Firepower Management Center バージョン 6.0 コンフィギュレーション ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年12月13日
章のタイトル： イベントの検索
イベントの検索
以下のトピックでは、ワークフロー内のイベントの検索方法について説明します。
イベントの検索
Firepower システムでは、データベース テーブルにイベントとして保存される情報が生成されます。イベントには、アプライアンスがイベントを生成する原因となったアクティビティを示すいくつかのフィールドが含まれます。ご使用の環境用にカスタマイズされた、さまざまなイベント タイプの検索を作成および保存し、後で再使用するために保存できます。
検索設定を保存するときには、その検索設定の名前を付け、それを自分だけで使用するか、それともアプライアンスの全ユーザが使用できるようにするかを指定します。カスタム ユーザ ロールのデータの制限として検索を使用する場合は、必ずプライベート検索として保存する必要があります。以前に検索設定を保存した場合、それをロードし、必要に応じて修正して、検索を開始することができます。カスタム分析のダッシュボード ウィジェット、レポート テンプレート、カスタム ユーザ ロールも、保存した検索を使用できます。保存済みの検索設定がある場合、[検索（Search）] ページからそれらを削除できます。
いくつかのイベント タイプに関しては、Firepower システムに備わっている定義済みの検索設定をサンプルとして使用すると、ネットワークについての重要な情報にすばやくアクセスできます。ネットワーク環境に合わせて定義済み検索設定のフィールドを変更し、検索設定を保存して、後で再利用することができます。
検索の種類に応じて、使用できる検索条件は異なりますが、メカニズムは同じです。検索により、すべてのフィールドに対して指定した検索条件と一致するレコードのみが返されます。
 （注） |
検索の制約
データベース テーブルごとに、検索を制約する値を入力できる独自の検索ページがあります。入力した値は、そのテーブルに定義されているフィールドに適用されます。フィールドのタイプによっては、特殊なシンタックスを使用して、ワイルドカード文字や数値の範囲などの基準を指定できます。
検索結果はワークフロー ページに表示され、カラム式レイアウトでテーブルの各フィールドが示されます。一部のデータベース テーブルは、ワークフロー ページにカラムとして表示されないフィールドを使用した検索も行えます。ワークフロー ページで結果を確認する際に、該当する制約が検索結果に適用されているかどうかを判別するには、展開アイコン（
）をクリックして、検索に現在有効になっている制約を表示します。
- 一般的な検索の制約
- 検索で使用するワイルドカードと記号
- 検索でのオブジェクトとアプリケーションのフィルタ
- 検索で指定する時間制約
- 検索での IP アドレス
- 検索での管理対象デバイス
- 検索でのポート
- 検索のイベント フィールド
一般的な検索の制約
イベントを検索するときは、次の一般的な注意事項を順守してください。
-
すべてのフィールドで検索値のカンマ区切りリストを使用できます。指定したフィールドにリストされた値のいずれかを含むレコードは、その検索条件に一致します。
-
すべてのフィールドで、引用符で囲んだカンマ区切りリストを検索値として使用できます。
-
値を 1 つのみ含むことができるフィールドの場合、検索条件に一致するのは、指定したフィールドに引用符内の文字列と同じ文字列が含まれるレコードです。たとえば、A, B, "C, D, E" を検索すると、指定したフィールドに「A」または「B」または「C, D, E」を含むレコードが一致します。これにより、使用できる値にカンマを含むフィールドでの一致が可能です。
-
同時に複数の値を含むことができるフィールドの場合、引用符で囲んだカンマ区切りリスト内のすべての値が指定したフィールドに含まれるレコードが検索条件に一致します。
-
同時に複数の値を含むことができるフィールドについては、引用符で囲んだカンマ区切りリストだけでなく、単一の値も検索条件に使用することができます。たとえば、A, B, "C, D, E" をこれらの文字の 1 つまたは複数を含むことができるフィールドで検索すると、指定したフィールドに A または B、または C、D、E のすべてを含むレコードが一致します。
-
-
フィールドでその情報を利用できないイベントを示すには、そのフィールドで n/a を指定します。フィールドに情報が入力されているイベントを示すには !n/a を使用します。
-
多くの数値フィールドの前には、より大きい（>）、以上（>=）、より小さい（<）、以下（<=）、等しい（=）または等しくない（<>）の演算子を付けることができます。
 ヒント | 長い複雑な値を（SHA-256 ハッシュ値など）を含むフィールドを検索する場合は、ソース資料から検索基準値をコピーし、検索ページの適切なフィールドに貼り付けることができます。 |
