グループ化されたイベントの表示

「ログ・アクティビティー」タブを使用して、さまざまなオプションごとにグループ化されているイベントを表示することができます。「表示」リスト・ボックスから、イベントのグループ化に使用するパラメーターを選択します。

このタスクについて

「表示」リスト・ボックスはストリーム・モードでは表示されません。これは、ストリーム・モードではグループ化されたイベントがサポートされないためです。グループ化されていない検索基準を使用してストリーム・モードに移行した場合は、このオプションが表示されます。

「表示」リスト・ボックスには以下のオプションが示されます。

表 1. グループ化されたイベントのオプション
グループ・オプション	説明
下位カテゴリー	イベントの下位カテゴリー別にグループ化されているイベントのサマリー・リストを表示します。カテゴリーについて詳しくは、「 IBM QRadar 管理ガイド」を参照してください。
イベント名	イベントの正規化された名前別にグループ化されているイベントのサマリー・リストを表示します。
宛先 IP	イベントの宛先 IP アドレス別にグループ化されているイベントのサマリー・リストを表示します。
宛先ポート	イベントの宛先ポート・アドレス別にグループ化されているイベントのサマリー・リストを表示します。
送信元 IP	イベントの送信元 IP アドレス別にグループ化されているイベントのサマリー・リストを表示します。
カスタムルール	関連するカスタム・ルール別にグループ化されているイベントのサマリー・リストを表示します。
ユーザー名	イベントに関連付けられているユーザー名別にグループ化されているイベントのサマリー・リストを表示します。
ログ・ソース	イベントを QRadarに送信したログ・ソース別にグループ化されたイベントの要約リストを表示します。
上位カテゴリー	イベントの上位カテゴリー別にグループ化されているイベントのサマリー・リストを表示します。
ネットワーク	イベントに関連付けられているネットワーク別にグループ化されているイベントのサマリー・リストを表示します。
送信元ポート	イベントの送信元ポート・アドレス別にグループ化されているイベントのサマリー・リストを表示します。

「表示」リスト・ボックスからオプションを選択した後で、データの列レイアウトは、選択されたグループ・オプションによって異なります。イベント表内の各行はイベント・グループを表します。「ログ・アクティビティー」タブには、各イベント・グループの以下の情報が示されます。

