イベントをモニターし、過去 14 日間のデータを表示できます。
- フィルタ基準。次のオプションから選択します。
フィルタ基準 説明 攻撃対象 攻撃の対象。 攻撃タイプ 攻撃のタイプ。トロイの木馬やサービス拒否 (DoS) など。 CVSS 共通脆弱性評価。特定のしきい値を超える評価に基づいてフィルタリングします。 ゲートウェイ名 イベントが登録されたゲートウェイ名。 IP アドレス イベントが登録された IP アドレス。 影響を受ける製品 脆弱な製品またはバージョン。たとえば、Windows XP、Web_Browsers など。 シグネチャ ID シグネチャ ルールの一意の ID。 仮想マシン名 イベントが登録された仮想マシン(論理ポートに基づく)。 - トラフィック:次のオプションから選択します。
- すべてのトラフィック
- 分散のみ
- ゲートウェイのみ
- シグネチャ アクション:次のオプションの中から選択します。
- すべてのシグネチャを表示
- ドロップ (防止)
- 却下 (防止)
- アラート (検出のみ)
- 重要度の評価:次のオプションの中から選択します。
- 重大
- 高
- Medium
- 低
- 不審
[タイムライン] ボタンを切り替えて、重要度の評価に基づくタイムライン グラフを表示または非表示にします。グラフは、選択された期間内に発生したイベントを表します。このグラフで特定の期間をズームインすると、その期間内に発生した関連イベントのシグネチャの詳細を確認できます。
- 赤いドット:重要度が「重大」のシグネチャのイベントを表します。
- オレンジ色のドット:重要度が「高」のシグネチャのイベントを表します。
- 黄色のドット:重要度が「中」のシグネチャのイベントを表します。
- 灰色のドット:重要度が「低」のシグネチャのイベントを表します。
- 紫色 - 重要度が「不審」のシグネチャ イベントを表します。
特定のシグネチャのすべての侵入試行がグループ化され、最初の出現時に描画されます。
詳細 | 説明 |
---|---|
影響スコア | 影響スコアは、リスク スコア(脅威の重要度)と信頼度スコア(検出の確実性)を組み合わせた値になります。 |
重要度 | 侵入のシグネチャの重要度。 |
前回の検出 | このシグネチャに前回一致した時間。 |
詳細 | シグネチャの対象の簡単な説明。 |
影響を受けるユーザー | イベントの影響を受けるユーザーの数。 |
ワークロード | 影響を受けるワークロードの数。クリックすると、影響を受けるワークロードの詳細が表示されます。 |
CVE の詳細 | 悪用の対象となる脆弱性の CVE 参照。 |
CVSS | 悪用の対象となる脆弱性の共通脆弱性スコア。 |
侵入イベントの詳細(最新のイベント) - 送信元 | 攻撃者の IP アドレスと使用された送信元ポート。 |
侵入イベントの詳細(最新のイベント) - ゲートウェイ | イベントが登録されたワークロードを含む Edge ノードの詳細。 |
侵入イベントの詳細(最新のイベント) - ハイパーバイザー | イベントが登録されたワークロードを含むトランスポート ノードの詳細。 |
侵入イベントの詳細(最新のイベント) - ターゲット | 被害者の IP アドレスと使用された宛先ポート。 |
攻撃の方向 | クライアントからサーバまたはサーバからクライアント。 |
攻撃対象 | 攻撃の対象。 |
攻撃タイプ | 攻撃のタイプ。トロイの木馬やサービス拒否 (DoS) など。 |
影響を受ける製品 | 攻撃の影響を受ける製品。 |
イベントの合計数 | イベントの侵入試行の合計数。 |
侵入アクティビティ | この IDS シグネチャがトリガーされた合計回数、最後の発生、最初の発生が表示されます。 |
サービス | イベントに関係しているプロトコルの情報 |
シグネチャ ID | IDS シグネチャの一意の ID。 |
シグネチャのリビジョン | IDS シグネチャのリビジョン番号。 |
MITRE の方法 | 検出されたアクティビティを説明する MITRE ATT&CK 技術。 |
MITRE の戦術 | 検出されたアクティビティを説明する MITRE ATT&CK 戦術。 |
関連する IDS ルール | このイベントに関連する構成済みの IDS ルールへのリンク。 |
詳細 | 説明 |
---|---|
検出時間 | このシグネチャに前回一致した時間。 |
トラフィック タイプ | これは、分散またはゲートウェイのいずれかです。「分散」は East-West トラフィック フローを示し、「ゲートウェイ」は North-South トラフィック フローを示します。 |
影響を受けるワークロード/IP | 特定のトラフィック フローに対して特定の攻撃または脆弱性が存在する仮想マシンまたは IP アドレスの数。 |
試行 | 特定のトラフィック フロー中に、攻撃または脆弱性の悪用で試行された侵入の回数。 |
送信元 | 攻撃者の IP アドレス。 |
宛先 | 被害者の IP アドレス。 |
プロトコル | 侵入が検出されたトラフィック プロトコル。 |
ルール | シグネチャのルール(プロファイルを使用)。 |
プロファイル | シグネチャのプロファイル。 |
アクション | イベントに対してトリガされた次のアクションのいずれか:
|
- アクション
- 宛先 IP
- 宛先ポート
- プロトコル
- ルール
- 送信元 IP
- 送信元ポート
- トラフィック タイプ
リモート ログ
NSX-T Data Center のコンポーネントは、/var/log ディレクトリのログファイルに書き込みます。NSX-T Data Center アプライアンスと KVM ホストの NSX-T Data Center Syslog メッセージは RFC 5424 に準拠しています。ESXi ホストの Syslog メッセージは RFC 3164 に準拠しています。
- fast log。nsx-idps プロセス イベントの内部ログが記録されます。記録される情報は限定されています。このログは、デバッグ目的でのみ使用します。
- nsx-idps-log。プロセス ワークフローに関する基本的な情報とエラーを含む一般的な nsx-idps プロセス ログが記録されます。
- nsx-idps-events.log。NSX メタデータを含むイベント(すべてのアラート/ドロップ/拒否)に関する詳細情報が記録されます。
NSX-T Data Center IDS/IPS ログを中央のログ リポジトリに送信できるようにするには、次の API を使用します。
次の API を使用して、現在の設定をクエリします。
GET https://<Manager-IP>/api/v1/global-configs/IdsGlobalConfig
{ ... "global_idsevents_to_syslog_enabled": false, ... }
global_idsevents_to_syslog.enabled 変数が false に設定されている場合は、次の API を実行して true に設定します。
PUT https://<Manager-IP>/api/v1/global-configs/IdsGlobalConfig
Result: { "global_idsevents_to_syslog_enabled": true, "_revision": <revision number from GET> }
これらのイベントは ESXi ホストから直接エクスポートされるため、ESXi ホストでリモート Syslog が構成されていることを確認します。
また、Syslog メッセージを中央のログ リポジトリに転送するように、NSX-T Data Center マネージャと ESXi ホストも設定されている必要があります。
リモート ログの構成の詳細については、リモート ログの構成およびログ メッセージとエラー コードセクションのすべての関連情報を参照してください。