FireSIGHT System バージョン 5.4.1 ユーザ ガイド

ホスト プロファイルの各セクションの詳細については、以下を参照してください。

• ホスト プロファイルの表示では、ホスト プロファイルへのアクセス方法について説明します。
• ホスト プロファイルの基本的なホスト情報の使用では、ホスト プロファイルの [ホスト（Host）] セクションで提供される情報について説明します。
• ホスト プロファイルの IP アドレスの操作では、ホスト プロファイルの [IP アドレス（IP Addresses）] セクションで提供される情報について説明します。
• ホスト プロファイルでの侵害の兆候の使用では、ホスト プロファイルの [侵害の兆候（Indications of Compromise）] セクションで提供される情報について説明します。
• ホスト プロファイルでのオペレーティング システムの使用では、ホスト プロファイルの [オペレーティング システム（Operating System）] セクションまたは [オペレーティング システムの競合（Operating System Conflicts）] セクションで提供される情報と、オペレーティング システムの編集方法、オペレーティング システムの競合の解決方法について説明します。
• ホスト プロファイルでのサーバの使用では、ホスト プロファイルの [サーバ（Servers）] セクション、[サーバの詳細（Server Detail）] セクション、および [サーバ バナー（Server Banner）] セクションで提供される情報について説明します。
• ホスト プロファイルでのアプリケーションの使用では、ホスト プロファイルの [クライアント（Clients）] セクションで提供される情報について説明します。
• ホスト プロファイルでの VLAN タグの使用では、ホスト プロファイルの [VLAN タグ（VLAN Tag）] セクションで提供される情報について説明します。
• ホスト プロファイルでのユーザ履歴の使用では、ホスト プロファイルの [ユーザ履歴（User History）] セクションで提供される情報について説明します。
• ホスト プロファイルでのホスト属性の使用では、ホスト プロファイルの [属性（Attributes）] セクションで提供される情報について説明します。
• 事前定義のホスト属性の使用では、ホストの重要度の属性を設定する方法、およびホスト プロファイルにメモを追加する方法について説明します。
• ユーザ定義のホスト属性の使用では、ユーザ定義のホスト属性の作成および使用に関する情報を示します。
• ホスト プロファイルでのホスト プロトコルの使用では、ホスト プロファイルの [ホスト プロトコル（Host Protocols）] セクションで提供される情報について説明します。
• ホスト プロファイルにおけるホワイト リスト違反の使用 では、ホスト プロファイルの [ホワイト リスト違反（White List Violations）] セクションで提供される情報について説明します。
• ホスト プロファイルでのマルウェア検出の使用では、ホスト プロファイルの [最新のマルウェア検出（Most Recent Malware Detections）] セクションで提供される情報について説明します。
• ホスト プロファイルでの脆弱性の使用では、ホスト プロファイルの [脆弱性（Vulnerabilities）] セクション、および [脆弱性の詳細（Vulnerability Detail）] セクションで提供される情報について説明します。

単一ホストにおける侵害の兆候のルール状態の編集

ライセンス： FireSIGHT

システムで侵害の兆候（IOC）を検出してタグを付けるには、最初にディスカバリ ポリシーの IOC 機能を有効にして、少なくとも 1 つの IOC ルールを（ポリシー全体または個別のホストに対して）有効にする必要があります。ホスト プロファイルから、個別のホストに適用される IOC ルールの状態を設定することができます。ディスカバリ ポリシーでの IOC の設定、およびポリシー全体での IOC ルール状態の設定の詳細については、侵害の兆候ルールの設定を参照してください。

ホスト プロファイルから [侵害の兆候（Indications of Compromise）] セクションの [ルール状態の編集（Edit Rule States）] リンクを使用して IOC ルールのリストにアクセスし、編集することができます。ネットワークや組織のニーズに合わせて、一部またはすべてのルールを有効にすることができます。たとえば、Microsoft Excel などのソフトウェアを使用しているホストがモニタ対象ネットワーク上に出現することがない場合は、Excel ベースの脅威に関係する IOC タグを有効にしないようにできます。

すべての IOC ルールはシスコで事前に定義されています。ユーザはオリジナルのルールを作成することはできませんが、トリガーされた IOC タグについてコンプライアンス ルールを作成できます。詳細については、相関ポリシーおよび相関ルールの設定を参照してください。各 IOC ルールはイベントの 1 つのタイプのみ（マルウェアや侵害など）でトリガーされ、特定の IOC タグに対応します。ルールとタグは簡単に対応できるよう、[カテゴリ（Category）]、[イベント タイプ（Event Type）]、および [説明（Description）] に同じデータが設定されています。IOC ルール状態の [編集（Edit）] ページには、ルールによりトリガーする必要があるシステム機能を明確にするために、各ルールのソース イベント データも表示されます。

ホストの侵害の兆候のルール状態を編集する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [侵害の兆候（Indications of Compromise）] セクションで [ルール状態の編集（Edit Rule States）] をクリックします。

新しいウィンドウに [侵害の兆候のルール状態の編集（Edit Indication of Compromise Rule States）] ページが表示されます。

手順 2 ルールの [有効（Enabled）] 列で、スライダをクリックして有効と無効を切り替えます。

手順 3 [保存（Save）] をクリックします。

変更が保存されます。

侵害の兆候に対するソース イベントの表示

ライセンス： FireSIGHT

[侵害の兆候（Indications of Compromise）] セクションを使用して、ホスト上で IOC タグをトリガーしたイベントへすばやくナビゲートすることができます。これらのイベントを分析すると、侵害される可能性があるホストへの脅威に対処するのに必要なアクション、およびアクションが必要かどうかを判断するための情報が提供されます。

IOC タグのタイムスタンプの隣の表示アイコン（ ）をクリックすると、関連するイベント タイプのイベントのテーブル ビューにナビゲートします。ここでは、IOC タグをトリガーしたイベントのみが表示されます。

