Skip navigation
Log in to create and rate content, and to follow, bookmark, and share content with other members.

調査:[イベント]ビューの構成

Document created by RSA Information Design and Development Employee on Oct 19, 2018Last modified by RSA Information Design and Development Employee on Dec 7, 2020
Version 4Show Document
  • View in full screen mode
 

注: このトピックに記載されている情報はRSA NetWitness Platform バージョン11.1以降に適用されます。

アナリストは、[調査]>[イベント]ビューを使用する際の、NetWitness Platformの動作に影響する環境設定を変更できます。[イベント]ビューを開いている場合は、ユーザ プロファイル アイコン環境設定を開くアイコンの2つのボタンから、[環境設定]ダイアログにアクセスできます。[ユーザ]メニュー(ユーザ プロファイル アイコン)はタイム ゾーンなどのグローバルなユーザ環境設定が中心であるのに対して、[イベント環境設定]メニュー(環境設定を開くアイコン)は[イベント]ビューの動作に関するユーザ環境設定が中心です。このセクションの後半では、両方の環境設定について説明します。

デフォルトの[調査]ビューの設定

[調査]ビューを開いたときに表示されるデフォルトのビューを、[ナビゲート]ビュー、[イベント]ビュー、[ホスト]ビュー、[ファイル]ビュー、[エンティティ]ビュー、[マルウェア分析]ビューから選択できます。デフォルトの[調査]ビューは、グローバルな[ユーザ環境設定]ダイアログ(NetWitness Platformブラウザ ウィンドウの右上にあるユーザ プロファイル アイコンを選択)で設定します。
グローバルなユーザ環境設定については、『NetWitness Platformスタート ガイド』に詳細が記載されています。

[イベント]ビューのユーザ環境設定の設定

[イベント]ビューに関連するユーザ独自の環境設定を指定できます。選択した環境設定は、ユーザ単位で管理され、特定のユーザがログインするたびに適用されます。

[イベント]ビュー使用時のデフォルト値を設定するには、次の手順を実行します。

  1. イベント]ビューで、環境設定を開くアイコンをクリックします。
    [イベント環境設定]ダイアログが表示されます。次の図に示すように、バージョンによって、このダイアログに表示されるラベルと選択可能なオプションが異なります。最初の図はバージョン11.3 のダイアログを示し、2番目の図はバージョン11.4のダイアログを示しています。
    [イベント]ビューのユーザ環境設定 バージョン11.4.1の環境設定
  2. デフォルトの[イベント]ビュー]フィールドで、[イベント]パネルでイベントを開いたときに表示するデフォルトの再構築タイプを選択します。[テキスト]、[パケット]、[ファイル]、[ホスト](バージョン11.5以降)、[メール]のいずれかを選択します。
    イベントを開いたときのデフォルトの分析タイプを選択しなかった場合、デフォルトの再構築タイプはパケット分析になります。ただし、ログ イベントとエンドポイント イベントの場合はテキスト分析が開きます。デフォルトの再構築タイプを選択した場合は、指定したタイプが、デフォルトの再構築タイプとして使用されます。どちらの場合も、デフォルトの再構築タイプは出発点であり、作業中にタイプを変更して、選択したタイプで再構築を表示することができます。
  3. デフォルトのログ形式]フィールドで、ログをエクスポートするときのダウンロード形式を選択します。[ログのダウンロード](11.3)または[テキストのダウンロード](11.4)、[XMLのダウンロード]、[CSVのダウンロード]、[JSONのダウンロード]のいずれかを選択します。ここで形式を選択しなかった場合、デフォルトのダウンロード形式は[テキストのダウンロード]です。これらのオプションは、ダウンロード時にドロップダウン メニューから選択することもできます。
  4. デフォルトのパケット形式](11.3)または[デフォルトのネットワーク形式](11.4)フィールドで、パケットをダウンロードするときのデフォルトの形式を選択します。ここで形式を選択しなかった場合、デフォルトのダウンロード形式は[PCAPのダウンロード]です。これらのオプションは、ダウンロード時にドロップダウン メニューから選択することもできます。
    • PCAPのダウンロード:イベント全体をパケット キャプチャ(*.pcap)ファイルとしてダウンロードします。
    • すべてのペイロードのダウンロード(11.3)またはペイロードのダウンロード(11.4):ペイロードを*.payloadファイルとしてダウンロードします。
    • リクエスト ペイロードのダウンロード:リクエスト ペイロードを*.payload1ファイルとしてダウンロードします。
    • レスポンス ペイロードのダウンロード:レスポンス ペイロードを*.payload2ファイルとしてダウンロードします。
  5. (バージョン11.4以降)[デフォルトのメタ形式]フィールドで、メタデータをエクスポートするときのダウンロード形式を選択します。[テキストのダウンロード]、[CSVのダウンロード]、[TSVのダウンロード]、[JSONのダウンロード]のいずれかを選択します。ここで形式を選択しなかった場合、デフォルトのダウンロード形式は[テキストのダウンロード]です。
  6. (バージョン11.4以降)[クエリの時間形式]で、[データベースの時間]または[現在の時刻]を選択します。[イベント]ビューには、データベースの時間または現在の時刻に基づいて結果を表示できます。時間形式を設定すると、ユーザ固有の環境設定として、再度変更されるまで設定が維持されます。この環境設定のデフォルト設定は[データベースの時間]です。これは[ナビゲート]ビューと[レガシー イベント]ビューでクエリ結果を表示するために使用される時間形式と同じです。
    • データベースの時間]を選択した場合、クエリの終了時刻はイベントが保存された時刻が基準になります。
    • 現在の時刻(Current Time)](バージョン11.3以前は[現在の時間(Wall Clock Time)])を選択した場合は、ユーザ環境設定に設定されたタイムゾーンの現在の時刻を基準にクエリが実行されます。
  7. (バージョン11.4以降)[イベント]パネルに表示されるイベントを収集時間によってソートする方法を設定するには、[デフォルトのイベント ソート順]のいずれかのオプションを選択します。環境設定を選択した後で、リストのヘッダー列を操作して、結果を別の方法でソートすることもできます(「イベント リストでの列と列グループの使用」を参照)。

