接続先ポート

接続先ポートは、通常、アプリケーションに紐付けされているため、このワークフローにより、異常な大容量アラートを経験しているアプリケーションを検出できます。接続先ポート カラムにより、ネットワーク上に存在してはならないアプリケーションを特定できます。

イベント特定

このワークフローでは、2 つの有用な特徴を提供します。イベントが頻繁に発生する場合には、次のことを示します：

• 誤検出

• ワーム

• 不正確な誤設定ネットワーク

発生頻度の低いイベントは、対象となる攻撃を最も確実に示す証拠であり、特別な注意を必要とします。

優先度および分類によるイベント

このワークフローでは、イベントとタイプのリストをそれぞれのイベントが発生した回数と共にイベントの優先度の順に示します。

接続先に対するイベント

このワークフローでは、攻撃されているホスト IP アドレスや攻撃の本質のハイレベル ビューを提示します。利用可能な場合、攻撃に関与する国に関する情報を確認することもできます。

IP 特定

このワークフローでは、最も多くのアラートを発生するホスト IP アドレスを示します。イベント数が最も多いホストは、対外に向けて、受信しているワーム タイプのトラフィック（調整を必要とする適切な場所を示す）であるか、またはアラートの原因を決定するために更に調査を必要とします。イベント数が最も少ないホストは、対象となる攻撃を受ける可能性があるため、調査の根拠となります。イベント数が少ない場合は、ホストがネットワークに属していないことを示す場合もあります。

影響度と優先度

このワークフローにより、すぐに再度発生している影響度の高いイベントを検索します。レポートによる影響レベルは、イベントが発生した時間数で示します。この情報を使用して、最も頻繁に再発する影響度の高いイベントを特定できます。これがネットワーク上での広範な攻撃の指標となります。

影響度と送信元

このワークフローにより、進行中の攻撃の送信元を特定できます。レポートされた影響レベルは、イベントに対する関連の送信元 IP アドレスにより示します。たとえば、影響レベルが 1 のイベントは、同じ送信元 IP アドレスから繰返し発生している場合、これらは特定された脆弱なシステムであり、送信元 IP アドレスを対象としている攻撃者を示すこともあります。

接続先への影響

このワークフローを使用して、脆弱なコンピュータ上で繰返し発生しているイベントを特定できます。このため、これらのシステムでの脆弱性を指定し、進行中の攻撃を停止できます。

送信元ポート

このワークフローは、最もアラートを発生しているサーバーを示します。この情報を使用して、調整が必要なエリアを特定し、注意を要するサーバを決定できます。

送信元と接続先

このワークフローでは、高いレベルのアラートを共有するホスト IP アドレスを特定します。リストのトップのペアは誤検出の可能性もあり、調整が必要なエリアを特定することもあります。評価する必要のないリソースを評価するユーザまたはネットワークに属していないホストについては、対象となる攻撃リストの下部にあるペアを確認できます。

マルウェア サマリ

このワークフローでは、ネットワーク トラフィック内で検出されたか、または AMP for Endpoints Connector によって検出されたマルウェアのリストを提供します。これらのリストは、それぞれの脅威ごとにグループ化されます。

マルウェア イベント サマリ

このワークフローでは、異なるマルウェア イベントのタイプやサブタイプの明細が迅速に表示されます。

ホスト受信マルウェア

このワークフローでは、マルウェアを受信したホスト IP アドレスのリストが表示されます。このリストは、マルウェア ファイル関連の処理ごとにグループ化されます。

ホスト送信マルウェア

このワークフローでは、マルウェアを送信したホスト IP アドレスのリストが表示されます。このリストは、マルウェア ファイル関連の処理ごとにグループ化されます。

アプリケーション導入マルウェア

このワークフローでは、ファイルを受信したホスト IP アドレスのリストが表示されます。このリストは、受信したファイルの関連したマルウェアの処理によってグループ化されます。

ファイルの概要（File Summary）

このワークフローは、さまざまなファイル イベントのカテゴリとタイプ、および関連するすべてのマルウェアの処理について詳細な情報を迅速に提供します。

ファイルを受信したホスト（Hosts Receiving Files）

このワークフローは、ファイルを受信したホスト IP アドレスのリストを、これらのファイルに関連付けられているマルウェアの処理ごとにグループ化して提供します。

ファイルを送信したホスト（Hosts Sending Files）

このワークフローでは、ファイルを送信したホスト IP アドレスのリストを表示します。このリストは、これらのファイルの関連したマルウェアの処理によってグループ化されます。

キャプチャ ファイル サマリ

このワークフローでは、タイプ、カテゴリ、脅威スコアに基づいてキャプチャ ファイルの詳細を提示します。

ダイナミック分析ステータス（Dynamic Analysis Status）

このワークフローでは、ダイナミック分析用に提示されたか否かに基づいて、キャプチャ ファイルの数を表示します。

接続イベント

このワークフローは、基本的な接続および検出されたアプリケーションの情報についての概要ビューを提供します。ユーザはこれを使用して、イベントのテーブル ビューへドリル ダウンすることができます。

