本ヘルプセンターは英語版を翻訳したものです。また、一部には翻訳ソフトウエアにより機械的に翻訳した内容が含まれます。翻訳については順次対応しておりますが、最新の情報になっていない場合があります。最新の情報は英語版のページでご確認ください。表示言語は、画面右上の言語名をクリックして切り替えられます。
本ヘルプセンターの一部の記事には外部リンクが含まれています。リンク切れなどお気づきの点がございましたら、トレンドマイクロサポート窓口までご連絡ください。
syslogメッセージの形式
Common Event Format (CEF) とLog Event Extended Format (LEEF) のログメッセージ形式は少し異なります。たとえば、GUIの [送信元ユーザ] 列に対応するフィールドは、CEFでは「suser」で、LEEFでは「usrName」です。ログメッセージのフィールドも、イベントがで発生したかどうかによって異なります。Deep SecurityAgentまたはManagerのいずれかで、ログメッセージが作成された機能です。
Basic Syslog形式は、不正プログラム対策、Webレピュテーション、変更監視、アプリケーションコントロール保護モジュールではサポートされていません。
SyslogメッセージがManagerから送信される場合は、いくつかの違いがあります。元のDeep Security Agentホスト名 (イベントのソース) を維持するため、新しい拡張 (「dvc」または「dvchost」) が使われます。「dvc」はホスト名がIPv4アドレスの場合、「dvchost」はホスト名がIPv6アドレスの場合に使用されます。さらに、イベントにタグが付けられている場合は、「TrendMicroDsTags」という拡張子が使用されます。（これは、今後のrunを使用した自動タグ付けにのみ適用されます。イベントはSyslog経由で転送されるのは、マネージャ.)によって収集されるためです。管理者経由で中継されるログの製品は、Deep SecurityAgent"; ただし、製品バージョンはマネージャのバージョンです。
CEFのsyslogメッセージの形式
すべてのCEFイベントには、イベントの元の送信元を特定する目的で、「dvc = IPv4 Address」または「dvchost = Hostname' (」または「IPv6アドレス」が含まれます。この拡張子は、Deep Security Virtual ApplianceまたはManagerから送信されるイベントにとって重要です。この場合、メッセージのSyslog送信者はイベントの発信者ではないためです。
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
ログエントリがから来ているかどうかを判断するにはDeep Security管理者またはaDeep Securityエージェント、[デバイス製品]フィールドを確認します。
CEFログエントリのサンプル: Jan 18 11:07:53 dsmhost CEF:0|Trend Micro|Deep Security Manager|<DSM version>|600|Administrator Signed In|4|suser=Master...
イベントをトリガしたルールの種類を判断するには、「署名ID (Signature ID)」フィールドと「名前 (Name)」フィールドを確認します。
ログエントリのサンプル: Mar 19 15:19:15 root CEF:0|Trend Micro|Deep Security Agent|<DSA version>|123|Out Of Allowed Policy|5|cn1=1...
次の「署名ID (Signature ID)」の値は、トリガされたイベントの種類を示します。
| 署名ID | 説明 |
| 10 | カスタムの侵入防御 (IPS) ルール |
| 20 | 「ログのみ」のファイアウォールルール |
| 21 | 「拒否」のファイアウォールルール |
| 30 | カスタムの変更監視ルール |
| 40 | カスタムのセキュリティログ監視ルール |
| 100～7499 | システムイベント |
| 100～199 | ポリシーファイアウォールルールおよびファイアウォールステートフル設定 |
| 200～299 | IPSの内部エラー |
| 300～399 | SSL/TLSイベント |
| 500～899 | IPSの正規化 |
| 1,000,000～1,999,999 | トレンドマイクロのIPSルール。署名IDは、IPSルールIDと同一です。 |
| 2,000,000～2,999,999 | 変更監視ルール。署名IDは、変更監視ルールID + 1,000,000です。 |
| 3,000,000～3,999,999 | セキュリティログ監視ルール。署名IDは、セキュリティログ監視ルールID + 2,000,000です。 |
| 4,000,000～4,999,999 | 不正プログラム対策イベント。現在は、以下の署名IDのみが使用されています。
|
| 5,000,000～5,999,999 | Webレピュテーションイベント。現在は、以下の署名IDのみが使用されています。
|
| 6,000,000～6,999,999 |
アプリケーションコントロール イベント。現在は、以下の署名IDのみが使用されています。
|
LEEF 2.0のsyslogメッセージの形式
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEF 2.0ログエントリのサンプル (DSMシステムイベントログのサンプル): LEEF:2.0|Trend Micro|Deep Security Manager|<DSA version>|192|cat=System name=Alert Ended desc=Alert:CPU Warning Threshold Exceeded\nSubject:10.201.114.164\nSeverity:Warning sev=3 src=10.201.114.164 usrName=System msg=Alert:CPUWarning Threshold Exceeded\nSubject:10.201.114.164\nSeverity:Warning TrendMicroDsTenant=Primary
Managerで発生するイベント
システムイベントログの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF:0|Trend Micro|Deep Security Manager|<DSM version>|600|User Signed In|3|src=10.52.116.160 suser=admin target=admin msg=User signed in from 2001:db8::5
