調査：［ナビゲート］ビューでの結果のフィルタリング

Document created by RSA Information Design and Development

on Nov 2, 2020

Version 1Show Document

Like • Show 0 Likes0
Comment • 0
View in full screen mode

［ナビゲート］ビューで調査を実施する場合は、メタキーの値を［ナビゲート］ビューにロードする時に、いくつかの方法で表示する結果を絞り込むことができます。このトピックの後半では、基本的なデータのフィルタリング方法を中心に説明します。

時間範囲の設定

［ナビゲート］ビューで調査を実施する際、返される結果を制限するには、時間範囲のオプション設定を使用します。次のオプションを選択できます。

収集データの時間範囲。最後に収集されたデータの時刻を基準にして、一定の時間範囲を選択します。
カレンダーの日付を基準にした時間範囲。
カスタムの時間範囲。
すべてのデータ。

選択した日付範囲が［ナビゲート］ビューのツールバーに時間範囲ラベルとして表示されます。デフォルトのラベルは［直近3時間］です。タイムラインバナーに表示される時間範囲には、メタデータに使用されている日付範囲の最初と最後のタイムスタンプが表示されます。

注：時間範囲の設定で使用する日付と時刻は、『RSA NetWitness Platformスタートガイド』の「ユーザ環境設定の設定」で説明されているように、［プロファイル］の［環境設定］パネルに構成されている［タイムゾーン］をベースとしています。

標準提供の時間範囲を選択するには、次の手順に従います。

［ナビゲーション］ビューのツールバーの［時間範囲］オプションをクリックします。デフォルトの時間範囲は［直近3時間］ですが、すでに選択リストから別の値（［すべてのデータ］、［直近1時間］など）が選択され、オプションパネルのラベルとして表示されている場合があります。
時間範囲の選択リストが表示されます。
次のいずれかを実行します。
- すべてのデータを表示する場合は、［すべてのデータ］を選択します。
- 時間範囲を収集に対する分、時間、日単位で設定する場合は、［直近10分］、［直近3時間］、［直近5日］のような値を選択します。
- 現在からの相対的な時間範囲を設定する場合は、［昨日］、［今週］（バージョン11.1）、［先週］（バージョン11.1）、［終日］、または［早朝］、［午前］、［午後］、［夕方］のような1日の一部を選択します。
- カスタムの日付範囲を設定する場合は、［時間範囲］メニューの［カスタム］を選択し、以下の手順を実行します。
  選択した時間範囲は値パネルの上部にも表示されます。

カスタム時間範囲を指定するには、次の手順に従います。

［時間範囲］メニューで［カスタム］を選択します。
日付選択オプションはツールバーに表示されます。
［開始日］および［終了日］フィールド内で、次の手順を実行して日付と時間を指定します。
1. カレンダーから日付をクリックします。
2. （オプション）［時間］および［分］フィールドから時間を選択するか、［現在］をクリックします。時間の選択は、デフォルトで日の現在時間となります。

注：開始時刻の秒は常に:00に、終了時刻の秒は常に:59に変更されます。たとえば、時間を使用して問題にドリルダウンする場合、ドリル時間は「HH:MM:00～HH:MM:59」と解釈されます。

範囲を適用するには、［表示］をクリックします。
選択した時間範囲が、［値］パネルの現在の結果に適用されます。

メタキー結果の集計方法とソート順の設定

［ナビゲート］ビューで各メタキーの結果をどのようにカウントし、ソートするかを選択できます。

注：メタグループでメタエンティティ（バージョン11.1以降）が使用されている場合は、メタエンティティに含まれるメタキーのいずれかと一致する上位20の値が結果に表示されます。

［ナビゲート］ビューにある各メタキーのセクションには、各メタキーの値（［値］）とそのカウント（［件数］）が一定の順序でリストされます。次の設定を行うことができます。

