調査：［ナビゲート］ビューでの結果のフィルタリング

Document created by RSA Information Design and Development

on Oct 19, 2018•Last modified by RSA Information Design and Development

on Apr 29, 2019

Version 2Show Document

Like • Show 0 Likes0
Comment • 0
View in full screen mode

［ナビゲート］ビューで調査を実施する場合は、メタキーの値を［ナビゲート］ビューにロードする時に、いくつかの方法で表示する結果を絞り込むことができます。アナリストが使用できる基本的なフィルタリング方法を以下に示します。

このトピックの後半では、基本的なデータのフィルタリング方法を中心に説明します。加えて、より高度な方法では、メタグループ、プロファイル、平行座標ビジュアル化の構成ができます。

より高度な方法ごとにトピックが分かれています。

時間範囲の設定

［ナビゲート］ビューで調査を実施する際、返される結果を制限するには、時間範囲のオプション設定を使用します。次のオプションを選択できます。

収集データの時間範囲。最後に収集されたデータの時刻を基準にして、一定の時間範囲を選択します。
カレンダーの日付を基準にした時間範囲。
カスタムの時間範囲。
すべてのデータ。

時間範囲を選択すると、選択した時間範囲が［ナビゲート］ビューのツールバーに［時間範囲］のラベルとして表示されます。デフォルトでは、このラベルは［直近3時間］になっています。タイムラインバナーに表示される［時間範囲］には、メタデータに使用されている時間範囲の最初と最後のタイムスタンプも表示されます。

注：時間範囲の設定で使用する日付と時刻は、『RSA NetWitness Platformスタートガイド』の「ユーザ環境設定の設定」で説明されているように、［プロファイル］の［環境設定］パネルに構成されている［タイムゾーン］をベースとしています。

組み込み型の時間範囲を選択するには、次の手順に従います。

［ナビゲーション］ツールバーの［時間範囲］オプションをクリックします。デフォルトの時間範囲は［直近3時間］ですが、すでに選択リストから別の値（［すべてのデータ］、［直近1時間］など）が選択され、オプションパネルのラベルとして表示されている場合があります。
時間範囲の選択リストが表示されます。
次のいずれかを実行します。
- すべてのデータを表示する場合は、［すべてのデータ］を選択します。
- 収集の時間範囲を分、時間、日単位で設定する場合は、［直近10分］、［直近3時間］、［直近5日］のような値を選択します。
- 現在からの相対的な時間範囲を設定する場合は、［昨日］、［今週］（バージョン11.1）、［先週］（バージョン11.1）、［終日］、または［早朝］、［午前］、［午後］、［夕方］のような1日の一部を選択します。
- 固有の日付範囲を設定する場合は、［時間範囲］メニューの［カスタム］を選択し、以下の手順を実行します。
  選択した時間範囲が、［値］パネルの現在の結果に適用されます。

カスタム時間範囲を指定するには、次の手順に従います。

［時間範囲］メニューで［カスタム］を選択します。
日付の選択オプションはツールバーに表示されます。
［開始日］および［終了日］フィールドで、次の手順を実行して日付と時間を指定します。
1. カレンダーから日付をクリックします。
2. （オプション）［時］、［分］フィールドを選択するか、［現在］をクリックします。時間の選択は、デフォルトで現在の時刻になっています。

注：開始時刻の秒は常に:00に、終了時刻の秒は常に:59に変更されます。たとえば、時間を使用して問題にドリルダウンする場合、ドリル時間は「HH:MM:00～HH:MM:59」と解釈されます。

範囲を適用するには、［表示］をクリックします。
選択した時間範囲が、［値］パネルの現在の結果に適用されます。

メタキー結果の集計方法とソート順の設定

［ナビゲート］ビューで各メタキーの結果をどのようにカウントし、ソートするかを選択できます。

注：メタグループでメタエンティティ（バージョン11.1以降）が使用されている場合は、メタエンティティに含まれるメタキーのいずれかと一致する上位20の値が結果に表示されます。

