調査:メタ グループの管理

Document created by RSA Information Design and Development on Oct 19, 2018
Version 1Show Document
  • View in full screen mode
 

メタ グループは、選択されたメタ キーをグループにまとめ、メタ キーとメタ エンティティが見つかったデータのみを表示します。

注:バージョン11.1以降では、メタ グループで構成済みのメタ エンティティも使用できます。

[調査]>[ナビゲート]ビューでは、調査のために表示するデータをフィルタ処理するため、メタ グループを使用できます。NetWitness Suiteの新規インストールには、調査の対象のデータセットを見つけるために役立つ、OOTB(すぐに利用可能な)メタ グループが含まれています。OOTBメタ グループは、識別のためにRSAのプレフィックスが付いており、複製できますが、編集または削除することはできません。独自のグループを作成することや、OOTBグループを複製して編集し、カスタム グループを作成することができます。

調査中にメタ グループが有効になっている場合、[値]パネルの情報には、選択されたグループのメタ キーのみが表示されます。座標表示チャートを開くと、メタ キーとメタ エンティティが軸として左から右に表示されます。カスタム メタ グループごとに2つのバージョンを作成しておくと便利です。1つはメタ値の分析に使用し、もう1つは同じユースケースの小規模サブセットに重点を置いた座標表示チャートの作成に使用します。

カスタム メタ グループは、特定のサービスのすべてのユーザが利用でき、エクスポートして異なるサービスにインポートすることもできます(ただし、サービスで利用可能なメタ キーに限定されます)。

注:管理者が、サービスのカスタム インデックス ファイルを編集して、カスタム メタ グループを手動で追加すると、サービスの再起動後にInvestigationで新しいグループが利用可能になります。

このセクションでは、特定のサービスでナビゲート時に使用するカスタム メタ グループを追加、編集、インポート、エクスポート、削除する方法について説明します。

すぐに利用可能なメタ グループ

OOTBメタ グループは、RSA NetWitness Suiteに組み込まれています。デフォルトのメタ グループは、一般的なユースケースでの調査に焦点を当て、RSA Hunting Packを使用した脅威検出をサポートするために役立ちます。

OOTBメタ グループを以下に示します。

  • RSA Email Analysisには、メールのやり取りの概要を示すメタ キーが含まれています。
  • RSA Endpoint Analysisには、プロセス、ファイル、ユーザ、NetWitness Endpoint(NWE)ホストからの接続に関するインサイトを提供するメタ キーが含まれています。
  • RSA Malware Analysisには、イベントに含まれるファイルのセキュリティ侵害インジケータをマークするメタ キーが含まれています。
  • RSA Outbound HTTPには、外部へのWebトラフィックのインサイトを提供するメタ キーが含まれています。
  • RSA Outbound SSL/TLSには、暗号化されたWebトラフィックに焦点を当てたメタ キーが含まれています。
  • RSA Query Hostsには、ホストを見つけるためのすべてのメタ キーを含むメタ キーが含まれています。
  • RSA Query IPsには、IPアドレスを見つけるためのすべてのメタ キーを含むメタ キーが含まれています。
  • RSA Query Mailには、メールを見つけるためのすべてのメタ キーを含むメタ キーが含まれています。
  • RSA Query Usersには、ユーザを見つけるためのすべてのメタ キーを含むメタ キーが含まれています。
  • RSA Threat Analysisには、データセット内の潜在的な脅威をマークするメタ キーが含まれています。
  • RSA Web Analysisには、Webトラフィックの異常をマークするメタ キーが含まれています。

メタ グループの作成とメタ キーの追加

  1. [調査]>[ナビゲート]ビューでサービスを調査しているときに、ツールバーで、[メタ]>[メタ グループの管理]を選択します。
    [メタ グループの管理]ダイアログが表示されます。最初はOOTBグループのみがサービス用に構成され、グループ名の下に一覧表示されています。他のカスタム グループが構成されると、それらもグループ名の下に一覧表示されます。
    Manage Meta Groups Dialog
  2. グリッド ツールバーで、Add Iconをクリックします。
    [メタ グループ]グリッドの上部に新しい行が挿入されます。
  3. 新しいメタ グループの名前を入力し、Enterキーを押します。
    右側のフォームが開いて編集可能な状態になります。
    Manage Meta Groups dialog ready to create a New Meta Group
  4. (オプション)メタ グループの名前を変更する場合は、[名前]フィールドに新しい値を入力します。
  5. メタ キー]ツールバーで、Add Iconをクリックします。
    [利用可能なメタ キー]ダイアログに、キーがアルファベット順で表示されます。
    the Available Meta Keys dialog
  6. メタ キーのリストをフィルタするには、[フィルタ]フィールドに単語またはフレーズを入力し、Enterキーを選択します。
    一致するメタ キーがリストに表示されます。大文字と小文字は区別されません。[フィルタ]フィールドのテキストを削除してEnterキーを押すと、フィルタを削除できます。
  7. メタ グループに含めるメタ キーを選択するには、チェックボックスをオンにします。すべてのメタ キーを選択するには、タイトル バーのチェックボックスをオンにして[追加]をクリックします。
    選択したメタ キーが[メタ キー]リストに追加されます。
  8. (オプション)メタ キーがロードされて表示される順序を変更する場合は、メタ キーをクリックして、新しい位置にドラッグします。同時に複数のメタ キーを選択できます。
  9. メタ グループの作成を終了するには、次のいずれかを実行します。
    1. メタ グループを保存するには、[保存]をクリックします。
      グループが作成され、使用可能になります。
    2. メタ グループを保存して、現在の[調査]ビューに適用するには、[保存して適用]をクリックします。
      グループが作成され、現在の[調査]ビューにすぐに適用されます。
  10. 閉じる]をクリックします。