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEF 2.0ログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Manager|<DSA version>|192|cat=System name=Alert Ended desc=Alert:CPU Warning Threshold Exceeded\nSubject:10.201.114.164\nSeverity:Warning sev=3 src=10.201.114.164 usrName=System msg=Alert:CPU Warning Threshold Exceeded\nSubject:10.201.114.164\nSeverity:Warning TrendMicroDsTenant=Primary
LEEF形式では、重要度を示す「sev」という予約キーと、名前を示す「name」という予約キーが使用されます。| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| src | src | Source IP Address | Deep SecurityManagerのIPアドレス。 | src=10.52.116.23 |
| suser | usrName | Source User | Deep SecurityManagerの管理者のアカウント。 | suser=MasterAdmin |
| target | target | Target Entity | イベントの件名。Deep Security Managerまたはコンピュータにログインした管理者アカウントである可能性があります。 | target=MasterAdmin target=server01 |
| targetID | targetID | Target Entity ID | Managerで追加された識別子。 | targetID=1 |
| targetType | targetType | Target Entity Type | イベントの対象のエンティティの種類。 | targetType=Host |
| msg | msg | Details | システムイベントの詳細。イベントの詳細な説明が含まれる場合があります。 | msg=User password incorrect for username MasterAdmin on an attempt to sign in from 127.0.0.1 msg=A Scan for Recommendations on computer (localhost) has completed... |
| TrendMicroDsTags | TrendMicroDsTags | Event Tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant Name | Deep Securityのテナント | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=3 |
| なし | cat | Category | イベントのカテゴリ | cat=System |
| なし | name | Name | イベント名 | name=Alert Ended |
| なし | desc | Description | イベントの説明 | desc:Alert: CPUの警告しきい値の超過 |
Agentで発生するイベント
不正プログラム対策イベントの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF:0|Trend Micro|Deep Security Agent|<DSA version>|4000000|Eicar_test_file|6|cn1=1 cn1Label=Host ID dvchost=hostname cn2=205 cn2Label=Quarantine File Size filePath=C:\\Users\\trend\\Desktop\\eicar.exe act=Delete msg=Realtime TrendMicroDsMalwareTarget=N/A TrendMicroDsMalwareTargetType=N/A TrendMicroDsFileMD5=44D88612FEA8A8F36DE82E1278ABB02F> TrendMicroDsFileSHA1=3395856CE81F2B7382DEE72602F798B642F14140 TrendMicroDsFileSHA256=275A021BBFB6489E54D471899F7DB9D1663FC695EC2FE2A2C4538AABF651FD0F
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|4000030|cat=Anti-Malware name=HEU_AEGIS_CRYPT desc=HEU_AEGIS_CRYPT sev=6 cn1=241 cn1Label=Host ID dvc=10.0.0.1 TrendMicroDsTags=FS TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 filePath=C:\\Windows\\System32\\virus.exe act=Terminate msg=Realtime TrendMicroDsMalwareTarget=Multiple TrendMicroDsMalwareTargetType=File System TrendMicroDsFileMD5=1947A1BC0982C5871FA3768CD025453E#011 TrendMicroDsFileSHA1=5AD084DDCD8F80FBF2EE3F0E4F812E812DEE60C1#011 TrendMicroDsFileSHA256=25F231556700749F8F0394CAABDED83C2882317669DA2C01299B45173482FA6E
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=1 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| cn2 | cn2 | File Size | 検出ファイルのサイズ。この拡張は、Agent/Applianceから [直接転送する] を選択した場合にのみ含まれます。 | cn2=100 |
| cn2Label | cn2Label | File Size | フィールドcn2の名前ラベル。 | cn2Label=Quarantine File Size |
| cs3 | cs3 | Infected Resource | スパイウェアアイテムのパス。このフィールドはスパイウェア検出イベント専用です。 | cs3=C:\test\atse_samples\SPYW_Test_Virus.exe |