［ナビゲート］ビューにある各メタキーのセクションには、各メタキーの値（［値］）とそのカウント（［件数］）が一定の順序でリストされます。次の設定を行うことができます。

各メタキーセクションの結果を［値］または［合計］のどちらに基づいてソートするか。
結果を昇順でソートするか降順でソートするか。
各メタキーに表示される値をパケット数で集計（［パケット数］）するか、セッションまたはログ数で集計するか（［イベント数で集計］）、イベントのサイズで集計（［イベントサイズで集計］）するか。

注： Log DecoderとPacket Decoderの両方のメタを表示している場合、実際の算出される数はキーのタイプによって異なります。パケット数で集計することを選択した場合にログを調べると、［ナビゲート］ビューの出力は、［イベント数で集計］を選択した場合と同じ出力になります（詳細については、「［ナビゲート］ビュー」を参照してください）。

次の図では、「Event Type」というメタキーは、［合計］の降順で表示されています。一致件数の最も多い値が最初に表示されています。値failure auditは一致件数が71件であり、先頭に表示されています。値logonは一致件数が1件しかなく、最後に表示されています。集計方法は［イベント数］です。

次の図では、「Event Type」というメタキーが［値］の降順で表示されています。アルファベットの最後の文字から順に、値が表示されていることが分かります。値success auditが先頭に表示されています。値connectが最後に表示されています。集計方法は［イベント数］です。

［ナビゲート］ビューでメタキーを集計する方法と結果の表示順を選択するには、次の手順を実行します。

ツールバーで、［イベント数］、［イベントサイズ］、［パケット数］のいずれかをクリックし、ドロップダウンメニューで集計オプションを1つ選択します。選択したオプションがメニューのラベルに表示されます。

選択内容に応じて現在のビューが再ロードされます。
ツールバーで、［合計］または［値］をクリックし、ドロップダウンメニューからいずれかのソート条件を選択します。選択したオプションがメニューのラベルに表示されます。

選択内容に応じて現在のビューが再ロードされます。
ツールバーで、［昇順］または［降順］をクリックし、ドロップダウンメニューからいずれかのソート順を選択します。選択したオプションがメニューのラベルに表示されます。
選択内容に応じて現在のビューが再ロードされます。

Investigationでのデフォルトメタキーの管理と適用

収集したデータの調査をアナリストがInvestigationで実施する際は、メタキーのデフォルトのセットが［ナビゲート］ビューの［値］パネルにデフォルトの順序でロードされて表示されます。デフォルトのコンテンツと順序は、調査対象のサービスのメタキーに基づきます。アナリストは、デフォルトのメタキーを選択するかユーザ定義のメタキーのグループを選択することにより、調査の際に表示するメタキーを指定でき、メタキーの定義や表示を柔軟に行うことができます。これにより、目的のデータにより直接的にドリルダウンできるようになります。また、現在の調査には関係のないメタをロードせずに済むため、ロードの時間の短縮にも役立ちます。

注：バージョン11.1以降では、メタキーを使用する場合はいつでも、構成済みのメタエンティティも使用できます。

有効なカスタムメタグループがない場合は、［デフォルトのメタキーの管理］ダイアログの表示オプションで指定されたメタが表示されます。［ナビゲート］ビューの［値］パネルでのメタキーのロードを最適化するために、NetWitness Platformはデフォルトではインデックスなしのメタキーを展開しません。インデックスなしのメタキーを［値］ビューで展開するときに、NetWitness Platformではそのメタキーの値のロードを開始します。ロード時間が長くなりすぎると、メッセージが表示されてメタキーのロードはタイムアウトになります。インデックスなしのメタキーのタイトル、値、数は、［値］パネルでは詳しく調べることができません。Investigationでラベル付けを行い、インデックスなしのメタキーを識別します。

