本ヘルプセンターは英語版を翻訳したものです。また、一部には翻訳ソフトウエアにより機械的に翻訳した内容が含まれます。翻訳については順次対応しておりますが、最新の情報になっていない場合があります。最新の情報は英語版のページでご確認ください。表示言語は、画面右上の言語名をクリックして切り替えられます。

本ヘルプセンターの一部の記事には外部リンクが含まれています。万一リンク切れなどお気づきの点がございましたら、お手数ですが弊社サポート窓口までご連絡ください。

侵入防御イベント

イベントに関する全般的なベストプラクティスについては、Deep Securityイベントログについてを参照してください。

Deep Securityでキャプチャされた侵入防御イベントを表示するには、イベントとレポート>イベント>侵入防御イベントにアクセスします。

侵入防御イベントで表示される情報

[侵入防御イベント] 画面には次の列が表示されます。[列] をクリックして、表に表示する列を選択することができます。

  • 時刻: コンピュータ上でイベントが発生した時刻。
  • コンピュータ: このイベントのログが記録されたコンピュータ(コンピュータが削除されている場合、このエントリは「不明コンピュータ」と表示されます)。
  • 理由: このイベントに関連付けられた侵入防御ルール。
  • タグ: イベントに付けられたタグ。
  • アプリケーションの種類: このイベントの原因となった侵入防御ルールに関連付けられたアプリケーションの種類。
  • 処理: 侵入防御ルールが実行する処理 (ブロックまたはリセット)。ルールが検出のみモードの場合、処理名の前に「検出のみ:」が付きます。
    Deep Security 7.5 SP1より前に作成された侵入防御ルールでは、挿入、置換、削除処理も実行することができましたが、現在これらの処理は実行されません。これらの処理の実行を試みる古いルールが実行された場合、ルールが検出のみモードで適用されたことを示すイベントが記録されます。
  • ランク: ランク付けシステムでは、侵入防御およびファイアウォールイベントの重要度を数値化できます。コンピュータに「資産評価」を割り当て、侵入防御ルールとファイアウォールルールに「重要度」を割り当て、これら2つの値を掛け合わせることによって、イベントの重要度 (ランク) が計算されます。これによって、侵入防御イベントまたはファイアウォールイベントを表示するときに、イベントをランクでソートできます。
  • 重要度: 侵入防御ルールの重要度。
  • 方向: パケットの方向 (受信または送信)。
  • フロー: このイベントを引き起こしたパケットが、侵入防御ルールで監視しているトラフィックと同じ方向に進んでいたか (「接続フロー」)、または反対方向に進んでいたか (「リバースフロー」)。
  • インタフェース: パケットが通過したインタフェースのMACアドレス。
  • フレームの種類: 対象となるパケットのフレームの種類。値は、[IPV4]、[IPV6]、[ARP]、[REVARP]、および [その他:XXXX] (XXXXはフレームの種類を示す4桁の16進コード) のいずれかになります。
  • プロトコル: 値は、[ICMP]、[ICMPV6]、[IGMP]、[GGP]、[TCP]、[PUP]、[UDP]、[IDP]、[ND]、[RAW]、[TCP+UDP]、および [その他: nnn] (nnnは、3桁の10進値) のいずれかになります。
  • フラグ: パケットに設定されたフラグ。
  • 送信元IP: パケットの送信元IP。
  • 送信元MAC: パケットの送信元MACアドレス。
  • 送信元ポート: パケットの送信元ポート。
  • 送信先IP: パケットの送信先IP。
  • 送信先MAC: パケットの送信先MACアドレス。
  • 送信先ポート: パケットの送信先ポート。
  • パケットサイズ: バイト単位のパケットのサイズ。
  • 繰り返しカウント: イベントが連続して繰り返された回数。
  • 時間 (マイクロ秒): コンピュータ上でイベントが発生した時間 (マイクロ秒)。
  • イベントの起点： イベントが発生したDeep Securityコンポーネントです。

次の列も使用できます。Deep Security Agent 12 FR以上で保護されているコンピュータ上のコンテナからトリガされたイベントの情報が表示されます。