| cs3Label | cs3Label | Infected Resource | フィールドcs3の名前ラベル。このフィールドはスパイウェア検出イベント専用です。 | cs3Label=Infected Resource |
| cs4 | cs4 | Resource Type |
Resource Typeの値: 10=ファイルとディレクトリ 11=システムレジストリ 12=インターネットCookie 13=インターネットURLショートカット 14=メモリ内のプログラム 15=プログラム起動領域 16=ブラウザヘルパーオブジェクト 17=レイヤードサービスプロバイダ 18=hostsファイル 19=Windowsポリシー設定 20=ブラウザ 23=Windowsシェル設定 24=IEでダウンロードしたプログラムファイル 25=プログラムの追加/削除 26=サービス その他=その他 たとえば、システムの再起動後もスパイウェアファイルを存続させるためにレジストリ実行キーを作成するspy.exeという名前のスパイウェアファイルがある場合、スパイウェアのレポートには次の2つのアイテムが含まれます。spy.exeのアイテムはcs4=10 (ファイルとディレクトリ)、実行キーのアイテムはcs4=11 (システムレジストリ) となります。 このフィールドはスパイウェア検出イベント専用です。 |
cs4=10 |
| cs4Label | cd4Label | Resource Type | フィールドcs4の名前ラベル。このフィールドはスパイウェア検出イベント専用です。 | cs4Label=Resource Type |
| cs5 | cs5 | Risk Level |
リスクレベルの値: 0=超低 25=低 50=中 75=高 100=超高 このフィールドはスパイウェア検出イベント専用です。 |
cs5=25 |
| cs5Label | cs5Label | Risk Level | フィールドcs5の名前ラベル。このフィールドはスパイウェア検出イベント専用です。 | cs5Label=Risk Level |
| filePath | filePath | File Path | 不正プログラムファイルの場所。 | filePath=C:\\Users\\Mei\\Desktop\\virus.exe |
| act | act | Action | 不正プログラム対策エンジンによって実行される処理。値には、Deny Access、Quarantine、Delete、Pass、Clean、Terminate、Unspecifiedがあります。 | act=Clean act=Pass |
| msg | msg | Message | 検索の種類。値には、Realtime、Scheduled、Manualがあります。 | msg=Realtime msg=Scheduled |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.144.199 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=www.example.com dvchost=fe80::f018:a3c6:20f9:afa6%5 |
| TrendMicroDsTags | TrendMicroDsTags | Events tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant name | Deep Securityのテナント | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| TrendMicroDsMalwareTarget | TrendMicroDsMalwareTarget | Target(s) |
不正プログラムが操作を試みた対象のファイル、プロセス、またはレジストリキー (ある場合)。不正プログラムの対象が複数に及ぶ場合、このフィールドの値は「Multiple」になります。 このフィールドの値が報告されるのは、不審なアクティビティと不正な変更を監視している場合だけです。 |
TrendMicroDsMalwareTarget=N/A TrendMicroDsMalwareTarget=C:\\Windows\\System32\\cmd.exe TrendMicroDsMalwareTarget=HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings TrendMicroDsMalwareTarget=Multiple |
| TrendMicroDsMalwareTargetType | TrendMicroDsMalwareTargetType | Target Type |
この不正プログラムが操作を試みたシステムリソースの種類。ファイルシステム、プロセス、Windowsレジストリなどです。 このフィールドの値が報告されるのは、不審なアクティビティと不正な変更を監視している場合だけです。 |
TrendMicroDsMalwareTargetType=N/A TrendMicroDsMalwareTargetType=Exploit TrendMicroDsMalwareTargetType=File System TrendMicroDsMalwareTargetType=Process TrendMicroDsMalwareTargetType=Registry |
| TrendMicroDsFileMD5 | TrendMicroDsFileMD5 | File MD5 | ファイルのMD5ハッシュ。 | TrendMicroDsFileMD5=1947A1BC0982C5871FA3768CD025453E |
| TrendMicroDsFileSHA1 | TrendMicroDsFileSHA1 | File SHA1 | ファイルのSHA1ハッシュ。 | TrendMicroDsFileSHA1=5AD084DDCD8F80FBF2EE3F0E4F812E812DEE60C1 |
| TrendMicroDsFileSHA256 | TrendMicroDsFileSHA256 | File SHA256 | ファイルのSHA256ハッシュ。 | TrendMicroDsFileSHA256=25F231556700749F8F0394CAABDED83C2882317669DA2C01299B45173482FA6E |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=6 |
| なし | cat | Category | カテゴリ | cat=Anti-Malware |
| なし | name | Name | イベント名 | name=SPYWARE_KEYL_ACTIVE |
| なし | desc | Description | イベントの説明。不正プログラム対策イベントにはイベントの説明がないため、イベント名を使用します。 | desc=SPYWARE_KEYL_ACTIVE |
