NSX Network Detection and Responseでの検出

検出は、検出イベントまたはイベントとも呼ばれ、NSX Network Detection and Response によって検出されたネットワーク内で発生したセキュリティ関連のアクティビティを表します。検出により、NSX 環境内のすべての脅威イベント（イベント タイプは関係なし）の分析データが示され、脅威のトリアージと調査を行うことができます。

NSX Network Detection and Response システムによって新しい検出データが受信されると、データが既存の検出イベントと比較され、新しい検出を既存の検出イベントに集約できるかどうかが判断されます。検出の集計方法の詳細については、「検出の集約」を参照してください。

検出イベントを関連付けてキャンペーンを形成できます。検出イベントが他の検出と関連していない場合、キャンペーンには含まれません。

統合イベント リストの表示

NSX Network Detection and Response によって生成されたすべての検出イベントを表示するには、[脅威の検出と対応] > [検出] ページに移動します。このページには、上部にヒストグラムがあり、ヒストグラムの下にはリストがあります。このリストは統合イベント リストと呼ばれ、すべての検出イベントが表示されます。リスト内の各行は、1 つの検出イベントを表します。

• ページの右上にある [URL のコピー] をクリックすると、現在適用されているフィルタとともにリンク アドレスをコピーできます。

統合イベント リストのフィルタリング

統合イベント リストは、次の方法でフィルタリングできます。

メソッド	詳細
チェック ボックス	ヒストグラムの上にあるチェック ボックスをクリックして、検出の検出影響スコアに基づいて統合イベント リストをフィルタリングします。 検出影響スコアの詳細については、「検出影響スコアについて」を参照してください。
ヒストグラム	ヒストグラム バーをクリックして、検出で特定された MITRE ATT&CK 戦術に基づいて統合イベント リストをフィルタリングします。
フィルタ フィールド	フィルタ フィールドをクリックすると、より強力なフィルタ オプションが表示されます。 ドロップダウン メニューからフィルタ基準を選択します。使用可能な基準は次のとおりです。 [影響スコア] [タイプ] [MITRE の戦術] [MITRE のテクニック] [脅威] [攻撃の結果] [影響を受けるワークロード] [キャンペーン] [IP アドレスの影響を受けるワークロード] 選択したフィルタ基準の結果を含めるか除外するかを指定して、[適用] をクリックします。 複数のフィルタを組み合わせるには、次の手順を実行します。 同じフィルタの基準間で OR ロジックを使用します。 フィルタ間で AND ロジックを使用します。

検出イベント サマリの表示

検出行を展開し、[詳細を表示] をクリックして検出のサマリを表示します。

検出タイプ

[タイプ] 列で、検出タイプのアイコンを確認できます。カーソルを合わせると、検出タイプが表示されます。

パケット キャプチャ ファイルのエクスポートとダウンロード

検出サマリの [フロー データ] タブから、 NSX IDS/IPS によってキャプチャされた PCAP（パケット キャプチャ）ファイルをエクスポートおよびダウンロードできます。PCAP の詳細については、 パケット キャプチャ ファイルのエクスポートとダウンロードを参照してください。

注： PCAP ファイルは、E-W/分散 IDS/IPS イベントに対して使用できます（IDS プロファイルで PCAP が有効になっている場合）。PCAP ファイルが使用できない場合、リンクは表示されません。また、 NSX と NSX アプリケーション プラットフォーム の両方がバージョン 4.2 以降である必要があります。

マルウェアの動作の概要

[マルウェアの動作] セクションには、イベントに関連する、悪意のあるソフトウェア インスタンスで実行された動的分析の情報が表示されます。

[レポートを表示] をクリックして、マルウェアの動作、仕組み、それがもたらすリスクについての詳細な技術情報にアクセスします。表示される情報の詳細については、分析レポートの詳細を参照してください。

注： イベントに対して悪意のあるソフトウェアが検出されなかった場合、このセクションは表示されません。