調査に使用するメタキーを選択するには、次のいずれかの手順を実行します。

デフォルトのメタキーを選択する。
メタキーセット（メタグループ）を選択する。

注： Investigateには、組み込みのメタグループとユーザ定義のメタグループがあります。作成したユーザ定義のメタグループは、編集と削除が可能であるほか、エクスポートやインポートが可能です。これらの手順については、「メタグループの管理」をご覧ください。

［デフォルトのメタキー］ダイアログでは、［調査］＞［ナビゲート］ビューで特定のサービスについて調査するときに、メタキーのデフォルト表示オプションを指定できます。キーごと、またはすべてのキーについて、デフォルトの表示を次のように設定できます。

［非表示］：デフォルトのメタキーの結果を非表示にし、ロードしません。
［展開表示］：デフォルトのメタキーの結果を展開し、値と数（セッションの合計）を表示します。
［折りたたみ表示］：デフォルトのメタキーの結果を折りたたみ、メタの名前だけが表示されるようにします。
［自動］：デフォルトのメタキーのロードをインデックスレベルで制御します。そのためには、値によるインデックス付けが設定されている必要があります。

デフォルトのメタキーはさまざまなサービス向けに変更できるため、別のサービスのドリルダウンポイントに移動したときに、同じデフォルトのメタキーのセットが表示されないことがあります。デフォルトのメタキーを使用する場合は、この点に注意してください。目的のデータが表示されない場合は、デフォルトのメタキーの初期表示を変更する必要があります。

デフォルトのメタキーの初期状態を［ナビゲート］ビュー内で変更した場合、変更はそのサービスに対して持続されます。コアサービスのカスタムインデックスファイル（たとえば、concentrator-custom-index.xml、decoder-custom-index.xmlなど）に新しいキーを追加する場合、その新しいキーは、デフォルトのメタキーのリストに追加されます。［ナビゲート］ビューで設定された変更は、現在のサービスにのみ適用されます。

初期の［ナビゲート］ビューがデフォルトのメタキーを使用して開くように指定するには、次の手順を実行します。

調査＞［ナビゲート］に移動します。
サービスを選択し、［ナビゲート］を選択します。
［メタ］メニューで、［デフォルトのメタキーを使用］を選択します。
調査がすでに進行中である場合、データが現在のビューに再ロードされ、選択したオプションには目印のアイコンが表示されます。まだデータがロードされていない場合、デフォルトのメタキーが次回のロードに使用されます。

［ナビゲート］ビューでデフォルトのメタキーのデフォルトの表示を構成するには、次の手順を実行します。

［ナビゲート］ビューのツールバーで、［メタ］＞［デフォルトのメタキーの管理］を選択します。
［デフォルトのメタキーの管理］ダイアログが表示され、サービスで利用可能なメタキーのリストが表示されます。
（オプション）キーの順序を変更するには、1つ以上のキーを選択し、上方向または下方向にドラッグします。
次のいずれかを実行します。
- （オプション）すべてのメタキーのデフォルトの表示を変更するには、キーが選択されていないことを確認して、ツールバーでを選択します。
- （オプション）1つ以上のキーのデフォルトの表示を変更するには、キーを選択して、ツールバーでをクリックします。
  すべてのデフォルトのメタキーに使用可能な初期表示のドロップダウンが表示されます。
- （オプション）メタキーをサービスインデックスファイルで指定されているとおりのデフォルトの表示に戻すには、キーが選択されていないことを確認して、ツールバーで＞［自動］を選択します。
  インデックスなしのメタキーのデフォルトビューを変更する場合、キーを展開表示に設定できません。メタグループのデフォルトビューを展開表示に変更し、一部のメタキーがインデックスなしであった場合、インデックスなしのメタキーは自動的に自動に戻ります。したがって、メタキーはインデックス付きである場合にのみ自動的にロードされます。インデックスなしのメタキーは手動で開くまで折りたたみ表示になります。
いずれかの表示方法を選択します。
［適用］をクリックして、変更を保存します。
［ナビゲート］ビューに表示されるメタキーは、指定された内容で設定されます。デフォルトのメタキーが非表示の場合、そのメタキーの値はInvestigationでは一切表示されません。デフォルトのメタキーが折りたたみ表示の場合、そのメタキーの値はデフォルトではロードされません。ただし、［ナビゲート］ビューで個々のメタキーを手動でロードすることはできます。

