フィルタ
- Last Updated: April 5, 2026
- 6 minute read
- Flowmon Products
- Flowmon Anomaly Detection System
- Documentation
フィルタは、[設定] → [処理] → [フィルタ]で設定できます。
フローデータソースと論理ネットワークトポロジーを適切に設定すると、検知メソッドの取得結果とADSモジュールの全体的な予測機能に好影響がもたらされます。モジュールの識別可能な基本的エンティティはIPアドレスです。イベントのオカレンスが検出されると、そのイベントは発生元のIPアドレスと、イベントが検出されたフローデータソースにバインドされます。これは、IPアドレスが動的に割り当てられ、各ネットワークデバイスへの同一IPアドレスの安定した割り当てが保証されない場合には、いくつかの制限があることを意味します。このような場合、検出されたイベントに関して特定のユーザに直接的な責任を問うことはできません。
フィルタは、任意のIPアドレスの名前付き論理グループです。各フィルタには一意の名前があり、無制限の数のIPアドレス範囲が含まれています。フィルタはまた、各検知メソッドに関連するアドレスの範囲を制限するために検知メソッドで使用されます。
フィルタには、「アトミック」と「リレーショナル」の2つのタイプがあります。アトミックフィルタは、IPアドレスの範囲として定義され、直接保存されるフィルタです(使用可能なフォーマットについては以下を参照してください)。リレーショナルフィルタは、他のフィルタに対するリレーションとして定義されます(リレーションは、複数のフィルタの和または差、あるいは単一フィルタと組み合わせの反転にすることができます)。リレーショナルフィルタは、リレーションの定義と同様に保存されます。パーシャルフィルタが変更されると、関連するリレーショナルフィルタも変更されます。
フィルタのIPアドレスは、以下の方法で入力できます。
-
IPバージョン4および6のネットワークアドレスまたはマスク(例: 192.168.1.0/24、fc00::/7)
-
IPバージョン4および6のIPアドレス範囲(例: 10.0.1.2-10.0.1.10、fe80::-fe80::ffff)
-
単一IPアドレス、IPバージョン4および6の単一IPアドレス(例: 192.168.2.1、2001:db8::beef)または単一IPアドレスのカンマ区切りのリスト
-
IPv4アドレスのワイルドカード表記(列挙、範囲、すべて)。1つのIPアドレスでは1つのワイルドカードのみ使用できます。例:
192.168.{1,3,20}.1: IPアドレス192.168.1.1、192.168.3.1、192.168.20.1
10.[1-3].0.0: IPアドレス10.1.0.0、10.2.0.0、10.3.0.0
**172.16.*.1: 172.16.[0-255].0と同じ
[アトミックフィルタのインポート]をクリックすると、フィルタ定義をテキストファイルからインポートできます。ファイルの各行はフィルタの1つの項目を表し、セミコロンで区切られたIPアドレス定義とフィルタ名で構成されます。IPアドレスは、手動フィルタの定義と同じ方法で指定できます。フィルタの名前がすでに存在する場合は、ユーザにその旨が通知され、インポートが失敗します。[問題のあるフィルタを上書きしてスキップ]チェックボックスがオンになっている場合、アップロードしたファイルに含まれているフィルタと同じ名前のフィルタのIP範囲が、そのファイルのフィルタによって上書きされます。リレーショナルフィルタが上書きされた場合、そのフィルタのインポートはスキップされます。
フィルタ定義ファイルの例
192.168.1.0/24;LAN
192.168.10.0-192.168.10.25;LAN
192.168.1.1 ;SMTP
1つの設定テーブルにアトミックフィルタとリレーショナルフィルタの両方がタイプ別のフィルタリングの可能性と共に表示されます。テーブルの上に表示される検索フィールドでは、すべての列のフルテキスト検索が可能です。
フィルタ設定の例: 2つのポイントでネットワークを監視している組織の環境について考えてみてください。プローブのポート1および2に接続されている最初のポイントはファイアウォールの背後のインターネット接続です。これはTAPを使用して監視されます。2番目の監視対象ポイントは、プローブのポート3にSPANポートを使用して接続されている、組織の中央のスイッチです。
ADSモジュールで実行する作業:
-
インターネット接続を表すWANデータソースと中央のスイッチを表すLANデータソースを設定します。
-
プローブのポート1および2からWANソースにデータをエクスポートし、プローブのポート3からLANソースにデータをエクスポートします。
-
アドレス192.168.1.0/24で構成されるフィルタ「LANout」を作成し、WANソースにバインドします。
-
同じくアドレス192.168.1.0/24で構成されるフィルタ「LANin」を作成し、LANソースにバインドします。
-
LANoutフィルタでインスタントメッセージングサービスの検知をアクティブ化します。この検知は内部通信には影響しません。
フローデータソースを含むフィルタをバインドしなかった場合、インスタントメッセージングの検知で重複が生じます(同じデータが2回処理されます)。
リレーショナルフィルタを作成する際には、ダイアログウィンドウでリレーションをフィルタ和集合([加算]演算)またはフィルタ減算(**[減算]**演算)として定義できます。この演算は指定されたフィルタの反転と結合できます。新規フィルタは、[アトミック化]オプションを選択することでアトミックフィルタとして保存できます(リレーション定義ではなくIPアドレス範囲として保存されます)。
リレーショナルフィルタは、該当するボタンを使用して編集、アトミック化、または削除できます。指定されたフィルタに対する依存関係を表示することもできます。