  • インタフェースの種類：コンテナインタフェースの種類。
  • コンテナ名：イベントが発生したコンテナの名前。
  • コンテナID：イベントが発生したコンテナのコンテナIDです。
  • イメージ名：イベントが発生したコンテナの作成に使用されたイメージ名。
  • RepoDigest：コンテナイメージを識別する一意の通知です。
  • プロセス名：イベントの原因となった（コンテナからの）プロセスの名前。

侵入防御 イベントの追加情報を表示する

侵入防御 イベントをエクスポートする場合、エクスポートされたデータには上記のフィールドと、 Deep Security Managerコンソールには表示されない追加のフィールドが含まれます。唯一の例外は、 Severityフィールドです。このフィールドはCSVファイルでは使用できません。

  • Note：CVEコードなど、イベントに意味のある文字列。
  • 終了時刻：パケットが最後に確認された時刻。
  • バッファ内位置：パケット内の位置。
  • ストリーム内の位置：TCP / IPストリーム内のパケットの位置。
  • データフラグ：データフラグの値の詳細については、次の表を参照してください。
    • コード フラグ 備考
    0x01 dataTruncated データをログに記録できなかったことを示します。
    0x02 logOverflow このエントリの後にログがオーバーフローしました。
    0x04 suppressed このエントリの後にしきい値の抑制が発生したことをログに記録します。
    0x08 haveData パケットデータがログに記録されます。
    0x10 refData DataIdがログに記録されます。パケットペイロードはこのイベントに記録されません。ペイロードは、0x08フラグと同じデータインデックスを持つイベントでのみログに記録されます。
    0x20 haveRawPkt データは完全な生のパケットです。
  • Data Index：パケットデータの一意のID（dataId）。dataIdが同じレコードはすべて同じパケットのものです。
  • Data：パケットのペイロード。
  • Original IP（XFF）：クライアントの元のIPアドレスを表示します。このフィールドのデータを取得するには、ルール 1006450-Enable X-Forwarded-For HTTP Header Loggingを有効にします。

次のフィールドも使用できます。Deep Security Agent 12 FR以上で保護されているコンピュータ上のコンテナからトリガされたイベントの情報が表示されます。

  • プロセスID：コンテナによって報告されたプロセスID。
  • スレッドID：コンテナによって報告されたスレッドID。
  • Image ID：コンテナイメージのローカルID。
  • Pod ID：Pod ID（該当する場合）。

