大陸名を報告する可能性があります。 |
地理位置情報データを使用してネットワーク トラフィックをフィルタできます。たとえば、接続の発信元または終端が、組織と関連性のない国であるかどうかを判別できます。インライン展開では、これらの接続をブロックするか、またはを行うことができます。
地理位置情報データはシステムの地理位置情報データベース（GeoDB）内に保存されます。シスコでは、GeoDB の定期的な更新を提供しています。[概要（About）] ページ（）に GeoDB の現在の更新バージョンが表示されています。
GeoDB の更新を許可する場合、Firepower Management Center Web インターフェイスで小さな国旗のアイコンと ISO 国番号をクリックして特定の IP アドレスに関する地理位置情報の詳細を取得することができます。地理情報の詳細情報を参照してください。また、サードパーティのマップ ツールを使用して、検出された場所を特定することもできます。GeoDB を更新しない場合、これらの詳細情報は取得できません。
[接続のサマリ（Connection Summary）] ダッシュボードなど、集約的な地理位置情報から詳細の地理位置情報を表示することはできません。
地理情報の詳細情報
可用性に応じて、[地理情報の詳細（Geolocation Details）] ページに多数のフィールドが表示される場合があります。次の表で、これらのフィールドの情報について示します。（情報がないフィールドは表示されません。）
接続イベント グラフ
システムは、テーブル形式のドリル ダウン ページを使ったワークフローや最終的なイベントのテーブル表示に加えて、5 分間隔で集計されたデータを使用して、特定の接続データをグラフィック表示することができます。グラフ表示できるのは、データを集約するのに使用する情報（送信元と宛先の IP アドレス（およびこれらのホストに関連するユーザ）、宛先ポート、トランスポート プロトコルとアプリケーション プロトコル）のみです。
 ヒント | セキュリティ インテリジェンス イベントを関連する接続イベントとは別にグラフ表示することはできません。セキュリティ インテリジェンスのフィルタリング アクティビティの概要をグラフィック表示するには、ダッシュボードとコンテキスト エクスプローラを使用します。 |
（注） | システムは、トラフィック プロファイルを線グラフで表示します。他の接続グラフと同様に操作可能ですが、いくつか規制があります。トラフィック プロファイルを表示するには、管理者アクセス権が必須です。 |
ワークフロー テーブルと同様に、ワークフロー グラフもドリル ダウンし、制約を加えることで分析の的を絞ることができます。
棒グラフおよび折れ線グラフはどちらも複数のデータセットを表示できます。つまり、各 X 軸データ ポイントに対し、Y 軸に複数の値を表示できます。たとえば、一意のイニシエータとレスポンダの総数を表示することができます。円グラフでは、1 つのデータセットのみ表示できます。
X 軸または Y 軸、もしくは両方を変更することによって、接続グラフにさまざまなデータやデータセットを表示できます。円グラフでは、X 軸を変更すると独立変数が変わり、Y 軸を変更すると従属変数を変わります。
接続イベント グラフの使用方法
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
（ワークフローに応じて）Admin/Maint/Any Security Analyst |
Firepower Management Center では、検索する情報に応じて、接続イベント グラフを表示したり操作したりできます。
接続グラフにアクセスしたときに表示されるページは、使用するワークフローによって異なります。接続イベントのテーブル ビューで終了する、事前定義されたワークフローを使用できます。また、特定のニーズを満たす情報だけを表示するカスタム ワークフローを作成することもできます。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
| ステップ 1 | を選択します。
| ||||
| ステップ 2 | 次の選択肢があります。
|
例：接続グラフの制約
ある期間の接続のグラフについて考えてみましょう。グラフ上の点をポートによって制約すると、検出された接続イベント数に基づいて、最もアクティブだった 10 のポートを示す棒グラフが表示されますが、クリックした点を中心とする 10 分間の時間枠によって制約されます。
棒の 1 つをクリックし、[発信側 IP による表示（View by Initiator IP）] を選択してグラフをさらに制約すると、それまでと同じ 10 分間の時間枠だけでなく、クリックした棒が表すポートでも制約された新しい棒グラフが表示されます。
ポートごとのキロバイト数を表示する円グラフについて考えてみましょう。この場合、X 軸は レスポンダ ポート、Y 軸は キロバイト です。この円グラフは、ある間隔に監視対象ネットワークで送信されたデータの合計キロバイト数を表します。円の中の扇形は、各ポートで検出されたデータの比率を表します。
