正規化イベントの表示
イベントはロー・フォーマットで収集されてから、「ログ・アクティビティー」タブに表示するために正規化されます。
このタスクについて
正規化では、ロー・イベント・データを構文解析し、タブに関する読み取り可能な情報を表示するためのデータを準備します。 イベントが正規化されると、システムは名前も正規化します。 したがって、「ログ・アクティビティー」タブに表示される名前は、イベントで表示される名前と一致しない場合があります。
注: 表示する時間フレームを選択した場合は、時系列グラフが表示されます。 時系列グラフの使用について詳しくは、 時系列グラフの概要を参照してください。
デフォルトでは、「ログ・アクティビティー」タブには、正規化イベントの表示時に以下のパラメーターが表示されます。
| パラメーター | 説明 |
|---|---|
| 現在のフィルター | 表の最上部に、検索結果に適用されるフィルターの詳細が表示されます。 これらのフィルター値を消去するには、「フィルターのクリア」をクリックします。 注: このパラメーターは、フィルターを適用した後にのみ表示されます。
|
| 表示 | リスト・ボックスから、フィルター対象の時刻範囲を選択できます。 |
| 現在の統計 | リアルタイム (ストリーミング) モードや過去 1 分間 (自動最新表示) モードでない場合は、次のような現在の統計が表示されます。 注: 統計を表示または非表示にするには、 「現在の統計」 の横にある矢印をクリックします。
|
| グラフ | 時間間隔とグループ・オプションで一致したレコードを表す構成可能グラフを表示します。 表示対象からグラフを除外する場合は、「グラフの非表示」をクリックします。 グラフは、「最後の間隔 (自動最新表示) (Last Interval (auto refresh))」以上の時間フレーム、および表示するグループ・オプションを選択した後にのみ表示されます。 グラフの構成について詳しくは、 グラフの管理を参照してください。 注: ブラウザーとして Mozilla Firefox を使用し、広告ブロッカー・ブラウザー拡張機能がインストールされている場合、グラフは表示されません。 グラフを表示するには、広告ブロッカー・ブラウザー拡張機能を削除する必要があります。 詳しくは、ご使用のブラウザーの資料を参照してください。
|
「オフェンス」アイコン |
このイベントに関連付けられているオフェンスの詳細を表示する場合は、このアイコンをクリックします。 詳しくは、 グラフ管理を参照してください。 注: 製品によっては、このアイコンを使用できない場合があります。 IBM
QRadar SIEMが必要です。
|
| 開始時刻 | ログ・ソースによって QRadar に報告された最初のイベントの時刻を指定します。 |
| イベント名 | イベントの正規化された名前を示します。 |
| ログ・ソース | イベントを発生させたログ・ソースを示します。 このイベントに関連付けられたログ・ソースが複数ある場合、このフィールドには「複数」という語とログ・ソースの数が指定されます。 |
| イベント数 | この正規化イベントにバンドルされているイベントの総数を示します。 イベントは、同じ送信元および宛先 IP アドレスの同じタイプの多数のイベントが短時間で検出される場合にバンドルされます。 |
| 時刻 | QRadar がイベントを受信した日時を示します。 |
| 下位カテゴリー | このイベントに関連付けられている下位カテゴリーを示します。 イベント・カテゴリーについて詳しくは、「 IBM QRadar 管理ガイド」を参照してください。 |
| 送信元 IP | このイベントの送信元 IP アドレスを指定します。 注: 「正規化 ( IPv6 列を使用)」 画面を選択した場合は、 IPv6 イベントの 「ソース IPv6」 パラメーターを参照してください。
|
| 送信元ポート | イベントの送信元ポートを指定します。 |
| 宛先 IP | このイベントの宛先 IP アドレスを指定します。 注: 「正規化 ( IPv6 列)」 表示を選択した場合は、 IPv6 イベントの 「宛先」 IPv6 パラメーターを参照してください。
|
| 宛先ポート | イベントの宛先ポートを指定します。 |
| ユーザー名 | このイベントに関連付けられているユーザー名を示します。 多くの場合、ユーザー名は認証関連イベントで使用できます。 ユーザー名を使用できない他のすべてのタイプのイベントでは、このフィールドに N/A が示されます。 |
| 規模 | このイベントのマグニチュードを示します。 変数には、信頼性、関連性、および重大度が含まれます。 マウス・ポインターをマグニチュードを示すバーに合わせると、値および計算されたマグニチュードが表示されます。 |
「正規化済み (IPv6 列を指定)」表示を選択すると、「ログ・アクティビティー」 タブには以下の追加パラメーターが表示されます。
| パラメーター | 説明 |
|---|---|
| 送信元 IPv6 | このイベントの送信元 IP アドレスを指定します。 注: IPv4 イベント表示」
0.0.0.0.0.0.0.0 は、 「ソース」 IPv6 および 「宛先」 IPv6 列に表示されます。 |
| 宛先 IPv6 | このイベントの宛先 IP アドレスを指定します。 注: IPv4 イベント表示」
0.0.0.0.0.0.0.0 は、 「ソース」 IPv6 および 「宛先」 IPv6 列に表示されます。 |
手順
- 「ログ・アクティビティー」 タブをクリックします。
- オプション: 「 表示 」リスト・ボックスから、 「正規化 ( IPv6 列を使用)」を選択します。「正規化済み (IPv6 列を指定)」表示では、IPv6 イベントの送信元および宛先の IPv6 アドレスが表示されます。
- 「 ビュー 」リスト・ボックスから、表示する時間フレームを選択します。
- ストリーミングを一時停止するには、 「一時停止」 アイコンをクリックします。
- さらに詳細に表示するイベントをダブルクリックします。 詳しくは、 イベントの詳細を参照してください。