IOC タグをトリガーするイベントのタイプと機能の詳細については、以下を参照してください。

• 接続およびセキュリティ インテリジェンスのデータの使用
• 侵入イベントの操作
• マルウェア防御とファイル制御について

[侵害の兆候（Indications of Compromise）] タグのソース イベントを表示する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [侵害の兆候（Indications of Compromise）] セクションで、調べる IOC タグの [初回確認日時（First Seen）] または [最終確認日時（Last Seen）] 列の表示アイコン（ ）をクリックします。

IOC をトリガーした該当イベントについて、イベントのテーブル ビューが表示されます。ここでは、トリガーしたイベントのみが表示されます。ホスト プロファイル ページを別のウィンドウで表示している場合は、メイン ウィンドウにイベント ビューが表示されます。

侵害の兆候を解決済みにする

ライセンス： FireSIGHT

IOC タグで示された脅威が分析および対処された後、または IOC タグが誤検出を示していると判断した場合、このタグを解決済みとしてマークすることができます。IOC タグを解決済みとしてマークすると、このタグがホスト プロファイルから削除されます。ホスト上でアクティブなすべての IOC タグが解決済みになると、ホストでは、侵害されたホスト アイコン（ ）が表示されなくなります。解決済みの IOC についても、IOC のトリガー元イベントは引き続き表示できます。

イベントがホストの IOC タグを再度トリガーすると、タグがもう一度設定されます。ホスト上の個別の IOC タグを解決することも、ホスト上のすべてのタグに解決済みとマークすることもできます。

[侵害の兆候（Indications of Compromise）] タグを解決済みにする方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [侵害の兆候（Indications of Compromise）] セクションで、次の 2 つの方法のいずれかを実行します。

• 個別の IOC タグに解決済みとマークするには、解決するタグの右にある解決のアイコン（
）をクリックします。

• ホスト上のすべての IOC タグを解決済みとマークするには、[すべて解決済みとしてマークする（Mark All Resolved）] をクリックします。

変更が保存され、選択した IOC タグが削除されます。

オペレーティング システムのアイデンティティの表示

ライセンス： FireSIGHT

検出された、またはホストに追加された特定のオペレーティング システムのアイデンティティを表示することができます。システムはソースの優先度を使用して、ホストに対する現行のアイデンティティを判断します。アイデンティティのリストでは、現行のアイデンティティが太字で強調されます。

各オペレーティング システムのアイデンティティでは、ホスト プロファイルに、ホスト プロファイルでのオペレーティング システムの使用に記載されている情報が含まれていることがあります。

1 つのホストに対して複数のオペレーティング システムのアイデンティティが存在している場合のみ、[表示（View）] ボタンが有効になっていることに注意してください。

ホストに対するオペレーティング システムのアイデンティティ リストを表示する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [オペレーティング システム（Operating System）] または [オペレーティング システムの競合（Operating System Conflicts）] セクションで [表示（View）] をクリックします。

[オペレーティング システム アイデンティティ情報（Operating System Identity Information）] ポップアップ ウィンドウが表示されます。

ヒント いずれかのオペレーティング システムのアイデンティティの隣にある削除アイコン（）をクリックして、[オペレーティング システム アイデンティティ情報（Operating System Identity Information）] ポップアップ ウィンドウからアイデンティティを削除し、可能な場合は、ホスト プロファイルでオペレーティング システムの現行のアイデンティティを更新します。シスコが検出したオペレーティング システムのアイデンティティは、削除できないことに注意してください。

オペレーティング システムの編集

ライセンス： FireSIGHT

FireSIGHT システム Web インターフェイスを使用して、ホストに対する現行のオペレーティング システムのアイデンティティを設定できます。Web インターフェイスを介してアイデンティティを設定すると、他のすべてのアイデンティティ ソースが上書きされるため、このアイデンティティが、脆弱性の評価および影響の相関関係で使用されます。ただし、オペレーティング システムを編集した後で、ホストに対するオペレーティング システムのアイデンティティの競合がシステムで検出された場合、オペレーティング システムの競合が発生することに注意してください。

競合が解決されるまで、両方のオペレーティング システムが現行のものであるとみなされます。詳細については、オペレーティング システムのアイデンティティの競合を解決するを参照してください。

オペレーティング システムのアイデンティティを変更する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [オペレーティング システム（Operating System）] セクションで [編集（Edit）] をクリックします。

ポップアップ ウィンドウが表示され、ここでオペレーティング システムのアイデンティティを設定することができます。

手順 2 ここでは次のオプションがあります。

• [OS 定義（OS Definition）] ドロップダウン リストから [現行の定義（Current Definition）] を選択し、ホスト入力によって現行のオペレーティング システムのアイデンティティを確認して、 6 の手順に進みます。
• [OS 定義（OS Definition）] ドロップダウン リストから現行のオペレーティング システムのアイデンティティのバリエーションを選択し、 6 の手順に進みます。
• [OS 定義（OS Definition）] ドロップダウン リストから [ユーザ定義（User-Defined）] を選択し、 3 の手順に進みます。

手順 3 オプションとして、[カスタム表示文字列を使用する（Use Custom Display String）] を選択し、[ベンダー文字列（Vendor String）]、[製品文字列（Product String）]、および [バージョン文字列（Version String）] フィールドで表示するカスタム文字列を修正します。

手順 4 オプションで別のベンダーからオペレーティング システムを変更するには、[ベンダー（Vendor）] および [製品（Product）] ドロップダウン リストから、ベンダーおよび他のオペレーティング システムの詳細を選択します。

手順 5 オプションでオペレーティング システムの製品リリース レベルを設定するには、[メジャー（Major）]、[マイナー（Minor）]、[リビジョン（Revision）]、[ビルド（Build）]、[パッチ（Patch）] および [拡張機能（Extension）] ドロップダウン リストから対象のアイテムを選択します。