接続に基づいたアプリケーション（Connections by Application）

このワークフローには、検出された接続の数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のアプリケーションのグラフが含まれています。

接続に基づいた発信側（Connections by Initiator）

このワークフローには、ホストが接続トランザクションを開始した接続の数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のホスト IP アドレスのグラフが含まれています。

接続に基づいたポート（Connections by Port）

このワークフローには、検出された接続の数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のポートのグラフが含まれています。

接続に基づいた応答側（Connections by Responder）

このワークフローには、ホスト IP が接続トランザクションの応答側であった接続の数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のホスト IP アドレスのグラフが含まれています。

一定期間の接続（Connections over Time）

このワークフローには、モニタリング対象のネットワーク セグメントにおける、一定期間の接続の合計数のグラフが含まれています。

トラフィックに基づいたアプリケーション（Traffic by Application）

このワークフローには、送信されたキロバイト数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のアプリケーションのグラフが含まれています。

アプリケーション カウントは、アプリケーション接続と照合した各ディテクタが反映されます。トラフィックを照合したアプリケーション プロトコル、Web アプリケーション、クライアント ディテクタ、または内部ディテクタと、トラフィックがモバイル デバイスから発信されたか、または暗号化セッションの一部かによって、同じアプリケーション セッションがリスト内に複数回表示される場合があります。アプリケーションがクライアント フローに表示されていても特定のクライアント ディテクタがない場合は、汎用クライアントが報告される場合があります。

たとえば、同じ YouTube セッションが（YouTube Web アプリケーション ディテクタと照合したため）YouTube と（内部 YouTube ディテクタがクライアント セッション内に通常観られる特性と照合したため）YouTube client として表示される場合があります。

接続イベント内の情報とネットワークのネットワーク マップを使用して特定のアプリケーション接続の他のコンテキストを特定します。

トラフィックに基づいた発信側（Traffic by Initiator）

このワークフローには、各アドレスから送信されたキロバイト数の合計に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のホスト IP アドレスのグラフが含まれています。

トラフィックに基づいたポート（Traffic by Port）

このワークフローには、送信されたキロバイト数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のポートのグラフが含まれています。

トラフィックに基づいた応答側（Traffic by Responder）

このワークフローには、各アドレスが受信したキロバイト数の合計に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな 10 個のホスト IP アドレスのグラフが含まれています。

時間の経過ごとのトラフィック

このワークフローには、モニタリング対象のネットワーク セグメントにおける、一定期間に送信されたキロバイト数の合計のグラフが含まれています。

一意の発信側に基づいた応答側（Unique Initiators by Responder）

このワークフローには、各アドレスに接続した一意の発信側の数に基づいて、モニタリング対象のネットワーク セグメントにおける最もアクティブな応答側の 10 個のホスト IP アドレスのグラフが含まれています。

一意の応答側に基づいた発信側（Unique Responders by Initiator）

このワークフローには、アドレスにコンタクトする一意レスポンダの数に基づく、監視対象のネットワーク セグメントでの 10 個の最もアクティブな開始ホスト IP アドレスのグラフが含まれています。

セキュリティ インテリジェンス イベント

このワークフローは、基本的なセキュリティ インテリジェンスおよび検出されたアプリケーションの情報についての概要ビューを提供します。ユーザはこれを使用して、イベントのテーブル ビューへドリル ダウンすることができます。

セキュリティ インテリジェンスの概要（Security Intelligence Summary）

このワークフローは、セキュリティ インテリジェンス イベントのワークフローと同じものですが、セキュリティ インテリジェンス サマリ ページから始まり、カテゴリや数ごとにセキュリティ インテリジェンス イベントのみのリストを表示します。

セキュリティ インテリジェンスと DNS 詳細

このワークフローは、セキュリティ インテリジェンス イベントのワークフローと同じものですが、DNS 詳細のあるセキュリティ インテリジェンス ページから始まり、カテゴリや DNS 関連特性ごとにセキュリティ インテリジェンス イベントのリストを表示します。

ホスト（Hosts）

このワークフローには、ホストのテーブル ビューが含まれており、その後にホスト ビューが続きます。ホスト テーブルに基づくワークフロー ビューでは、ホストに関連付けられているすべての IP アドレスのデータを容易に表示できます。

オペレーティング システム サマリ（Operating System Summary）

このワークフローを用いて、ネットワーク上で使用中のオペレーティング システムを分析できます。

ホストの侵害の兆候

このワークフローは、数とカテゴリごとにグループ化した IOC データのサマリー ビューから始まり、さらにサマリ データをイベント タイプごとに分割した詳細ビューを表示します。

