イベントの詳細の表示

ストリーム・モードやイベント・グループなどの各種モードでイベントのリストを表示することができます。どのモードでイベントを表示する場合でも、単一のイベントの詳細を探して表示することができます。

「イベントの詳細 (Event Details)」ページには、以下の情報が表示されます。

表 1. イベント詳細
パラメーター	説明
イベント名	イベントの正規化された名前を示します。
下位カテゴリー	このイベントの下位カテゴリーを指定します。カテゴリーについて詳しくは、「 IBM QRadar 管理ガイド」を参照してください。
イベントの記述	イベントの説明を指定します (使用可能な場合)。
規模	特定のオフェンスの相対的な重要性を指定します。マグニチュードは、関連性、重大度、信頼性から算出された重みを持つ値である。
関連性	ネットワーク上のイベント、カテゴリー、またはオフェンスの相対的な影響を指定します。
重大度	送信元が宛先に及ぼす相対的な脅威を指定します。
信頼性	イベントやオフェンスの保全性を指定します。複数のソースが同じイベントまたはオフェンスを報告すると、信頼性が高くなる。
ユーザー名	このイベントに関連付けられているユーザー名 (使用可能な場合) を指定します。選択したユーザー名に関連付けられている詳細情報にアクセスするには、「アセットの表示」メニュー・オプションおよび「イベントの表示」メニュー・オプションでユーザー名を右クリックします。
開始時刻	このイベントをログ・ソースから受け取った時刻を指定します。
保管時刻	イベントが QRadar データベースに保管された時刻を示します。
ログ・ソースの時刻	イベント・ペイロードのログ・ソースで報告されたシステム時刻を指定します。
アノマリ検出情報: このペインは、このイベントがアノマリ検出ルールによって生成された場合のみ表示されます。「アノマリ」アイコンをクリックすると、アノマリ検出ルールによってこのイベントが生成される原因となった保存済みの検索結果が表示されます。
ルールの説明	このイベントを生成したアノマリ検出ルールを指定します。
アノマリの説明	アノマリ検出ルールによって検出されたアノマリな動作の説明を指定します。
アノマリ・アラート値	アノマリ・アラート値を指定します。
送信元および宛先の情報
送信元 IP	このイベントの送信元 IP アドレスを指定します。
宛先 IP	このイベントの宛先 IP アドレスを指定します。
送信元アセット名	イベント・ソースのユーザー定義アセット名を指定します。アセットについて詳しくは、『アセットの管理』を参照してください。
宛先アセット名	イベント宛先のユーザー定義アセット名を指定します。アセットについて詳しくは、『アセットの管理』を参照してください。
送信元ポート	このイベントの送信元ポートを指定します。
宛先ポート	このイベントの宛先ポートを指定します。
NAT 前の送信元 IP	ネットワーク・アドレス変換 (NAT) 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用される前の送信元 IP アドレスが指定されます。 NAT は、あるネットワーク内の IP アドレスを、別のネットワーク内の異なる IP アドレスに変換します。
NAT 前の宛先 IP	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用される前の宛先 IP アドレスが指定されます。
NAT 前の送信元ポート	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用される前の送信元ポートが指定されます。
NAT 前の宛先ポート	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用される前の宛先ポートが指定されます。
NAT 後の送信元 IP	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用された後の送信元 IP アドレスが指定されます。
NAT 後の宛先 IP	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用された後の宛先 IP アドレスが指定されます。
NAT 後の送信元ポート	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用された後の送信元ポートが指定されます。
NAT 後の宛先ポート	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用された後の宛先ポートが指定されます。
NAT 後の送信元ポート	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用された後の送信元ポートが指定されます。
NAT 後の宛先ポート	NAT 対応のファイアウォールまたは他のデバイスの場合、このパラメーターにより、NAT 値が適用された後の宛先ポートが指定されます。
送信元 IPv6	このイベントの送信元 IPv6 アドレスを指定します。
宛先 IPv6	このイベントの宛先 IPv6 アドレスを指定します。
送信元 MAC	このイベントの送信元 MAC アドレスを指定します。
宛先 MAC	このイベントの宛先 MAC アドレスを指定します。
ペイロード情報