アプリケーションコントロールイベントの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF: 0|Trend Micro|Deep Security Agent|10.0.0.3186|6001200|AppControl detectOnly|6|cn1=202 cn1Label=Host ID dvc=192.168.33.128 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 fileHash=80D4AC182F97D2AB48EE4310AC51DA5974167C596D133D64A83107B9069745E0 suser=root suid=0 act=detectOnly filePath=/home/user1/Desktop/Directory1//heartbeatSync.sh fsize=20 cs1=notWhitelisted cs1Label=actionReason cs2=0CC9713BA896193A527213D9C94892D41797EB7C cs2Label=sha1 cs3=7EA8EF10BEB2E9876D4D7F7E5A46CF8D cs3Label=md5
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|10.0.2883|60|cat=AppControl name=blocked desc=blocked sev=6 cn1=2 cn1Label=Host ID dvc=10.203.156.39 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 fileHash=E3B0C44298FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855 suser=root suid=0 act=blocked filePath=/bin/my.jar fsize=123857 cs1=notWhitelisted cs1Label=actionReason
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=2 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| cs1 | cs1 | Reason | アプリケーションコントロールが指定された処理を実行した理由 (例: notWhitelisted: ソフトウェアに一致するルールがなく、承認されていないソフトウェアをブロックするようにアプリケーションコントロールが設定されていた)。 | cs1=notWhitelisted |
| cs1Label | cs1Label | フィールドcs1の名前ラベル。 | cs1Label=actionReason | |
| cs2 | cs2 | ファイルのSHA-1ハッシュ (計算済みの場合)。 | cs2=156F4CB711FDBD668943711F853FB6DA89581AAD | |
| cs2Label | cs2Label | フィールドcs2の名前ラベル。 | cs2Label=sha1 | |
| cs3 | cs3 | ファイルのMD5ハッシュ (計算済みの場合)。 | cs3=4E8701AC951BC4537F8420FDAC7EFBB5 | |
| cs3Label | cs3Label | フィールドcs3の名前ラベル。 | cs3Label=md5 | |
| act | act | Action | アプリケーションコントロールエンジンによって実行された処理。値には、Blocked、Allowedがあります。 | act=blocked |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.1.10 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=www.example.com dvchost=2001:db8::5 |
| suid | suid | UserID | ユーザ名のアカウントID番号。 | suid=0 |
| suser | suser | User Name | 保護対象コンピュータにソフトウェアをインストールしたユーザアカウントの名前。 | suser=root |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant name | Deep Securityのテナント名。 | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID番号。 | TrendMicroDsTenantId=0 |
| fileHash | fileHash | File hash | ソフトウェアファイルを識別するSHA 256ハッシュ。 | fileHash=E3B0C44298FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855 |
| filePath | filePath | File Path | 不正プログラムファイルの場所。 | filePath=/bin/my.jar |
| fsize | fsize | File Size | ファイルサイズ (バイト)。 | fsize=16 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=6 |
| なし | cat | Category | カテゴリ | cat=AppControl |
| なし | name | Name | イベント名 | name=blocked |
| なし | desc | Description | イベントの説明。アプリケーションコントロールでは説明として処理を使用します。 | desc=blocked |
ファイアウォールイベントログの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF: 0|Trend Micro|Deep Security Agent|<DSA version>|20|Log for TCP Port 80|0|cn1=1 cn1Label=Host ID dvc=hostname act=Log dmac=00:50:56:F5:7F:47 smac=00:0C:29:EB:35:DE TrendMicroDsFrameType=IP src=192.168.126.150 dst=72.14.204.147 out=1019 cs3=DF MF cs3Label=Fragmentation Bits proto=TCP spt=49617 dpt=80 cs2=0x00 ACK PSH cs2Label=TCP Flags cnt=1 TrendMicroDsPacketData=AFB...