手順 6 オプションで、オペレーティング システムに対して修正ファイルが適用されたことを示す場合は、[修正ファイルの設定（Configure Fixes）] をクリックします。

パッケージの有効な修正リストが表示されます。

手順 7 ドロップダウン リストから適用可能な修正ファイルを選択し、[追加（Add）] をクリックします。

手順 8 オプションで、[パッチ（Patch）] および [拡張機能（Extension）] ドロップダウン リストを使用して、対象のパッチおよび拡張機能を追加します。

手順 9 [終了（Finish）] をクリックして、オペレーティング システムのアイデンティティの設定を完了します。

オペレーティング システムのアイデンティティの競合を解決する

ライセンス： FireSIGHT

システムで検出された新しいアイデンティティと現行のアイデンティティが競合しており、そのアイデンティティが、スキャナやアプリケーション、ユーザなどのアクティブなソースによって提供されていた場合、オペレーティング システムのアイデンティティで競合が発生します。

ホスト プロファイルでは、競合状態のオペレーティング システムのアイデンティティのリストは太字で表示されます。

システムの Web インターフェイスを介して、アイデンティティの競合を解決し、ホストに対する現行のオペレーティング システムのアイデンティティを設定することができます。Web インターフェイスを介してアイデンティティを設定すると、他のすべてのアイデンティティ ソースが上書きされるため、このアイデンティティが、脆弱性の評価および影響の相関関係で使用されます。

競合しているアイデンティティのいずれかを現行のアイデンティティにする方法：

アクセス： Admin/Any Security Analyst

手順 1 以下の 2 つの対処法があります。

• ホストのオペレーティング システムとして設定するオペレーティング システムのアイデンティティの隣にある、[現行アイデンティティにする（Make Current）] をクリックします。
• アクティブなソースで、現行のアイデンティティとして使用 しない アイデンティティが表示された場合は、使用しないアイデンティティを削除します。

オペレーティング システムのアイデンティティの競合を解決する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [オペレーティング システムの競合（Operating System Conflicts）] セクションで [解決（Resolve）] をクリックします。

ポップアップ ウィンドウが表示され、ここで現行のオペレーティング システムのアイデンティティを設定することができます。

手順 2 ここでは次のオプションがあります。

• [OS 定義（OS Definition）] ドロップダウン リストから [現行の定義（Current Definition）] を選択し、ホスト入力によって現行のオペレーティング システムのアイデンティティを確認して、 6 の手順に進みます。
• [OS 定義（OS Definition）] ドロップダウン リストから、競合しているオペレーティング システムのアイデンティティのいずれかのバリエーションを選択し、 6 の手順に進みます。
• [OS 定義（OS Definition）] ドロップダウン リストから [ユーザ定義（User-Defined）] を選択し、 3 の手順に進みます。

手順 3 オプションとして、[カスタム表示文字列を使用する（Use Custom Display String）] を選択し、[ベンダー文字列（Vendor String）]、[製品文字列（Product String）]、および [バージョン文字列（Version String）] フィールドで表示するカスタム文字列を入力します。

手順 4 オプションで別のベンダーからオペレーティング システムを変更するには、ベンダーおよび他のオペレーティング システムの詳細を選択します。

手順 5 オプションでオペレーティング システムの製品リリース レベルを設定するには、[メジャー（Major）]、[マイナー（Minor）]、[リビジョン（Revision）]、[ビルド（Build）]、[パッチ（Patch）] および [拡張機能（Extension）] ドロップダウン リストから対象のアイテムを選択します。

手順 6 オプションで、オペレーティング システムに対して修正ファイルが適用されたことを示す場合は、[修正ファイルの設定（Configure Fixes）] をクリックします。

手順 7 適用した修正ファイルを、修正ファイル リストに追加します。

手順 8 [終了（Finish）] をクリックして、オペレーティング システムのアイデンティティの設定を終了し、ホスト プロファイルに戻ります。

サーバの詳細

ライセンス： FireSIGHT

防御センターは、1 つのサーバについてパッシブに検出される（シスコまたは NetFlow で検出される）アイデンティティを最大 16 個表示します。システムにより、このサーバのベンダーまたはバージョンが複数検出された場合、サーバは複数のパッシブなアイデンティティを持つことができます。たとえば、複数の Web サーバで同じバージョンのサーバ ソフトウェアが実行されていない場合、管理対象デバイスと Web サーバ ファーム間にロード バランサがあると、システムでは HTTP について複数のパッシブ アイデンティティが識別されることがあります。防御センターは、アクティブなソース（ユーザ入力、スキャナ、その他のアプリケーションなど）からのサーバ アイデンティティの数を制限することはありません。

防御センターは現行のアイデンティティを太字で表示します。システムでは、さまざまな目的でサーバの現行のアイデンティティが使用されます。このような目的には、1 つのホストに対する脆弱性の割り当て、影響の評価、ホスト プロファイルの証明書およびコンプライアンス ホワイト リストに対して記載された相関ルールの評価などがあります。

ヒント サーバの詳細からのサーバ アイデンティティの変更、およびアイデンティティの競合の解決については、サーバのアイデンティティの編集およびサーバ アイデンティティの競合の解決を参照してください。

サーバの詳細には、選択されたサーバに関する既知の最新サブサーバ情報が表示されることがあります。最後に、サーバの詳細にサーバのバナーが表示されることがあります。これは、ホスト プロファイルからサーバを表示したときに、サーバの詳細の下に表示されます。

サーバのバナーは、サーバの識別に役立つサーバに関する追加情報を提供します。攻撃者がサーバのバナー文字列を意図的に変更した場合、システムは誤ったアイデンティティが示されたサーバを識別または検出できません。サーバのバナーには、そのサーバについて検出された最初のパケットの最初の 256 文字が表示されます。この情報は、サーバがシステムによって最初に検出されたときに一度だけ収集されます。バナーの内容は 2 列で表示されます。左側の列は 16 進表記で示され、右側の列は対応する ASCII 表記で示されます。

