カスタムテーブル

次のトピックでは、カスタムテーブルの使用方法について説明します。

カスタムテーブルの概要

Firepower システムがネットワークに関する情報を収集し、Firepower Management Center がその情報を一連のデータベーステーブルに保存します。結果として生成される情報を表示するためにワークフローを使用する場合、Firepower Management Center はそれらのテーブルのいずれかからデータを取り出します。たとえば、[カウント別のネットワークアプリケーション（Network Applications by Count）] ワークフローの各ページのカラムは、[アプリケーション（Applications）] テーブルのフィールドから取得されます。

さまざまなテーブルのフィールドを結合することにより、ネットワークのアクティビティの分析が向上する場合、カスタムテーブルを作成できます。たとえば、定義済みの [Host Attributes] テーブルのホスト重大度情報と、定義済みの [Connection Data] テーブルのフィールドを結合してから、新しいコンテキストで接続データを検証できます。

定義済みのテーブルまたはカスタムテーブルのどちらについても、カスタムワークフローを作成できます。

定義済みのカスタムテーブル

カスタムテーブルには、2 つまたは 3 つの定義済みテーブルのフィールドを含みます。Firepower System は、いくつかのシステム定義のカスタムテーブルと共に配布されますが、特定のニーズに適合する情報のみを含む追加のカスタムテーブルを作成できます。

たとえば、Firepower System は、侵入イベントとホストデータを相関するシステム定義のカスタムテーブルと共に配布されます。そのため、クリティカルシステムに影響を及ぼすイベントを検索でき、1 つのワークフローにその検索結果を表示できます。

マルチドメイン展開では、定義済みのカスタムテーブルは、グローバルドメインに属し、下位ドメインで変更することはできません。

次の表では、システムと共に提供されるカスタムテーブルについて説明します。

表 1. システム定義カスタムテーブル
テーブル	説明
ホストとサーバー（Hosts with Servers）	ホストテーブルおよびサーバーテーブルのフィールドを含み、ネットワーク上で実行されている検出されたアプリケーションに関する情報やこれらのアプリケーションを実行するホストに関する基本的なオペレーティングシステム情報を提供します。
侵入イベントと宛先重要度（Intrusion Events with Destination Criticality）	侵入イベントテーブルとホストテーブルのフィールドを含み、侵入イベントに関する情報と各侵入イベントに含まれる宛先ホストのホスト重要度を提供します。このテーブルを使用して、ホスト重要度の高い宛先ホストに関与する侵入イベントを検索できます。
侵入イベントと送信元重要度（Intrusion Events with Source Criticality）	侵入イベントテーブルとホストテーブルのフィールドを含み、侵入イベントに関する情報と各侵入イベントに含まれる送信元ホストのホスト重要度を提供します。このテーブルを使用して、ホスト重要度の高い送信元ホストに関与する侵入イベントを検索できます。

可能なテーブルの組み合わせ

カスタムテーブルを作成する場合、関連データのある定義済みのテーブルのフィールドを組み合わせことができます。次の表は、新しいカスタムテーブルを作成するために結合できる定義済みのテーブルをリストしています。2 つ以上の定義済みのカスタムテーブルのフィールドを組み合わせるカスタムテーブルを作成できます。

