このページのトピック

CEFのsyslogメッセージの形式

LEEF 2.0のsyslogメッセージの形式

Workload Securityで発生したイベント

syslogメッセージの形式

Common Event Format (CEF) とLog Event Extended Format (LEEF) のログメッセージ形式は少し異なります。たとえば、GUIの [送信元ユーザ] 列に対応するフィールドは、CEFでは「suser」で、LEEFでは「usrName」です。ログメッセージのフィールドは、イベントの発生元がエージェントであるか Workload Security であるか、およびログメッセージを作成した機能によっても異なります。

Syslogメッセージが切り捨てられている場合は、User Datagram Protocol (UDP) を使用していることが原因である可能性があります。切り捨てを防止するには、代わりにTransport Layer Security (TLS) 経由でSyslogメッセージを転送します。TLSに切り替える手順については、「Syslog設定を定義する」を参照してください。

不正プログラム対策, Webレピュテーション, 変更監視およびアプリケーションコントロール保護モジュールでは、基本的なSyslog形式はサポートされていません。

Syslogメッセージが Workload Securityから送信された場合、いくつかの違いがあります。元のエージェントのホスト名 (イベントのソース) を維持するため、新しい拡張 (「dvc」または「dvchost」) が使われます。「dvc」はホスト名がIPv4アドレスの場合、「dvchost」はホスト名がIPv6アドレスの場合に使用されます。さらに、イベントにタグが付けられている場合は、「TrendMicroDsTags」という拡張子が使用されます。（イベントはWorkload Securityによって収集された時にのみSyslog経由で転送されるため、今後の自動タグ付けにのみ適用されることに注意してください。） Workload Security を介して中継されるログの製品には、引き続き「Deep Security Agent」と表示されます。ただし、製品バージョンは、 Workload Securityのバージョンです。

CEFのsyslogメッセージの形式

すべてのCEFイベントには、イベントの送信元である元のエージェントを特定するために、「dvc = IPv4 Address」または「dvchost = Hostname' (」または「IPv6 address」が含まれます。この拡張子は、 Workload Securityから送信されるイベントにとって重要です。この場合、メッセージのSyslog送信者はイベントの発信元ではないためです。

ログエントリが Workload Security とエージェントのどちらからのものかを判断するには、[デバイス製品]フィールドを確認します。

イベントをトリガしたルールの種類を判断するには、「署名ID (Signature ID)」フィールドと「名前 (Name)」フィールドを確認します。

次の「署名ID (Signature ID)」の値は、トリガされたイベントの種類を示します。

署名ID	説明
10	カスタム侵入防御（IPS）ルール
20	ログのみのファイアウォールルール
21	拒否するファイアウォールルール
30	カスタム変更監視ルール
40	カスタムセキュリティログ監視ルール
100-7499	システムイベント
100-199	ポリシーファイアウォールルールとファイアウォールステートフル設定
200-299	IPSの内部エラー
300-399	SSL/TLSイベント
500-899	IPSの正規化
1,000,000-1,999,999	トレンドマイクロのIPSルール。署名IDはIPS ルールIDと同じです。
2,000,000-2,999,999	変更監視ルール。署名IDは、変更監視ルールID + 1,000,000です。
3,000,000-3,999,999	セキュリティログ監視ルール。署名IDは、セキュリティログ監視ルールID + 2,000,000です。
4,000,000-4,999,999	不正プログラム対策イベント。現在は、以下の署名IDのみが使用されています。 4,000,000 - 不正プログラム対策 - リアルタイム検索 4,000,001 - 不正プログラム対策 - 手動検索 4,000,002 - 不正プログラム対策 - 予約検索 4,000,003 - 不正プログラム対策 - クイック検索 4,000,010 - スパイウェア対策 - リアルタイム検索 4,000,011 - スパイウェア対策 - 手動検索 4,000,012 - スパイウェア対策 - 予約検索 4,000,013 - スパイウェア対策 - クイック検索 4,000,020 - 不審アクティビティ - リアルタイム検索 4,000,030 - 不正変更 - リアルタイム検索
5,000,000-5,999,999	Webレピュテーションイベント。現在は、以下の署名IDのみが使用されています。 5,000,000 - Webレピュテーション - ブロック済み 5,000,001 - Webレピュテーション - 検出のみ
6,000,000-6,999,999	アプリケーションコントロールイベント。現在は、以下の署名IDのみが使用されています。 6,001,100 - アプリケーションコントロール - ブロックリスト内の検出のみ 6,001,200 - アプリケーションコントロール - 検出のみ、許可リストにない 6,002,100 - アプリケーションコントロール - ブロックリスト内 6,002,200 - アプリケーションコントロール - ブロック済み、許可リストに含まれていません
7,000,000-7,999,999	デバイスコントロールイベント。現在は、以下の署名IDのみが使用されています。 7,000,000-デバイスコントロール-不明なデバイスへのアクセスがブロックされました 7,000,200-デバイスコントロール-不明なデバイスの書き込みがブロックされました 7,001,000-デバイスコントロール-USBデバイスへのアクセスがブロックされました 7,001,200-デバイスコントロール-USBデバイスの書き込みがブロックされました 7,002,000-デバイスコントロール-モバイルデバイスへのアクセスがブロックされました 7,002,200-デバイスコントロール-モバイルデバイスの書き込みがブロックされました

次のイベントログの形式の表に示すすべてのCEF拡張が必ずしも各ログエントリに含まれているわけではありません。また、CEF拡張の順序が常に同じであるとは限りません。正規表現を使用してエントリを解析する場合は、表にある各キーと値のペアがあることを前提としたり、またはその順序に依存したりしないようにしてください。 {: .note }