検索で使用するワイルドカードと記号
検索ページの多くのテキスト フィールドでは、文字列内の文字に一致させるために、アスタリスク（*）を使用することができます。たとえば net* と指定すると、network、netware、netscape などに一致します。
英数字以外の文字（アスタリスク文字を含む）を検索するには、検索文字列を引用符で囲みます。たとえば、次の文字列を検索するとします。
Find an asterisk (*)
"Find an asterisk (*)"
ワイルドカードを使用できるテキスト フィールドで、文字列の部分一致を検索するには、ワイルドカードを使用する必要があります。 たとえば、ページ ビューを含む（つまりメッセージが「Page View」である）すべての監査レコードを監査ログ内で検索する場合、「Page」を検索しても結果は返されません。代わりに、「Page*」と指定してください。
一部のフィールドでは、アスタリスクを使用せずにフィールドの内容をすべてまたは一部検索することができます。完全一致の場合は、検索文字列を引用符で囲む必要があります。引用符で囲まなかった場合は、部分一致が実行されます。たとえば、フィールド検索で、引用符を使用せずに Scan Completed with Detection という文字列を検索すると、該当フィールドに次の文字列が含まれているレコードと、該当フィールドが検索文字列と完全に一致するレコードが返されます。
Scan Completed, No Detections Scan completed With Detections
検索でのオブジェクトとアプリケーションのフィルタ
Firepower システムでは、ネットワーク構成の一部として使用可能な名前付きオブジェクト、オブジェクト グループ、およびアプリケーション フィルタを作成できます。検索を実行または保存するときには、検索条件としてこれらのオブジェクト、グループ、およびフィルタを使用できます。
検索を実行するときに、オブジェクト、オブジェクト グループ、およびアプリケーション フィルタは ${object_name} という形式で表示されます。たとえば、オブジェクト名 ten_ten_network であるネットワーク オブジェクトは、検索では ${ten_ten_network} と表されます。
検索基準としてオブジェクトを使用できる検索フィールドの横にはオブジェクト追加アイコン（
）が表示され、これをクリックすることができます。
検索で指定する時間制約
時間値を指定できる検索条件フィールドで使用可能な形式を、次の表に示します。
時間値の前に、以下のいずれか 1 つの演算子を指定できます。
検索での IP アドレス
検索で IP アドレスを指定するときには、個別の IP アドレス、複数アドレスのカンマ区切りリスト、アドレス ブロック、またはハイフン（-）で区切った IP アドレス範囲を入力することができます。また、否定を使用することもできます。
IPv6 をサポートする検索（侵入イベント、接続データ、相関イベントの検索など）では、IPv4 アドレス、IPv6 アドレス、および CIDR/プレフィックス長アドレス ブロックを任意に組み合わせて入力できます。IP アドレスを使用してホストを検索した場合、結果には、少なくとも 1 つの IP アドレスが検索条件と一致するホストがすべて含まれます（つまり、IPv6 のアドレスの検索では、プライマリ アドレスが IPv4 であるホストが返されることがあります）。
CIDR またはプレフィックス長の表記を使用して IP アドレスのブロックを指定する場合、Firepower システムは、マスクまたはプレフィックス長で指定されたネットワーク IP アドレスの部分のみを使用します。たとえば 10.1.2.3/8 と入力すると、Firepower システムは 10.0.0.0/8 を使用します。
IP アドレスをネットワーク オブジェクトによって表すことができるため、IP アドレス検索フィールドの横にあるネットワーク オブジェクト追加アイコン（）をクリックして、ネットワーク オブジェクトを IP アドレス検索基準として使用することもできます。
|
これは、サブネット マスク 255.255.255.0 である 192.168.1.0 ネットワーク内の任意の IP を指定します（つまり 192.168.1.0 から 192.168.1.255 まで）。 |
||
検索での管理対象デバイス
管理対象デバイスを制約として使用して検索を作成する場合、[デバイス（Device）] 検索条件フィールドに次のいずれかを指定できます。
システムでグループ、デバイス高可用性ペア、またはスタックの一致が検出されると、検索を実行するために、そのグループ名、デバイス高可用性ペア名、またはスタック名が適切なメンバー デバイス名に置き換えられます。デバイス フィールドのデバイス グループ、デバイス高可用性ペア、またはスタックを使用する検索を保存すると、デバイス フィールドで指定した名前がシステムによって保存され、検索が実行されるたびにデバイス名の置換が再度実行されます。