表 2. カスタムテーブルの組み合わせ
組み合わせ可能なカスタムテーブル	以下のテーブルのフィールドと結合可能
アプリケーション	相関イベント（Correlation Events）侵入イベント（Intrusion Events）接続のサマリーデータ（Connection Summary Data）ホスト属性（Host Attributes）アプリケーションの詳細（Application Details）検出イベント（Discovery Events）接続イベント（Connection Events）ホスト（Hosts）サーバー White イベントの一覧表示
相関イベント（Correlation Events）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）
侵入イベント（Intrusion Events）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）サーバー
接続のサマリーデータ（Connection Summary Data）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）サーバー
ホストの侵害の兆候（Host Indications of Compromise）	アプリケーションアプリケーションの詳細（Application Details）キャプチャファイル（Captured Files）接続イベント（Connection Events）接続のサマリーデータ（Connection Summary Data）相関イベント（Correlation Events）検出イベント（Discovery Events）ホスト属性（Host Attributes）ホスト（Hosts）侵入イベント（Intrusion Events）セキュリティインテリジェンスイベント（Security Intelligence Events）サーバー White イベントの一覧表示
ホスト属性（Host Attributes）	アプリケーション相関イベント（Correlation Events）侵入イベント（Intrusion Events）接続のサマリーデータ（Connection Summary Data）アプリケーションの詳細（Application Details）検出イベント（Discovery Events）接続イベント（Connection Events）ホスト（Hosts）サーバー White イベントの一覧表示
アプリケーションの詳細（Application Details）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）
検出イベント（Discovery Events）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）
接続イベント（Connection Events）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）サーバー
セキュリティインテリジェンスイベント（Security Intelligence Events）	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）サーバー
ホスト（Hosts）	アプリケーション相関イベント（Correlation Events）侵入イベント（Intrusion Events）接続のサマリーデータ（Connection Summary Data）ホスト属性（Host Attributes）アプリケーションの詳細（Application Details）検出イベント（Discovery Events）接続イベント（Connection Events）サーバー White イベントの一覧表示
サーバー	アプリケーション侵入イベント（Intrusion Events）接続のサマリーデータ（Connection Summary Data）ホスト属性（Host Attributes）接続イベント（Connection Events）ホスト（Hosts）
White イベントの一覧表示	アプリケーションホスト属性（Host Attributes）ホスト（Hosts）

あるテーブルのフィールドが、別のテーブルの複数のフィールドにマップされる場合があります。たとえば、定義済みの [侵入イベントと送信先の致命度（Intrusion Events with Destination Criticality）] カスタムテーブルは、[侵入イベント（Intrusion Events）] テーブルと [ホスト（Hosts）] テーブルのフィールドを結合します。[侵入イベント（Intrusion Events）] テーブルの各イベントは、2 つの IP アドレス（送信元 IP アドレスと宛先 IP アドレス）と関連付けられています。しかし、[ホスト（Hosts）] テーブルの「イベント」はそれぞれ、単一のホスト IP アドレスを表します（ホストに複数の IP アドレスが存在する場合があります）。したがって、[侵入イベント（Intrusion Events）] テーブルと [ホスト（Hosts）] テーブルに基づいてカスタムテーブルを作成する場合は、[ホスト（Hosts）] テーブルから表示するデータが [侵入イベント（Intrusion Events）] テーブルのホストの送信元 IP アドレスまたはホストの宛先 IP アドレスのどちらに適用されるかを選択する必要があります。

新しいカスタムテーブルを作成すると、テーブルのすべてのカラムを表示するデフォルトのワークフローが自動的に作成されます。定義済みのテーブルと同じように、ネットワーク分析で使用するデータをカスタムテーブルで検索することもできます。定義済みのテーブルを使用して可能であるように、カスタムテーブルに基づいてレポートを作成できます。

ユーザー定義のカスタムテーブル

ヒント

新しいカスタムテーブルを作成する代わりに、別の Firepower Management Center からカスタムテーブルをエクスポートし、Firepower Management Center にインポートすることができます。

カスタムテーブルを作成するには、Firepower システムに付属しているどの定義済みテーブルに、カスタムテーブルに組み込むフィールドが含まれているかを判断します。その後、組み込むフィールドを選択できます。さらに、必要に応じて、共通フィールドのフィールドマッピングを設定することもできます。

ヒント

[ホスト（Hosts）] テーブルを含むデータでは、1 つの IP アドレスではなく、1 つのホストのすべての IP アドレスに関連したデータを表示できます。

例として、[相関イベント（Correlation Events）] テーブルと [ホスト（Hosts）] テーブルのフィールドを結合するカスタムテーブルについて考慮します。このカスタムテーブルを使用して、相関ポリシーの違反に関係するホストの詳細情報を取得できます。注意すべき点として、[相関イベント（Correlation Events）] テーブルの送信元 IP アドレスと宛先 IP アドレスのどちらと一致する [ホスト（Hosts）] テーブルデータを表示するかを決定する必要があります。

