イベント、アラート、およびレポート

イベント

Vulnerability ProtectionDeep Securityでは、保護モジュールのルールまたは条件がトリガされると、セキュリティイベントが記録されます。また、管理またはシステム関連のイベント (ユーザのログオン、Agentソフトウェアのアップグレードなど) が発生すると、システムイベントが記録されます。イベントは日常的に多数発生し、必ずしも個別に対処が必要であるとは限りません。

コンピュータで発生するほとんどのイベントは、次回のハートビート処理時にVulnerability Protection Deep Security Managerに送信されます。ただし、例外として、通信の設定で、Relay/Agent/Applianceから通信を開始できるようになっている場合、次のイベントはすぐに送信されます。

初期設定で、Vulnerability ProtectionDeep Security Managerでは、ハートビートごとにAgent/Applianceからイベントを収集します。イベントのデータを使用して、Vulnerability ProtectionDeep Security Managerの各種レポート、グラフ、およびチャートが作成されます。

イベントは、Vulnerability ProtectionDeep Security Managerによって収集された後、[管理]→[システム設定] 画面の [ストレージ] タブで設定された一定の期間保持されます。

メイン画面から、次のことを実行できます。

さらに、イベントを右クリックすると、次のオプションが表示されます。

イベントプロパティを表示する

イベントをダブルクリック (またはコンテキストメニューから [表示] を選択) すると、そのエントリの [プロパティ] 画面が表示され、そのイベントに関するすべての情報が1つの画面に表示されます。[タグ] タブには、このイベントに関連付けられているタグが表示されます。イベントのタグ付けの詳細については、[ポリシー]→[共通オブジェクト]→[その他]→[タグ] および「イベントのタグ付け」を参照してください。

リストをフィルタし、イベントを検索する

[検索] ドロップダウンメニューから [詳細検索を開く] を選択すると、詳細検索オプションが表示されます。

[期間] ツールバーでリストをフィルタし、特定の期間内に発生したイベントだけを表示できます。

[コンピュータ] ツールバーで、コンピュータグループ別またはコンピュータポリシー別にイベントログエントリを表示できます。

詳細検索機能 (大文字/小文字の区別なし):

検索バーの右側にある「プラス」ボタン (+) をクリックすると、追加の検索バーが表示され、検索に複数のパラメータを適用できます。準備が整ったら、送信ボタン (ツールバーの右側にある上部に右矢印の付いたボタン) をクリックします。

エクスポート

[エクスポート] をクリックして、すべてのイベントまたは選択されたイベントをCSVファイルへエクスポートします。

自動でタグを付ける

[自動タグ付け] をクリックして、既存の自動タグ付けルールリストを表示します(「イベントのタグ付け」を参照)。

アラート

アラートは、ユーザに注意を促す必要がある異常な状況が発生したときに作成されます (ユーザが実行したコマンドの失敗、ハードディスクの容量不足など)。定義済みのアラートリストがあります。また、トリガ時にアラートを生成するように保護モジュールのルールを設定できます。

Vulnerability ProtectionDeep SecurityをSMTPサーバに接続すると、特定のアラートが発令されたときにユーザにメール通知を送信できます。

[アラート] 画面には、有効なアラートがすべて表示されます。アラートは、同じようなアラートをグループ化した概要ビュー、またはすべてのアラートを個別に一覧表示したリストビューで表示できます。これらの2つのビューを切り替えるには、画面のタイトルの [アラート] の横にあるドロップダウンメニューを使用します。

概要ビューで、[詳細の表示] をクリックしてアラートパネルを拡大すると、その特定のアラートを生成したコンピュータ (場合によりユーザを含む) がすべて表示されます(コンピュータをクリックすると、コンピュータの [詳細] 画面が表示されます)。

概要ビューでは、コンピュータのリストが5項目を超える場合、5つ目のコンピュータの後ろに省略記号 (「...」) が表示されます。省略記号をクリックすると、リスト全体が表示されます。アラートに対して適切な処理を実行したら、対象のアラートの横にあるチェックボックスをオンにし、[選択対象を消去] リンクをクリックして、アラートを消去できます(リストビューでは、アラートを右クリックすると、ショートカットメニューにオプションのリストが表示されます)。