各メタキーセクションの結果を［値］または［合計］のどちらに基づいてソートするか。
結果を昇順でソートするか降順でソートするか。
各メタキーに表示される値をパケット数で集計（［パケット数］）するか、セッションまたはログ数で集計するか（［イベント数で集計］）、イベントのサイズで集計（［イベントサイズで集計］）するか。

注： Log DecoderとPacket Decoderの両方のメタを表示している場合、実際の算出される数はキーのタイプによって異なります。パケット数で集計することを選択した場合にログを調べると、［ナビゲート］ビューの出力は、［イベント数で集計］を選択した場合と同じ出力になります（詳細については、「［ナビゲート］ビュー」を参照してください）。

次の図では、「Event Type」というメタキーは、［合計］の降順で表示されています。一致件数の最も多い値が最初に表示されています。値failure auditは一致件数が71件であり、先頭に表示されています。値logonは一致件数が1件しかなく、最後に表示されています。集計方法は［イベント数］です。

次の図では、「Event Type」というメタキーが［値］の降順で表示されています。アルファベットの最後の文字から順に、値が表示されていることが分かります。値success auditが先頭に表示されています。値connectが最後に表示されています。集計方法は［イベント数］です。

［ナビゲート］ビューでメタキーを集計する方法と結果の表示順を選択するには、次の手順を実行します。

ツールバーで、［イベント数］、［イベントサイズ］、［パケット数］のいずれかをクリックし、ドロップダウンメニューで集計オプションを1つ選択します。選択したオプションがメニューのラベルに表示されます。

選択内容に応じて現在のビューが再ロードされます。
ツールバーで、［合計］または［値］をクリックし、ドロップダウンメニューからいずれかのソート条件を選択します。選択したオプションがメニューのラベルに表示されます。

選択内容に応じて現在のビューが再ロードされます。
ツールバーで、［昇順］または［降順］をクリックし、ドロップダウンメニューからいずれかのソート順を選択します。選択したオプションがメニューのラベルに表示されます。
選択内容に応じて現在のビューが再ロードされます。

調査でのデフォルトメタキーの管理と適用

収集したデータの調査をアナリストがInvestigateで実施する際は、メタキーのデフォルトのセットが［ナビゲート］ビューの［値］パネルにデフォルトの順序でロードされて表示されます。デフォルトのコンテンツと順序は、調査対象のサービスのメタキーに基づきます。アナリストは、デフォルトのメタキーを選択するかユーザ定義のメタキーのグループを選択することにより、調査の際に表示するメタキーを指定でき、メタキーの定義や表示を柔軟に行うことができます。これにより、目的のデータにより直接的にドリルダウンできるようになります。また、現在の調査には関係のないメタをロードせずに済むため、ロードの時間の短縮にも役立ちます。

注：バージョン11.1以降では、メタキーを使用可能な場所では、構成済みのメタエンティティも使用できます。

有効なカスタムメタグループがない場合は、［デフォルトのメタキーの管理］ダイアログの表示オプションで指定されたメタが表示されます。［ナビゲート］ビューの［値］パネルでのメタキーのロードを最適化するために、NetWitness Platformはデフォルトではインデックスなしのメタキーを展開しません。インデックスなしのメタキーを［値］ビューで展開すると、NetWitness Platformによってそのメタキーの値のロードが開始されます。ロード時間が長くなりすぎると、メッセージが表示されてメタキーのロードはタイムアウトになります。インデックスなしのメタキーのタイトル、値、数は、［値］パネルでは詳しく調べることができません。Investigationでラベル付けを行い、インデックスなしのメタキーを識別します。

調査に使用するメタキーを選択するには、次のいずれかの手順を実行します。

デフォルトのメタキーを選択する。
メタキーセット（メタグループ）を選択する。

注：調査には、標準提供のメタグループとユーザ定義のメタグループがあります。作成したユーザ定義のメタグループは、編集と削除が可能であるほか、エクスポートやインポートが可能です。これらの手順については、「メタグループを使用して関連性の高いメタキーにフォーカス」という別のトピックで説明されています。