Syslogメッセージは、Syslogプロトコル仕様によって最大64KBに制限されています。長いメッセージの場合は、データが切り捨てられることがあります。Basic Syslog形式は、最大1KBに制限されています。 {: .note }

LEEF 2.0のsyslogメッセージの形式

サンプルLEEF 2.0ログエントリ（Workload Security システムイベントログのサンプル): LEEF:2.0|Trend Micro|Workload Security Manager|<Agent version>|192|cat=System name=Alert Ended desc=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning sev=3 src=10.201.114.164 usrName=System msg=Alert: CPUWarning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity:Warning TrendMicroDsTenant=Primary

Workload Securityで発生したイベント

システムイベントログの形式

サンプルLEEF 2.0ログエントリ： LEEF:2.0|Trend Micro|Workload Security Manager|<DSA version>|192|cat=System name=Alert Ended desc=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning sev=3 src=10.201.114.164 usrName=System msg=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning TrendMicroDsTenant=Primary

LEEF形式では、重要度を示す「sev」という予約キーと、名前を示す「name」という予約キーが使用されます。 {: .note }

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
src	src	Source IP Address	Workload SecurityのIPアドレス。	src=10.52.116.23
suser	usrName	Source User	Workload Security管理者のアカウント	suser=MasterAdmin
target	target	Target Entity	イベントの件名。Workload Securityにログインしている管理者アカウント、またはコンピュータを指定できます。	target = MasterAdmin target = server01
targetID	targetID	Target Entity ID	Workload Securityで追加された識別子です。	targetID=1
targetType	targetType	Target Entity Type	イベントの対象のエンティティの種類。	targetType=Host
msg	msg	Details	システムイベントの詳細。イベントの詳細な説明が含まれる場合があります。	msg = 127.0.0.1からのログイン試行時に、ユーザ名MasterAdminのユーザパスワードが正しくありません。 msg = A 推奨設定が完了しました...
TrendMicroDsProcessImagePath	TrendMicroDsProcessImagePath	Process Image Path	不正プログラム対策イベントの検出を生成するプロセスのフルパスです。 Windowsではこの情報はサポートされません。	TrendMicroDsProcessImagePath=/usr/bin/bash
TrendMicroDsProcessPid	TrendMicroDsProcessPid	Process PID	不正プログラム対策イベントの検出を生成するプロセスのPIDです。 Windowsではこの情報はサポートされません。	TrendMicroDsProcessPid=4422
TrendMicroDsTags	TrendMicroDsTags	Event Tags	イベントに割り当てられたWorkload Security イベントタグ	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant Name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
TrendMicroDsReasonId	TrendMicroDsReasonId	イベント理由ID	イベントの説明の理由IDを示します。各イベントには独自の理由ID定義があります。	TrendMicroDsReasonId = 1
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=3
None	cat	Category	イベントのカテゴリ	cat=System
None	name	Name	イベント名	name=Alert Ended
None	desc	Description	イベントの説明	desc:Alert: CPUの警告しきい値の超過

Agentで発生するイベント

不正プログラム対策イベントフォーマット

サンプルCEFログエントリ： CEF:0|Trend Micro|Deep Security Agent|<Agent version>|4000000|Eicar_test_file|6|cn1=1 cn1Label=Host ID dvchost=hostname cn2=205 cn2Label=Quarantine File Size cs6=ContainerImageName | ContainerName | ContainerID cs6Label=Container filePath=C:\Users\trend\Desktop\eicar.exe act=Delete msg=Realtime TrendMicroDsMalwareTarget=N/A TrendMicroDsMalwareTargetType=N/TrendMicroDsFileMD5=44D88612FEA8A8F36DE82E1278ABB02F TrendMicroDsFileSHA1=3395856CE81F2B7382DEE72602F798B642F14140 TrendMicroDsFileSHA256=275A021BBFB6489E54D471899F7DB9D1663FC695EC2FE2A2C4538AABF651FD0F TrendMicroDsDetectionConfidence=95 TrendMicroDsRelevantDetectionNames=Ransom_CERBER.BZC;Ransom_CERBER.C;Ransom_CRYPNISCA.SM

サンプルLEEFログエントリ： LEEF: 2.0|Trend Micro|Deep Security Agent|<Agent version>|4000030|cat=Anti-Malware name=HEU_AEGIS_CRYPT desc=HEU_AEGIS_CRYPT sev=6 cn1=241 cn1Label=Host ID dvc=10.0.0.1 TrendMicroDsTags=FS TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 filePath=C:\Windows\System32\virus.exe act=Terminate msg=Realtime TrendMicroDsMalwareTarget=Multiple TrendMicroDsMalwareTargetType=File System TrendMicroDsFileMD5=1947A1BC0982C5871FA3768CD025453E#011 TrendMicroDsFileSHA1=5AD084DDCD8F80FBF2EE3F0E4F812E812DEE60C1#011 TrendMicroDsFileSHA256=25F231556700749F8F0394CAABDED83C2882317669DA2C01299B45173482FA6E TrendMicroDsDetectionConfidence=95 TrendMicroDsRelevantDetectionNames=Ransom_CERBER.BZC;Ransom_CERBER.C;Ransom_CRYPNISCA.SM

