侵入防御イベント

イベントに関する一般的なベストプラクティスについては、Workload Securityのイベントを参照してください。

Workload Securityによってキャプチャされた侵入防止イベントを確認するには、 イベントとレポート> イベント > 侵入防御イベントにアクセスしてください。

侵入防御イベントについて表示される情報

[侵入防御イベント] 画面には次の列が表示されます。[列] をクリックして、表に表示する列を選択することができます。

• 時刻: コンピュータ上でイベントが発生した時刻。
• Computer: このイベントが記録されたコンピュータ。コンピュータが削除されている場合、このエントリは「不明なコンピュータ」になります。
• 理由：このイベントに関連付けられている侵入防止ルール。
• タグ：イベントに添付されたタグ。
• アプリケーションの種類：このイベントの原因となった侵入防止ルールに関連付けられているアプリケーションの種類。
• 処理: 侵入防御ルールが実行した処理 (ブロックまたはリセット)。ルールが 検出のみ モードの場合、処理の前に「検出のみ:)」が付きます。
• ランク: ランク付けシステムは、侵入防御およびファイアウォールイベントの重要性を数値化する方法を提供します。資産の値をコンピュータに割り当て、重要度の値を侵入防御ルールとファイアウォールルールに割り当てることにより、イベントの重要度 (ランク) は、2 つの値を掛け合わせて計算されます。これにより、侵入防御またはファイアウォールのイベントを表示するときに、イベントをランク順に並べ替えることができます。
• 重要度：侵入防御ルールの重要度の値。
• 方向：パケットの方向（受信または送信）。
• Flow: このイベントをトリガしたパケットが、侵入防御ルールによって監視されているトラフィックの方向に沿って送信されたか (接続フロー) または逆方向に送信されたか (リバースフロー) かを示します。
• インタフェース：パケットが通過したインタフェースのMACアドレス。
• Frame Type: 対象のパケットのフレームタイプ。可能な値は、IPV4、IPV6、ARP、REVARP、およびその他: XXXXです。XXXXは、フレームタイプの4桁の16進コードを表します。
• Protocol: 指定できる値は、ICMP、ICMPV6、IGMP、GGP、TCP、PUP、UDP、IDP、ND、RAW、TCP+UDP、およびその他: nnnです。nnnは3桁の10進数を表します。
• フラグ：パケットにフラグが設定されています。
• 送信元IP：パケットの送信元IPです。
• 送信元MAC：パケットの送信元MACアドレス。
• 送信元ポート：パケットの送信元ポート。
• 送信IP：パケットの送信先IPアドレス。
• 送信MAC：パケットの送信先MACアドレス。
• 送信ポート：パケットの送信先ポート。
• パケットサイズ：パケットのサイズ（バイト）。
• 繰り返しカウント：イベントが連続して繰り返された回数です。
• 時間（マイクロ秒）：コンピュータでイベントが発生した時間（マイクロ秒）。
• イベントの発生元： Workload Security コンポーネント。イベントの発生元です。

次の列も使用できます。エージェントのバージョン12FR以降で保護されているコンピュータ上のコンテナからトリガされたイベントの情報が表示されます。

• インタフェースの種類：コンテナインタフェースの種類。
• コンテナ名：イベントが発生したコンテナの名前。
• コンテナID：イベントが発生したコンテナのコンテナIDです。
• イメージ名：イベントが発生したコンテナの作成に使用されたイメージ名です。
• RepoDigest：コンテナイメージを識別する一意の通知です。
• プロセス名：イベントの原因となった（コンテナからの）プロセスの名前。

侵入防御イベントの追加情報の表示

侵入防御 イベントをエクスポートする場合、エクスポートされたデータには上記のフィールドと追加フィールドが含まれますが、これらのフィールドは Workload Security コンソールには表示されません。唯一の例外は Severity フィールドで、CSVファイルでは使用できません。

• Note：CVEコードなど、イベントに意味のある文字列。
• 終了時刻：パケットが最後に確認された時刻。
• バッファ内位置：パケット内の位置。
• ストリーム内の位置：TCP / IPストリーム内のパケットの位置。
• データフラグ：データフラグの値の詳細については、次の表を参照してください。

• Data Index：パケットデータの一意のID（dataId）。dataIdが同じレコードはすべて同じパケットのものです。
• Data：パケットのペイロード。
• Original IP（XFF）：クライアントの元のIPアドレスを表示します。このフィールドのデータを取得するには、ルール 1006450-Enable X-Forwarded-For HTTP Header Loggingを有効にします。

次のフィールドも使用できます。エージェントのバージョン12FR以降で保護されているコンピュータ上のコンテナからトリガされたイベントの情報が表示されます。

• プロセスID：コンテナによって報告されたプロセスID。
• スレッドID：コンテナによって報告されたスレッドID。
• Image ID：コンテナイメージのローカルID。
• Pod ID：Pod ID（該当する場合）。

侵入防御イベント

次の表に、すべての侵入防御イベントを示します。