（注） サーバのバナーを表示するには、ネットワーク検出ポリシーで [バナーのキャプチャ（Capture Banners）] チェックボックスをオンにする必要があります。このオプションはデフォルトでは無効になっています。

次に、サーバの詳細情報について説明します。

プロトコル

サーバが使用するプロトコルの名前。

[ポート（Port）]

サーバが実行されているポート。

[ヒット件数（Hits）]

シスコの管理対象デバイスまたは Nmap によってサーバが検出された回数。ホスト入力によってインポートされたサーバについては、システムがそのサーバについてトラフィックを検出しない場合、検出回数は 0 になることに注意してください。

[前回の使用（Last Used）]

サーバが最後に検出された日時。システムで対象のサーバについて新しいトラフィックを検出しない場合、ホスト入力のデータが最後に使用された時間は、データの最初のインポート時間を反映していることに注意してください。また、ホスト入力機能を介してインポートされたスキャナおよびアプリケーションのデータは、システム ポリシーの設定に従ってタイムアウトになりますが、防御センターの Web インターフェイスを介したユーザ入力はタイムアウトにならないことに注意してください。

[アプリケーション プロトコル（Application Protocol）]

サーバによって使用されるアプリケーション プロトコルの名前（既知の場合）。

[ベンダー（Vendor）]

サーバのベンダー。ベンダーが不明な場合、このフィールドは表示されません。

Version

サーバのバージョン。バージョンが不明な場合、このフィールドは表示されません。

ソース

次の値のいずれかを指定します。

– ユーザ： user_name

– アプリケーション: app_name

– スキャナ: scanner_type （Nmap、またはシステム ポリシーによって追加されたスキャナ）

– FireSIGHT 、 FireSIGHT Port Match 、または FireSIGHT Pattern Match （シスコが検出したアプリケーションの場合）

– NetFlow （NetFlow データに基づいてネットワーク マップに追加されたサーバの場合）

システムでは、サーバのアイデンティティを判断するために、複数のソースのデータを統合することができます。現在の ID についてを参照してください。

サーバの詳細を表示する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [サーバ（Servers）] セクションで、サーバの隣にある表示アイコン（ ）をクリックします。

[サーバの詳細（Server Detail）] ポップアップ ウィンドウが表示されます。

サーバのアイデンティティの編集

ライセンス： FireSIGHT

ホスト上のサーバのアイデンティティ設定を手動で更新し、修正ファイルによって対処された脆弱性を削除するために、ホストに適用した修正ファイルを設定することができます。サーバのアイデンティティを削除することもできます。

アイデンティティを削除しても、（アイデンティティが 1 つしかない場合でも）サーバは削除されないことに注意してください。アイデンティティを削除すると、[サーバの詳細（Server Detail）] ポップアップ ウィンドウからアイデンティティが削除されます。可能な場合は、ホスト プロファイルでそのサーバの現行のアイデンティティを更新します。

シスコの管理対象デバイスによって追加されたサーバのアイデンティティは、編集または削除できません。

サーバのアイデンティティを編集する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [サーバ（Servers）] セクションで、[表示（View）] をクリックして [サーバの詳細（Server Detail）] ポップアップ ウィンドウを表示します。

手順 2 以下の 2 つの対処法があります。

• サーバのアイデンティティを削除するには、削除するサーバ アイデンティティの隣にある削除アイコン（
）をクリックします。

• サーバのアイデンティティを変更するには、サーバ リストでサーバの隣にある編集アイコン（
）をクリックします。

[サーバのアイデンティティ（Server Identity）] ポップアップ ウィンドウが表示されます。

手順 3 以下の 2 つの対処法があります。

• [サーバ タイプの選択（Select Server Type）] ドロップダウン リストから現行の定義を選択します。
• [サーバ タイプの選択（Select Server Type）] ドロップダウン リストからサーバのタイプを選択します。

手順 4 オプションで対象のサーバ タイプのベンダーと製品のみを表示するには、[サーバ タイプにより制限する（Restrict by Server Type）] チェックボックスをオンにします。

手順 5 オプションでサーバの名前とバージョンをカスタマイズするには、[カスタム表示文字列を使用する（Use Custom Display String）] を選択し、[ベンダー文字列（Vendor String）] と [バージョン文字列（Version String）] に入力します。

手順 6 [製品マッピング（Product Mappings）] セクションで、使用するオペレーティング システム、製品、およびバージョンを選択します。

たとえば、サーバを Red Hat Linux 9 へマップする場合は、ベンダーとして [Redhat, Inc.] を、製品として [Redhat Linux] を選択し、バージョンとして [9] を選択します。

手順 7 サーバに対して修正ファイルが適用されていることを示す場合は、[修正ファイルの設定（Configure Fixes）] をクリックします。それ以外の場合は、 9 の手順に進みます。

[使用可能なパッケージ修正ファイル（Available Package Fixes）] ページが表示されます。

手順 8 サーバに適用するパッチを、修正ファイル リストに追加します。

手順 9 [終了（Finish）] をクリックしてサーバ アイデンティティの設定を完了します。

サーバ アイデンティティの競合の解決

ライセンス： FireSIGHT

サーバ アイデンティティの競合が発生するのは、アプリケーションやスキャナなどのアクティブなソースが、サーバのアイデンティティ データをホストへ追加したときに、競合するサーバ アイデンティティを示しているポートのトラフィックをシステムが検出した場合です。

サーバ アイデンティティの競合を解決する方法：

アクセス： Admin/Any Security Analyst

手順 1 [サーバ（Server）] リストで、サーバの隣にある解決のアイコンをクリックします。

[サーバのアイデンティティ（Server Identity）] ポップアップ ウィンドウが表示されます。

手順 2 [サーバ タイプの選択（Select Server Type）] ドロップダウン リストからサーバのタイプを選択します。

手順 3 オプションで対象のサーバ タイプのベンダーと製品のみを表示するには、[サーバ タイプにより制限する（Restrict by Server Type）] チェックボックスをオンにします。