接続グラフ データ オプション
X 軸または Y 軸、もしくは両方を変更することによって、接続グラフにさまざまなデータを表示できます。円グラフでは、X 軸を変更すると独立変数が変わり、Y 軸を変更すると従属変数を変わります。
|
最もアクティブな 10 個の NetFlow データ エクスポータと、Firepower システムの管理対象デバイスによって検出されたすべての接続の Firepower という名前の送信元デバイスに基づいて。 |
||
複数のデータセットの接続グラフ
棒グラフおよび折れ線グラフはどちらも複数のデータセットを表示できます。つまり、各 X 軸データ ポイントに対し、Y 軸に複数の値を表示できます。たとえば、一意のイニシエータとレスポンダの総数を表示することができます。
折れ線グラフでは、複数のデータセットは複数の線として、それぞれ異なる色で表示されます。たとえば次のグラフは、監視対象ネットワークにおいて 1 時間の間に検出された一意のイニシエータの合計数と一意のレスポンダの合計数を表示しています。
棒グラフでは、複数のデータセットが X 軸データ ポイントごとに色分けされた棒として表示されます。たとえば次の棒グラフは、監視対象ネットワーク上で送信されたパケットの合計数と、イニシエータによって送信されたパケット数、レスポンダによって送信されたパケット数を表示しています。
接続グラフ データセット オプション
次の表では、接続グラフの x 軸に表示できるデータセットについて説明します。
イベント時間の制約
各イベントには、そのイベントがいつ発生したかを示すタイム スタンプがあります。時間枠（時間範囲とも呼ばれる）を設定することによって、いくつかのワークフローに表示される情報を制約することができます。
時間によって制約できるイベントに基づいたワークフローには、ページの上部に時間範囲を表す行が含まれています。デフォルトでは、シスコ アプライアンス上のワークフローは、1 時間前が開始時間として設定された時間枠を使用します。たとえば、午前 11:30 にログインした場合、午前 10:30～11:30 の間に発生したイベントが表示されます。時間が経過するにしたがって、時間枠が拡張されます。午後 12:30 には、午前 10:30～午後 12:30 の間に発生したイベントが表示されます。
イベント ビューの設定で独自のデフォルト時間枠を設定することによって、この動作を変更することができます。これにより、次の 3 つのプロパティが影響を受けます。
ページの上部にある時間範囲をクリックして [日時（Date/Time）] ポップアップ ウィンドウを表示し、デフォルトの時間枠の設定に関係なく、イベントの分析中に時間枠を手動で変更することができます。設定した時間枠の数、および使用しているアプライアンスのタイプに応じて [日時（Date/Time）] ウィンドウを使用して、表示しているイベントのタイプに対するデフォルトの時間枠を変更することもできます。
最後に、時間枠は一時停止することができるため、時間枠の変更と削除、または必要のないイベントを追加することなく、ワークフローで提供されたデータを調べることができます。ページの下部にあるリンクをクリックしてイベントの他のページを表示する場合は、異なるワークフロー ページで同じイベントを表示しないように、時間枠が自動的に一時停止することに注意してください。準備ができたら時間枠の一時停止を解除できます。
イベントの時間枠のカスタマイズ
デフォルトの時間枠に関係なく、イベントの分析中に時間枠を手動で変更することができます。
（注） | 手動による時間枠の設定は、現在のセッションについてのみ有効です。いったんログアウトしてからもう一度ログインすると、時間枠はデフォルトにリセットされます。 |
ユーザが設定した時間枠の数によっては、1 つのワークフローの時間枠の変更が、アプライアンス上の他のワークフローに影響を与えることがあります。たとえば、単一のグローバル時間枠がある場合、1 つのワークフローの時間枠を変更すると、アプライアンス上の他のすべてのワークフローの時間枠が変更されます。一方、複数の時間枠を使用している場合は、監査ログまたはヘルス イベントのワークフローの時間枠を変更しても、他の時間枠には影響を与えませんが、他の種類のイベントの時間枠を変更すると、時間で制約できるすべてのイベント（監査イベントとヘルス イベントは除く）が影響を受けます。
すべてのワークフローを時間によって制約できるわけではないため、時間枠の設定は、ホスト、ホスト属性、アプリケーション、アプリケーションの詳細、脆弱性、ユーザ、またはホワイトリスト違反に基づいたワークフローには影響を与えないことに注意してください。
[日付/時刻（Date/Time）] ウィンドウの [時間枠（Time Window）] タブを使用して、時間枠を手動で設定します。デフォルトの時間枠設定で設定した時間枠の数によって、タブのタイトルは以下のいずれかになります。
-
[イベントの時間枠（Events Time Window）]：複数の時間枠を設定し、監査ログまたはヘルス イベントのワークフロー以外のワークフローに対して時間枠を設定している場合
-