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=1
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cn2	cn2	File Size	検出ファイルのサイズ。この拡張機能は、エージェントからの「直接転送」が選択されている場合にのみ含まれます。	cn2=100
cn2Label	cn2Label	File Size	フィールドcn2の名前ラベル。	cn2Label=Quarantine File Size
cs3	cs3	Infected Resource	スパイウェアアイテムのパス。このフィールドはスパイウェア検出イベント専用です。	cs3=C:\test\atse_samples\SPYW_Test_Virus.exe
cs3Label	cs3Label	Infected Resource	フィールドcs3の名前ラベル。このフィールドはスパイウェア検出イベント専用です。	cs3Label=Infected Resource
cs4	cs4	Resource Type	Resource Typeの値: 10=ファイルとディレクトリ 11=システムレジストリ 12=インターネットCookie 13=インターネットURLショートカット 14=メモリ内のプログラム 15=プログラム起動領域 16=ブラウザヘルパーオブジェクト 17=レイヤードサービスプロバイダ 18=hostsファイル 19=Windowsポリシー設定 20=ブラウザ 23=Windowsシェル設定 24=IEでダウンロードしたプログラムファイル 25=プログラムの追加/削除 26=サービスその他=その他たとえば、システムの再起動後もスパイウェアファイルを存続させるためにレジストリ実行キーを作成するspy.exeという名前のスパイウェアファイルがある場合、スパイウェアのレポートには次の2つのアイテムが含まれます。spy.exeのアイテムはcs4=10 (ファイルとディレクトリ)、実行キーのアイテムはcs4=11 (システムレジストリ) となります。このフィールドはスパイウェア検出イベント専用です。	cs4=10
cs4Label	cd4Label	Resource Type	フィールドcs4の名前ラベル。このフィールドはスパイウェア検出イベント専用です。	cs4Label=Resource Type
cs5	cs5	Risk Level	リスクレベルの値: 0=超低 25=低 50=中 75=高 100=超高このフィールドはスパイウェア検出イベント専用です。	cs5=25
cs5Label	cs5Label	Risk Level	フィールドcs5の名前ラベル。このフィールドはスパイウェア検出イベント専用です。	cs5Label=Risk Level
cs6	cs6	Container	不正プログラムが検出されたDockerコンテナのイメージ名、コンテナ名、コンテナID。	cs6=ContainerImageName \| ContainerName \| ContainerID
cs6Label	cs6Label	Container	フィールドcs6の名前ラベル。	cs6Label=Container
filePath	filePath	File Path	不正プログラムファイルの場所。	filePath=C:\\Users\\Mei\\Desktop\\virus.exe
act	act	Action	不正プログラム対策エンジンによって実行された処理。値には、Deny Access、Quarantine、Delete、Pass、Clean、Terminate、Unspecifiedがあります。	act =Clean act=Pass
結果	結果	結果	失敗した不正プログラム対策処理の結果	result=Passed result=Deleted result=Quarantined result=Cleaned result=Access Denied result=Terminated result=Log result=Failed result=Pass Failed result=Delete Failed result=Quarantine Failed result=Clean Failed result=Terminate Failed result=Log Failed result=Scan Failed result=Passed (Scan Failed) result=Quarantined (Scan Failed) result=Quarantine Failed (Scan Failed) result=Deny Access (Scan Failed)
msg	msg	Message	検索の種類。値には、Realtime、Scheduled、Manualがあります。	msg=Realtime msg=Scheduled
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = www.example.com dvchost = fe80::f018：a3c6：20f9：afa6%5
TrendMicroDsBehaviorRuleID	TrendMicroDsBehaviorRuleID	挙動監視ルールID	内部不正プログラムのケース追跡の挙動監視ルールIDです。	BehaviorRuleID = CS913
TrendMicroDsBehaviorType	TrendMicroDsBehaviorType	挙動監視の種類	検出された挙動監視イベントの種類。	BehaviorType =脅威の検出
TrendMicroDsTags	TrendMicroDsTags	Events tags	Workload Security イベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
TrendMicroDsMalwareTargetCount	TrendMicroDsMalwareTargetCount	ターゲット数	ターゲットファイルの数。	TrendMicroDsMalwareTargetCount = 3
TrendMicroDsMalwareTarget	TrendMicroDsMalwareTarget	Target(s)	不正プログラムが操作を試みた対象のファイル、プロセス、またはレジストリキー (ある場合)。不正プログラムの対象が複数に及ぶ場合、このフィールドの値は「Multiple」になります。このフィールドの値が報告されるのは、不審なアクティビティと不正な変更を監視している場合だけです。	TrendMicroDsMalwareTarget = N / A TrendMicroDsMalwareTarget = C:\\Windows\\System32\\cmd.exe TrendMicroDsMalwareTarget = HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Internet Settings TrendMicroDsMalwareTarget = Multiple
TrendMicroDsMalwareTargetType	TrendMicroDsMalwareTargetType	Target Type	この不正プログラムが操作を試みたシステムリソースの種類。ファイルシステム、プロセス、Windowsレジストリなどです。このフィールドの値が報告されるのは、不審なアクティビティと不正な変更を監視している場合だけです。	TrendMicroDsMalwareTargetType = N / A TrendMicroDsMalwareTargetType=Exploit TrendMicroDsMalwareTargetType=File System TrendMicroDsMalwareTargetType=Process TrendMicroDsMalwareTargetType = Registry
TrendMicroDsProcess	TrendMicroDsProcess	Process	プロセス名	TrendMicroDsProcess = abc.exe
TrendMicroDsFileMD5	TrendMicroDsFileMD5	File MD5	ファイルのMD5ハッシュ。	TrendMicroDsFileMD5=1947A1BC0982C5871FA3768CD025453E
TrendMicroDsFileSHA1	TrendMicroDsFileSHA1	File SHA1	ファイルのSHA1ハッシュ。	TrendMicroDsFileSHA1=5AD084DDCD8F80FBF2EE3F0E4F812E812DEE60C1
TrendMicroDsFileSHA256	TrendMicroDsFileSHA256	File SHA256	ファイルのSHA256ハッシュ。	TrendMicroDsFileSHA256=25F231556700749F8F0394CAABDED83C2882317669DA2C01299B45173482FA6E
TrendMicroDsDetectionConfidence	TrendMicroDsDetectionConfidence	Threat Probability	ファイルが不正プログラムモデルと一致する割合 (%表示) を示します。	TrendMicroDsDetectionConfidence=95
TrendMicroDsRelevantDetectionNames	TrendMicroDsRelevantDetectionNames	Probable Threat Type	機械学習型検索が分析を他の既知の脅威 (セミコロン「;」で区切る) と比較した後にファイルに含まれる脅威の最も可能性の高い種類を示します。	TrendMicroDsRelevantDetectionNames=Ransom_CERBER.BZC;Ransom_CERBER.C;Ransom_CRYPNISCA.SM
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=6
None	cat	Category	Category	cat=Anti-Malware
None	name	Name	イベント名	name=SPYWARE_KEYL_ACTIVE
None	desc	Description	イベントの説明。不正プログラム対策では、イベント名が説明として使用されます。	desc=SPYWARE_KEYL_ACTIVE
TrendMicroDsCommandLine	TrendMicroDsCommandLine	コマンドライン	対象プロセスが実行するコマンド	TrendMicroDsCommandLine = / tmp / orca-testkit-sample / testsys_m64 -u 1000 -g 1000 -U 1000 -G 1000 -e cve_2017_16995 1 -d 4000000
TrendMicroDsCve	TrendMicroDsCve	CVE	CVE情報（プロセスの動作がCommon Vulnerabilities and Exposuresのいずれかで特定されている場合）	TrendMicroDsCve = CVE-2016-5195、CVE-2016-5195、CVE-2016-5195
TrendMicroDsMitre	TrendMicroDsMitre	MITRE	MITER攻撃のシナリオのいずれかでプロセスの動作が特定された場合のMITRE情報。	TrendMicroDsMitre = T1068、T1068、T1068
suser	suser	ユーザ名	このイベントをトリガしたユーザアカウント名	suser=root