手順 4 オプションでサーバの名前とバージョンをカスタマイズするには、[カスタム表示文字列を使用する（Use Custom Display String）] を選択し、[ベンダー文字列（Vendor String）] と [バージョン文字列（Version String）] に入力します。

手順 5 [製品マッピング（Product Mappings）] セクションで、使用するオペレーティング システム、製品、およびバージョンを選択します。

たとえば、サーバを Red Hat Linux 9 へマップする場合は、ベンダーとして [Redhat, Inc.] を、製品として [Redhat Linux] を選択し、バージョンとして [9] を選択します。

手順 6 サーバに対して修正ファイルが適用されていることを示す場合は、[修正ファイルの設定（Configure Fixes）] をクリックします。それ以外の場合は、 9 の手順に進みます。

[使用可能なパッケージ修正ファイル（Available Package Fixes）] ページが表示されます。

手順 7 サーバに適用するパッチを、修正ファイル リストに追加します。

手順 8 [終了（Finish）] をクリックしてサーバ アイデンティティの設定を完了し、ホスト プロファイルへ戻ります。

ホスト プロファイルでのアプリケーションの表示

ライセンス： FireSIGHT

システムは、ネットワーク上のホストで稼働しているさまざまなクライアントと Web アプリケーションを検出できます。

（注） モニタ対象のネットワーク内のホストでアプリケーションを検出するには、システムのネットワーク検出ポリシー内の NetFlow デバイスに対するディスカバリ ルールで、[アプリケーション（Applications）] チェックボックスをオンにする必要があります。このオプションは、NetFlow ルールではデフォルトで有効になっており、管理対象デバイスを介した検出で使用されるルールに対しては無効にすることはできません。

ホスト プロファイルは、ホスト上で検出されたアプリケーションの製品とバージョン、使用できるクライアントまたは Web アプリケーションの情報、およびアプリケーションが最後に使用中であると検出された時間を表示します。

防御センターは、ホスト上で稼働している最大 16 個のクライアントを表示します。16 個の制限に達すると、ユーザがホストからクライアント アプリケーションを削除するか、または非アクティブである（クライアントがタイムアウトしている）ためにシステムによってホスト プロファイルからクライアントが削除されるまで、新しいクライアント情報は、どのソースのものであるか、アクティブかパッシブかにかかわらず、廃棄されます。

また、検出されたそれぞれの Web ブラウザについてホスト プロファイルは、アクセスされた最初の 100 個の Web アプリケーションを表示します。この制限に達すると、ブラウザに関連付けられている新しい Web アプリケーションは、どのソースのものであるか、アクティブかパッシブかにかかわらず、次の条件を満たすまで廃棄されます。

• Web ブラウザのクライアント アプリケーションがタイムアウトになる、または
• ユーザが、Web アプリケーションに関連付けられているアプリケーション情報をホスト プロファイルから削除する

次に、ホスト プロファイルに表示されるアプリケーション情報について説明します。

アプリケーション プロトコル（Application Protocol）

アプリケーション（HTTP ブラウザ、DNS クライアントなど）で使用されるアプリケーション プロトコルを表示します。

クライアント（Client）

FireSIGHT システムで識別された場合、Nmap または他のアクティブなソースで取得された場合、あるいはホスト入力機能を介して取得された場合に、ペイロードから派生したクライアント情報。有効なソースから識別情報が提供されない場合、このフィールドは空白になります。

バージョン（Version）

クライアントのバージョンを表示します。

Web アプリケーション

Web ブラウザの場合は、http トラフィックでシステムによって検出されたコンテンツ。Web アプリケーションの情報は、特定のタイプのコンテンツ（WMV や QuickTime など）を表します。これらのコンテンツは、FireSIGHT システムによって識別されるか、Nmap によって取得されるか、他のアクティブなソースによって取得されるか、またはホスト入力機能を介して取得されます。有効なソースから識別情報が提供されない場合、このフィールドは空白になります。

ホストが、有効な相関ポリシーのコンプライアンス ホワイト リストに違反するアプリケーションを実行している場合、防御センターは非準拠アプリケーションに、ホワイト リストの違反アイコン（ ）のマークを付けます。

ホスト上の特定のアプリケーションに関連付けられている接続イベントを分析するには、アプリケーションの隣にあるイベント アイコン（ ）をクリックします。接続イベントに対する優先ワークフローの最初のページが表示され、ホストの IP アドレスの他、アプリケーションのタイプ、製品、およびバージョンによって制限された接続イベントが示されます。接続イベントに対する優先ワークフローがない場合、ワークフローを選択する必要があります。接続データの詳細については、接続およびセキュリティ インテリジェンスのデータの使用を参照してください。

ホスト プロファイルからのアプリケーションの削除

ライセンス： FireSIGHT

ホスト上で稼働していないことが判明しているアプリケーションを削除するには、ホスト プロファイルからアプリケーションを削除します。ホストからアプリケーションを削除すると、そのホストにホワイト リストに準拠することがあります。

（注） システムでアプリケーションが再検出されると、アプリケーションはネットワーク マップおよびホスト プロファイルに再度追加されます。

ホスト プロファイルからアプリケーションを削除する方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルの [アプリケーション（Applications）] セクションで、削除するアプリケーションの隣にある削除アイコン（ ）をクリックします。

そのホストでアプリケーションが削除されます。

ホスト属性の値の割り当て

ライセンス： FireSIGHT

既存のホスト属性の値として、正の整数、文字列、または URL を指定できます。

ヒント ホスト プロファイルのページの [属性（Attributes）] セクションの [編集（Edit）] リンクをクリックして、ホストのホスト属性を簡単に割り当てることができます。これにより、すべてのホスト属性のフィールドが含まれているポップアップ ウィンドウが起動されます。

