セキュリティの概要

[セキュリティ] ダッシュボードでは、ネットワークとワークロードを保護する機能を構成できます。[セキュリティの概要] ダッシュボードには、さまざまな脅威の検出と対応の機能、全体的なセキュリティ構成の視覚的なサマリ、NSX 環境内のさまざまなオブジェクトのキャパシティが表示されます。

このダッシュボードに表示される情報は、データセンターで展開され有効化されたセキュリティ機能によって異なります。

脅威イベントのモニタリング

このタブには、データセンター内のさまざまなセキュリティ問題の現在の状態に関する主要な情報が表示されます。これらの機能は、セキュリティチームがネットワークで何が発生しているか、どこに焦点を当てるのかを理解するのに役立ちます。

キャンペーン

キャンペーンは、特定の MITRE 戦術と技術を使用する、関連する脅威イベントのセットです。脅威イベントを MITRE ATT&CK ステージにマッピングして、攻撃事例を定義できます。キャンペーンは、単一グループの短期間の検出イベントから、長期にわたる複雑なマルチプリング攻撃まで、広範囲に及ぶ可能性があります。キャンペーンを使用すると、脅威イベントのタイムライン全体を表示できるため、迅速な対応とトリアージが可能になります。

VMware NSX^® Network Detection and Response™ 機能が有効になっている場合、このウィジェットには次のキャンペーン統計が表示されます。

期間中に NSX Network Detection and Response が識別し、ネットワークで現在アクティブになっているキャンペーンの合計数。
選択した期間内に進行中で影響の大きいキャンペーンの合計数。
選択した期間内に発生し、影響の大きいキャンペーンの合計数。
選択した期間内に特定されたキャンペーンの影響を受ける仮想マシンの合計数。

NSX Network Detection and Response ユーザーインターフェイスの [キャンペーン] ページから詳細を表示するには、[キャンペーンに移動] をクリックします。NSX Network Detection and Response 機能の詳細については、NSX Network Detection and Responseを参照してください。

IDS/IPS

IDS/IPS イベント監視ページには、最大で過去 14 日間の次のサマリが表示されます。

IDPS サマリ

エントリ	説明
侵入イベント	侵入イベントの合計数がクリック可能なリンクとして表示され、アラートまたは防止が発生した侵入の数が表示されます。
一意の侵入シグネチャ	各重要度カテゴリで検出された侵入数を示すグラフが表示されます。
上位の攻撃タイプ別のイベント	攻撃タイプに基づいてグラフが表示されます。

分散 IDS/IPS のサマリ

エントリ	説明
侵入の重要度別の傾向	時間ごとの侵入イベント数と重要度の傾向がグラフで表示されます。
ディストリビューション	48 時間から 14 日間の間に発生した攻撃タイプ、攻撃対象、または重要度の分布を示す円グラフが表示されます。
上位の仮想マシン	侵入が試行された上位の仮想マシンが表示されます。また、脆弱性の重要度基準に基づいて上位の仮想マシンを表示することもできます。

ゲートウェイ IDS/IPS のサマリ

エントリ	説明
侵入の重要度別の傾向	時間ごとの侵入イベント数と重要度の傾向がグラフで表示されます。
ディストリビューション	48 時間から 14 日間の間に発生した攻撃タイプ、攻撃対象、または重要度の分布を示す円グラフが表示されます。
上位の IP	侵入が試行された上位 IP が表示されます。また、脆弱性の重要度基準に基づいて上位の仮想マシンを表示することもできます。

FQDN 分析

FQDN 分析サマリ画面には次の情報が表示されます。

検査された URL の合計数と重要度レベル。
検査された FQDN の数が最も多い上位の URL カテゴリ。
重要度が最も高い URL（日付と時刻を含む）。

URL フィルタリング

特定のゲートウェイを選択するか、すべてのゲートウェイを選択して次の情報を表示します。

重要度評価別の URL の分布。
許可された URL の重要度レベル。検査された URL 数が最も多い上位 5 つのカテゴリが表示されます。
ブロックされた URL の数が最も多い上位 5 つの URL カテゴリがハイライト表示されます。
一意のサイト分布には、許可された URL の数が最も多い上位 5 つのサイトが表示されます。ブロックされた URL の数が最も多い上位 5 つのサイトがハイライト表示されます。

悪意のある IP

分散ファイアウォールでは、悪意のある IP アドレスフィードを設定し、既知の悪意のある IP アドレスのリストをダウンロードできます。ファイアウォールルールを介してこれらの IP アドレスへのアクセスをブロックし、例外がないかシステムをモニターできます。モニタリング画面には、次の情報を含む 3 つのチャートが表示されます。

ブロックされた回数が上位の IP アドレスと、IP アドレスがブロックされた合計回数。
悪意のある IP アドレスにアクセスしている、またはアクセスされている回数が上位の仮想マシンと、仮想マシンにアクセスした、またはアクセスされた悪意のある IP アドレスの合計数。
ブロックされた回数が上位のカテゴリと、カテゴリがブロックされた合計回数。

各データグループの上位 5 つの項目も表示されます。

グラフの任意のデータポイントをクリックすると、[フィルタリングと分析] ページが開き、そのデータポイントに関する詳細情報が表示されます。ページのフィルタは、クリックしたデータポイントに設定されることに注意してください。フィルタを削除すると、すべての悪意のある IP アドレスのリストを表示できます。