［デフォルトのメタキー］ダイアログでは、［調査］＞［ナビゲート］ビューで特定のサービスについて調査するときに、メタキーのデフォルト表示オプションを指定できます。キーごと、またはすべてのキーについて、デフォルトの表示を次のように設定できます。

［非表示］：デフォルトのメタキーの結果を非表示にし、ロードしません。
［展開表示］：デフォルトのメタキーの結果を展開し、値と数（セッションの合計）を表示します。
［折りたたみ表示］：デフォルトのメタキーの結果を折りたたみ、メタの名前だけが表示されるようにします。
［自動］：デフォルトのメタキーのロードをインデックスレベルで制御します。そのためには、値によってインデックスされている必要があります。

デフォルトのメタキーはさまざまなサービス向けに変更できるため、別のサービスのドリルダウンポイントに移動したときに、同じデフォルトのメタキーのセットが表示されないことがあります。デフォルトのメタキーを使用する場合は、この点に注意してください。目的のデータが表示されない場合は、デフォルトのメタキーの初期表示を変更する必要があります。

デフォルトのメタキーの初期状態を［ナビゲート］ビュー内で変更した場合、変更はそのサービスに対して持続されます。コアサービスのカスタムインデックスファイル（たとえば、concentrator-custom-index.xml、decoder-custom-index.xmlなど）に新しいキーを追加する場合、その新しいキーは、デフォルトのメタキーのリストに追加されます。［ナビゲート］ビューで設定された変更は、現在のサービスにのみ適用されます。

初期の［ナビゲート］ビューがデフォルトのメタキーを使用して開くように指定するには、次の手順を実行します。

［調査］＞［ナビゲート］に移動します。
サービスを選択し、［ナビゲート］を選択します。
［メタ］メニューで、［デフォルトのメタキーを使用］を選択します。
調査がすでに進行中である場合、データが現在のビューに再ロードされ、選択したオプションには目印のアイコンが表示されます。まだデータがロードされていない場合、デフォルトのメタキーが次回のロードに使用されます。

デフォルトのメタキーの構成

［ナビゲート］ビューでデフォルトのメタキーのデフォルトの表示を構成するには、次の手順を実行します。

［ナビゲート］ビューのツールバーで、［メタ］＞［デフォルトのメタキーの管理］を選択します。
［デフォルトのメタキーの管理］ダイアログが表示され、サービスで利用可能なメタキーのリストが表示されます。
（オプション）キーの順序を変更するには、1つ以上のキーを選択し、上方向または下方向にドラッグします。
次のいずれかを実行します。
- （オプション）すべてのメタキーのデフォルトの表示を変更するには、キーが選択されていないことを確認して、ツールバーでを選択します。
- （オプション）1つ以上のキーのデフォルトの表示を変更するには、キーを選択して、ツールバーでを選択します。
  すべてのデフォルトのメタキーに使用可能な初期表示のドロップダウンメニューが表示されます。
- （オプション）メタキーをサービスインデックスファイルで指定されているとおりのデフォルトの表示に戻すには、キーが選択されていないことを確認して、ツールバーで＞［自動］を選択します。
  インデックスなしのメタキーのデフォルトビューを変更する場合、キーを展開表示に設定できません。メタグループのデフォルトビューを展開表示に変更し、一部のメタキーがインデックスなしであった場合、インデックスなしのメタキーは自動的に自動に戻ります。したがって、メタキーはインデックス付きである場合にのみ自動的にロードされます。インデックスなしのメタキーは手動で開くまで折りたたみ表示になります。
いずれかの表示方法を選択します。
［適用］をクリックして、変更を保存します。
［ナビゲート］ビューに表示されるメタキーは、指定された内容で設定されます。デフォルトのメタキーが非表示の場合、そのメタキーの値は調査では一切表示されません。デフォルトのメタキーが折りたたみ表示の場合、そのメタキーの値はデフォルトではロードされません。ただし、［ナビゲート］ビューで個々のメタキーを手動でロードすることはできます。