このカスタムテーブルのイベントのテーブルビューを表示する場合、相関イベントが 1 行に 1 つずつ表示されます。次の情報を含むようにカスタムテーブルを設定できます。

イベントが生成された日時
違反された相関ポリシーの名前
違反をトリガーとして使用した規則の名前
相関イベントに関係する送信元ホスト（開始ホスト）に関連付けられた IP アドレス
送信元ホストの NetBIOS 名
送信元ホストが実行しているオペレーティングシステムおよびバージョン
送信元ホストの重大度

ヒント

宛先ホスト（応答ホスト）の同じ情報を表示する同様のカスタムテーブルを作成することもできます。

カスタムテーブルの作成

手順

ステップ 1

[分析（Analysis）] > [詳細（Advanced）] > [カスタムテーブル（Custom Tables）]を選択します。

ステップ 2

[カスタムテーブルの作成（Create Custom Table）] をクリックします。

ステップ 3

[名前（Name）] フィールドに、カスタムテーブルの名前を入力します。

例:

たとえば、Correlation Events with Host Information（Src IP）と入力します。

ステップ 4

[テーブル（Tables）] ドロップダウンリストから、[相関イベント（Correlation Events）] を選択します。

ステップ 5

[フィールド（Fields）] で [時間（Time）] を選択し、[追加（Add）] をクリックして、相関イベントが生成された日時を追加します。

ステップ 6

手順 5 を繰り返して、[ポリシー（Policy）] および [ルール（Rule）] フィールドを追加します。

ヒント

Ctrl または Shift を押しながらクリックすることにより、複数のフィールドを選択できます。また、クリックしてドラッグすることで、隣接する複数の値を選択できます。ただし、テーブルに関連したイベントのテーブルビューでフィールドが表示される順序を指定する場合は、フィールドを一度に 1 つずつ追加します。

ステップ 7

[テーブル（Tables）] ドロップダウンリストから [ホスト（Hosts）] を選択します。

ステップ 8

[IP アドレス（IP Address）]、[NetBIOS 名（NetBIOS Name）]、[OS 名（OS Name）]、[OS バージョン（OS Version）]、[ホストの重大度（Host Criticality）] フィールドをカスタムテーブルに追加します。

ステップ 9

[相関イベント（Correlation Events）] の隣にある [共通フィールド（Common Fields）] で、[送信元 IP（Source IP）] を選択します。

相関イベントに関係する送信元ホスト（開始ホスト）用に手順 8 で選択したホスト情報を表示するように、カスタムテーブルが設定されます。

ヒント

相関イベントに関係する宛先ホスト（応答ホスト）に関する詳細なホスト情報を表示するカスタムテーブルを作成する場合も、この手順に従いますが、[送信元 IP（Source IP）] ではなく、[送信先 IP（Destination IP）] を選択します。

ステップ 10

[保存（Save）] をクリックします。

カスタムテーブルの変更

マルチドメイン展開では、現在のドメインで作成されたカスタムテーブルが表示されます。これは編集できます。先祖ドメインで作成されたカスタムテーブルも表示されますが、これは編集できません。下位のドメインのカスタムテーブルを表示および編集するには、そのドメインに切り替えます。

手順

ステップ 1

[分析（Analysis）] > [詳細（Advanced）] > [カスタムテーブル（Custom Tables）] を選択します。

ステップ 2

編集するテーブルの横にあるをクリックします。

代わりに表示（ [表示（view）] ボタン）が表示される場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。

ステップ 3

削除するフィールドの横にあるをクリックして、テーブルからフィールドを削除することもできます。

（注）

レポートで現在使用中のフィールドを削除すると、それらのフィールドを使用しているセクションをそれらのレポートから削除するか確認するプロンプトが表示されます。

ステップ 4

必要に応じて、その他の変更を実行します。

ステップ 5

[保存（Save）] をクリックします。

カスタムテーブルの削除

マルチドメイン導入では、現在のドメインで作成されたカスタムテーブルが表示されます。これは削除できます。先祖ドメインで作成されたカスタムテーブルも表示されますが、これは削除できません。下位のドメインのカスタムテーブルを削除するには、そのドメインに切り替えます。