［ナビゲート］ビューのタイムチャートでのデータのドリルダウン

アナリストは、タイムチャートを使用して、時間の経過に従ってアクティビティを可視化することができます。時間範囲を選択して、［調査］オプションを選択して、データにズームインすることができます。その後、ズームインの前に有効であった時間範囲にナビゲーションをリセットできます。

調査＞［ナビゲート］に移動します。
現在のドリルダウンポイントおよび選択した時間範囲のタイムチャートが表示されます。
タイムチャート上でマウスのクリックとドラッグを行い、目的の時間範囲を選択します。選択した時間範囲がハイライト表示されます。
選択した時間範囲のタイムチャートが再描画されます。ただし、メタ値は変更されません。
選択した時間範囲のデータにドリルダウンするには、［調査］をクリックします。
URLが更新され、新しい時間範囲が反映されます。さらに、［Investigation］オプションパネルでは、時間範囲がカスタム時間範囲に変更されます。選択した時間範囲を使用して、タイムチャートが再描画され、メタ値がロードされます。
タイムチャートを元の時間範囲にリセットするには、［ズームのリセット］をクリックします。
URLが、データのズームを行う前の元のURLに戻ります。また、［Investigation］オプションパネルでは、時間範囲がズームを行う前の時間範囲に戻ります。元の時間範囲を使用して、タイムチャートが再描画され、メタ値がロードされます。

［値］パネルでのデータのドリルダウン

NetWitness Platformでは、［調査］＞［ナビゲート］ビューに、選択したサービスのアクティビティと値が表示されます。調査のためにアナリストがメタキーまたはメタ値をクリックしてデータをドリルダウンすると、クエリが実行されます。［値］パネルで、各クエリは階層リンクのデータに追加されます。これにより、各クエリへのリンクを含む階層リンクが画面上部に表示されます。階層リンクを編集して、クエリを挿入したり、削除したりできます。

メタデータのサブセットにドリルダウンするには、次の手順を実行します。

調査を開始して、［ナビゲート］ビューにメタデータを表示します。
メタデータをドリルダウンするには、次の操作を任意の組み合わせで実行します。
1. メタキー、たとえば、［サービスタイプ］をクリックします。
2. 結果内のメタ値（青色のテキストで表示）をクリックします。たとえば、［OTHER］をクリックします。
  メタキーまたはメタ値をクリックするたびに、データを絞り込む焦点（ドリルダウンポイント）を狭めながらクエリが実行されます。ドリルダウンポイントごとに結果パネルが更新され、新しいドリルダウンポイントが階層リンクに表示されます。次の図は、初期の階層リンクの例です。
  
  次の図は、ツールバーに収まらない長い階層リンクの例です。ツールバーの最後のクエリの後ろにドロップダウンメニューが表示され、その中にツールバーに収まらなかった他のクエリのリストが表示されます。このドロップダウンリストからクエリを選択して、ドリルダウンポイントを選択することができます。

階層リンクでクエリを追加するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックすると、クエリメニューを表示できます。クエリの前に新しいクエリを挿入することや、階層リンクの末尾に新しいクエリを追加することができます。階層リンクを編集すると、その都度、NetWitness Platformによって結果が更新されます。

階層リンクでクエリを追加するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックします。
階層リンクメニューが表示されます。
階層リンクにクエリを追加するには、［後にクエリを挿入］または［前にクエリを挿入］を選択します。
［フィルタの作成］ダイアログが表示されます。
「カスタムクエリの作成」の記載に従って、クエリを作成します。

階層リンクでのクエリを編集するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックすると、クエリメニューを表示できます。クエリを削除したり、クエリを編集することができます。階層リンクを編集すると、その都度、NetWitness Platformによって結果が更新されます。

