簡易リスト

簡易リストでは、イベントが簡易リストの形式で表示されます(イベントテーブル)。デフォルトでは、イベントの作成時刻順にソートされています。IDが分かっているイベントのイベント詳細を表示するには、画面の右上にある虫眼鏡アイコンをクリックすると表示される検索ダイアログを使用します。クエリの結果は複数のページに分割されます。1ページに表示される最大の検索結果は500項目です。結果はテーブル形式であり、以下の項目が含まれています。

• 行****番号(#): テーブル行の番号。

• ID: 検知されたイベントの一意のID番号。IDの右側にあるアイコンをクリックすると、新しいブラウザタブが開き、イベント詳細が表示されます。この情報をURLを使用して共有できます。

• 検知時間: 特定のイベントが検出された日付と時刻。

• 優先度: 選択したパースペクティブに従ったイベントの優先度。

• イベントタイプ: イベントのタイプ。イベントを認識した検知メソッドの参考になります。

• イベントサブタイプ: メソッドのサブタイプの名前。この列の目的は、検知されたイベントの意味を明確にすることです。

• MITRE ATT&CK戦術: イベントが所属する戦術の名前。

• MITRE ATT&CKテクニック: 検知されたイベントが所属するテクニックの名前。

• ソース: イベントの発生源(IPアドレス)。

• 詳細: イベントの詳細情報。

• ターゲット: イベントのターゲット(IPアドレスのリスト)。テーブルには最大4項目が表示されます。さらに多くのターゲットがイベントに関連付けられている場合は、*[...詳細]*ボタンをクリックすることで表示できます。

• アプリケーション: イベントのソース/ターゲットIPアドレスに関連付けられているアプリケーション。テーブルには最大4項目が表示されます。さらに多くのアプリケーションがイベントに関連付けられている場合は、[...詳細]をクリックすることで表示できます。

• データフィード: イベントが生成されたデータフィードの名前。

• メソッドインスタンス: イベントを生成した検知メソッドインスタンスの名前。

• コメント: カンマ区切りのユーザコメント。

• カテゴリ: ユーザが定義したカンマ区切りのカテゴリ。

フィルタリングしたすべてのイベントをCSVファイルにエクスポートするには、[CSV形式でイベントをエクスポート]ボタンを使用します(最大10,000件のイベント)。このボタンは検索基準セクションの下にあります。現在のイベントリストを新しいブラウザタブで開くには、[新しいタブで開く]ボタンをクリックします。

データのフィルタリング

テーブルのデータは、対応する検索基準に従ってフィルタリングすることができます。見やすくするため、検索基準は(常に表示される)基本検索基準と、([さらに多くのフィルタ]をクリックすると表示される)高度な検索基準に分かれています。指定した検索基準を適用した後、その検索基準をURLを使用して共有できます。利用可能な検索基準は、次の通りです。

• 日付: イベントを簡易リストに表示する関連期間。期間は直接指定するか、付属のカレンダーから選択できます(カスタム期間)。

• パースペクティブ: 選択したパースペクティブに従って、イベントに優先度を割り当てます。

• 送信元IP: このフィールドで指定したIPアドレスが発生源であるイベントのみが表示されます。IPアドレスを以下のフォーマットで入力できます。

  • 単一IPアドレス: IPバージョン4および6の単一IPアドレス(例: 192.168.2.1、2001:db8::beef)または単一IPアドレスのカンマ区切りのリスト

  • ネットワークアドレスまたはマスク: IPバージョン4および6のネットワークアドレスまたはマスク(例: 192.168.1.0/24、fc00::/7)

  • IPアドレス範囲: IPバージョン4および6のIPアドレス範囲(例: 10.0.1.2-10.0.1.10、fe80::-fe80::ffff)

  • IPv4アドレスのワイルドカード表記(列挙、範囲、すべて)。1つのIPアドレスでは1つのワイルドカードのみ使用できます。例:

    • 192.168.{1,3,20}.1: IPアドレス192.168.1.1、192.168.3.1、192.168.20.1

    • 10.[1-3].0.0: IPアドレス10.1.0.0、10.2.0.0、10.3.0.0

    • **172.16.*.1: 172.16.[0-255].0と同じ

• ターゲット: このフィールドで指定したIPアドレスにターゲットが関連付けられているイベントのみが表示されます。IPアドレスは、前述した[送信元IP]フィールドと同じ形式で指定できます。

• データフィード: 指定したデータフィードからのフローの監視によって検出されたイベントのみ表示されます。

• メソッド: 指定したイベントのみが簡易リストに表示されます。

• フィルタ: イベントのソースを指定するには、定義済みのフィルタを選択します。

• イベントカテゴリ: 選択したカテゴリに含まれるイベントのみが表示されます。

• MITRE ATT&CKテクニック: 選択されたMITRE ATT&CKのテクニックが割り当てられているイベントのみが表示されます。MITRE ATT&CKの戦術に従ってフィルタリングするには、必要な戦術のテクニックをすべて選択する必要があります。テクニックのリストにはすべてのMITRE ATT&CKテクニックが含まれるわけではなく、Anomaly Detection Systemが検知できるテクニックのみが含まれることに注意してください。

• アプリケーション: ソース/ターゲットIPアドレスが、選択したアプリケーションに関連付けられている場合のみ、イベントが表示されます。