[ヘルス モニタリングの時間枠（Health Monitoring Time Window）]：複数の時間枠を設定し、ヘルス イベントのワークフローに対して時間枠を設定している場合
-
[監査ログの時間枠（Audit Log Time Window）]：複数の時間枠を設定し、監査ログに対して時間枠を設定している場合
時間枠を設定する場合には、最初に、使用する時間枠のタイプを決定する必要があります。
-
拡張（expanding）の時間枠では、特定の開始時刻から現在までの間に生成されたすべてのイベントが表示されます。そして、時間の経過とともに時間枠が拡張され、新しいイベントがイベント ビューに追加されます。
-
スライディング（sliding）の時間枠では、特定の開始時刻（たとえば、1 週間前）から現在までの間に生成されたすべてのイベントが表示されます。そして、時間の経過とともに時間枠が「スライド」するため、設定した範囲（この例では、過去 1 週間）のイベントのみが表示されます。
選択したタイプによって、[日付/時刻（Date/Time）] ウィンドウが変化し、さまざまな設定オプションが提供されます。
（注） | Firepower システムでは、タイム ゾーンの設定に指定された時間に基づいて、24 時間の時計を使用します。 |
時間枠の設定
次の表で、[時間枠（Time Window）] タブで設定できるさまざまな項目について説明します。
時間枠の変更
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じる） |
| ステップ 1 | 時間により制約されたワークフローで、時間範囲のアイコン（ ）をクリックし、[日付と時間（Date/Time）] ウィンドウを開きます。 | ||
| ステップ 2 | [イベントの時間枠（Events Time Window）] タブで、時間枠の設定に記載されているように時間枠を設定します。
| ||
| ステップ 3 | [適用（Apply）] をクリックします。 |
イベントのデフォルト時間枠
イベントの分析中に、[日付/時間（Date/Time）] ウィンドウの [設定（Preferences）] タブを使用し、表示しているイベントのタイプに対するデフォルトの時間枠を（イベント ビューの設定を使用せずに）変更することができます。
この方法でデフォルトの時間枠を変更すると、表示しているイベントのタイプのデフォルト時間枠のみが変わります。たとえば、複数の時間枠を設定している場合に [設定（Preferences）] タブでデフォルトの時間枠を変更すると、イベント、ヘルス モニタリング、または監査ログ ウィンドウのいずれかの設定が変更されます。つまり、最初のタブで示されている時間枠が変更されます。1 つの時間枠を設定している場合に [設定（Preferences）] タブでデフォルトの時間枠を変更すると、イベントのすべてのタイプのデフォルト時間枠が変わります。
イベント タイプのデフォルトの時間枠オプション
次の表で、[設定（Preferences）] タブで設定できるさまざまな設定について説明します。
イベント タイプのデフォルトの時間枠の変更
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst |
| ステップ 1 | 時間により制約されたワークフローで、時間範囲のアイコン（）をクリックし、[日付と時間（Date/Time）] ウィンドウを開きます。 |
| ステップ 2 | [優先（Preferences）] タブをクリックし、イベント タイプのデフォルトの時間枠オプションに記載されているようにプリファレンスを変更します。 |
| ステップ 3 | [設定の保存（Save Preferences）] をクリックします。 |
| ステップ 4 | 次の 2 つの対処法があります。 |
時間枠の進行
時間枠は一時停止することができます。これにより、ワークフローから提供されたデータのスナップショットを調べることができます。一時停止が解除されたワークフローが更新されると、それによって、調査したいイベントが削除されたり、調査対象外のイベントが追加されたりすることがあるため、この機能は役立ちます。
静的（static）の時間枠は一時停止できないことに注意してください。また、イベントの時間枠の一時停止はダッシュボードに影響を与えず、ダッシュボードの一時停止もイベントの時間枠の一時停止に影響を与えません。
分析が完了したら、時間枠の一時停止を解除できます。時間枠の一時停止を解除すると、設定に従って時間枠が更新されます。また、一時停止を解除した時間枠を反映するようにイベント ビューも更新されます。
1 つのワークフローのページに表示できるイベント数よりも多くのイベントがデータベースに含まれている場合は、ページの下部にあるリンクをクリックして、さらにイベントを表示できます。リンクをクリックすると、同じイベントが 2 回表示されないように時間枠が自動的に一時停止します。
時間枠の一時停止/一時停止解除
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローによる） |
）をクリックします。
）をクリックします。イベント ビューの制約