「Relayアップデートサービスを利用不可」などの消去できないアラートは、アラートの状態が解消されたときに自動的に消去されます。

アラートには、システムアラートとセキュリティアラートの2種類があります。システムアラートは、Agentのオフライン化やコンピュータの時計の変更などのシステムイベントでトリガされます。セキュリティアラートは、侵入防御、ファイアウォール、変更監視、およびセキュリティログ監視の各ルール侵入防御ルールとファイアウォールルールによってトリガされます。アラートは、[アラートの設定] () をクリックして設定できます。

[コンピュータ] フィルタバーを使用して、特定のコンピュータグループ内のコンピュータや、特定のポリシーを保持するコンピュータなど、特定のコンピュータに関連するアラートのみを表示できます。

レポート

Vulnerability ProtectionDeep Security Managerは、PDFまたはRTFの形式でレポートを生成します。[レポートの生成] 画面で生成されたほとんどのレポートには、日付範囲、コンピュータグループ別のレポートなどの設定可能なパラメータがあります。パラメータのオプションは、それらが適用されないレポートの場合は無効になります。

単独レポート

レポート

各種レポートはPDFまたはRTF形式で出力することができます。ただし、「セキュリティモジュールの使用状況レポート」と「セキュリティモジュールの累積使用状況レポート」はCSV形式で出力されます。

使用している保護モジュールに応じて、次のレポートを利用可能です。

PDFまたはRTFのレポートには、オプションで分類を追加することもできます。分類には、「空白」、「TOP SECRET」、「SECRET」、「CONFIDENTIAL」、「FOR OFFICIAL USE ONLY」、「LAW ENFORCEMENT SENSITIVE (LES)」、「LIMITED DISTRIBUTION」、「UNCLASSIFIED」、「INTERNAL USE ONLY」があります。

タグ

イベントデータを含むレポートを選択する場合、イベントタグでレポートをフィルタするオプションを使用できます。[すべて] はすべてのイベントを、[タグなし] はタグ付けされていないイベントのみを、[タグ] を選択して1つ以上のタグを指定すると指定したタグを含むイベントのみを、それぞれレポートに含めることができます。

期間

期間を設定して、ログの記録期間を任意で設定できます。これは、セキュリティ監査に役立ちます。

期間のオプションは次のとおりです。

レポートには、カウンタに保存されたデータが使用されます。カウンタは、イベントから定期的に集計されたデータです。カウンタのデータは、最新の3日間は時間単位で集計されます。現在の時間のデータはレポートに含まれません。3日よりも古いデータは日単位で集計されてカウンタに保存されます。そのため、レポートでカバーされる期間は、最新の3日に関しては時間単位で指定できますが、3日より前になると日単位のみ指定可能になります。
コンピュータ

コンピュータに対して、どのデータをレポートに含めるかを設定します。

複数のコンピュータグループから特定のコンピュータに関するレポートを生成するには、まず該当するコンピュータの閲覧権限があるユーザを生成し、「すべてのコンピュータ」レポートを定期的に生成するよう予約タスクを作成するか、生成したユーザでログオンして「すべてのコンピュータ」レポートを実行します。レポートには、そのユーザが閲覧できるコンピュータのみが記載されます。
暗号化

レポートは、現在ログインしているユーザのパスワードか、レポートごとに設定された新規パスワードで保護できます。

定期レポート

定期レポートとは、レポートを定期的に生成して、任意の数のユーザまたは連絡先宛てに配布する予約タスクのことです。ほとんどのオプションは前述の単独レポートと同じですが、[期間] オプションだけは例外で、次のようになります。

レポートには、カウンタに保存されたデータが使用されます。カウンタは、イベントから定期的に集計されたデータです。カウンタのデータは、最新の3日間は時間単位で集計されます。現在の時間のデータはレポートに含まれません。3日よりも古いデータは日単位で集計されてカウンタに保存されます。そのため、レポートでカバーされる期間は、最新の3日に関しては時間単位で指定できますが、3日より前になると日単位のみ指定可能になります。

予約タスクの詳細については、[管理]→[予約タスク] でオンラインヘルプを参照してください。