[分析（Analysis）] > [ホスト（Hosts）] メニューからこのワークフローにアクセスします。

ホストごとの侵害の兆候

このワークフローを使用して、最も侵害する可能性の高いネットワーク上のホストを判断できます（IOC データに基づく）。

[分析（Analysis）] > [ホスト（Hosts）] メニューからこのワークフローにアクセスします。

ユーザの侵害の兆候

このワークフローは、数とカテゴリごとにグループ化した IOC データのサマリー ビューから始まり、さらにサマリ データをイベント タイプごとに分割した詳細ビューを表示します。

[分析（Analysis）] > [ユーザ（Users）] メニューからこのワークフローにアクセスします。

ユーザごとの侵害の兆候

このワークフローを使用して、侵害に関与している可能性が最も高いネットワーク上のユーザを判断します（IOC データに基づく）。

[分析（Analysis）] > [ユーザー（Users）] メニューからこのワークフローにアクセスします。

アプリケーションのビジネスとの関連性

このワークフローを使用して、ネットワーク上で実行中のそれぞれ予想されるビジネスとの関連性レベルのアプリケーションを分析できます。そのため、ネットワーク リソースが適切に使用されているかを監視できます。

アプリケーション カテゴリ

このワークフローを使用して、ネットワーク上で各カテゴリの実行中のアプリケーションを分析できます（電子メール、検索エンジン、ソーシャルネット ワーキングなど）。そのため、ネットワーク リソースが適切に使用されているかを監視できます。

アプリケーションのリスク

このワークフローを使用して、ネットワーク上でそれぞれ予想されるセキュリティ リスク レベルの実行中のアプリケーションを分析できます。このため、ユーザのアクティビティの考えられるリスクを予想し、適切なアクションを取ることできます。

アプリケーション サマリ

このワークフローを使用して、ネットワークのアプリケーションや関連するホストに関する詳細情報を取得できます。このため、ホストのアプリケーションのアクティビティを正確に調べることができます。

アプリケーション

このワークフローを使用して、ネットワーク上の実行中のアプリケーションを分析できます。このため、ネットワークの使用状況の概要を取得できます。

アプリケーションの詳細

このワークフローを用いて、ネットワーク上のクライアント アプリケーションをさらに詳しく分析することができます。また、このワークフローでは、クライアント アプリケーションのテーブル ビューを表示し、その後ホスト ビューを表示します。

Clients

このワークフローには、クライアント アプリケーションのテーブル ビューと、その後にホスト ビューが含まれます。

数別ネットワーク アプリケーション

このワークフローを使用して、ネットワーク上で最も多く使用されるアプリケーションを分析できます。

ヒット別ネットワーク アプリケーション

このワークフローを使用して、ネットワーク上で最もアクティブなアプリケーションを分析できます。

サーバの詳細

このワークフローを使用して、ベンダや検出されたサーバ アプリケーション プロトコルのバージョンを詳細に分析できます。

サーバ

このワークフローには、アプリケーションのテーブル ビューと、その後にホスト ビューが含まれます。

属性（Attributes）

このワークフローを使用して、ネットワーク上のホスト IP アドレスやホスト ステータスを監視できます。

検出イベント

このワークフルーでは、テーブル ビュー形式の検出イベント詳細リストが提示され、その次にホスト ビューが提示されます。

アクティブ セッション（Active Sessions）

このワークフローでは、ユーザ ID ソースによって収集されるアクティブ セッションが表示されます。

Users

このワークフローでは、ユーザ ID ソースによって収集されるユーザ情報リストが表示されます。

脆弱性（Vulnerabilities）

このワークフローを使用して、ネットワーク上で検出されたホストに適用するこれらのアクティブな脆弱性のみのテーブルビューなど、データベース内の脆弱性を検討できます。このワークフローにより脆弱性詳細ビューが提供され、これには制約に適合するそれぞれの脆弱性に関する詳細な説明が含まれています。

IP アドレスごとの脆弱性

このワークフローを使用して、監視対象のネットワーク上のホスト IP アドレスごとに検出されたサードパーティの脆弱性の数をすぐに確認できます。

送信元ごとの脆弱性

このワークフローを使用して、QualysGuard Scanner などサードパーティの脆弱性の送信元ごとに検出されたサードパーティの脆弱性の数をすぐに確認できます。

相関イベント（Correlation Events）

このワークフローには、相関イベントのテーブル ビューが含まれています。

許可（Allow） イベントの一覧表示

このワークフローには、allowリストイベントのテーブルビューが含まれています。

ホスト違反数（Host Violation Count）

このワークフローには、少なくとも 1 つのallowリストに違反しているすべてのホスト IP アドレスのリストを示す一連のページが表示されます。

許可（Allow） 違反の一覧表示

このワークフローには、すべての違反を列挙し、リストのトップに直前に検出された違反を示す、allowリスト違反のテーブルビューが含まれています。テーブル内の各列には、検出された違反が 1 つずつ表示されます。

ステータス（Status）

このワークフローには、修復ステータスのテーブル ビューを含み、違反したポリシー名、適用された修復名や修復状況が表示されています。