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|21|cat=Firewall name=Remote Domain Enforcement (Split Tunnel) desc=Remote Domain Enforcement (Split Tunnel) sev=5 cn1=37 cn1Label=Host ID dvchost=www.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 act=Deny dstMAC=67:BF:1B:2F:13:EE srcMAC=78:FD:E7:07:9F:2C TrendMicroDsFrameType=IP src=10.0.110.221 dst=105.152.185.81 out=177 cs3= cs3Label=Fragmentation Bits proto=UDP srcPort=23 dstPort=445 cnt=1
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| act | act | Action | act=Log act=Deny |
|
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=113 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| cnt | cnt | Repeat Count | このイベントが連続して繰り返された回数。 | cnt=8 |
| cs2 | cs2 | TCP Flags | cs2=0x10 ACK cs2=0x14 ACK RST |
|
| cs2Label | cs2Label | TCP Flags | フィールドcs2の名前ラベル。 | cs2Label=TCP Flags |
| cs3 | cs3 | Packet Fragmentation Information | cs3=DF cs3=MF cs3=DF MF |
|
| cs3Label | cs3Label | Fragmentation Bits | フィールドcs3の名前ラベル。 | cs3Label=Fragmentation Bits |
| cs4 | cs4 | ICMP Type and Code | (ICMPプロトコルの場合のみ) ICMPタイプとコード (スペース区切り)。 | cs4=11 0 cs4=8 0 |
| cs4Label | cs4Label | ICMP | フィールドcs4の名前ラベル。 | cs4Label=ICMP Type and Code |
| dmac | dstMAC | Destination MAC Address | 送信先コンピュータのネットワークインタフェースのMACアドレス。 | dmac= 00:0C:29:2F:09:B3 |
| dpt | dstPort | Destination Port | (TCPプロトコルおよびUDPプロトコルの場合のみ) 送信先コンピュータの接続またはセッションのポート番号。 | dpt=80 dpt=135 |
| dst | dst | Destination IP Address | 送信先コンピュータのIPアドレス。 | dst=192.168.1.102 dst=10.30.128.2 |
| in | in | Inbound Bytes Read | (受信接続の場合のみ) 読み取られた受信バイト数。 | in=137 in=21 |
| out | out | Outbound Bytes Read | (送信接続の場合のみ) 読み取られた送信バイト数。 | out=216 out=13 |
| proto | proto | Transport protocol | 使用するトランスポートプロトコルの名前。 | proto=tcp proto=udp proto=icmp |
| smac | srcMAC | Source MAC Address | 送信元コンピュータのネットワークインタフェースのMACアドレス。 | smac= 00:0E:04:2C:02:B3 |
| spt | srcPort | Source Port | (TCPプロトコルおよびUDPプロトコルの場合のみ) 送信元コンピュータの接続またはセッションのポート番号。 | spt=1032 spt=443 |
| src | src | Source IP Address | 送信元コンピュータのIPアドレス。 | src=192.168.1.105 src=10.10.251.231 |
| TrendMicroDsFrameType | TrendMicroDsFrameType | Ethernet frame type | 接続のイーサネットフレームの種類。 | TrendMicroDsFrameType=IP TrendMicroDsFrameType=ARP TrendMicroDsFrameType=RevARP TrendMicroDsFrameType=NetBEUI |
| TrendMicroDsPacketData | TrendMicroDsPacketData | Packet data | TrendMicroDsPacketData=AA...BA\= | |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.144.199 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=exch01.example.com dvchost=2001:db8::5 |
| TrendMicroDsTags | TrendMicroDsTags | Event Tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant Name | Deep Securityのテナント | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=5 |
| なし | cat | Category | カテゴリ | cat=Firewall |
| なし | name | Name | イベント名 | name=Remote Domain Enforcement (Split Tunnel) |
| なし | desc | Description | イベントの説明。ファイアウォールイベントでは、イベント名が説明として使用されます。 | desc=Remote Domain Enforcement (Split Tunnel) |
変更監視ログイベントの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF:0|Trend Micro|Deep Security Agent|<DSA version>|30|New Integrity Monitoring Rule|6|cn1=1 cn1Label=Host ID dvchost=hostname act=updated filePath=c:\\windows\\message.dll suser=admin msg=lastModified,sha1,size
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|2002779|cat=Integrity Monitor name=Microsoft Windows - System file modified desc=Microsoft Windows - System file modified sev=8 cn1=37 cn1Label=Host ID dvchost=www.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 act=updated suser=admin
