調査：［コンテキスト ルックアップ］パネル

 

管理者がContext Hubサービスを構成した後、［ナビゲート］ビュー、［レガシー イベント］ビュー、［イベント］ビュー（バージョン11.2以降）に、メタ値に関するコンテキスト情報を表示できます。Context Hubサービスでは、メタ タイプとメタ キーのデフォルトのマッピングが事前に構成されています。Context Hubのメタ値と調査のメタ キーのマッピングの詳細については、『Context Hub構成ガイド』の「メタ タイプとメタ キーのマッピングの管理」を参照してください。

［コンテキスト ルックアップ］パネルは、［ナビゲート］ビュー、［レガシー イベント］ビュー、［イベント］ビューの右側に表示されます。Context Hubリストに追加されているメタ値は、［ナビゲート］ビューまたは［レガシー イベント］ビューの結果中で灰色でハイライト表示されます。［イベント］ビューでは、下線でマークされます。ハイライト表示されている値を右クリックし、［コンテキスト ルックアップ］を選択すると、表示されるコンテキスト メニューで、選択したメタ値の構成済みのソースの［コンテキスト ルックアップ］パネルにルックアップ結果が表示されます。［コンテキスト ルックアップ］パネル アイコン バーでソースを選択すると、コンテキスト情報を表示できます。

「ナビゲート」ビューまたは「イベント」ビューで開いたときと、［イベント］ビューで開たときとでは、［コンテキスト ルックアップ］パネルの外観と内容にいくつかの違いがあります。

ワークフロー

このワークフローでは、バージョン11.4で名称変更されたビューが参照されています。［イベント分析］ビューは［イベント］ビューになり、［イベント］ビューは［レガシー イベント］ビューになりました。

実行したいことは何ですか？

                                                          

*このタスクは現在のビューで実行できます。

関連トピック

• NetWitness Investigateの仕組み
• ［レガシー イベント］ビュー
• ［ナビゲート］ビュー
• ［イベント］ビュー
• 「Liveサービス管理ガイド」の「NetWitnessのフィードバックとデータ共有」

（［ナビゲート］ビューおよび［レガシー イベント］ビューでの）簡単な説明

次の図は、［ナビゲート］ビューと［レガシー イベント］ビューに表示される［コンテキスト ルックアップ］パネルの例です。コントロールと機能については、表で説明します。

                               

インシデント

インシデントは時間順（新しい順）に表示され、さらに優先度のステータスでソートされます。インシデントのルックアップでは、次の情報が表示されます。

• インシデントの名前とID
• インシデントの優先度のステータス
• インシデントのリスク スコアの値
• インシデントが作成された日付
• インシデントのステータス
• インシデントの割り当て先
• 最終更新日コンテキスト データを最後にデータ ソースからフェッチして、キャッシュを更新した時刻を示します。
• タイム ウィンドウ： これは［Respondの構成］ウィンドウの［クエリの対象期間（日数）］フィールドに設定された値に基づいています。詳細については、『Context Hub構成ガイド』の「データ ソースとしてのRespondの構成」を参照してください。
• ソート：このドロップダウン フィールドのオプションを使用して、時間または優先度に基づいて結果のソートを変更できます。

アラート

アラートが重大度に基づいて表示されます。アラートのルックアップでは、次の情報が表示されます。

• アラート名
• アラートの重大度の値
• アラートが作成された日付
• インシデントID：アラートが関連づけられているインシデントのIDです（該当する場合）。
• ソース：イベント ソース名
• アラートに関連するイベントの数。
• 更新日： コンテキスト データを最後にデータ ソースからフェッチして、キャッシュを更新した時刻を示します。
• タイム ウィンドウ： これは［Respondの構成］ウィンドウの［クエリの対象期間（日数）］フィールドに設定された値に基づいています。詳細については、『Context Hub構成ガイド』の「データ ソースとしてのRespondの構成」を参照してください。
• ソート：このドロップダウン フィールドのオプションを使用して、時間または優先度に基づいて結果のソートを変更できます。

