調査:[ナビゲート]ビューおよび[イベント]ビューの構成

Document created by RSA Information Design and Development on Apr 19, 2018Last modified by Shree Kulkarni on Oct 12, 2018
Version 3Show Document
  • View in full screen mode
 

アナリストは、[調査]>[ナビゲート]ビューと[イベント]ビューでデータを解析する際の、NetWitness Suiteのパフォーマンスや動作に影響する環境を設定できます。

これらの設定はNetWitness Suite内の次の2つの場所にあり、どちらの場所で変更を行っても、もう一方のビューに変更が適用されるようになっています。

  • [ナビゲート]ビューおよび[イベント]ビューの[調査]ビュー>[設定]ダイアログと[検索]フィールド。
  • [プロファイル]>[環境設定]パネル>[Investigation]タブ。 

Investigation設定へのアクセス

設定にアクセスするには、次のいずれかを実行します。

  • ナビゲート]ビューのツールバーで、[設定]オプションを選択します。
    [ナビゲート]ビューの[設定]ダイアログが表示されます。
    [ナビゲート]ビューの[設定]
  • イベント]ビューのツールバーで、[設定]オプションを選択します。
    [イベント]ビューの[設定]ダイアログが表示されます。
    [イベント]ビューの設定
  • NetWitness Suiteの右上隅で、ユーザ ドロップ ダウン メニューから[プロファイル]を選択し、[環境設定]をクリックします。[Investigation]タブをクリックします。
    [Investigation]タブが表示されます。
    [プロファイル]ビューのInvestigationの設定

[ナビゲート]ビューでの値のロード パラメータの調整

Investigation設定のいくつかは、[値]パネルで値をロードする際のNetWitness Suiteのパフォーマンスに影響します。デフォルト値は一般的な使用方法に基づいて設定されているため、アナリストはこれらの設定を自分の調査内容に合わせて調整できます。

これらの設定を調整するには、次の手順を実行します。

  1. Investigation]タブに移動するか、[ナビゲート]ビューの[設定]ダイアログに移動します。
  2. 次のパラメータを調整します。
  • 閾値:[値]パネルでメタ キー値にロードするセッションの最大数の閾値を設定します。閾値を高くすると、値が正確にカウントされますが、その分ロード時間が長くなります。デフォルト値は100000です。
  • 結果の最大数:この設定は、[ナビゲート]ビューで開いているメタ キーについて、[メタ キー]メニューで[最大まで表示]を選択した場合にロードする値の最大数を制御します。デフォルト値は1000です。
  • セッション エクスポートの最大数:単一のPCAPファイルまたはログファイルでエクスポートできるイベントの数を指定します。
  • ログ ビューの最大文字数:[Investigation]>[イベント]>[ログ テキスト]に表示する最大文字数を設定します。デフォルト値は1000です。
  • デバッグ情報の表示:NetWitness Suiteの[ナビゲート]ビューで階層リンクの下にwhere句を表示する場合、またBrokerで集計したサービスごとに経過したロード時間を表示する場合は、このチェックボックスをオンにします。デフォルト値はオフです。
  • 値の自動ロード:NetWitness Suiteの[ナビゲート]ビューで選択したサービスの値を自動的にロードするには、このオプションをオンにします。このオプションを選択しない場合、NetWitness Suiteには[値のロード]ボタンが表示され、ロードする値のオプションを変更することができます。デフォルト値はオフです。
  • Live Connect:リスクの高いIPのハイライト表示:NetWitness SuiteでRSAコミュニティによりリスクが高いと見なされるIPアドレスのみをハイライト表示して表示する場合は、このオプションをオンにします。選択しない場合、NetWitness SuiteではすべてのIPアドレスが表示されます。このオプションはデフォルトではオフになっています。
  1. 適用]をクリックします。

設定はすぐに反映され、次に値をロードしたときに表示されます。

InvestigationでのPCAPダウンロード動作の構成

調査モジュールで抽出されたPCAPのダウンロードを自動化できます。これにより、抽出されたPCAPファイルがブラウザによりダウンロードされ、PCAPファイルのデフォルトのアプリケーション(Wiresharkなど)で開くことができます。

次の手順を実行します。

  1. PCAPを開くことのできるアプリケーションがローカルにインストールされていて、PCAPファイルのデフォルトのアプリケーションとして設定されていることを確認します。
  2. Investigation]タブに移動するか、[ナビゲート]ビューまたは[イベント]ビューの[設定]ダイアログに移動します。
  3. 完了したPCAPのダウンロード]オプションをクリックします。
  4. 適用]をクリックします。
    設定はすぐに反映されます。