ワークフロー ページに表示される情報は、ユーザが設定した制約によって異なります。たとえばイベント ワークフローを最初に開いた場合、情報は、最後の 1 時間に生成されたイベントに制約されています。
ワークフローの次のページに進んで、表示されるデータを特定の値で制約する場合は、ページでこれらの値を持つ行を選択し、[表示（View）] をクリックします。現在の制約を保持し、すべてのイベントを含めた状態でワークフローの次のページに進むには、[すべて表示（View All）] を選択します。
（注） | 複数の不可算値を持つ行を選択し、[表示（View）] を選択すると、複合的な制約が作成されます。 |
ワークフローのデータを制約するための 3 番目の方法があります自身が選択した値を持つ行のみが表示されるようページを制約し、ページの上部に示される制約リストに選択した値を追加するには、ページの行で値をクリックします。たとえば、記録された接続のリストを表示する場合に、アクセス制御を使用して、自身が許可したものだけがリストに示されるよう制約する場合は、[アクション（Action）] カラムで [許可（Allow）] をクリックします。他の例では、侵入イベントを表示する場合に、宛先ポートが 80 のイベントのみがリストに示されるよう制約する場合は、[宛先ポート/ICMP コード（Destination Port/ICMP Code）] カラムで [80（http）/tcp（80 (http)/tcp）] をクリックします。
ヒント | モニタ ルールの条件に基づいて接続イベントを制約するための手順は少し異なり、いくつかの追加手順が必要になる場合があります。また、関連付けられているファイルや侵入情報によって接続イベントを制約することはできません。 |
検索を使用して、ワークフローの情報を制約することもできます。1 つのカラム内の複数の値について制約する場合は、この機能を使用します。たとえば、2 つの IP アドレスに関連しているイベントを表示する場合は、[検索の編集（Edit Search）] をクリックし、[検索（Search）] ページで対象の [IP アドレス（IP address）] フィールドを変更して両方のアドレスが含まれるようにして、[検索（Search）] をクリックします。
検索ページで入力した検索条件はページの上部に制約として表示され、これに従って制約されたイベントが合わせて表示されます。Firepower Management Center では、複合的な制約でない限り、他のワークフローにナビゲートしたときにも現在の制約が適用されます。
検索する場合は、検索対象のテーブルに検索の制約を適用するかどうかに注意する必要があります。たとえば、クライアント データは接続サマリーでは使用できません。接続で検出されたクライアントに基づいて接続イベントを検索し、結果を接続サマリー イベント ビューで表示すると、Firepower Management Center では、制約が設定されていない場合と同じように接続データが表示されます。無効な制約は、非適用（N/A）とラベルが付けられ、取り消し線が付けられます。
イベントの制約
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じて異なります） |
| ステップ 1 | ワークフローの選択の説明に従って適切なメニュー パスとオプションを選択し、ワークフローにアクセスします。 | ||||||
| ステップ 2 | すべてのワークフローで、次のオプションを選択できます。
|
複合イベント ビューの制約
複合的な制約は、特定のイベントに対するすべての不可算値に基づいています。複数の不可算値を持つ行を選択する場合は、ページ上の対象行におけるすべての不可算値と一致するイベントのみを取得する複合的な制約を設定します。たとえば、送信元 IP アドレスが 10.10.31.17 で、宛先 IP アドレスが 10.10.31.15 である行と、送信元 IP アドレスが 172.10.10.17 で宛先 IP アドレスが 172.10.10.15 である行を選択すると、次のすべての結果が取得されます。
-
送信元 IP アドレスが 172.10.31.17 で、かつ宛先 IP アドレスが 172.10.31.15 のイベント
複合的な制約と単純な制約を組み合わせると、複合的な制約の各セットに単純な制約が追加されます。たとえば、上記に記載されている複合的な制約に対して、プロトコル値 tcp の単純な制約を追加すると、次のすべての結果が取得されます。
-
送信元 IP アドレスが 10.10.31.17 で、かつ宛先 IP アドレスが 10.10.31.15 で、かつプロトコルが tcp であるイベント
-
送信元 IP アドレスが 172.10.31.17 で、かつ宛先 IP アドレスが 172.10.31.15 で、かつプロトコルが tcp であるイベント
複合的な制約について、検索および検索の保存を実行することはできません。また、別のワークフローに切り替えるのに、イベント ビューのリンクを使用した場合、または [ワークフロー切り替え（switch workflow）] をクリックした場合は、複合的な制約は保持できません。複合的な制約が適用されているイベント ビューをブックマークしても、制約はブックマークに保存されません。