ホスト属性の値を割り当てる方法：

アクセス： Admin/Any Security Analyst

手順 1 ホスト プロファイルを開きます。

手順 2 [属性（Attributes）] の下で、値を割り当てるホスト属性の名前をクリックします。

ポップアップ ウィンドウが表示されます。

手順 3 属性の値を入力するか、またはドロップダウン リストから値を選択します。

手順 4 [保存（Save）] をクリックします。

ホスト属性の値が保存されます。

ホスト プロファイルからのホワイト リスト ホスト プロファイルの作成

ライセンス： FireSIGHT

コンプライアンス ホワイト リストの共有ホスト プロファイルは、複数のホワイト リストで、ターゲット ホスト上で実行を許可されるオペレーティング システム、アプリケーション プロトコル、クライアント、Web アプリケーション、およびプロトコルを指定します。つまり、複数のホワイト リストを作成するが、同じホスト プロファイルを使用して複数のホワイト リストで特定のオペレーティング システムを実行するホストを評価する場合は、共有ホスト プロファイルを使用します。

既知の IP アドレスが割り当てられている任意のホストのホスト プロファイルを使用して、コンプライアンス ホワイト リストで使用できる共有ホスト プロファイルを作成することができます。ただし、システムでホストのオペレーティング システムをまだ特定していない場合は、個々のホストのホスト プロファイルに基づいて共有ホスト プロファイルを作成することはできないことに注意してください。

ホスト プロファイルに基づいてコンプライアンス ホワイト リストに対する共有ホスト プロファイルを作成する方法：

アクセス： 管理

手順 1 任意のネットワーク マップまたはイベント ビューからホスト プロファイルにアクセスします。

詳細については、ホスト プロファイルの表示を参照してください。

手順 2 [ホワイト リスト プロファイルの生成（Generate White List Profile）] をクリックします。

[共有プロファイルの編集（Edit Shared Profiles）] ページが表示されます。このページのフィールドには、アクセスしたホスト プロファイルの情報に基づいて値が挿入されています。

手順 3 各自のニーズに応じて、共有ホスト プロファイルを変更し、保存します。

コンプライアンス ホワイト リストに対する共有ホスト プロファイルの作成については、共有ホスト プロファイルの操作を参照してください。

脆弱性の詳細の表示

ライセンス： FireSIGHT

脆弱性の詳細には、脆弱性および既知の解決方法に関する技術的な説明が含まれています。

特定の脆弱性について脆弱性の詳細にアクセスするには、[分析（Analysis）] > [脆弱性（Vulnerabilities）]、または [分析（Analysis）] > [サードパーティの脆弱性（Third-Party Vulnerabilitie）] を選択し、SVID の隣の表示アイコン（ ）をクリックします。ネットワーク マップおよびホスト プロファイルから脆弱性の詳細にアクセスすることもできます。

次に、[脆弱性の詳細（Vulnerability Detail）] ページのフィールドについて説明します。

[シスコ脆弱性 ID（Cisco Vulnerability ID）]

脆弱性を追跡するためにシステムで使用する識別番号（SVID）。

[Snort ID]

Snort ID（SID）データベースにおいて脆弱性に関連付けられている識別番号。つまり、侵入ルールで特定の脆弱性を悪用するネットワーク トラフィックを検出できると、その脆弱性は、侵入ルールの SID に関連付けられます。

脆弱性は複数の SID に関連付けることが可能（または SID に関連付けないことも可能）であることに注意してください。脆弱性に関連付けられている SID がない場合は、このフィールドは表示されません。

[BugTraq ID]

Bugtraq データベースで脆弱性に関連付けられている識別番号（ http://www.securityfocus.com/bid ） 。

[CVE ID]

MITRE の Common Vulnerabilities and Exposures（CVE）データベースで、脆弱性に関連付けられている識別番号（ http://www.cve.mitre.org/ ）。

役職（Title）

脆弱性のタイトル。

[Impact Qualification]

ドロップダウン リストを使用して、脆弱性を有効または無効にします。防御センターは、影響の相関関係において、無効な脆弱性を無視します。

ここで指定する設定によって、システム全体で脆弱性がどのように処理されるか、およびユーザが値を選択するホスト プロファイルに脆弱性が限定されるかどうかが決まります。この機能を使用して脆弱性を有効および無効にするための情報については、脆弱性の Impact Qualification の設定を参照してください。

[公開日（Date Published）]

脆弱性が公開された日付。

[脆弱性の影響（Vulnerability Impact）]

Bugtraq データベースにおいて脆弱性に割り当てられている重大度。1～10 の値で、10 は最も重大であることを示します。脆弱性の影響は、Bugtraq エントリの作成者によって決定されます。この作成者は、SANS Critical Vulnerability Analysis（CVA）の基準に従い、自身の判断に基づいて脆弱性の影響レベルを決定します。

[リモート（Remote）]

脆弱性がリモートで不正利用されるかどうかを示します。

利用可能なエクスプロイト（Available Exploits）

脆弱性に対して既知のエクスプロイトがあるかどうかを示します。

Description

脆弱性に関する概要的な説明。

[技術的な説明（Technical Description）]

脆弱性に関する詳細な技術的説明。

[解決策（Solution）]

脆弱性の修復に関する情報。

[その他の情報（Additional Information）]

既知のエクスプロイトや可用性、エクスプロイトのシナリオ、脆弱性を軽減する方針など、脆弱性に関する追加情報を（利用可能な場合に）表示するには、矢印をクリックします。

[修正ファイル（Fixes）]

選択した脆弱性に対して、ダウンロード可能なパッチへのリンクを示します。

ヒント 修正ファイルまたはパッチのダウンロードへの直接リンクが表示されている場合は、リンクを右クリックして、自分のローカル コンピュータに保存します。

脆弱性の Impact Qualification の設定

ライセンス： FireSIGHT

システムが、ネットワークに対して適用されない脆弱性を報告した場合は、インパクト フラグの相関を評価するときにこの脆弱性が使用されないようにすることができます。ホスト プロファイルで脆弱性を非アクティブにした場合、ネットワーク上のすべてのホストに対してその脆弱性が非アクティブになることに注意してください。ただし、脆弱性は随時に再アクティブ化できます。