階層リンク内のクエリを操作するには、次の手順を実行します。

階層リンクにある任意のクエリをクリックします。
階層リンクメニューが表示されます。
階層リンクのクエリを編集するには、［編集］を選択します。
［作成］ダイアログに、選択したクエリの編集画面が表示されます。
「カスタムクエリの作成」の記載に従って、フィールドを編集します。

メタキー内でクイック検索を実行するには、次の手順を実行します。

メタキーセクションに移動し、虫眼鏡アイコンをクリックします。
［クイック検索］フォームが開いて、検索用の比較演算子とオプションのオペランドが表示されます。
（オプション）この検索フォームを閉じるには、虫眼鏡アイコンをもう一度クリックしてください。
左のドロップダウンリストから演算子を選択し、検索するテキスト値を入力します。［ドリルダウン］をクリックすると、検索が実行されます。
指定したメタキーとメタ値を使用して現在表示中のメタデータが絞り込まれ、結果が表示されます。

メタキー情報を表示するには、次の手順を実行します。

メタキーに関する詳細（キー名、メタキー表示用インデックスレベルの設定、メタキーのデフォルトビューの設定）を表示するには、次の手順を実行します。

メタキーの横に表示されるドロップダウンメニューをクリックします。次の2つの図は、バージョン11.0.0.xとバージョン11.1以降のドロップダウンメニューを表しています。
および
［メタキー情報］を選択します。
［メタキー情報］ダイアログが表示されます。
ダイアログを閉じるには、をクリックします。
（バージョン11.0ではオプション）メタキーの見つかったメタ名をコンマ区切り値リストとして表示するには、メタキーの横にあるドロップダウンメニューをクリックし、［CSVとして表示］を選択します。
［CSV形式での表示］ダイアログが表示されます。ダイアログを閉じるには、［閉じる］をクリックします。
（バージョン11.1ではオプション）メタキーの見つかったメタ名をリストで表示するには、メタキーの横にあるドロップダウンメニューをクリックし、［値のエクスポート］を選択します。
［値のエクスポート］ダイアログが表示されます。
（オプション）現在のドリルダウンポイントのメタキーの結果を折りたたみ表示するには、メタキーの横のドロップダウンメニューをクリックし、［結果の折りたたみ表示］をクリックします。

メタ値に関連づけられたイベントを表示するには、次の手順を実行します。

［イベント］ビューには、イベントに関する詳細な内容が2種類のビューで表示されます（イベントリストと詳細ビュー）。

［ナビゲート］ビューで、調査の対象となるメタデータまでドリルダウンします。
青色のメタ値の横に表示されるカウント（緑色の数字）をクリックします。
現在のドリルダウンポイントに対応する［イベント］ビューが表示されます。
［イベント］ビューで実行できる操作については、「［イベント］ビューでのRAWイベントの調査」で説明しています。

メタ値に関連づけられた特定のイベントを検索するには、次の手順を実行します。

［ナビゲート］ビューで、調査の対象となるメタデータまでドリルダウンします（メタ値をクリックするか、クエリを追加します）。
［イベントの検索］ボックスに検索文字列を入力し、Enterキーを押すか、［検索］をクリックします。
検索モード環境設定を選択して設定することもできます。検索情報の詳細については、「テキストパターンの検索」を参照してください。
［イベント］ビューの新しいタブが開き、検索結果が表示されます。ハイライト表示された検索語が見つからない場合は、［追加のメタの表示］をクリックします。時間範囲の選択とドリル（クエリー）が［イベント］ビューに継承されます。

選択したメタ値をRSA Liveで表示するには、次の手順を実行します。

［ナビゲート］ビューで、調査の対象となるメタデータまでドリルダウンします。
メタ値（青色で表示されたテキスト）を右クリックします。
［メタ値］ドロップダウンメニューが表示されます。
RSA Liveでメタ値を検索するには、［Liveルックアップ］を選択します。
Liveの［検索］ビューが開いて、入力したメタ値が［生成されるメタ値］フィールドに表示され、検索できる状態になります。