調査：［イベント］ビュー - ［パケット］タブ

Document created by RSA Information Design and Development

on Oct 19, 2018•Last modified by RSA Information Design and Development

on Dec 7, 2020

Version 4Show Document

Like • Show 0 Likes0
Comment • 0
View in full screen mode

［パケット］タブは［イベントの詳細］パネルにあります。このタブでは、イベントのパケットとペイロードを安全に表示し、対話形式で分析できます。

ワークフロー

実行したいことは何ですか？

ユーザロール	実行したいこと	手順
インシデント対応者または脅威ハンター	環境内で特定された検出と信号の確認	『NetWitness Platformスタートガイド』
インシデント対応者	重要なインシデントまたはアラートの確認	『NetWitness Respondユーザガイド』
脅威ハンター	サービス、メタデータ、時間範囲のクエリを実行	［イベント］ビューでの調査の開始［ナビゲート］ビューまたは［レガシーイベント］ビューでの調査の開始
脅威ハンター	メタデータの表示*	［ナビゲート］ビューでの結果のフィルタリング［イベント］ビューでのイベントのドリルダウン（ベータ）
脅威ハンター	連続したイベントの表示*	［イベント］ビューでの結果のフィルタリング［レガシーイベント］ビューでの結果のフィルタリング
脅威ハンター	イベントの再構築と分析*	［イベント］ビューでのイベント詳細の調査［レガシーイベント］ビューでのイベントの再構築
脅威ハンター	ファイルおよび関連づけられたホストの調査*	［イベント］ビューでのデータのダウンロード［ナビゲート］ビューでのドリルダウンポイントのエクスポートまたは印刷［レガシーイベント］ビューでのイベントのエクスポート
脅威ハンター	ルックアップの実行*	結果の追加のコンテキストを検索メタキーのルックアップの起動
脅威ハンター	インシデントの作成またはインシデントへの追加	［レガシーイベント］ビューでのインシデントへのイベントの追加［イベント］ビューでのインシデントへのイベントの追加
脅威ハンター	Context Hubリストへのメタ値の追加*	結果の追加のコンテキストを検索

*このタスクは現在のビューで実行できます。

簡単な説明

［パケット］パネルでは、ネットワークイベントのみを分析できます。［パケット］パネルには、イベントの各パケットが表示されます。パケットのリストはスクロール可能です。テキストまたはパケットの識別情報とリクエストとレスポンスのラベルは、スクロールしても表示から消えません。

バージョン11.1以降では、ページ移動コントロールを使用して、前後のページへの移動、特定のページへの移動、1ページあたりに表示するパケット数（50、100、300、500）の選択ができます。

一般的なファイルパターン（重要なヘッダーとペイロードのバイト数、16進数とASCIIのバイト数、一般的なファイルシグネチャ）を識別しやすいように、各パケットは塗りつぶしとハイライト表示を使用して表示されます。また、リクエスト/レスポンスの表示、パケットサマリの表示または非表示を調整することができます。

［パケット］パネル（以前の［パケット分析］パネル）の例を次に示します。各機能にラベルを付けています。各機能の詳しい説明と例については、「［イベント］ビューでのイベントの分析」を参照してください。

1	ネットワークイベントをエクスポートするためのオプションです。より詳細な分析のため、PCAP、すべてのペイロード、要求ペイロード、レスポンスペイロードをエクスポートし、他者と共有できます。
2	一般的なファイルシグネチャを識別するためのオプションはデフォルトでアクティブ化されます。一般的なファイルシグネチャはオレンジ色でハイライト表示されます。ハイライト表示にカーソルを合わせると、ファイルタイプが表示されます。
3	［バイトの濃淡化］オプションは、16進数バイト（00～FF）を識別しやすくするため濃淡を変えてバイトを表示する機能です。
4	ペイロードを表示するオプションは、パケットヘッダーのみを非表示にして、ペイロードのスペースを多く残します。
5	イベントヘッダー。
6	重要なバイトは、青色の背景でハイライト表示されます。ハイライト表示にカーソルを合わせると、吹き出しにメタデータが表示されます。
7	（バージョン11.1以降）ページ操作コントロールで、パケットのリストのページ操作を柔軟に実行できます。使用できないコントロールのイメージはグレー表示になります。たとえば、ページ1を表示しているときには、とのコントロールがグレー表示になります。 - 最初のページに移動 - 前のページに移動 - 特定のページに移動 - 次のページに移動 - 最後のページに移動 - 1ページあたりのパケット数を選択大量のパケットを再構築している場合は、この制限の値を小さくすることで、パフォーマンスを向上させることができます。