Decoder:GeoIP2 ParserとGeoIP Parser

Document created by RSA Information Design and Development Employee on Apr 19, 2018Last modified by RSA Information Design and Development Employee on Apr 29, 2019
Version 2Show Document
  • View in full screen mode
 

このトピックでは、Decoder向けのGeoIP2 ParserとGeoIP Parserについて説明します。これらのParserのうち、一度に有効にできるのは1つだけです。これらのParserはいずれも、特定のIPアドレスが一般的に使用されている国や都市名などの地理的な場所にそのIPアドレスを変換します。

GeoIP2 Parser

NetWitness Platformバージョン 11.2以降で使用可能なGeoIP2 Parserは、アップグレードと新規インストール用にデフォルトで有効になっています。GeoIP2 Parserは、最新のMaxmind GeoIPパッケージを提供し、IPv6アドレスに加えIPv4をサポートしています。

GeoIP2 Parserの構成は次のようにして編集できます。

  1. 管理]>[サービス]に移動します。
  2. [Administration]の[サービス]ビューで、Log DecoderまたはDecoderを選択します。
  3. 設定アイコン(Image of the Action button)をクリックし、[表示]>[構成]を選択します。[Parser構成]パネルが表示されるので、そこから[GeoIP2]を選択して構成オプションを表示して更新できます。

検索対象のIPアドレスを定義することもできます。GeoIP2 Parserでは、デフォルトで ip.srcip.dstipv6.srcipv6.dstの各IPアドレスを使用できます。ただし、parsers.optionsを使用してIPアドレスを削除または新たに追加して、オプションを更新することができます。たとえば、parsers.optionsを編集して、使用するIPアドレスのコンマ区切りリストを次のように渡すことができます。
GeoIP2="ipaddr=ip.src,ip.dst,ipv6.src,ipv6.dst,ip.addr"
これにより、ip.addrという新しいIPアドレスが検索対象として追加されます。ただし、ip.addrは末尾が.srcまたは.dstでないため、生成されたGeoIP2メタデータが.srcまたは.dstのサフィックスなしのメタデータにParserによって配置されます。このようにして、国や都市などがip.addrメタデータの後に表示されるようになります。

注:ip.addrに対して渡したリストはデフォルトのリストを置き換えます。そのため、ipaddr=ip.srcを渡した場合は、ip.srcのGeoIP2メタデータのみが生成され、他のIPアドレスは生成されません。

注:parsers.optionsは、複数のParserに関するオプションを渡すために使用されます。そのため、GeoIP2を追加する場合は、他のParser(エントロピーなど)に渡される他のオプションを削除しないでください。

次の表は、GeoIP2 Parserによって生成される可能性のあるすべてのメタデータをリストにしたものであり、どのメタデータがデフォルトで有効または無効になっているかを示しています。

                           
デフォルトで有効無効
country, country.src, country.dstlatdec, latdec.src, latdec.dst
 longdec, longdec.src, longdec.dst
domain, domain.src, domain.dstisp, isp.src, isp,dst
org, org.src, org.dstcity, city.src, city.dst

標準のParser構成を使用して、他のメタデータを有効にできます。

注:GeoIP2 Parserは、一部のメタデータをデフォルトで無効にするという点で、(生成されたメタデータをデフォルトでまったく無効にしなかった)GeoIP Parserとは動作が異なります。無効になっているメタデータが必要な場合は、11.2以降にアップグレードした後で、Decoderごとに(1回だけ)そのメタデータを有効にする必要があります。ispおよびorgのメタ フィールドでは、通常、domainに相当する値を生成します。

GeoIP Parser

GeoIP Parserは、NetWitness Platformの以前のバージョンで使用可能な古いParserですが、新しいGeoIP2 Parserとともに引き続きサポートされています。Parserの構成を変更するには、[サービス]の[構成]ビュー>[ファイル]>[GeoPrivate.ipl]を選択してParserオプションを編集します。

GeoPrivate.iplにある地理的な位置情報メタデータは、ip.srcip.dstの両方について追加されます。Parserは、GeoCity.datGeoCountry.datという2つの外部データ ファイルを使用します。これらのファイルは両方ともアプリケーション ディレクトリに格納されています。次の表に示すように、各IPアドレスについて最大で8つのメタデータが存在します。

                                         
メタデータ説明
city.dst 宛先の市区町村名
city.src ソースの市区町村名
country.dst 宛先の国名
country.src ソースの国名
latdec.dst 宛先の10進緯度
latdec.src ソースの10進緯度
longdec.dst 宛先の10進経度
longdec.src ソースの10進経度
Previous Topic:文字列関数
Next Topic:Lua Parser
You are here
Table of Contents > FeedおよびParserの参考事例 > GeoIP2 ParserとGeoIP Parser

Attachments

    Outcomes