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| act | act | Action | 変更監視ルールによって検出される処理。値は、created、updated、deleted、またはrenamedのいずれかです。 | act=created act=deleted |
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=113 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| filePath | filePath | Target Entity | 変更監視ルールの対象のエンティティ。監視対象のログファイルが含まれます。 | filePath=C:\WINDOWS\system32\drivers\etc\hosts |
| suser | suser | Source User | Deep Security Manager管理者のアカウント。 | suser=MasterAdmin |
| msg | msg | Attribute changes | (「renamed」処理の場合のみ) 変更された属性名のリスト。 [Manager経由でリレーする] を選択した場合、すべてのイベント処理の種類に完全な説明が含まれます。 |
msg=lastModified,sha1,size |
| oldfilePath | oldfilePath | Old target entity | (「renamed」処理の場合のみ) filePathフィールドに記録された新しいエンティティに名前変更された、以前の変更監視ルールの対象のエンティティ。 | oldFilePath=C:\WINDOWS\system32\logfiles\ds_agent.log |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.144.199 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=www.example.com dvchost=2001:db8::5 |
| TrendMicroDsTags | TrendMicroDsTags | Events tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant name | Deep Securityのテナント | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=8 |
| なし | cat | Category | カテゴリ | cat=Integrity Monitor |
| なし | name | Name | イベント名 | name=Microsoft Windows - System file modified |
| なし | desc | Description | イベントの説明。変更監視イベントにはイベントの説明がないため、イベント名を使用します。 | desc=Microsoft Windows - System file modified |
侵入防御イベントログの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF:0|Trend Micro|Deep Security Agent|<DSA version>|1001111|Test Intrusion Prevention Rule|3|cn1=1 cn1Label=Host ID dvchost=hostname dmac=00:50:56:F5:7F:47 smac=00:0C:29:EB:35:DE TrendMicroDsFrameType=IP src=192.168.126.150 dst=72.14.204.105 out=1093 cs3=DF MF cs3Label=Fragmentation Bits proto=TCP spt=49786 dpt=80 cs2=0x00 ACK PSH cs2Label=TCP Flags cnt=1 act=IDS:Reset cn3=10 cn3Label=Intrusion Prevention Packet Position cs5=10 cs5Label=Intrusion Prevention Stream Position cs6=8 cs6Label=Intrusion Prevention Flags TrendMicroDsPacketData=R0VUIC9zP3...
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|1000940|cat=Intrusion Prevention name=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities desc=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities sev=10 cn1=6 cn1Label=Host ID dvchost=exch01 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 dstMAC=55:C0:A8:55:FF:41 srcMAC=CA:36:42:B1:78:3D TrendMicroDsFrameType=IP src=10.0.251.84 dst=56.19.41.128 out=166 cs3= cs3Label=Fragmentation Bits proto=ICMP srcPort=0 dstPort=0 cnt=1 act=IDS:Reset cn3=0 cn3Label=DPI Packet Position cs5=0 cs5Label=DPI Stream Position cs6=0 cs6Label=DPI Flags
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| act | act | Action | (Deep Securityバージョン7.5 SP1以前に作成されたIPSルールでは、Insert、Replace、Deleteも実行することができましたが、現在これらの処理は実行されません。これらの処理の実行を試みる古いIPSルールが実行された場合、ルールが検出のみモードで適用されたことを示すイベントが記録されます)。 | act=Block |
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=113 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| cn3 | cn3 | Intrusion Prevention Packet Position | イベントをトリガしたデータのパケット内の位置。 | cn3=37 |
| cn3Label | cn3Label | Intrusion Prevention Packet Position | フィールドcn3の名前ラベル。 | cn3Label=Intrusion Prevention Packet Position |
| cnt | cnt | Repeat Count | このイベントが連続して繰り返された回数。 | cnt=8 |
| cs1 | cs1 | Intrusion Prevention Filter Note | (オプション) DPIルールに関連する短いバイナリまたはテキストによる備考を含めることのできる注記用フィールド。注記用フィールドの値がすべて印刷可能なASCII文字の場合、値はテキストとしてログに記録され、スペース (空白文字) はアンダースコアに変換されます。バイナリデータが含まれる場合は、Base64エンコードを使用してログに記録されます。 | cs1=Drop_data |
| cs1Label | cs1Label | Intrusion Prevention Note | フィールドcs1の名前ラベル。 | cs1Label=Intrusion Prevention Note |