［ナビゲート］ビューのタイムチャートでのデータのドリルダウン

アナリストは、タイムチャートを使用して、時間の経過に従ってアクティビティを可視化することができます。時間範囲を選択して、［調査］オプションを選択して、データにズームインすることができます。その後、ズームインの前に有効であった時間範囲にナビゲーションをリセットできます。

［調査］＞［ナビゲート］に移動します。
現在のドリルダウンポイントおよび選択した時間範囲のタイムチャートが表示されます。
タイムチャート上でマウスのクリックとドラッグを行い、目的の時間範囲を選択します。選択した時間範囲がハイライト表示されます。
選択した時間範囲のタイムチャートが再描画されます。ただし、メタ値は変更されません。
選択した時間範囲のデータにドリルダウンするには、［調査］をクリックします。
URLが更新され、新しい時間範囲が反映されます。さらに、調査オプションパネルでは、時間範囲がカスタム時間範囲に変更されます。選択した時間範囲を使用して、タイムチャートが再描画され、メタ値がロードされます。
タイムチャートを元の時間範囲にリセットするには、［ズームのリセット］をクリックします。
URLが、データのズームを行う前の元のURLに戻ります。また、調査オプションパネルでは、時間範囲がズームを行う前の時間範囲に戻ります。元の時間範囲を使用して、タイムチャートが再描画され、メタ値がロードされます。

［値］パネルでのデータのドリルダウン

NetWitness Platformでは、［調査］＞［ナビゲート］ビューに、選択したサービスのアクティビティと値が表示されます。調査のためにアナリストがメタキーまたはメタ値をクリックしてデータをドリルダウンすると、クエリが実行されます。［値］パネルで、各クエリは階層リンクのデータに追加されます。これにより、各クエリへのリンクを含む階層リンクが画面上部に表示されます。階層リンクを編集して、クエリを挿入したり、削除したりできます。

メタデータのサブセットにドリルダウンするには、次の手順を実行します。

調査を開始して、［ナビゲート］ビューにメタデータを表示します。
メタデータをドリルダウンするには、次の操作を任意の組み合わせで実行します。
1. メタキー、たとえば、［Service Type］をクリックします。
2. 結果内のメタ値（青色のテキストで表示）をクリックします。たとえば、［OTHER］をクリックします。
  メタキーまたはメタ値をクリックするたびに、データを絞り込む焦点（ドリルダウンポイント）を狭めながらクエリが実行されます。ドリルダウンポイントごとに結果パネルが更新され、新しいドリルダウンポイントが階層リンクに表示されます。次の図は、初期の階層リンクの例です。
  
  次の図は、ツールバーに収まらない長い階層リンクの例です。ツールバーの最後のクエリの後ろにドロップダウンメニューが表示され、その中にツールバーに収まらなかった他のクエリのリストが表示されます。このドロップダウンリストからクエリを選択して、ドリルダウンポイントを選択することができます。

階層リンクでクエリを追加するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックすると、クエリメニューを表示できます。クエリの前に新しいクエリを挿入することや、階層リンクの末尾に新しいクエリを追加することができます。階層リンクを編集すると、その都度、NetWitness Platformによって結果が更新されます。

階層リンクでクエリを追加するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックします。
階層リンクメニューが表示されます。
クエリを追加するには、［後にクエリを挿入］または［前にクエリを挿入］を選択します。
［フィルタの作成］ダイアログが表示されます。
「［ナビゲート］ビューと［レガシーイベント］ビューでのクエリの作成」の記載に従って、クエリを作成します。

階層リンクでのクエリを編集するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックすると、クエリメニューを表示できます。クエリを削除したり、クエリを編集することができます。階層リンクを編集すると、その都度、NetWitness Platformによって結果が更新されます。