アプリケーションコントロールイベント形式

CEFログエントリのサンプル:CEF: 0|Trend Micro|Deep Security Agent|10.2.229|6001200|AppControl detectOnly|6|cn1=202 cn1Label=Host ID dvc=192.168.33.128 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 fileHash=80D4AC182F97D2AB48EE4310AC51DA5974167C596D133D64A83107B9069745E0 suser=root suid=0 act=detectOnly filePath=/home/user1/Desktop/Directory1//heartbeatSync.sh fsize=20 aggregationType=0 repeatCount=1 cs1=notWhitelisted cs1Label=actionReason cs2=0CC9713BA896193A527213D9C94892D41797EB7C cs2Label=sha1 cs3=7EA8EF10BEB2E9876D4D7F7E5A46CF8D cs3Label=md5

LEEFログエントリの例： LEEF:2.0|Trend Micro|Deep Security Agent|10.0.2883|60|cat=AppControl name=blocked desc=blocked sev=6 cn1=2 cn1Label=Host ID dvc=10.203.156.39 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 fileHash=E3B0C44298FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855 suser=root suid=0 act=blocked filePath=/bin/my.jar fsize=123857 aggregationType=0 repeatCount=1 cs1=notWhitelisted cs1Label=actionReason

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=2
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cs1	cs1	Reason	アプリケーションコントロールが指定された処理を実行した理由 (例: notWhitelisted: ソフトウェアに一致するルールがなく、承認されていないソフトウェアをブロックするようにアプリケーションコントロールが設定されていた)。	cs1=notWhitelisted
cs1Label	cs1Label		フィールドcs1の名前ラベル。	cs1Label=actionReason
cs2	cs2		ファイルのSHA-1ハッシュ (計算済みの場合)。	cs2=156F4CB711FDBD668943711F853FB6DA89581AAD
cs2Label	cs2Label		フィールドcs2の名前ラベル。	cs2Label=sha1
cs3	cs3		ファイルのMD5ハッシュ (計算済みの場合)。	cs3=4E8701AC951BC4537F8420FDAC7EFBB5
cs3Label	cs3Label		フィールドcs3の名前ラベル。	cs3Label=md5
act	act	Action	アプリケーションコントロールエンジンによって実行された処理。値には、Blocked、Allowedがあります。	act=blocked
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.1.10
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = www.example.com dvchost = 2001：db8::5
suid	suid	User ID	アカウントID ユーザ名の数字。	suid=0
suser	suser	User Name	保護対象コンピュータにソフトウェアをインストールしたユーザアカウントの名前。	suser=root
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント名。	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID番号。	TrendMicroDsTenantId=0
fileHash	fileHash	File hash	ソフトウェアファイルを識別するSHA 256ハッシュ。	fileHash=E3B0C44298FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855
filePath	filePath	File Path	不正プログラムファイルの場所。	filePath=/bin/my.jar
fsize	fsize	File Size	ファイルサイズ (バイト)。	fsize=16
aggregationType	aggregationType	Aggregation Type	イベントの集約方法を示す整数: 0: イベントが集約されません。 1: イベントが、ファイル名、パス、イベントの種類に応じて集約されます。 2: イベントがイベントの種類に応じて集計されます。イベントの集約については、アプリケーションコントロールイベントログを参照してください。	aggregationType=2
repeatCount	repeatCount	Repeat Count	イベントの発生回数。非集約イベントの値には1を指定します。集約イベントの値は2以上です。	repeatCount=4
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=6
None	cat	Category	Category	cat=AppControl
None	name	Name	イベント名	name=blocked
None	desc	Description	イベントの説明。アプリケーションコントロールでは、アクションを説明として使用します。	desc=blocked

ファイアウォールイベントログの形式

サンプルCEFログエントリ： CEF: 0|Trend Micro|Deep Security Agent|<Agent version>|20|Log for TCP Port 80|0|cn1=1 cn1Label=Host ID dvc=hostname act=Log dmac=00:50:56:F5:7F:47 smac=00:0C:29:EB:35:DE TrendMicroDsFrameType=IP src=192.168.126.150 dst=72.14.204.147 out=1019 cs3=DF MF cs3Label=Fragmentation Bits proto=TCP spt=49617 dpt=80 cs2=0x00 ACK PSH cs2Label=TCP Flags cnt=1 TrendMicroDsPacketData=AFB ...