すぐに利用可能なメタ グループの複製と編集

OOTBメタ グループをカスタマイズする場合は、グループを複製してから、複製を編集する必要があります。

  1. [メタ グループの管理]グリッドからOOTBメタ グループを選択し、をクリックします。
    右側にフォームが開き、OOTBグループ内にあるすべてのメタ キーを使用して編集できます。
    Manage Meta Groups dialog with form open to select meta keys
  2. 新しいグループの名前を入力し、下の「メタ グループの編集」の説明に従い編集を続けます。

メタ グループの編集

  1. メタ グループ]グリッドからグループを選択します。
    右側のフォームが開いて編集可能な状態になります。
    Edit Meta Group
  2. (オプション)グループの[名前]を編集します。
  3. (オプション)前述の「メタ グループの作成とメタ キーの追加」の説明に従って、新しいメタ キーを追加します。
  4. (オプション)キーの順序を設定するには、キーをドラッグ&ドロップします。同時に複数のキーを選択できます。
  5. (オプション)メタ キーの初期表示を変更するには、View Optionsをクリックして、いずれかの初期表示オプションを選択します。
    メタ グループを変更するとき、キーを展開表示に設定することはできません。メタ グループのデフォルト ビューを展開表示に変更し、一部のメタ キーがインデックスなしであった場合、インデックスなしのメタ キーは自動的に自動に戻ります。したがって、メタ キーはインデックス付きである場合にのみ自動的にロードされます。インデックスなしのメタ キーは手動で開くまで折りたたみ表示になります。
    初期表示の値が[表示]列に表示されます。
  6. 変更を保存するには、[保存]をクリックします。
  7. 現在の[ナビゲート]ビューに変更を適用するには、[保存して適用]をクリックします。

メタ グループの削除

  1. メタ グループ グリッドで、削除するグループを選択します。
  2. Deleteをクリックします。
    確認のダイアログが表示され、ここで削除をキャンセルするか、続行するかを選択できます。
  3. OK]をクリックします。
    メタ グループが削除されます。削除するメタ グループを使用していた場合には、デフォルトのメタ キーを使用して表示が更新されます。

メタ グループのエクスポート

ユーザ定義メタ グループは、各サービスに作成されます。メタ グループを別のサービスで使用できるようにするには、ローカル ファイル システムにメタ グループをエクスポートする必要があります。メタ グループをエクスポートするには、次の手順を実行します。

  1. メタ グループ グリッドで、エクスポートするグループを1つ以上選択します。
  2. Exportをクリックします。
    選択したグループがMetaGroups.jsnというファイル名で、ローカル ファイル システムにダウンロードされます。ダウンロード先に以前ダウンロードした同名のファイルが存在する場合は、上書きを避けるため、ファイル名に数字が付加されます。

メタ グループのインポート

別のサービスのユーザ定義メタ グループを、現在調査中のサービスで使用するには、ローカル ファイル システムからMetaGroups.jsnファイルをインポートする必要があります。メタ グループをインポートする時、既存のメタ グループが含まれていると、エラー メッセージが表示されます。重複したグループをインポートするには、まず既存のグループを削除しておかなければなりません。プロファイルによって使用されているメタ グループは削除できません。

メタ グループをインポートするには、次の手順を実行します。

  1. メタ グループ]グリッドで、インポートするファイルを選択し、Importをクリックします。
    選択ダイアログが表示されます。
    Meta Group Import
  2. 参照]をクリックし、ローカル ファイル システム上の、ダウンロードしたMetaGroups.jsnファイルが格納されているディレクトリに移動します。ファイルを選択し、[開く]をクリックします。
    [ファイルのアップロード]フィールドにファイル名が表示されます。
  3. アップロード]をクリックします。
    アップロード プロセスが開始され、アップロードが正常に完了したことを示すメッセージが表示されます。メタ グループ グリッドにグループが追加されます。ファイルが既存のメタ グループと重複する場合は、メタ グループがすでに存在することを通知するダイアログが表示されます。
You are here
Table of Contents > [ナビゲート]ビューのメタデータの調査 > メタ グループの管理

Attachments

    Outcomes