Investigationでのデフォルトのログ エクスポート形式の構成

Investigationからさまざまな形式でログをエクスポートできます。使用可能なオプションは、テキスト、XML、CSV、JSONです。ログ エクスポート形式のデフォルト設定はありません。ここで形式を選択しない場合、ログのエクスポートを呼び出すときに、NetWitness Suiteで選択のダイアログが表示されます。

ログのエクスポート形式を選択するには、次の手順を実行します。

  1. Investigation]タブに移動するか、[ナビゲート]ビューの[設定]ダイアログに移動します。
  2. ログのエクスポート形式]ドロップダウン メニューからオプションを1つ選択します。
  3. 適用 ]をクリックします。
    設定がすぐに反映されます。

Investigationでのデフォルトのメタ エクスポート形式の構成

Investigationからさまざまな形式でメタ値をエクスポートできます。使用可能なオプションは、テキスト、XML、CSV、JSONです。メタ エクスポート形式のデフォルト設定はありません。ここで形式を選択しない場合、メタ値のエクスポートを呼び出すときに、NetWitness Suiteで選択のダイアログが表示されます。

メタ値のエクスポート形式を選択するには、次の手順を実行します。

  1. Investigation]タブに移動するか、[ナビゲート]ビューの[設定]ダイアログに移動します。
  2. メタ エクスポート形式]ドロップダウン メニューからオプションを1つ選択します。
  3. 適用]をクリックします。
    設定がすぐに反映されます。

[イベント]ビューでの取得とデフォルトの再構築の調整

[イベント]ビューでのNetWitness Suiteによるイベントの取得と再構築の方法を制御するパラメータをいくつか構成できます。これを行うには、以下の手順を実行します。

  1. Investigation]タブに移動するか、[イベント]ビューの[設定]ダイアログに移動します。
  2. 次のパラメータを構成します。
  • Investigationページのロードの最適化]:ページ表示のオプションを設定します。最適化した場合、イベント リストで可能な限り速く結果が返されますが、イベント リストのページ移動機能が無効になります。このボックスをオフにすると、イベント リストのページ移動機能が有効になり、リストの特定のページ(または最後のページ)に移動できるようになります。デフォルト値は[有効]です。
  • イベント パネルのイベントを挿入モードで表示]:このオプションを選択すると、[イベント]パネルに表示されるイベントは段階的に追加されます。たとえば、次のページ アイコンをクリックするたびに、イベントの次の増分が追加されていき、最初は1~25で、次が1~50、その次が1~75などのように増えてきます。このオプションは、[Investigationページのロードの最適化]オプションが有効な場合にのみ使用できます。
  • [デフォルト セッション表示]:[イベント]ビューでのデフォルトの再構築のタイプを選択します。デフォルト値は[最適な表示]で、イベントに最も適した表示方法でイベントが表示されます。
  1. 変更をすぐに有効にするには、[適用]をクリックします。

Webコンテンツ再構築におけるカスケーディング スタイル シート表示の有効化または無効化

アナリストは、Webコンテンツ再構築の際のCSS(カスケーディング スタイル シート)の使用を有効化できます。有効化すると、Webの再構築にカスケード スタイル シート(CSS)とイメージが含まれるようになり、再構築の表示と元のWebブラウザの表示が一致するようになります。これには、関連するイベントのスキャンと再構築、ターゲット イベントで使用されるスタイル シートとイメージの検索が含まれます。このオプションは、デフォルトで有効化されています。特定のWebサイトの表示に問題がある場合は、このオプションを無効化してください。 

注:関連する画像とスタイル シートが見つからないか、Webブラウザのキャッシュからロードされなかった場合は、再構築されたコンテンツの外観が元のWebページと完全には一致しない可能性があります。また、クライアント側のすべてのjavascriptがセキュリティ目的で削除されるため、クライアント側のjavascriptを経由して動的に実行されるレイアウトまたはスタイルは、再構築では表示されません。

このオプションを有効化または無効化するには、次の手順を実行します。

  1. Investigation]タブに移動します。
  2. WebビューのCSS再構築を有効化]チェックボックスをクリックします。
  3. 適用]をクリックします。
    設定がただちに有効になり、次のWebコンテンツ再構築時に表示されます。

(オプション)検索オプションの構成

  1. 検索]フィールドをクリックして、[イベントの検索]ドロップダウン メニューを表示します。
    [プレファレンスの検索]メニュー
  2. 検索に適用するオプションを選択します。各オプションの詳細については、「[調査]ビューでのテキスト パターンの検索」を参照してください。
  3. 検索設定を保存にするには、[適用]をクリックします。
    設定が保存され、すぐに反映されます。 
Next Topic:調査の実施
You are here
Table of Contents > [調査]ビューおよび環境設定の構成 > [ナビゲート]ビューおよび[イベント]ビューの構成

Attachments

    Outcomes