複合イベント ビュー制約の使用
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じて異なります） |
| ステップ 1 | ワークフローの選択の説明に従って、適切なメニュー パスとオプションを選択してワークフローにアクセスします。 |
| ステップ 2 | 複合制約を管理する場合、次の選択肢があります。 |
ワークフロー間のナビゲーション
ワークフロー ページの [移動（Jump to...）] ドロップダウン リストのリンクを使用して、他のワークフローへ移動できます。ドロップダウン リストを選択し、追加のワークフローを表示および選択します。
新しいワークフローを選択すると、（適切な場合は）、選択する行で共有されているプロパティおよび設定する制約が、新しいワークフローで使用されます。設定した制約またはイベントのプロパティが、新しいワークフローのフィールドにマップされない場合は、これらはドロップされます。また、ワークフローを切り替えた場合には、複合的な制約は保持されません。キャプチャ ファイルのワークフローの制約は、ファイルおよびマルウェアのイベント ワークフローのみに転送されます。
時間枠を一時停止していない場合、または静的な時間枠を設定していない場合、ワークフローを変更したときに時間枠も変更されることに注意してください。
この機能により、疑わしいアクティビティの調査が強化されます。たとえば、接続データを表示していて、内部ホストが異常に大量のデータを外部サイトに転送していることに気付いた場合は、応答側の IP アドレスとポートを制約として選択し、[アプリケーション（Applications）] ワークフローへ移動することができます。[アプリケーション（Applications）] ワークフローは応答側の IP アドレスとポートを IP アドレスとポートの制約として使用し、アプリケーションの種類などの追加情報を表示することができます。ページの上部にある [ホスト（Hosts）] をクリックして、リモート ホストのホスト プロファイルを表示することもできます。
アプリケーションに関する詳細を検索した後で、[相関イベント（Correlation Events）] を選択して接続データ ワークフローに戻る、制約から応答側の IP アドレスを削除する、制約にイニシエータの IP アドレスを追加する、[アプリケーションの詳細（Application Details）] を選択して、データをリモート ホストに転送するときに開始側のホストでユーザがどのクライアントを使用しているかを確認する、といったことができます。ポートの制約は、[アプリケーション詳細（Application Details）] ページには転送されないことに注意してください。ローカル ホストを制約として保持したまま、追加情報を検索するために他のナビゲート ボタンを使用することもできます。
-
ローカル ホストがいずれかのポリシーに違反しているかどうかを検出するには、IP アドレスを制約として保持したままで [移動（Jump to）] ドロップダウン リストから [相関イベント（Correlation Events）] を選択します。
-
ホストに対して侵入ルールがトリガーされた（侵害を表している）かどうかを確認するには、[移動（Jump to）] ドロップダウン リストから [侵入イベント（Intrusion Events）] を選択します。
-
ローカル ホストのホスト プロファイルを表示し、ホストが、悪用された可能性のある脆弱性の影響を受けやすくなっているかどうかを判断するには、[移動（Jump to）] ドロップダウン リストから [ホスト（Hosts）] を選択します。
ブックマーク
イベントの分析の特定の場所と時間にすばやく戻りたい場合には、ブックマークを作成します。ブックマークは、次の情報が含まれます。
あるユーザが作成したブックマークは、ブックマーク アクセスを持っているすべてのユーザ アカウントで利用できます。これは、より詳細な分析を必要とするイベント セットを発見した場合、簡単にブックマークを作成し、適切な権限を持った他のユーザに調査を引き継ぐことが可能であることを意味します。
（注） | ブックマークに表示されているイベントが（ユーザによって直接、またはデータベースの自動クリーンアップによって）削除されると、そのブックマークにあった元のイベントは表示されなくなります。 |
ブックマークの作成
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じて異なります） |
マルチドメイン導入では、現在のドメインで作成されたブックマークのみを表示できます。
ブックマークの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Maint/Any Security Analyst（ワークフローに応じて異なります） |
マルチドメイン導入では、現在のドメインで作成されたブックマークのみを表示できます。
）をクリックします。
フィードバック