検索でのポート
Firepower System では、検索においてポート番号の特定の構文に対応しています。次の入力が可能です。
（注） | ポート番号またはポート範囲を指定する場合はスペースは使用しないでください。 |
検索のイベント フィールド
検索の実行
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Any Security Analyst |
次の作業
-
ワークフローを使用して検索結果を分析する場合は、ワークフローの使用を参照してください。
検索設定の保存
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Any Security Analyst |
マルチドメイン展開では、現在のドメインで作成された保存済みの検索が表示されます。これは編集できます。先祖ドメインで作成された保存済みの検索も表示されますが、これは編集できません。下位のドメインで作成された検索を表示および編集するには、そのドメインに切り替えます。
-
検索の実行で説明するように検索条件を設定するか、保存済み検索設定のロードで説明するように保存した検索をロードします。
保存済み検索設定のロード
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Admin/Any Security Analyst |
マルチドメイン展開では、現在のドメインで作成された保存済みの検索が表示されます。これは編集できます。先祖ドメインで作成された保存済みの検索も表示されますが、これは編集できません。下位のドメインで作成された検索を表示および編集するには、そのドメインに切り替えます。
| ステップ 1 | を選択します。
| ||
| ステップ 2 | テーブルのドロップダウンリストから、検索するイベントまたはデータのタイプを選択します。 | ||
| ステップ 3 | [カスタム検索（Custom Searches）] リストまたは [定義済の検索（Predefined Searches）] リストから、ロードする検索を選択します。 | ||
| ステップ 4 | 別の検索条件を使用するには、検索の制約を変更します。 | ||
| ステップ 5 | 変更した検索を将来再度使用する場合は、検索を保存しておきます。詳細については、検索設定の保存を参照してください。 | ||
| ステップ 6 | [検索（Search）] をクリックします。 |
シェルによるクエリのオーバーライド
システム管理者は、シェル ベースのクエリ管理ツールを使用して、実行時間の長いクエリを検出および停止することができます。
クエリ管理ツールでは指定した分数よりも実行時間が長いクエリを検索し、それらのクエリを停止することができます。ユーザがクエリを停止すると、このツールにより監査ログと syslog にイベントが記録されます。
Firepower Management Center でのシェル アクセスを持つローカル作成されたユーザだけが、admin ユーザであることに注意してください。シェル アクセスを与える外部認証オブジェクトを使用する場合、シェル アクセス フィルタに一致するユーザもまたシェルにログインできます。
（注） | Web インターフェイス内の検索ページを終了しても、クエリは停止しません。長い時間をかけて結果を返すクエリは、クエリ実行中にシステム全体のパフォーマンスに影響を与えます。 |
シェルベースのクエリ管理の構文
query_manager [-v] [-l [minutes]] [-k query_id [...]] [--kill-all minutes]
|
オプション |
説明 |
|---|---|
| -h, --help |
短いヘルプ メッセージを出力します。 |
| -l, --list [minutes] |
指定された時間（分単位）を超えるすべてのクエリをリストします。デフォルトで、1 分より長くかかっているすべてのクエリを表示します。 |
| -k, --kill query_id [...] |
指定された ID を持つクエリを強制終了します。オプションは複数の ID を取得する場合があります。 |
| --kill-all minutes |
指定された時間（分単位）を超えるすべてのクエリを強制終了します。 |
| -v, --verbose |
完全な SQL クエリを含む詳細な出力。 |
 注意 | シェル アクセスを、システム管理者のみに制限する必要があります。 |
実行時間が長いクエリの停止
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
| ステップ 1 | ssh を使用して Firepower Management Center に接続します。 |
| ステップ 2 | シェルベースのクエリ管理の構文で説明された構文を使用して、sudo で query_manager を実行します。 |
フィードバック