ホストのオペレーティング システム、またはホスト上のいずれかのアプリケーションのアイデンティティについて競合が存在する場合、システムは、競合が解決されるまで、競合している両方のアイデンティティに対して脆弱性を示します。詳細については、ID の競合についておよびオペレーティング システムのアイデンティティの競合を解決するを参照してください。

システムは、Impact Qualification 機能を使用して無効にする脆弱性に基づいて、侵入ルールのルール状態を推奨しないことにも注意してください。詳細については、ネットワーク資産に応じた侵入防御の調整を参照してください。

ヒント ネットワーク マップおよび脆弱性のイベント ビューから脆弱性を非アクティブにすることもできます。詳細については、脆弱性のネットワーク マップの操作および脆弱性の非アクティブ化を参照してください。

システム全体で脆弱性の使用を変更する方法：

アクセス： Admin/Any Security Analyst

手順 1 非アクティブにする脆弱性の影響を受けるホストのホスト プロファイルにアクセスします。

手順 2 [脆弱性（Vulnerabilities）] セクションを展開します。

手順 3 有効または無効にする脆弱性の名前をクリックします。

ポップアップ ウィンドウが表示され、脆弱性の詳細が示されます。詳細については、脆弱性の詳細の表示を参照してください。

手順 4 [Impact Qualification] ドロップダウン リストから [無効（Disabled）] または [有効（Enabled）] を選択して、脆弱性がどのように使用されるかを指定します。

手順 5 ネットワーク マップ上のすべてのホストに対して、Impact Qualification を変更することを確認します。

脆弱性が有効または無効になります。

手順 6 [完了（Done）] をクリックして、脆弱性の詳細のポップアップ ウィンドウを閉じます。

脆弱性に対するパッチのダウンロード

ライセンス： FireSIGHT

ネットワーク上のホストで検出された脆弱性を軽減するためのパッチが利用可能な場合には、これらのパッチをダウンロードすることができます。

脆弱性に対するパッチをダウンロードする方法：

アクセス： Admin/Any Security Analyst

手順 1 パッチをダウンロードするホストのホスト プロファイルにアクセスします。

手順 2 [脆弱性（Vulnerabilities）] セクションを展開します。

手順 3 パッチを適用する脆弱性の名前をクリックします。

[脆弱性の詳細（Vulnerability Detail）] ページが表示されます。

手順 4 [修正ファイル（Fixes）] セクションを展開します。

脆弱性に対してダウンロード可能なパッチの一覧が表示されます。

手順 5 ダウンロードするパッチの隣の [ダウンロード（Download）] をクリックします。

パッチ ベンダーのダウンロード ページが表示されます。

手順 6 パッチをダウンロードして、影響を受けるシステムに適用します。

個々のホストに対する脆弱性の設定

ライセンス： FireSIGHT

ホストの脆弱性エディタを使用して、ホストごとに脆弱性をアクティブまたは非アクティブにすることができます。ホストの脆弱性を非アクティブにしても、そのホストの影響の相関に対して脆弱性は使用されますが、インパクト レベルは自動的に 1 レベル減少します。

1 つのホストに対して脆弱性をアクティブまたは非アクティブにする方法：

アクセス： Admin/Security Analyst

手順 1 ホスト プロファイルを開きます。

手順 2 [脆弱性（Vulnerabilities）] の隣で [編集（Edit）] をクリックします。

[ホストの脆弱性エディタ（Host Vulnerabilities editor）] ページが表示されます。

ヒント 脆弱性に関する詳細を表示するには、[表示（View）] をクリックします。詳細については、脆弱性の詳細の表示を参照してください。

手順 3 以下の 2 つの対処法があります。

• 脆弱性を非アクティブにするには、[有効な脆弱性（Valid Vulnerabilities）] リストから脆弱性を選択し、下向きの矢印をクリックします。
• 脆弱性をアクティブにするには、[無効な脆弱性（Invalid Vulnerabilities）] リストから脆弱性を選択し、上向きの矢印をクリックします。

ヒント 複数の脆弱性を選択するには、Ctrl キーまたは Shift キーを押しながらクリックします。隣接している複数の脆弱性を選択するには、クリックおよびドラッグを使用します。脆弱性をダブルクリックして、リスト間を移動することもできます。

手順 4 [保存（Save）] をクリックします。

変更が保存されます。

ユーザ定義のホスト属性の作成

ライセンス： FireSIGHT

次の手順では、ユーザ定義のホスト属性の作成方法について説明します。

（注） ホスト属性は、ポリシーごとではなくグローバルに定義されます。作成したホスト属性は、適用されるポリシーに関係なく使用できます。

新しいホスト属性を作成する方法：

アクセス： Admin/Discovery Admin

手順 1 [分析（Analysis）] > [ホスト（Hosts）] > [ホスト属性（Host Attributes）] を選択します。

[ホスト属性（Host Attributes）] ページが表示されます。

手順 2 [ホスト属性の管理（Host Attribute Management）] をクリックします。

[ホスト属性の管理（Host Attribute Management）] ページが表示されます。

手順 3 [属性の作成（Create Attribute）] をクリックします。

[属性の作成（Create Attribute）] ページが表示されます。

手順 4 [名前（Name）] フィールドに、英数字および空白を使用してホスト属性の名前を入力します。

手順 5 ホスト プロファイルでのホスト属性の使用の説明に従って、[タイプ（Type）] ドロップダウン リストから、作成する属性のタイプを選択します。

• [テキスト（Text）] または [URL] ホスト属性を作成する場合は、続いて 6 の手順を実行します。
• [整数（Integer）] ホスト属性を作成する場合は、整数ホスト属性の作成を参照してください。
• [リスト（List）] ホスト属性を作成する場合は、リスト ホスト属性の作成を参照してください。