サンプルLEEFログエントリ： LEEF: 2.0 |トレンドマイクロ| Deep Security Agent |<Agent version>| 21 | cat = ファイアウォール name =リモートドメイン施行（スプリットトンネル）desc =リモートドメイン施行（スプリットトンネル）sev = 5 cn1 = 37 cn1Label =ホストID dvchost = www.example.com TrendMicroDsTenant =プライマリTrendMicroDsTenantId = 0 act =拒否dstMAC = 67: BF: 1B: 2F: 13: EE srcMAC = 78: FD: E7: 07: 9F: 2C TrendMicroDsFrameType = IP src = 10.0.110.221 dst = 105.152.185.81 out = 177 cs3 = cs3Label = Fragmentation Bits proto = UDP srcPort = 23 dstPort = 445 cnt = 1 TrendMicroDsPacketData = AFB...

TendMicroDsScannerIpログエントリのサンプル： CEFフィールド：（待機チェック）、LEEFフィールド：TrendMicroDsScannerIp、名前： Scanner IP、説明： Scanner IPアドレス、例：TrendMicroDsScannerIp=192.168.33.1

TrendMicroDsTargetPortListログエントリ： CEFフィールド：（確認待ち）、LEEFフィールド：TrendMicroDsTargetPortList、名前：対象ポートリスト、説明：検索済みポートリスト、例：TrendMicroDsTargetPortList=12;13;16;18;22;23;27;32;38;42;44;47;48;60;67;

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
act	act	Action		act=Log act=Deny
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cnt	cnt	Repeat Count	このイベントが連続して繰り返された回数。	cnt=8
cs2	cs2	TCP Flags		cs2 = 0x10 ACK cs2 = 0x14 ACK RST
cs2Label	cs2Label	TCP Flags	フィールドcs2の名前ラベル。	cs2Label=TCP Flags
cs3	cs3	Packet Fragmentation Information		cs3 = DF cs3 = MF cs3 = DF MF
cs3Label	cs3Label	Fragmentation Bits	フィールドcs3の名前ラベル。	cs3Label=Fragmentation Bits
cs4	cs4	ICMP Type and Code	(ICMPプロトコルの場合のみ) ICMPタイプとコード (スペース区切り)。	cs4 = 11 0 cs4 = 8 0
cs4Label	cs4Label	ICMP	フィールドcs4の名前ラベル。	cs4Label=ICMP Type and Code
dmac	dstMAC	Destination MAC Address	送信先コンピュータのネットワークインタフェースのMACアドレス。	dmac= 00:0C:29:2F:09:B3
dpt	dstPort	Destination Port	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信先コンピュータの接続またはセッションのポート番号。	dpt = 80 dpt = 135
dst	dst	Destination IP Address	送信先コンピュータのIPアドレス。	dst = 192.168.1.102 dst = 10.30.128.2
in	in	Inbound Bytes Read	(受信接続の場合のみ) 読み取られた受信バイト数。	in = 137 in = 21
out	out	Outbound Bytes Read	(送信接続の場合のみ) 読み取られた送信バイト数。	out = 216 out = 13
proto	proto	Transport protocol	使用するトランスポートプロトコルの名前。	proto = tcp proto = udp proto = icmp
smac	srcMAC	Source MAC Address	送信元コンピュータのネットワークインタフェースのMACアドレス。	smac= 00:0E:04:2C:02:B3
spt	srcPort	Source Port	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信元コンピュータの接続またはセッションのポート番号。	spt = 1032 spt = 443
src	src	Source IP Address	このイベントにおけるパケットの送信元IPアドレス。	src=192.168.1.105 src=10.10.251.231
TrendMicroDsFrameType	TrendMicroDsFrameType	Ethernet frame type	接続のイーサネットフレームの種類。	TrendMicroDsFrameType = IP TrendMicroDsFrameType = ARP TrendMicroDsFrameType = RevARP TrendMicroDsFrameType = NetBEUI
TrendMicroDsPacketData	TrendMicroDsPacketData	Packet data	Base64で表されるパケットデータ。	TrendMicroDsPacketData = AFB ...
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = exch01.example.com dvchost = 2001：db8::5
TrendMicroDsTags	TrendMicroDsTags	Event Tags	Workload Security イベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant Name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=5
None	cat	Category	Category	cat=Firewall
None	name	Name	イベント名	name=Remote Domain Enforcement (Split Tunnel)
None	desc	Description	イベントの説明。ファイアウォールイベントでは、イベント名が説明として使用されます。	desc=Remote Domain Enforcement (Split Tunnel)
TrendMicroDsScannerIp	TrendMicroDsScannerIp	Scanner IP	Scanner IPアドレス	TrendMicroDsScannerIp=192.168.33.1
TrendMicroDsTargetPortList	TrendMicroDsTargetPortList	対象ポートリスト	検索されたポートリスト	TrendMicroDsTargetPortList=12;13;16;18;22;23;27;32;38;42;44;47;48;60;67;
TrendMicroDsUserName	TrendMicroDsUserName	User Name	パケット内で検出されたユーザ名	TrendMicroDsUserName=root