マルウェア防止

選択した期間に発生した次のファイルイベントの統計情報がグラフィック形式で表示されます。

検査されたファイルイベント、不正なファイルイベント、不審なファイルイベント、ブロックされたファイルの合計数。
脅威スコアごとのファイル検査の数。
データセンター内で最近検査されたファイル上位 5 個（タイムスタンプ順に表示されます）。
データセンターで検出された悪質なファイルの上位 5 個。
データセンター内の不正なファイルイベント、不審なファイルイベント、抑止されたファイルイベントの傾向。
ファイルが属するマルウェアファミリ別のファイル検査の分布。
実行された分析のタイプ（ローカルファイル分析、クラウドファイル分析）別のファイル検査の内訳。

不審なトラフィック

VMware NSX^® Intelligence™ が有効になっている場合、このタブには、選択期間内に検出された不審なイベントまたはアノマリイベントに関する次の統計情報がグラフィック形式で表示されます。

選択期間内に検出されたアノマリの合計数が円内に表示されます。この円は色付きセグメントで構成され、検出されたアノマリイベントの数と、イベントの検出に使用される MITRE 攻撃者の戦術および技術を表します。
検出に使用された MITRE 戦術と技術に分類された不審なイベントのリストと、選択期間内に発生した回数。
検出されたアノマリの数を重要度別に分類した棒グラフ。

[すべて表示] をクリックして、[不審なトラフィック] ページを使用して検出された不審なイベントの詳細を表示します。NSX Suspicious Traffic 機能の詳細については、https://docs.vmware.com/jp/VMware-NSX-Intelligence/index.html でバージョン 3.2 以降の『VMware NSX Intelligence の使用と管理』を参照してください。

TLS 検査

TLS 検査と復号は、エンタープライズ Web トラフィックに存在する脅威の侵入を対象としたセキュアな方法を提供します。この機能では、TLS プロキシを使用して TLS 接続を介して暗号化されたトラフィックを透過的にインターセプトします。レイヤー 7 ファイアウォール、IDS、URL フィルタリングなどの NSX セキュリティサービスを使用してコンテンツを検査し、セキュリティポリシーを適用できます。ウィザードを使用してポリシーとルールを設定できます。また、ワークフローに従って手動で設定することもできます。

[セキュリティの概要] ダッシュボードには、TLS 接続と有効にしたときの次の証明書の詳細が表示されます。

ドーナツグラフには、次のような TLS 接続サマリの詳細が表示されます。
- 障害が原因でバイパス
- 復号化済み
- 接続エラー
- ルールが原因でバイパス
接続とルール
- 合計接続数
- 開いている接続数
- CPS
- ルールヒット
ドーナツグラフには、次のような証明書キャッシュの詳細が表示されます。
- キャッシュヒット数
- キャッシュされた証明書
- キャッシュミス数
トラフィック
- クライアントからサーバ、サーバからクライアントへのスループットの詳細
- クライアントからサーバ、サーバからクライアントへの合計トラフィックの詳細

構成

[構成] タブには、クリック可能なリンクと、次の数を含むクイックサマリビューが表示されます。

ファイアウォールポリシー
エンドポイントポリシー
IDS/IPS ポリシー
マルウェア防止ポリシー
ネットワークイントロスペクションポリシー
TLS 検査ポリシー

このページには、次のセキュリティ設定の詳細ビューも表示されます。

ゲートウェイファイアウォールウィジェット

ゲートウェイファイアウォールのセキュリティ設定がハイライト表示されます。リンクをクリックして、次のセキュリティ機能が有効になっているゲートウェイを表示します。

IDS/IPS
マルウェア防止
TLS 検査

これらのセキュリティ機能を備えたゲートウェイを表示するには、上記のセキュリティ機能の少なくとも 1 つをデータセンターに展開する必要があります。

分散ファイアウォールウィジェット

グラフィックを使用して分散ファイアウォールポリシーの合計が表示されます。クリックすると、ポリシーのグループ分け、East-West セキュリティポリシーによって使用される上位のサービス、アクション（許可、ドロップ、拒否）、分散ファイアウォールルールの合計数などの詳細が表示されます。

エンドポイント保護ウィジェット

仮想マシンのエンドポイント保護の構成サマリが表示されます。サービスプロファイル別の仮想マシンの分布、問題があるコンポーネント、ファイルイントロスペクションを実行する構成済みの仮想マシンを表示できます。

Identity Firewall ユーザーセッションウィジェット: IDFW アクティブユーザーセッションの数が表示されます。

マルウェア防止ウィジェット

このユーザーインターフェイスウィジェットは、NSX Distributed Malware Prevention サービスのいずれかのコンポーネントが停止しているか、動作していない場合に問題を表示します。

次はその例です。

横棒グラフは、NSX Malware Preventionサービス仮想マシン (SVM) の Security Hub が停止している場合に問題を表示します。バーをポイントすると、次の詳細が表示されます。
- 影響を受ける NSX Malware Prevention SVM の数。
- Security Hub が停止したためにマルウェアのセキュリティ保護が失われたホスト上のワークロード仮想マシンの数。
ドーナツグラフには、次の詳細が表示されます。
- NSX ファイルイントロスペクションドライバが実行されているワークロード仮想マシンの数。
- NSX ファイルイントロスペクションドライバが実行されていないワークロード仮想マシンの数。
この両方のメトリックでは、NSX Distributed Malware Prevention で有効になっているホストクラスタ上のワークロード仮想マシンのみが考慮されます。

キャパシティ

キャパシティ情報は、NSX Manager ユーザーインターフェイスのマネージャモードでのみ使用できます。このダッシュボードに表示される情報は、データセンターで展開され有効化されたセキュリティ機能によって異なります。