ペイロード	このイベントからのペイロードの内容を指定します。このフィールドには、ペイロードを表示するための以下の 3 つのタブが用意されています。 Universal Transformation Format (UTF): 「UTF」をクリックします。 16 進数 (Hexadecimal): 「HEX」をクリックします。 Base64: 「Base64」をクリックします。
追加情報
プロトコル	このイベントに関連するプロトコルを指定します。
QID	このイベントの QID を指定します。それぞれのイベントは、固有の QID を持っています。 QID のマッピングについて詳しくは、イベント・マッピングの変更を参照してください。
ログ・ソース	イベントを QRadarに送信したログ・ソースを指定します。このイベントに関連付けられたログ・ソースが複数ある場合、このフィールドには「複数」という語とログ・ソースの数が指定されます。
イベント数	この正規化イベントにバンドルされているイベントの総数を示します。イベントは、同じ送信元および宛先 IP アドレスの同じタイプの多数のイベントが短時間で検出される場合にバンドルされます。
カスタムルール	このイベントに一致するカスタム・ルールを指定します。
部分的に一致するカスタム・ルール (Custom Rules Partially Matched)	このイベントに部分的に一致するカスタム・ルールを指定します。
アノテーション	このイベントの注釈を指定します。注釈は、テキスト記述です。ルールは、ルールの応答の一部として、注釈をイベントに自動的に追加することができます。
イベント・コレクター	イベントを解析したイベント・コレクター・コンポーネントの ID が示されます。
QID イベント ID	イベントを識別するために DSM によって設定されたプライマリー値。 QRadar は、このフィールドをイベント・カテゴリーと一緒に使用して、イベントの QID レコードにマップします。
QID イベント・カテゴリー	イベントを識別するために DSM によって設定されたセカンダリー値。 QRadar は、このフィールドをイベント ID と一緒に使用して、イベントの QID レコードにマップします。
ログ・ソース ID	イベントを受信したログ・ソースのログ・ソース ID を指定します。イベントがSIM 汎用ログ・タイプのログ・ソースに経路指定される場合、このイベントを収集するログ・ソースの作成時に、「ログ・ソース ID」値としてこの値を設定します。
切り捨て済み	QRadarの最大許容サイズ 32 KB を超えたためにイベント・ペイロードが切り捨てられたかどうかを示します。このパラメーターは、ペイロードが QRadarの最大許容サイズを超えたためにストレージの前に切り捨てられた場合にのみ True に設定されます。ペイロードがまったく切り捨てられていない場合、パラメーターは False に設定されます。ペイロードが、ログ・ソース構成内に設定された最大ペイロード・サイズ・パラメーターに基づいて、そのイベントを収集したログ・ソース・プロトコルによって切り捨てられた場合にも False に設定されます。
パフォーマンス改善のために保管	パフォーマンス上の問題で、イベントが直接ストレージに経路指定される場合は、True に設定します。パラメーターが False に設定されていて、イベントの下位カテゴリーが「保管済み」である場合、 QRadar はそれを解析しようとしましたが、一致するログ・ソース ID を持つすべての使用可能なログ・ソースによってイベントが認識されませんでした。いずれの場合も、イベントは解析も正規化もなしに保管されました。
識別情報 - QRadar®は、ログソースメッセージから識別情報を収集します。アイデンティティー情報は、ネットワーク上のアセットに関する追加の詳細情報を提供します。ログ・ソースは、 QRadar に送信されるログ・メッセージに IP アドレスと、ユーザー名または MAC アドレスのうち少なくとも 1 つの項目が含まれている場合にのみ、ID 情報を生成します。必ずしもすべてのログ・ソースでアイデンティティー情報が生成されるわけではありません。
ID ユーザー名 (Identity Username)	このイベントに関連するアセットのユーザー名を指定します。
アイデンティティー IP	このイベントに関連するアセットの IP アドレスを指定します。
アイデンティティー NetBIOS 名	このイベントに関連するアセットの Network Base Input/Output System (Net Bios) 名を指定します。
「 ID 拡張 (Identity Extended) 」フィールド	このイベントに関連するアセットについての追加情報を指定します。このフィールドの内容は、ユーザー定義のテキストです。このフィールドの内容は、ネットワーク上の、アイデンティティー情報を提供する使用可能なデバイスによって異なります。例としては、デバイスの物理ロケーション、関連ポリシー、ネットワーク・スイッチ、ポート名などがあります。
ID を持つ (フラグ) (Has Identity (Flag))	このイベントに関連付けられているアセットの識別情報を QRadar が収集した場合は、True を指定します。 ID 情報を送信するデバイスの詳細については、 IBM® QRadar DSM 構成ガイドを参照してください。
ID ホスト名 (Identity Host Name)	このイベントに関連するアセットのホスト名を指定します。
ID MAC (Identity MAC)	このイベントに関連するアセットの MAC アドレスを指定します。
ID グループ名 (Identity Group Name)	このイベントに関連するアセットのグループ名を指定します。