| cs2 | cs2 | TCP Flags | (TCPプロトコルの場合のみ) TCPフラグバイトの後には、[URG]、[ACK]、[PSH]、[RST]、[SYN]、[FIN] の各フィールドが続きます。このフラグバイトは、TCPヘッダが設定されている場合に存在する可能性があります。 | cs2=0x10 ACK cs2=0x14 ACK RST |
| cs2Label | cs2Label | TCP Flags | フィールドcs2の名前ラベル。 | cs2Label=TCP Flags |
| cs3 | cs3 | Packet Fragmentation Information | cs3=DF cs3=MF cs3=DF MF |
|
| cs3Label | cs3Label | Fragmentation Bits | フィールドcs3の名前ラベル。 | cs3Label=Fragmentation Bits |
| cs4 | cs4 | ICMP Type and Code | (ICMPプロトコルの場合のみ) 単一のスペースで区切って個別の順序で格納されているICMPタイプとコード。 | cs4=11 0 cs4=8 0 |
| cs4Label | cs4Label | ICMP | フィールドcs4の名前ラベル。 | cs4Label=ICMP Type and Code |
| cs5 | cs5 | Intrusion Prevention Stream Position | イベントをトリガしたデータのストリーム内の位置。 | cs5=128 cs5=20 |
| cs5Label | cs5Label | Intrusion Prevention Stream Position | フィールドcs5の名前ラベル。 | cs5Label=Intrusion Prevention Stream Position |
| cs6 | cs6 | Intrusion Prevention Filter Flags | フラグの値の合計値。 1 - Data truncated - データをログに記録できませんでした。 2 - Log Overflow - ログがオーバーフローしました。 4 - Suppressed - ログのしきい値が抑制されました。 8 - Have Data - パケットデータが含まれます。 16 - Reference Data - 以前にログに記録されたデータを参照します。 |
1 (Data truncated) と8 (Have Data) の組み合わせの例: cs6=9 |
| cs6Label | cs6Label | Intrusion Prevention Flags | フィールドcs6の名前ラベル。 | cs6=Intrusion Prevention Filter Flags |
| dmac | dstMAC | Destination MAC Address | 送信先コンピュータのネットワークインタフェースMACアドレス。 | dmac= 00:0C:29:2F:09:B3 |
| dpt | dstPort | Destination Port | (TCPプロトコルおよびUDPプロトコルの場合のみ) 送信先コンピュータの接続ポート。 | dpt=80 dpt=135 |
| dst | dst | Destination IP Address | 送信先コンピュータのIPアドレス。 | dst=192.168.1.102 dst=10.30.128.2 |
| in | in | Inbound Bytes Read | (受信接続の場合のみ) 読み取られた受信バイト数。 | in=137 in=21 |
| out | out | Outbound Bytes Read | (送信接続の場合のみ) 読み取られた送信バイト数。 | out=216 out=13 |
| proto | proto | Transport protocol | 使用する接続トランスポートプロトコルの名前。 | proto=tcp proto=udp proto=icmp |
| smac | srcMAC | Source MAC Address | 送信元コンピュータのネットワークインタフェースMACアドレス。 | smac= 00:0E:04:2C:02:B3 |
| spt | srcPort | Source Port | (TCPプロトコルおよびUDPプロトコルの場合のみ) 送信元コンピュータの接続ポート。 | spt=1032 spt=443 |
| src | src | Source IP Address | 送信元コンピュータのIPアドレス。 | src=192.168.1.105 src=10.10.251.231 |
| TrendMicroDsFrameType | TrendMicroDsFrameType | Ethernet frame type | 接続のイーサネットフレームの種類。 | TrendMicroDsFrameType=IP TrendMicroDsFrameType=ARP TrendMicroDsFrameType=RevARP TrendMicroDsFrameType=NetBEUI |
| TrendMicroDsPacketData | TrendMicroDsPacketData | Packet data | TrendMicroDsPacketData=AA...BA\= | |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.144.199 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=www.example.com dvchost=2001:db8::5 |
| TrendMicroDsTags | TrendMicroDsTags | Event tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=Suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant name | Deep Securityのテナント名 | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=10 |
| なし | cat | Category | カテゴリ | cat=Intrusion Prevention |
| なし | name | Name | イベント名 | name=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities |
| なし | desc | Description | イベントの説明。侵入防御イベントにはイベントの説明がないため、イベント名を使用します。 | desc=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities |
セキュリティログ監視イベントの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF:0|Trend Micro|Deep Security Agent|<DSA version>|3002795|Microsoft Windows Events|8|cn1=1 cn1Label=Host ID dvchost=hostname cs1Label=LI Description cs1=Multiple Windows Logon Failures fname=Security src=127.0.0.1 duser=(no user) shost=WIN-RM6HM42G65V msg=WinEvtLog Security:AUDIT_FAILURE(4625):Microsoft-Windows-Security-Auditing:(no user):no domain:WIN-RM6HM42G65V:An account failed to log on.Subject:..