手順 6 [保存（Save）] をクリックします。

新しいユーザ定義のホスト属性が保存されます。

整数ホスト属性の作成

ライセンス： FireSIGHT

整数ベースのホスト属性を定義する場合は、その属性に使用できる数字の範囲を指定する必要があります。

整数ベースのホスト属性を作成する方法：

アクセス： Admin/Discovery Admin

手順 1 [最小値（Min）] フィールドに、ホストに対して割り当てることができる範囲の最小の整数値を入力します。

手順 2 [最大値（Max）] フィールドに、ホストに対して割り当てることができる範囲の最大の整数値を入力します。

手順 3 [保存（Save）] をクリックします。

新しい整数ベースのホスト属性が保存されます。

リスト ホスト属性の作成

ライセンス： FireSIGHT

リストベースのホスト属性を定義する場合は、リストに対してそれぞれの値を指定する必要があります。これらの値には、英数字、スペース、および記号を含めることができます。

ホスト属性の値を作成する場合は、IP アドレスのブロックに値を自動的に割り当てて、新しいホストが検出されたときに、ホスト属性の値が自動的に割り当てられるようにすることもできます。

リストベースのホスト属性を作成する方法：

アクセス： Admin/Discovery Admin

手順 1 リストに値を追加するには、[値の追加（Add Value）] をクリックします。

[値のリスト（List Values）] セクションが展開されます。

手順 2 [名前（Name）] フィールドに、英数字、記号、およびスペースを使用して、追加する最初の値を入力します。

手順 3 オプションで、ホストに追加した属性値を自動で割り当てるには、[ネットワークの追加（Add Networks）] をクリックします。

[ネットワークの自動割り当て（Auto-Assign Networks）] セクションが展開されます。

手順 4 [値（Value）] ドロップダウン リストから、追加した値を選択します。

手順 5 [IP アドレス（IP Address）] および [ネットマスク（Netmask）] フィールドに、IP アドレス、およびこの値を自動割り当てする IP アドレスのブロックを表すネットワーク マスクを（CIDR 表記で）入力します。

FireSIGHT システムでの CIDR 表記の使用法の詳細については、IP アドレスの表記規則を参照してください。

手順 6 リストにさらに値を追加して、IP アドレス ブロックの範囲内の新しいホストにこれらの値を自動的に割り当てるには、手順 1 ～ 5 を繰り返します。

ヒント 特定の IP ブロック内のホストに対してリストの値を自動割り当てしない場合は、事前定義のホスト属性の使用の説明に従って手動で割り当てることができます。

ユーザ定義ホスト属性の編集

ライセンス： FireSIGHT

ユーザ定義の既存のホスト属性を変更する場合、値の定義は変更できますが、属性のタイプ（テキスト、リスト、整数、URL）は変更できません。また、コンプライアンス ホワイト リストのホスト属性を変更することは できません 。

ユーザ定義の既存のホスト属性を編集する方法：

アクセス： Admin/Discovery Admin

手順 1 [分析（Analysis）] > [ホスト（Hosts）] > [ホスト属性（Host Attributes）] を選択します。

[ホスト属性（Host Attributes）] ページが表示されます。

手順 2 [ホスト属性の管理（Host Attribute Management）] をクリックします。

[ホスト属性の管理（Host Attribute Management）] ページが表示されます。

手順 3 編集するホストの属性の隣にある編集アイコン（ ）をクリックします。

ホスト属性のページには、選択した属性の設定が表示されます。

手順 4 必要に応じて設定を変更し、[保存（Save）] をクリックします。

編集可能な属性タイプと、それらの属性に指定できる値については、ユーザ定義のホスト属性の作成を参照してください。

ユーザ定義ホスト属性の削除

ライセンス： FireSIGHT

ユーザ定義のホスト属性を削除すると、その属性が使用されているすべてのホスト プロファイルから削除されます。コンプライアンス ホワイト リストのホスト属性を削除することは できません 。

ホスト属性を削除する方法：

アクセス： Admin/Discovery Admin

手順 1 [分析（Analysis）] > [ホスト（Hosts）] > [ホスト属性（Host Attributes）] を選択します。

[ホスト属性（Host Attributes）] ページが表示されます。

手順 2 [ホスト属性の管理（Host Attribute Management）] をクリックします。

[ホスト属性の管理（Host Attribute Management）] ページが表示されます。

手順 3 削除するホスト属性の隣にある削除アイコン（ ）をクリックします。

選択したホスト属性がシステムから削除されます。

ホスト プロファイルからのホストのスキャン

ライセンス： FireSIGHT

ホスト プロファイルから、ホストに対して Nmap スキャンを実行できます。スキャンが完了すると、ホスト プロファイルでそのホストのサーバおよびオペレーティング システムの情報が更新されます。追加のスキャン結果は、すべてホスト プロファイルの [スキャン結果（Scan Results）] セクションに追加されます。

注意 Nmap 提供のサーバおよびオペレーティング システムのデータは、別の Nmap スキャンを実行するか、より優先度の高いホスト入力で上書きするまでスタティックなままになります。Nmap を使用してホストをスキャンする場合は、Nmap で提供されるオペレーティング システムとサーバのデータを最新にしておくために、スケジュールされたスキャンを定期的にセットアップすることもできます。詳細については、 Nmap スキャンの自動化を参照してください。

---

ホスト プロファイルからホストをスキャンする方法：

アクセス： 管理

手順 1 ホスト プロファイルで [ホストのスキャン（Scan Host）] をクリックします。

[ホストのスキャン（Scan Host）] ポップアップ ウィンドウが表示されます。

手順 2 ホストのスキャンで使用するスキャン修復の隣にある [スキャン（Scan）] をクリックします。

ホストがスキャンされ、結果がホスト プロファイルに追加されます。