変更監視ログイベント形式

サンプルLEEFログエントリ： LEEF: 2.0 |トレンドマイクロ| Deep Security Agent |<Agent version>| 2002779 | cat =変更監視名= Microsoft Windows - 変更されたシステムファイルdesc = Microsoft Windows - システムファイルの変更sev = 8 cn1 = 37 cn1Label =ホストID dvchost = www.example.com TrendMicroDsTenant =プライマリTrendMicroDsTenantId = 0 act = updated suser = admin sproc = C:\Windows\System32\notepad.exe

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
act	act	Action	変更監視ルールによって検出される処理。値は、created、updated、deleted、またはrenamedのいずれかです。	act=created act=deleted
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
filePath	filePath	Target Entity	変更監視ルールの対象のエンティティ。監視対象のログファイルが含まれます。	filePath=C:\WINDOWS\system32\drivers\etc\hosts
suser	suser	Source User	監視対象のファイルを変更したユーザーのアカウント。	suser=WIN-038M7CQDHIN \ Administrator
sproc	sproc	ソースプロセス	イベントのソースプロセスの名前。	sproc = C:\\Windows\\System32\\notepad.exe
msg	msg	Attribute changes	(「renamed」処理の場合のみ) 変更された属性名のリスト。「Relay via Manager」が選択されている場合、すべてのイベント処理の種類に詳細な説明が含まれます。	msg=lastModified,sha1,size
oldfilePath	oldfilePath	Old target entity	(「renamed」処理の場合のみ) filePathフィールドに記録された新しいエンティティに名前変更された、以前の変更監視ルールの対象のエンティティ。	oldFilePath=C:\WINDOWS\system32\logfiles\ds_agent.log
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = www.example.com dvchost = 2001：db8::5
TrendMicroDsTags	TrendMicroDsTags	Events tags	Workload Security イベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=8
None	cat	Category	Category	cat=Integrity Monitor
None	name	Name	イベント名	name=Microsoft Windows - System file modified
None	desc	Description	イベントの説明。変更監視では、イベント名が説明として使用されます。	desc=Microsoft Windows - System file modified

侵入防御イベントログの形式

サンプルCEFログエントリ： CEF:0|Trend Micro|Deep Security Agent|<Agent version>|1001111|Test Intrusion Prevention Rule|3|cn1=1 cn1Label=Host ID dvchost=hostname dmac=00:50:56:F5:7F:47 smac=00:0C:29:EB:35:DE TrendMicroDsFrameType=IP src=192.168.126.150 dst=72.14.204.105 out=1093 cs3=DF MF cs3Label=Fragmentation Bits proto=TCP spt=49786 dpt=80 cs2=0x00 ACK PSH cs2Label=TCP Flags cnt=1 act=IDS:Reset cn3=10 cn3Label=Intrusion Prevention Packet Position cs5=10 cs5Label=Intrusion Prevention Stream Position cs6=8 cs6Label=Intrusion Prevention Flags TrendMicroDsPacketData=R0VUIC9zP3...

サンプルLEEFログエントリ： LEEF: 2.0 |トレンドマイクロ| Deep Security Agent |<Agent version>| 1000940 | cat = 侵入防御 name = Sun Java Runtime Environmentの複数のバッファオーバーフローの脆弱性desc = Sun Java Runtime Environmentの複数のバッファオーバーフローの脆弱性sev = 10 cn1 = 6 cn1Label =ホストID dvchost = exch01 TrendMicroDsTenant =プライマリTrendMicroDsTenantId = 0 dstMAC = 55: C0: A8: 55: FF: 41 srcMAC = CA: 36: 42: B1: 78: 3D TrendMicroDsFrameType = IP src = 10.0.251.84 dst = 56.19。 41.128 out = 166 cs3 = cs3Label = Fragmentation Bits proto = ICMP srcPort = 0 dstPort = 0 cnt = 1 act = IDS: Reset cn3 = 0 cn3Label = DPI Packet Position cs5 = 0 cs5Label = DPI Stream Position cs6 = 0 cs6Label = DPI Flags TrendMicroDsPacketData = R0VUIC9zP3 ...