表 2. グループ化されたイベントのパラメーター
パラメーター	説明
グループ化の基準	検索がグループ化されるパラメーターを指定します。
現在のフィルター	表の最上部に、検索結果に適用されるフィルターの詳細が表示されます。これらのフィルター値を消去するには、「フィルターのクリア」をクリックします。
表示	リスト・ボックスから、フィルター対象の時刻範囲を選択します。
現在の統計	リアルタイム (ストリーミング) モードや過去 1 分間 (自動最新表示) モードでない場合は、次のような現在の統計が表示されます。注: 統計を表示または非表示にするには、「現在の統計」の横にある矢印をクリックします。合計結果数 - 検索条件に一致した結果の総数を示します。検索されたデータ・ファイル - 指定された期間内に検索されたデータ・ファイルの総数を示します。検索された圧縮データ・ファイル - 指定された期間内に検索された圧縮データ・ファイルの総数を示します。索引ファイル数 - 指定された期間内に検索された索引ファイルの総数を示します。期間 - 検索期間を示します。注: 現在の統計は、トラブルシューティングに役立ちます。イベントのトラブルシューティングについて、お客様サポートに問い合わせたときに、現在の統計情報の提供を求められる場合があります。
グラフ	時間間隔とグループ・オプションで一致したレコードを表す構成可能グラフを表示します。表示対象からグラフを除外する場合は、「グラフの非表示」をクリックします。各グラフには凡例が表示されます。この凡例は、グラフ・オブジェクトとそれが表すパラメーターとの関連付けを行うための、参照用の表示情報です。凡例機能を使用して、以下のアクションを実行できます。凡例項目にマウス・ポインターを移動して、示されるパラメーターの詳細を表示する。凡例項目を右クリックして、その項目をさらに詳しく調べる。凡例項目をクリックして、グラフで項目を非表示にする。凡例項目を再度クリックすると、非表示項目が表示されます。対応するグラフ項目をクリックして、項目の表示と非表示を切り替えることもできます。グラフ表示から凡例を除外する場合は、「凡例 (Legend)」をクリックする。注: グラフは、「最後の間隔 (自動最新表示)」以上の時間フレームと、表示するグループ化オプションを選択した後にのみ表示されます。注: ブラウザーとして Mozilla Firefox を使用し、広告ブロッカー・ブラウザー拡張機能がインストールされている場合、グラフは表示されません。グラフを表示するには、ブラウザー拡張機能の広告ブロッカーを削除する必要があります。詳しくは、ご使用のブラウザーの資料を参照してください。
送信元 IP (固有の数)	このイベントに関連付けられている送信元 IP アドレスを指定します。このイベントに関連付けられている IP アドレスが複数ある場合、このフィールドには「複数」という用語と IP アドレスの数が指定されます。
宛先 IP (固有の数) (Destination IP (Unique Count))	このイベントに関連付けられている宛先 IP アドレスを指定します。このイベントに関連付けられている IP アドレスが複数ある場合、このフィールドには「複数」という用語と IP アドレスの数が指定されます。
宛先ポート (固有の数)	このイベントに関連付けられている宛先ポートを指定します。このイベントに関連付けられているポートが複数ある場合、このフィールドには「複数」という用語とポートの数が指定されます。
イベント名	イベントの正規化された名前を示します。
ログ・ソース (合計)	イベントを QRadarに送信したログ・ソースを指定します。このイベントに関連付けられたログ・ソースが複数ある場合、このフィールドには「複数」という語とログ・ソースの数が指定されます。
上位カテゴリー (固有の数) (High Level Category (Unique Count))	このイベントの上位カテゴリーを指定します。このイベントに関連付けられているカテゴリーが複数ある場合、このフィールドには「複数」という用語とカテゴリーの数が指定されます。カテゴリーについて詳しくは、「 IBM QRadar Log Manager 管理ガイド」を参照してください。
下位カテゴリー (固有の数) (Low Level Category (Unique Count))	このイベントの下位カテゴリーを指定します。このイベントに関連付けられているカテゴリーが複数ある場合、このフィールドには「複数」という用語とカテゴリーの数が指定されます。
プロトコル (固有の数) (Protocol (Unique Count))	このイベントに関連付けられているプロトコル ID を指定します。このイベントに関連付けられているプロトコルが複数ある場合、このフィールドには「複数」という用語とプロトコル ID の数が指定されます。
ユーザー名 (固有の数) (Username (Unique Count))	このイベントに関連付けられているユーザー名 (使用可能な場合) を指定します。このイベントに関連付けられているユーザー名が複数ある場合、このフィールドには「複数」という用語とユーザー名の数が指定されます。
マグニチュード (最大) (Magnitude (Maximum))	グループ化されたイベントに対して計算された最大マグニチュードを示します。マグニチュードの計算に使用される変数には、信頼性 (credibility)、関連性 (relevance)、および重大度 (severity) が含まれます。
イベント数 (合計) (Event Count (Sum))	この正規化イベントにバンドルされているイベントの総数を示します。イベントは、同じ送信元および宛先 IP アドレスの同じタイプの多数のイベントが短時間で検出される場合にバンドルされます。
数	このイベント・グループ内の正規化イベントの総数を指定します。

手順

「ログ・アクティビティー」タブをクリックします。
「ビュー」リスト・ボックスから、表示する時間フレームを選択します。
「表示」リスト・ボックスから、イベントをグループ化するパラメーターを選択します。表 31 を参照してください。
イベント・グループがリストされます。イベント・グループについて詳しくは、表 1 を参照してください。
グループの「イベント・リスト」ページを表示するには、調査するイベント・グループをダブルクリックします。
「イベントのリスト」ページでは、「ログ・アクティビティー」タブで定義した可能性のあるグラフ構成は保持されません。「イベントのリスト」ページのパラメーターについて詳しくは、表 1 を参照してください。
イベントの詳細を表示するには、調査対象のイベントをダブルクリックします。イベントについて詳しくは、表 2 を参照してください。