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|3003486|cat=Log Inspection name=Mail Server - MDaemon desc=Server Shutdown. sev=3 cn1=37 cn1Label=Host ID dvchost=exch01.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 cs1=Server Shutdown. cs1Label=LI Description fname= shost= msg=
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=113 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| cs1 | cs1 | Specific Sub-Rule | このイベントをトリガしたセキュリティログ監視のサブルール。 | cs1=Multiple Windows audit failure events |
| cs1Label | cs1Label | LI Description | フィールドcs1の名前ラベル。 | cs1Label=LI Description |
| duser | duser | User Information | (解析可能なユーザ名が存在する場合) ログエントリを記録した対象ユーザの名前。 | duser=(no user) duser=NETWORK SERVICE |
| fname | fname | Target entity | セキュリティログ監視ルールの対象のエンティティ。監視対象のログファイルが含まれます。 | fname=Application fname=C:\Program Files\CMS\logs\server0.log |
| msg | msg | Details | セキュリティログ監視イベントの詳細。検出されたログイベントの詳細な説明が含まれる場合があります。 | msg=WinEvtLog:Application:AUDIT_FAILURE(20187):pgEvent:(no user):no domain:SERVER01:Remote login failure for user 'xyz' |
| shost | shost | Source Hostname | 送信元コンピュータのホスト名。 | shost=webserver01.corp.com |
| src | src | Source IP Address | 送信元コンピュータのIPアドレス。 | src=192.168.1.105 src=10.10.251.231 |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.144.199 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=www.example.com dvchost=2001:db8::5 |
| TrendMicroDsTags | TrendMicroDsTags | Events tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant name | Deep Securityのテナント | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=3 |
| なし | cat | Category | カテゴリ | cat=Log Inspection |
| なし | name | Name | イベント名 | name=Mail Server - MDaemon |
| なし | desc | Description | イベントの説明。 | desc=Server Shutdown |
Webレピュテーションイベントの形式
CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)
CEFログエントリのサンプル: CEF:0|Trend Micro|Deep Security Agent|<DSA version>|5000000|WebReputation|5|cn1=1 cn1Label=Host ID dvchost=hostname request=example.com msg=Blocked By Admin
LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)
LEEFログエントリのサンプル: LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|5000000|cat=Web Reputation name=WebReputation desc=WebReputation sev=6 cn1=3 cn1Label=Host ID dvchost=exch01.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 request=http://yw.olx5x9ny.org.it/HvuauRH/eighgSS.htm msg=Suspicious
| CEF拡張フィールド | LEEF拡張フィールド | 名前 | 説明 | 例 |
| cn1 | cn1 | Host Identifier | Agentコンピュータの一意の内部識別子。 | cn1=1 |
| cn1Label | cn1Label | Host ID | フィールドcn1の名前ラベル。 | cn1Label=Host ID |
| request | request | Request | 要求のURL。 | request=http://www.example.com/index.php |
| msg | msg | Message | 処理の種類。値には、Realtime、Scheduled、Manualがあります。 | msg=Realtime msg=Scheduled |
| dvc | dvc | Device address |
cn1のIPv4アドレス。 送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。 |
dvc=10.1.144.199 |
| dvchost | dvchost | Device host name |
cn1のホスト名またはIPv6アドレス。 送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。 |
dvchost=www.example.com dvchost=2001:db8::5 |
| TrendMicroDsTags | TrendMicroDsTags | Events tags | イベントに割り当てられたDeep Securityのイベントタグ | TrendMicroDsTags=suspicious |
| TrendMicroDsTenant | TrendMicroDsTenant | Tenant name | Deep Securityのテナント | TrendMicroDsTenant=Primary |
| TrendMicroDsTenantId | TrendMicroDsTenantId | Tenant ID | Deep SecurityのテナントID | TrendMicroDsTenantId=0 |
| なし | sev | Severity | イベントの重要度。重要度は1が最も低く、10が最も高くなります。 | sev=6 |
| なし | cat | Category | カテゴリ | cat=Web Reputation |
| なし | name | Name | イベント名 | name=WebReputation |
| なし | desc | Description | イベントの説明。Webレピュテーションイベントにはイベントの説明がないため、イベント名を使用します。 | desc=WebReputation |