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
act	act	Action	(Deep Securityバージョン7.5 SP1以前に作成されたIPSルールでは、Insert、Replace、Deleteも実行することができましたが、現在これらの処理は実行されません。これらの処理の実行を試みる古いIPSルールが実行された場合、ルールが検出のみモードで適用されたことを示すイベントが記録されます)。	act=Block
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cn3	cn3	Intrusion Prevention Packet Position	イベントをトリガしたデータのパケット内の位置。	cn3=37
cn3Label	cn3Label	Intrusion Prevention Packet Position	フィールドcn3の名前ラベル。	cn3Label=Intrusion Prevention Packet Position
cnt	cnt	Repeat Count	このイベントが連続して繰り返された回数。	cnt=8
cs1	cs1	Intrusion Prevention Filter Note	(オプション) DPIルールに関連する短いバイナリまたはテキストによる備考を含めることのできる注記用フィールド。注記用フィールドの値がすべて印刷可能なASCII文字の場合、値はテキストとしてログに記録され、スペース (空白文字) はアンダースコアに変換されます。バイナリデータが含まれる場合は、Base64エンコードを使用してログに記録されます。	cs1=Drop_data
cs1Label	cs1Label	Intrusion Prevention Note	フィールドcs1の名前ラベル。	cs1Label=Intrusion Prevention Note
cs2	cs2	TCP Flags	(TCPプロトコルの場合のみ) TCPフラグバイトの後には、[URG]、[ACK]、[PSH]、[RST]、[SYN]、[FIN] の各フィールドが続きます。このフラグバイトは、TCPヘッダが設定されている場合に存在する可能性があります。	cs2 = 0x10 ACK cs2 = 0x14 ACK RST
cs2Label	cs2Label	TCP Flags	フィールドcs2の名前ラベル。	cs2Label=TCP Flags
cs3	cs3	Packet Fragmentation Information		cs3 = DF cs3 = MF cs3 = DF MF
cs3Label	cs3Label	Fragmentation Bits	フィールドcs3の名前ラベル。	cs3Label=Fragmentation Bits
cs4	cs4	ICMP Type and Code	(ICMPプロトコルの場合のみ) 単一のスペースで区切って個別の順序で格納されているICMPタイプとコード。	cs4 = 11 0 cs4 = 8 0
cs4Label	cs4Label	ICMP	フィールドcs4の名前ラベル。	cs4Label=ICMP Type and Code
cs5	cs5	Intrusion Prevention Stream Position	イベントをトリガしたデータのストリーム内の位置。	cs5=128 cs5=20
cs5Label	cs5Label	Intrusion Prevention Stream Position	フィールドcs5の名前ラベル。	cs5Label=Intrusion Prevention Stream Position
cs6	cs6	Intrusion Prevention Filter Flags	フラグ値の合計を含む合計値。 1 - データが切り捨てられました - データをログに記録できませんでした。 2 - ログオーバーフロー - このログの後にログがオーバーフローしました。 4 - 抑制 - このログの後にログ数のしきい値が抑制されました。 8 - Have Data - パケットデータが含まれています 16 - 参照データ - 以前にログに記録されたデータを参照しています。	次の例は、1（データ切り捨て）と8（データあり):）の合計の組み合わせです。 cs6=9
cs6Label	cs6Label	Intrusion Prevention Flags	フィールドcs6の名前ラベル。	cs6=Intrusion Prevention Filter Flags
cs7	cs7	Flow	仮想アプライアンスで保護されている仮想マシンで発生したイベントのうち、ゲスト内にAgentが存在しない場合は、 Agentからのイベントとして識別されます。フロー値: FWD=Connection Flow REV=Reverse Flow	cs7=FWD
cs7Label	cs7Label	Flow	フィールドcs7の名前ラベル。	cs7Label=Flow
dmac	dstMAC	Destination MAC Address	送信先コンピュータのネットワークインタフェースMACアドレス。	dmac= 00:0C:29:2F:09:B3
dpt	dstPort	Destination Port	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信先コンピュータの接続ポート。	dpt = 80 dpt = 135
dst	dst	Destination IP Address	送信先コンピュータのIPアドレス。	dst = 192.168.1.102 dst = 10.30.128.2
xff	xff	X-Forwarded-For	IP X-Forwarded-Forヘッダ内の最後のハブのアドレス。通常は、存在する可能性のあるプロキシを越えた送信元のIPアドレスです。srcフィールドも参照してください。イベントにxffを含めるには、1006540 [X-Forwarded-For HTTPヘッダのログを有効にする] 侵入防御ルールを有効にします。	xff=192.168.137.1
in	in	Inbound Bytes Read	(受信接続の場合のみ) 読み取られた受信バイト数。	in = 137 in = 21
out	out	Outbound Bytes Read	(送信接続の場合のみ) 読み取られた送信バイト数。	out = 216 out = 13
proto	proto	Transport protocol	使用する接続トランスポートプロトコルの名前。	proto = tcp proto = udp proto = icmp
smac	srcMAC	Source MAC Address	送信元コンピュータのネットワークインタフェースMACアドレス。	smac= 00:0E:04:2C:02:B3
spt	srcPort	Source Port	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信元コンピュータの接続ポート。	spt = 1032 spt = 443
src	src	Source IP Address	送信元コンピュータのIPアドレス。これは、最後のプロキシサーバ (存在する場合) のIP、またはクライアントIPです。xffフィールドも参照してください。	src=192.168.1.105 src=10.10.251.231
TrendMicroDsFrameType	TrendMicroDsFrameType	Ethernet frame type	接続のイーサネットフレームの種類。	TrendMicroDsFrameType = IP TrendMicroDsFrameType = ARP TrendMicroDsFrameType = RevARP TrendMicroDsFrameType = NetBEUI
TrendMicroDsPacketData	TrendMicroDsPacketData	Packet data	Base64で表されるパケットデータ。	TrendMicroDsPacketData = R0VUIC9zP3 ...
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = www.example.com dvchost = 2001：db8::5
TrendMicroDsTags	TrendMicroDsTags	Event tags	Workload Security イベントタグがイベントに割り当てられている	TrendMicroDsTags=Suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント名	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=10
None	cat	Category	カテゴリ	cat=Intrusion Prevention
None	name	Name	イベント名	name=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities
None	desc	Description	イベントの説明。侵入防御イベントは、イベント名を説明として使用します。	desc=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities

セキュリティログ監視イベント形式

サンプルCEFログエントリ： CEF:0|Trend Micro|Deep Security Agent|<Agent version>|3002795|Microsoft Windows Events|8|cn1=1 cn1Label=Host ID dvchost=hostname cs1Label=LI Description cs1=Multiple Windows Logon Failures fname=Security src=127.0.0.1 duser=(no user) shost=WIN-RM6HM42G65V msg=WinEvtLog Security: AUDIT_FAILURE(4625): Microsoft-Windows-Security-Auditing: (no user): no domain: WIN-RM6HM42G65V: An account failed to log on.Subject: ..

