Investigation:[イベント]ビュー

Document created by RSA Information Design and Development on Feb 16, 2017Last modified by RSA Information Design and Development on Feb 16, 2017
Version 2Show Document
  • View in full screen mode
  

このトピックでは、[Investigation]>[イベント]ビューで利用できる機能について説明します。

[Investigation]>[イベント]ビューでは、セッションに関連づけられているイベントのリストを表示できます。[イベント]ビューを表示するには、次の2つの方法があります。

  • Security Analyticsメニューで、[Investigation]>[イベント]を選択します。Security Analyticsは、デフォルトのサービス(設定されている場合)の直近3時間についてデフォルト クエリーを実行するか、またはサービスを選択するダイアログを表示してからデフォルト クエリーを実行します。デフォルト クエリーではすべてのイベントが選択され、選択したサービスのイベントが古い順に[イベント]ビューに表示されます。 
  • [ナビゲート]ビュー内でイベントをクリックします。[イベント]ビューには、[ナビゲート]ビューのドリルダウン ポイントに基づいて、選択したサービスのイベントが表示されます。 

[イベント]ビューには、詳細ビュー、リスト ビュー、ログ ビューという、ビルトインの3種類の表示形式でイベント データを表示できます。リスト ビューおよび詳細ビューは、パケット データ イベントを表示するためのものであり、タイムスタンプ、イベント タイプ、イベント テーマ、サイズなど、各イベントの詳細な情報が確認できます。 

  • リスト ビューでは、イベントのソース アドレスおよび宛先 アドレスとポート番号がグリッドに表示されます。
  • 詳細ビューでは、イベントについて収集された主なメタデータがページ ビュー形式で表示されます。

ログ ビューは、ログ情報の表示のために最適化されたビューであり、タイムスタンプ、イベント タイプ、サービス タイプ、サービス クラス、ログなど、各ログの詳細情報が確認できます。

[イベント]ビューのフィルタ表示では、クエリー、時間範囲設定、プロファイルを使用できます。[イベント]ビューのいずれの表示形式からも、ファイルの抽出、イベントのエクスポート、ログのエクスポートを行うことができます。また、イベントをダブル クリックすると、[イベントの再構築]パネルが開きます。

次の図は、詳細ビューのイベントの例です。[コンテキスト ルックアップ]パネルはContext Hubサービスが構成されている場合にのみ表示されます。

EvDetVw.png

次の図は、リスト ビューのイベントの例です。

EvVwListVw.png

次の図は、ログ ビューの例です。

EvLogVw1.png

機能

[イベント]ビューには、上部に以下のオプションを備えたツールバーがあります。

                                               
機能説明
サービスを選択アイコンの横に選択したサービス名が表示されます。[調査するサービス]ダイアログを開きます。このダイアログでは、イベント リストを表示するサービスを選択できます。
時間範囲イベント リストに適用する時間範囲を選択するためのドロップダウン メニューが表示されます。標準的なオプションのなかから1つを選択するか、カスタム時間範囲を指定できます。
クエリー
103-IconInvQuery.png
[フィルターの作成]ダイアログが表示されます。ここでは、データをドリルダウンするのではなく、カスタム クエリーを直接入力できます(次のトピックを参照してください:カスタム クエリーの作成)
プロファイルの使用
104UseProfilesMenu.png
[プロファイルの使用]メニューが表示されます。現在選択されているプロファイルがツールバーに表示されます。プロファイルでは、カスタム メタ グループ、デフォルトの列グループ、プレクエリーなどを管理および使用できます。プロファイルは、[ナビゲート]ビュー(メタ グループとクエリー)および[イベント]ビュー(列グループとクエリー)に適用されます。
ビューの選択のドロップダウン
EventVViewMnu.png
イベント ビューのタイプを選択するためのドロップダウン メニューを表示します。
  • 詳細ビューでは、各イベントの詳細情報がページ形式で表示されます。
  • リスト ビューでは、各イベントのサマリーが1行ずつグリッド形式で表示されます。
  • ログ ビューでは、各ログのサマリーが1行ずつログ専用のイベント グリッドに表示されます。
  • カスタム列グループでは、ドロップダウン リストから選択した列グループを使用してイベント リストを表示します。
  • 列グループの管理では、カスタム列グループの作成および編集のためのダイアログが表示されます。
アクション
104EventsVActions.png
[イベント]ビューのアクションが、ドロップダウン メニューに表示されます。
  • アクションには、ファイルのエクスポート、PCAPファイルとしてのイベントのエクスポート、ログのエクスポートなどがあります。
  • ポップアップ ウィンドウまたは新しいタブにイベントの再構築を表示します。
  • [イベント]ビューのフィルタをすべてリセットします。
インシデントドロップダウン メニューが表示され、新しいインシデントを作成するか、既存のインシデントに追加できるようになります。
イベントの検索現在表示されているイベント セットに対して、テキスト パターン検索を実行します。[検索]フィールドをクリックすると、検索オプションを示すドロップダウン メニューが表示されます。[適用]をクリックすると、選択したオプションが保存され、[ナビゲート]ビューの検索オプションと[Investigation]プロファイルの検索オプションも更新されます(次のトピックを参照してください: Investigation:検索オプション).
設定
104NavSettingsIcon.png
Investigationの[イベント]ビューに関するオプションを設定します([プロファイル]ビューでも設定可能です)。これにより、[イベント]ビューから移動せずにInvestigationの設定を変更できます。[イベント]ビューで設定を変更すると、[プロファイル]ビューでも設定が変更されます(次のトピックを参照してください:[ナビゲート]ビューおよび[イベント]ビューの構成).

[イベント]ビュー ページの下部に表示されるツール バーには、イベント リストの各ページを移動可能な オプションがあります。

                                       
機能説明
104EventsVFirstPg.png 最初のページが表示されます。
104EventsVPrevPg.png 前のページが表示されます。
104EventsVPgN.png [Investigationの環境設定]ダイアログで[Investigationページのロードを最適化]オプションを有効にしていない場合、特定のページ番号を入力してページを移動することができます。
104EventsVNextPg.png 次のページが表示されます。
104EventsVLastPg.png 最後のページが表示されます。
104EventsVPgRef.png イベント リストを更新します。
1ページあたりのアイテム数1ページに表示するアイテム数の選択リストが表示されます。

[コンテキスト ルックアップ]パネル

Context Hubサービスを構成した後、Investigationモジュールの[ナビゲート]ビューと[イベント]ビューで[コンテキスト検索]パネルを表示できます。Context Hubの構成の詳細については、「Context Hub構成ガイド」を参照してください。

メタ値のコンテキスト ルックアップを実行する方法については、次のトピックを参照してください: データ ポイントの追加コンテキストの表示.

Context Hubサービスでは、メタ タイプとメタ キーのデフォルトのマッピングが事前に構成されています。Context Hubのメタ タイプとメタ キーのマッピングの詳細については、「Context Hub構成ガイド」の「メタ タイプとメタ キーのマッピングの管理」を参照してください。

次の図は、メタ値を右クリックしたときの[コンテキスト ルックアップ]オプションの例です。
F-Events-view.png

各データ ソースのルックアップ結果とコンテキスト情報の詳細については、「Context Hub構成ガイド」の「[コンテキスト ルックアップ]パネル」を参照してください。

You are here
Table of Contents > Investigationの参考資料 > [イベント]ビュー

Attachments

    Outcomes