リスト

リストのルックアップでは、次の情報が表示されます。

• リスト名
• リストを作成したオーナー
• 作成日
• 最終更新日
• リストの説明

エンドポイント

エンドポイントのルックアップでは、次の情報が表示されます。

• マシン名とマシンのIPアドレス。
  IPまたはエンドポイント マシン名をクリックすると、エンドポイントUIに移動してさらに詳しい調査を実行できます。
• 更新日： コンテキスト データを最後にデータ ソースからフェッチして、キャッシュを更新した時刻を示します。
• マシン スコア：モジュールのスコアに基づいてマシンのIIOCスコアが集計されます。
• モジュール数：選択したマシンのアクティブなファイルの数。
• 最終更新日：エンドポイント データベースでスキャン結果が最後に更新された時刻を示します。
• 最後にログインしたユーザ
• マシンのMACアドレス
• オペレーティング システムのバージョン
• 管理メモ（該当する場合）
• 管理ステータス（該当する場合）
• 最も疑わしいモジュール（IIOCスコアが500を超えるモジュール）。これは［エンドポイントの構成］ウィンドウの［最小IIOCスコア］フィールドに設定された値に基づいています。［最小IIOCスコア］のデフォルト値は500です。
• マシンIIOCレベル

［イベント］ビューの簡単な説明（バージョン11.2以降）

次の図は、［イベント］ビューに表示される［コンテキスト ルックアップ］パネルの例です。

［コンテキスト ルックアップ］パネルに表示されるコンテキスト情報やクエリの結果は、選択したエンティティと関連するデータ ソースに依存します。［コンテキスト ルックアップ］パネルには、データ ソースごとに個別のタブがあります。タブには、［データ ソースのリスト］、［Archer］、［Active Directory］、［エンドポイント］、［インシデント］、［アラート］、［Live Connect］があります。次の図は、［インシデントの詳細］ビューで選択したエンティティの［コンテキスト ルックアップ］パネルを示しています。

次の表は、各タブおよびサポートされるエンティティで使用可能なデータを示しています。

                                                     

［リスト］タブ

［コンテキスト ルックアップ］パネルの［リスト］タブには、選択したエンティティまたはメタ値に関連する1つ以上のリストが表示されます。次の図は、［コンテキスト ルックアップ］パネルの［リスト］タブの例です。表にはフィールドの説明が記載されています。

                                           

［Archer］タブ

［コンテキスト ルックアップ］パネルの［Archer］タブには、IP、ホスト、およびMACのエンティティについて、Archerデータ ソースから取得した重要度評価と資産情報が表示されます。次の図は、［コンテキスト ルックアップ］パネルの［Archer］タブの例です。表には各フィールドの説明が記載されています。

                                                               

注： ローカライズ版で表示されるのは、重要度評価、リスク評価、デバイス管理責任者、ビジネス ユニット、ホスト名、MACアドレス、施設、IPアドレス、タイプ、デバイスID、デバイス名、ビジネス プロセスの12個のフィールドのみです。

［Active Directory］タブ

次の図は、Active Directoryの［コンテキスト ルックアップ］パネルの例です。

 

Active Directoryの［コンテキスト ルックアップ］パネルには、ユーザのすべての関連情報、インシデント、アラートが表示されます。次の形式を使用して検索を実行できます。

• userPrincipalName
• Domain\UserName
• sAMAccountName

Active Directoryについて次の情報が表示されます。

                                                                               

［NetWitness Endpoint］タブ

次の図は、［コンテキスト ルックアップ］パネルの［NetWitness Endpoint］タブの例です。

 

IIOCについて次の情報が表示されます。

                                           

モジュールについて次の情報が表示されます。

                               

マシンについて次の情報が表示されます。

                                   

［アラート］タブ

次の図は、最初に時間（新しい順）、次に重大度に基づいて表示された［アラート］の［コンテキスト］パネルの例です。

 

［コンテキスト ルックアップ］パネルの［アラート］タブには以下の情報が表示されます。

                                               

［インシデント］タブ

次の図は、最初に時間（新しい順）次に優先度のステータスに基づいた［コンテキスト ルックアップ］パネルの［インシデント］タブの例です。

 

［コンテキスト ルックアップ］パネルの［インシデント］タブには以下の情報が表示されます。

                                                       

［Live Connect］タブ

次の図は、［コンテキスト］パネルの［Live Connect］タブの例であり、表では表示される以下の情報について説明しています。

                                                       

［ファイル レピュテーション］タブ

[ファイル レピュテーション] の [コンテキスト ルックアップ] パネルには、そのファイルのレピュテーションのステータスが表示されます。