    • ソートしない(バージョン11.4.1のデフォルト):コア サービスによって処理された順にイベントをリストに表示します。[ソートしない]は、処理が高速になります。これは、一致するイベントが見つかったら即座に表示するのと、すべてのコア サービスの応答を待ってから指定された順に結果を並べ替えて表示する違いによるものです。
    • 昇順(バージョン11.4以前のデフォルト):収集時間が最も古いイベントをリストの最初に配置します。昇順の場合は、最も古いイベントが最初に表示されます。
    • 降順:収集時間が最も新しいイベントをリストの最初に配置します。降順の場合は、最も新しいイベントが最初に表示されます。ログを調査する時には、ソート順を変更して、最も新しい収集時間のログを先頭に表示したい場合があります。
      結果がイベント数の上限を超えている場合、すべてのイベントをロードすることはできません。結果として[イベント]パネルにロードされるイベントは、ソート順の設定と一致しています。つまり、昇順が選択されている時は、イベントの最も古い方から順にロードされ、降順が選択されている時は、イベントの最も新しい方から順にロードされます。[ソートしない]を選択すると、最も古いイベントから照合され、ソートしないでリストに表示されます。イベントがロードされた後でソート順を変更した場合は、ビューをリフレッシュして新しいソート順を反映させる必要があります。
  8. 抽出したすべてのファイルを自動的にダウンロードする場合は、[抽出したファイルを自動ダウンロード]チェックボックスを選択します。抽出したファイルを表示するには、ジョブ キューに移動します。
  9. (バージョン11.3以降)サービスをポーリングするタイミング(1分間隔)で、クエリ バーの時間範囲を自動的に更新し、新しい時間範囲の結果を取得する場合は、[時間範囲を自動的に更新]チェックボックスを選択します。時間範囲が更新されたときに、クエリ送信ボタン(クエリの送信)ボタンがアクティブになり、クエリを送信して最新の結果を取得できるようになります。クエリ バーの時間範囲と現在の結果の同期を維持するには、チェックボックスを選択解除(デフォルト)します。

Next Topic:調査の開始
You are here
Table of Contents > NetWitnessの[調査]ビューおよび環境設定の構成 > [イベント]ビューの構成

Attachments

    Outcomes