「ログ・アクティビティー」タブ・ツールバー

「ログ・アクティビティー」ツールバーから、いくつかのオプションにアクセスすることができます。

このツールバーを使用して、以下のオプションにアクセスすることができます。

表 1. 「ログ・アクティビティー」ツールバーのオプション
オプション	説明
検索	イベントに関する拡張検索を行うには、「検索」をクリックします。オプションには次のものが含まれます。新規検索 - 新しいイベント検索を作成するには、このオプションを選択します。検索の編集 - イベント検索を選択して編集するには、このオプションを選択します。検索結果の管理 - 検索結果を表示および管理するには、このオプションを選択します。
クイック検索	このリスト・ボックスから、以前に保存した検索を実行することができます。「クイック検索」リスト・ボックスにオプションが表示されるのは、「クイック検索に含める」オプションが指定された検索条件が保存されている場合だけです。
フィルターの追加	現在の検索結果にフィルターを追加するには、「フィルターの追加」をクリックします。
条件の保存	現在の検索条件を保存するには、「条件の保存」をクリックします。
結果の保存	現在の検索結果を保存するには、「結果の保存」をクリックします。このオプションは、検索が完了するまで表示されません。このオプションは、ストリーム・モードでは無効です。
キャンセル	進行中の検索を取り消すには、「キャンセル」をクリックします。このオプションは、ストリーム・モードでは無効です。
フォールス・ポジティブ	「フォールス・ポジティブ」をクリックすると、「フォールス・ポジティブのチューニング」ウィンドウが開きます。このウィンドウを使用して、フォールス・ポジティブであることが分かっているイベントによってオフェンスが生成されないようにすることができます。このオプションは、ストリーム・モードでは無効です。フォールス・ポジティブのチューニングについて詳しくは、フォールス・ポジティブのチューニングを参照してください。
ルール	「ルール」オプションは、ルールを表示するための権限を持っている場合のみ表示されます。カスタムのイベント・ルールを構成するには、「ルール」をクリックします。オプションには次のものが含まれます。ルール - ルールを表示または作成するには、このオプションを選択します。ルールを表示する権限しか持っていない場合は、「ルール」ウィザードのサマリー・ページが表示されます。カスタム・ルールを保守する権限を持っている場合は、「ルール」ウィザードが表示され、ルールを編集することができます。アノマリ検出ルール・オプション (「しきい値ルールの追加」、「振る舞い型ルールの追加」、および「アノマリ・ルールの追加」) を有効にするには、集約された検索条件を保存する必要があります。これは、保存済み検索条件によって、必要なパラメーターが指定されるためです。注: アノマリ検出ルールのオプションは、「ログ・アクティビティー」 > 「カスタム・ルールの保守」許可がある場合にのみ表示されます。しきい値ルールの追加 - しきい値ルールを作成するには、このオプションを選択します。しきい値ルールは、イベント・トラフィックをテストして、構成されているしきい値を超えるアクティビティーがないかどうかを調べます。しきい値は、収集された任意のデータに基づくことができます QRadar。例えば、午前 8 時から午後 5 時までの間は 220 を超えるクライアントはサーバーにログインできないことを指定するしきい値ルールを作成した場合、221 番目のクライアントがログインしようとすると、このルールによってアラートが生成されます。「しきい値ルールの追加」オプションを選択すると、しきい値ルールを作成するための適切なオプションが事前に指定された「ルール」ウィザードが表示されます。
ルール (続き)	振る舞い型ルールの追加 - 動作ルールを作成するには、このオプションを選択します。動作ルールは、イベント・トラフィックをテストして、異常なアクティビティー (新しいトラフィックや未知のトラフィックの存在など) がないかどうかを調べます。このようなアクティビティーには、トラフィックの突然の停止や、オブジェクトがアクティブになっている時間の割合の変化などがあります。例えば、直近 5 分間のトラフィックの平均量を直近 1 時間のトラフィックの平均量と比較するための動作ルールを作成することができます。 40% を超える変動があった場合、このルールによって応答が生成されます。「振る舞い型ルールの追加」オプションを選択すると、動作ルールを作成するための適切なオプションが事前に指定された、「ルール」ウィザードが表示されます。アノマリ・ルールの追加 - アノマリ・ルールを作成するには、このオプションを選択します。アノマリ・ルールは、イベント・トラフィックをテストして、アノマリなアクティビティー (新しいトラフィックや未知のトラフィックの存在など) がないかどうかを調べます。このようなアクティビティーとしては、トラフィックの突然の停止や、オブジェクトがアクティブになっている時間の割合の変化などがあります。例えば、アジア地域とは通信しないネットワークのエリアが、アジア地域にあるホストとの通信を開始した場合、アノマリ・ルールによってアラートが生成されます。「アノマリ・ルールの追加」オプションを選択すると、アノマリ・ルールを作成するための適切なオプションが事前に指定された「ルール」ウィザードが表示されます。
アクション	以下のアクションを実行するには、「アクション」をクリックします。すべて表示 (Show All) - 検索条件に対するフィルターをすべて削除して、フィルタリングされていないイベントをすべて表示するには、このオプションを選択します。印刷 - ページに表示されているイベントを印刷するには、このオプションを選択します。 XML にエクスポート > 表示される列 - 「ログ・アクティビティー」タブに表示されている列のみをエクスポートするには、このオプションを選択します。これは推奨オプションです。詳しくは、『イベントのエクスポート』を参照してください。 XML にエクスポート > フル・エクスポート (すべての列) - このオプションを選択して、すべてのイベント・パラメーターをエクスポートします。完全エクスポートは完了までに長時間かかる可能性があります。イベントのエクスポートを参照してください。 CSV にエクスポート >表示される列 - 「ログ・アクティビティー」タブに表示されている列のみをエクスポートするには、このオプションを選択します。これは推奨オプションです。イベントのエクスポートを参照してください。 CSV へのエクスポート > 完全エクスポート（全列） - すべてのイベントパラメータをエクスポートするにはこのオプションを選択してください。完全エクスポートは完了までに長時間かかる可能性があります。イベントのエクスポートを参照してください。削除 - 検索結果を削除するには、このオプションを選択します。「イベントおよびフローの検索結果の管理」を参照してください。通知 - 選択された検索の完了時に E メールで通知を受け取りたい場合には、このオプションを選択します。このオプションは、進行中の検索についてのみ有効になります。注：印刷、 XMLへのエクスポート、 CSV へのエクスポートオプションは、ストリーミングモード時および部分的な検索結果を表示している際には無効になります。
検索ツールバー	詳細検索リスト・ボックスから「拡張検索」を選択して、 Ariel 照会言語 (AQL) 検索ストリングを入力し、返すフィールドを指定します。クイック・フィルター単純な語句を使用してペイロードを検索するには、リスト・ボックスから「クイック・フィルター」を選択します。
表示	「ログ・アクティビティー」タブのデフォルトの表示は、リアルタイム・イベントのストリームです。「表示」リストには、指定の期間に発生したイベントを同様に表示するオプションが用意されています。「表示」リストから指定する期間を選択した後、「開始時刻」フィールドおよび「終了時刻」フィールドで日時の値を変更することで、表示させる時間を変更することができます。