侵入防御イベント一覧

ID イベント 備考
200 リージョンサイズの超過 リージョン (編集リージョン、URIなど) が閉じられずに、バッファの最大許容サイズ (7570バイト) を超えました。これは、通常、データがプロトコルに適合していないために発生します。
201 メモリ不足 リソースがなくなったため、パケットを適切に処理できませんでした。これは、多くの同時接続が一度に行われた場合、または単にシステムのメモリが不足した場合に発生することがあります。
202 編集回数の超過 パケットの単一リージョンにおける最大編集回数 (32回) を超えました。
203 編集範囲の超過 リージョンのサイズを最大許容サイズ (8,188バイト) よりも増やそうとする編集が試行されました。
204 パケットの最大一致数を超過 パケット内でパターンに一致する地点が2,048箇所を超えています。この制限に達するパケットは通常ガベージパケットまたは回避パケットであるため、エラーが返されて接続が破棄されます。
205 エンジンのコールスタック数の超過
206 ランタイムエラー ランタイムエラーです。
207 パケットの読み込みエラー パケットデータの読み込み中に発生した低レベルの問題です。
258 Fail-Open: リセット リセットする必要のある接続を記録し、Fail-Open機能がオンでインラインモードの場合には記録しません。
300 サポートされていない暗号化 不明またはサポートされていない暗号化スイートが要求されました。
301 マスターキーの生成エラー マスターシークレットから、暗号化キー、MACシークレット、および初期化ベクタを生成できません。
302 レコードレイヤメッセージ (準備ができていません) SSL状態エンジンで、セッションの初期化前にSSLレコードが検出されました。
303 ハンドシェークメッセージ (準備ができていません) SSL状態エンジンで、ハンドシェークのネゴシエーション後にハンドシェークメッセージが検出されました。
304 ハンドシェークメッセージの障害 適切にフォーマットされたハンドシェークメッセージが、誤った順序で検出されました。
305 メモリの割り当てエラー リソースがなくなったため、パケットを適切に処理できませんでした。これは、多くの同時接続が一度に行われた場合、または単にシステムのメモリが不足した場合に発生することがあります。
306 サポートされていないSSLバージョン クライアントがSSL V2バージョンのネゴシエーションを試行しました。
307 プレマスターキーの復号時のエラー ClientKeyExchangeメッセージからプレマスターシークレットを復号できません。
308 クライアントによるロールバックの試行 クライアントが、ClientHelloメッセージに指定されたバージョンより古いバージョンのSSLプロトコルへのロールバックを試行しました。
309 更新エラー キャッシュされたセッションキーでSSLセッションが要求されましたが、該当するセッションキーが見つかりませんでした。
310 鍵の交換エラー サーバが一時的に生成されたキーを使用してSSLセッションを確立しようとしています。
311 SSLキー交換の上限を超過 キー交換の同時要求数が上限を超えました。
312 鍵サイズの超過 マスターの秘密鍵がプロトコルIDで指定されたサイズを超えています。
313 ハンドシェーク内の不正なパラメータ ハンドシェークプロトコルのデコード中に無効または不正な値が検出されました。
314 利用可能なセッションなし
315 未サポートの圧縮方法
316 サポートされていないアプリケーション層プロトコル 不明、またはサポートされていないSSLアプリケーション層プロトコルが要求されました。
386 Fail-Open: リセット リセットする必要のある接続を記録し、Fail-Open機能がオンでタップモードの場合には記録しません。
500 URIパスの深さが超過 区切り文字「/」が多すぎます。パスの深さは最大100です。
501 無効なトラバーサル ルートより上位に「../」を使用しようとしました。
502 URIに使用できない文字 URIに無効な文字が使用されています。
503 不完全なUTF8シーケンス UTF8シーケンスの途中でURIが終了しました。
504 無効なUTF8の符号化 無効または規定外のエンコードが試行されました。
505 無効な16進の符号化 %nnのnnが16進数ではありません。
506 URIパス長の超過 パス長が512文字を超えています。
507 不正な文字の使用 無効な文字を使用しています。
508 二重デコードの攻撃コード 二重デコードの攻撃コードです (%25xx、%25%xxdなど)。
700 不正なBase64コンテンツ Base64形式でエンコードされるはずのパケットコンテンツが正しくエンコードされませんでした。
710 破損したDeflate/GZIPコンテンツ Base64形式でエンコードされるはずのパケットコンテンツが正しくエンコードされませんでした。
711 不完全なDeflate/GZIPコンテンツ 不完全なDeflate/GZIPコンテンツです
712 Deflate/GZIPチェックサムエラー Deflate/GZIPチェックサムエラーです。
713 未サポートのDeflate/GZIP辞書 サポートされていないDeflate/GZIP辞書です。
714 サポートされていないGZIPヘッダ形式/方法 サポートされていないGZIPヘッダ形式または方法です。
801 プロトコルデコード検索の上限を超過 プロトコルデコードルールには検索またはPDUオブジェクトの制限が定義されていますが、オブジェクトを見つける前に制限に達しました。
802 プロトコルデコードの制約エラー プロトコルデコードルールによってデコードされたデータが、プロトコルコンテンツの制約を満たしていません。
803 プロトコルデコードエンジンの内部エラー
804 プロトコルデコードの構造の超過 プロトコルデコードルールで、型の最大ネスト深度 (16) を超える型定義とパケットコンテンツが検出されました。
805 プロトコルデコードのスタックエラー ルールのプログラミングエラーが原因で、反復が発生したか、またはネストされたプロシージャコールが使用されようとしました。
806 データの無限ループエラー