サンプルLEEFログエントリ： LEEF:2.0|Trend Micro|Deep Security Agent|<Agent version>|3003486|cat=Log Inspection name=Mail Server - MDaemon desc=Server Shutdown. sev=3 cn1=37 cn1Label=Host ID dvchost=exch01.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 cs1=Server Shutdown. cs1Label=LI Description fname= shost= msg=

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cs1	cs1	Specific Sub-Rule	このイベントをトリガしたセキュリティログ監視のサブルール。	cs1=Multiple Windows audit failure events
cs1Label	cs1Label	LI Description	フィールドcs1の名前ラベル。	cs1Label=LI Description
duser	duser	User Information	(解析可能なユーザ名が存在する場合) ログエントリを記録した対象ユーザの名前。	duser=(no user) duser=NETWORK SERVICE
fname	fname	Target entity	セキュリティログ監視ルールの対象エンティティ。監視対象のログファイルが含まれます。	fname=Application fname=C:\Program Files\CMS\logs\server0.log
msg	msg	Details	セキュリティログ監視イベントの詳細。検出されたログイベントの詳細な説明が含まれる場合があります。	msg=WinEvtLog: Application: AUDIT_FAILURE(20187): pgEvent: (no user): no domain: SERVER01: Remote login failure for user 'xyz'
shost	shost	Source Hostname	送信元コンピュータのホスト名。	shost=webserver01.corp.com
src	src	Source IP Address	送信元コンピュータのIPアドレス。	src=192.168.1.105 src=10.10.251.231
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = www.example.com dvchost = 2001：db8::5
TrendMicroDsTags	TrendMicroDsTags	Events tags	Workload Security イベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=3
None	cat	Category	カテゴリ	cat=Log Inspection
None	name	Name	イベント名	name=Mail Server - MDaemon
None	desc	Description	イベントの説明。	desc=Server Shutdown

Webレピュテーションイベント形式

サンプルLEEFログエントリ： LEEF:2.0|Trend Micro|Deep Security Agent|<Agent version>|5000000|cat=Web Reputation name=WebReputation desc=WebReputation sev=6 cn1=3 cn1Label=Host ID dvchost=exch01.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 request=http://yw.olx5x9ny.org.it/HvuauRH/eighgSS.htm msg=Suspicious

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=1
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
request	request	Request	要求のURL。	request=http://www.example.com/index.php
msg	msg	Message	処理の種類。値には、Realtime、Scheduled、Manualがあります。	msg =リアルタイム msg =予約済み
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost = www.example.com dvchost = 2001：db8::5
TrendMicroDsTags	TrendMicroDsTags	Events tags	Workload Security イベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
None	sev	Severity	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=6
None	cat	Category	カテゴリ	cat=Web Reputation
None	name	Name	イベント名	name=WebReputation
None	desc	Description	イベントの説明。Webレピュテーションでは、イベント名が説明として使用されます。	desc=WebReputation

デバイスコントロールイベントの形式

CEFログエントリの例：: CEF:0|Trend Micro|Deep Security Agent|50.0.1063|7000000|Device Control DeviceControl|6|cn1=1 cn1Label=Host ID dvchost=test-hostname TrendMicroDsTenant=tenantName TrendMicroDsTenantId=1 device=deviceName processName=processName1 fileName=/tmp/some_path2 vendor=vendorName serial=aaaa-bbbb-cccc model=modelName computerName=computerName domainName=computerDomain deviceType=0 permission=0

LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|50.0.1063|7000000|cat=Device Control name=DeviceControl desc=DeviceControl sev=6 cn1=1 cn1Label=Host ID dvchost=test-hostname TrendMicroDsTenant=tenantName TrendMicroDsTenantId=1 device=deviceName processName=processName1 fileName=/tmp/some_path2 vendor=vendorName serial=aaaa-bbbb-cccc model=modelName computerName=computerName domainName=computerDomain deviceType=0 permission=0

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=1
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Workload Security テナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Workload Security テナントID	TrendMicroDsTenantId=0
デバイス	デバイス	デバイス名	アクセスされたデバイス。	device=Sandisk_USB
processName	processName	プロセス名	プロセス名。	processName=someProcess.exe
fileName	fileName	ファイル名	アクセスされたファイル名。	fileName=E:\somepath\a.exe
ベンダー	ベンダー	ベンダー名	デバイスのベンダ名。	vendor=sandisk
シリアル	シリアル	シリアル番号	デバイスのシリアル番号。	シリアル= aaa-bbb-ccc
モデル	モデル	モデル	デバイスの製品名。	model=A270_USB
computerName	computerName	コンピュータ名	コンピュータ名。	computerName=Jonh_Computer
domainName	domainName	ドメイン名	ドメイン名。	domainName=CompanyDomain
deviceType	deviceType	デバイスの種類	デバイスのデバイスタイプ USB_STORAGE_DEVICE(1) MOBILE_DEVICE(2)	deviceType=1
許可	許可	権限	アクセスがブロックされた理由ブロック（0） READ_ONLY(2)	権限= 0

このページのトピック

syslogメッセージの形式

CEFのsyslogメッセージの形式

LEEF 2.0のsyslogメッセージの形式

Workload Securityで発生したイベント

システムイベントログの形式

Agentで発生するイベント

不正プログラム対策イベントフォーマット

アプリケーションコントロールイベント形式

ファイアウォールイベントログの形式

変更監視ログイベント形式

侵入防御イベントログの形式

セキュリティログ監視イベント形式

Webレピュテーションイベント形式

デバイスコントロールイベントの形式

前へ

次へ

このページのトピック

syslogメッセージの形式

CEFのsyslogメッセージの形式

LEEF 2.0のsyslogメッセージの形式

Workload Securityで発生したイベント

システムイベントログの形式

Agentで発生するイベント

不正プログラム対策 イベントフォーマット

アプリケーションコントロール イベント形式

ファイアウォールイベントログの形式

変更監視 ログイベント形式

侵入防御 イベントログの形式

セキュリティログ監視 イベント形式

Webレピュテーション イベント形式

デバイスコントロールイベントの形式

不正プログラム対策イベントフォーマット

アプリケーションコントロールイベント形式

変更監視ログイベント形式

侵入防御イベントログの形式

セキュリティログ監視イベント形式

Webレピュテーションイベント形式