階層リンク内のクエリを操作するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックします。
階層リンクメニューが表示されます。
クエリを編集するには、［編集］を選択します。
［作成］ダイアログに、選択したクエリの編集画面が表示されます。
「［ナビゲート］ビューと［レガシーイベント］ビューでのクエリの作成」の記載に従って、フィールドを編集します。

メタキー内でクイック検索を実行するには、次の手順を実行します。

メタキーセクションに移動し、虫眼鏡アイコンをクリックします。
［クイック検索］フォームが開きます。演算子とテキスト入力ボックスが表示され、検索条件を指定できます。
（オプション）この検索フォームを閉じるには、虫眼鏡アイコンをもう一度クリックしてください。
左のドロップダウンリストから演算子を選択し、検索するテキスト値を入力します。［ドリルダウン］をクリックすると、検索が実行されます。
指定したメタキーとメタ値を使用して現在表示中のメタデータが絞り込まれ、結果が表示されます。

メタキー情報を表示して、メタキーのメタ値をコピーするには、次の手順を実行します。

キー名、メタキー表示用に設定されたインデックスレベル、メタキーに設定されたデフォルトビューを表示するには、メタキーの横に表示されるドロップダウンメニューをクリックします。次の図は、バージョン11.1以降のドロップダウンメニューを示しています。
［メタキー情報］を選択します。
［メタキー情報］ダイアログが表示されます。
ダイアログを閉じるには、をクリックします。
（バージョン11.1以降ではオプション）メタキーの見つかったメタ値をコピー可能なシンプルなリストで表示するには、メタキーの横にあるドロップダウンメニューをクリックします。
［値のエクスポート］ダイアログが表示されます。
バージョン11.1のダイアログには、1行につき値を1つ含んだ値リストが表示されます。

バージョン11.3のダイアログでは、値を区切る方法（改行またはCSV）を選択できます。
コピーする値を選択し、［値のエクスポート］をクリックします。
値がローカルのクリップボードにコピーされ、ファイルにペーストして保存したり共有したりできるようになります。
ダイアログを閉じるには、［閉じる］をクリックします。
（オプション）現在のドリルダウンポイントのメタキーの結果を折りたたみ表示するには、メタキーの横のドロップダウンメニューをクリックし、［結果の折りたたみ表示］をクリックします。

メタ値に関連づけられたイベントを表示するには、次の手順を実行します。

［イベント］ビューには、イベントに関する詳細な内容が2種類のビューで表示されます（イベントリストと詳細ビュー）。

［ナビゲート］ビューで、調査の対象となるメタデータまでドリルダウンします。
青色のメタ値の横に表示されるカウント（緑色の数字）をクリックします。
現在のドリルダウンポイントに対応する［イベント］ビューが表示されます。
［イベント］ビューで実行できる操作については、「結果のダウンロードと処理」で説明しています。

メタ値に関連づけられた特定のイベントを検索するには、次の手順を実行します。

［ナビゲート］ビューで、調査の対象となるメタデータまでドリルダウンします（メタ値をクリックするか、クエリを追加します）。
［イベントの検索］ボックスに検索文字列を入力し、Enterを押すか、［検索］をクリックします。
検索モード環境設定を選択して設定することもできます。検索情報の詳細については、「［ナビゲート］ビューと［レガシーイベント］ビューでのテキストパターンの検索」を参照してください。
［イベント］ビューの新しいタブが開き、検索結果が表示されます。ハイライト表示された検索語が見つからない場合は、［追加のメタの表示］をクリックします。時間範囲の選択とドリル（クエリ）が［イベント］ビューに継承されます。

選択したメタ値をRSA Liveで表示するには、次の手順を実行します。

［ナビゲート］ビューで、調査の対象となるメタデータまでドリルダウンします。
メタ値（青色で表示されたテキスト）を右クリックします。
［メタ値］ドロップダウンメニューが表示されます。
RSA Liveでメタ値を検索するには、［Liveルックアップ］を選択します。
Liveの［検索］ビューが開いて、入力したメタ値が［生成されるメタ値］フィールドに表示され、検索できる状態になります。