手順

ステップ 1

[分析（Analysis）] > [詳細（Advanced）] > [カスタムテーブル（Custom Tables）]を選択します。

ステップ 2

削除するカスタムテーブルの隣にあるをクリックします。

コントロールが淡色表示されている場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。

カスタムテーブルに基づくワークフローの表示

カスタムテーブルを作成すると、そのデフォルトのワークフローがシステムによって自動的に作成されます。このワークフローの最初のページには、イベントのテーブルビューが表示されます。カスタムテーブルに侵入イベントを含める場合、ワークフローの 2 番目のページはパケットビューになります。それ以外の場合、ワークフローの 2 番目のページはホストページになります。カスタムテーブルに基づいて、独自のカスタムワークフローを作成することもできます。

ヒント

カスタムテーブルに基づいてカスタムワークフローを作成する場合、それをそのテーブルのデフォルトのワークフローとして指定できます。

同じ手法を使用して、定義済みのテーブルに基づいたイベントビューに使用するカスタムテーブルでイベントを表示できます。

手順

ステップ 1	[分析（Analysis）] > [詳細（Advanced）] > [カスタムテーブル（Custom Tables）]を選択します。
ステップ 2	表示するワークフローに関連するカスタムテーブルの隣にある表示（）をクリックします。

カスタムテーブルの検索

手順

ステップ 1

[分析（Analysis）] > [詳細（Advanced）] > [カスタムテーブル（Custom Tables）] を選択します。

ステップ 2

検索するカスタムテーブルの隣にある表示（ [表示（view）] ボタン）をクリックします。

ヒント

カスタムワークフローなど、別のワークフローを使用するには、ワークフローのタイトルの横の [（ワークフローの切り替え）（(switch workflow)）] をクリックします。

ステップ 3

[検索（Search）] をクリックします。

ヒント

別の種類のイベントやデータについてデータベースを検索する場合は、その種類をテーブルドロップダウンリストから選択します。

ステップ 4

該当するフィールドに、検索条件を入力します。

複数のフィールドに条件を入力して検索すると、すべてのフィールドに対して指定された検索条件に一致するレコードのみが返されます。

ヒント

検索基準としてオブジェクトを使用する場合は、検索フィールドの横にあるオブジェクト（[オブジェクト（object）] アイコン [オブジェクト（object）] アイコン）をクリックします。

ステップ 5

必要に応じて、検索を保存する場合は、[プライベート（Private）] チェックボックスをオンにして、プライベートとして検索を保存すると、その検索に本人のみがアクセスできるようになります。本人のみではなくすべてのユーザを対象にする場合は、このチェックボックスをオフのままにして検索を保存します。

ヒント

カスタムユーザーロールのデータの制限として検索を使用する場合は、必ずプライベート検索として保存する必要があります。

ステップ 6

必要に応じて、後で再度使用する検索を保存できます。次の選択肢があります。

[保存（Save）] をクリックして、検索条件を保存します。[プライベート（Private）] チェックボックスをオンにすると、その検索は本人のアカウントでのみ表示できるようになります。
新しい検索を保存するか、以前保存した検索を変更して作成した検索に名前を割り当てるには、[新規に保存（Save As New）] をクリックします。[プライベート（Private）] チェックボックスをオンにすると、その検索は本人のアカウントでのみ保存および表示できるようになります。

ステップ 7

[検索（Search）] をクリックして、検索を開始します。

検索結果は、現在の時間範囲によって制限されている、カスタムテーブルのデフォルトのワークフローに表示されます（該当する場合）。

Firepower Management Center バージョン 6.5 コンフィギュレーションガイド

偏向のない言語

翻訳について

検索結果

章のタイトル：カスタムテーブル

カスタムテーブル

カスタムテーブルの概要