Cisco Security Packet Analyzer インスタンスを展開する際は次の点に留意してください。

• 最大 500 の Cisco Security Packet Analyzer インスタンスを Firepower Management Center に登録できます。スタック内の各パケット アナライザ インスタンスは個別に登録する必要があります。

• この統合でのサポート対象の Cisco Security Packet Analyzer モデルとバージョンについては、https://www.cisco.com/c/en/us/support/security/defense-center/products-device-support-tables-list.html の『Cisco Firepower Compatibility Guide』を参照してください。

• 1 つのキャプチャ セッションで同時に複数の目的に対応でき、クエリによって展開の負荷が過大にならない場合を除いて、Firepower システムで使用するパケット アナライザのインスタンスは一般に、この目的専用とする必要があります。

• Cisco Security Packet Analyzer 分析するトラフィックをキャプチャでき、また、パケット アナライザ インスタンスと Firepower 管理対象デバイスが確認するトラフィックが同じである必要があります。

• Firepower Management Center はネットワーク上の各パケット アナライザにアクセスできる必要があります。

• パケット アナライザのインスタンスをセットアップし、この展開の前提条件を満たすには、https://www.cisco.com/c/en/us/support/security/security-packet-analyzer/tsd-products-support-series-home.html の Cisco Security Packet Analyzer のドキュメントとパケット アナライザのオンライン ヘルプを使用します。

• 各パケット アナライザは、Firepower Management Center とその管理対象デバイスとして同じ NTP サーバを使用して時刻を同期させる必要があります。

• 各パケット アナライザで次を満たす必要があります。

  • パケット アナライザへの Web アクセスが有効になっている必要があります。

  • クエリのキャプチャ権限を持つ次のアカウントが必要です。

    • Firepower Management Center がクエリをパケット アナライザに送信するときに使用するユーザ アカウント。

    • 自分と、パケット アナライザにクエリの結果を表示する他の人のユーザ アカウント。

    Web ユーザ パスワードの制限文字については、Cisco Security Packet Analyzer のドキュメントを参照してください。

    ヒント：パケット アナライザでこれらのアカウントのクレデンシャルをテストし、機能することを確認します。

  • パケット アナライザの Web インターフェイスでクエリが正常に実行できる必要があります。

  • パケット アナライザのキャプチャ セッションの要件と推奨事項で説明したキャプチャ セッションの要件を満たします。

  これらのタスクの手順については、パケット アナライザのドキュメントを参照してください。

• 各 Cisco Security Packet Analyzer インスタンスでキャプチャ セッションを作成する必要があります。

• 各パケット アナライザ インスタンスに設定する必要があるキャプチャ セッションは 1 つのみです。

• Firepower Management Center の登録形式のデフォルト キャプチャ セッション名は firepower_rolling_capture です。わかりやすくするために、別の名前を使用する理由がある場合を除いて、すべてのパケット アナライザ インスタンスにこのキャプチャ セッション名を使用します。

• 残りの値は次のとおりです。

  オプション	値
  [パケット スライス サイズ（Packet Slice Size）]	パケット全部をキャプチャする場合は ゼロ（0）
  ストレージ タイプ	ファイル
  [ディスク使用率（%）（Disk Utilization (%)）]	80
  ファイルサイズ（MB）（File Size (MB)）	パケット アナライザ モデルでベスト パフォーマンスを得るための最大サイズ（2000 または 500）
  ローテートファイル（Rotate Files）	ローリング キャプチャを有効にする場合に選択
  All others	展開で有効な値

• 任意のユーザがクエリを実行する前にキャプチャ セッションを実行する必要があります。セッションを保存した後、[キャプチャ セッション（Capture Sessions）] ページに移動してキャプチャ セッションを選択し、[開始（Start）] ボタンをクリックします。

クエリの結果が出ない

考えられる原因と解決策：

• キャプチャ セッションは、Packet Analyzer では実行されません。これが問題の原因である場合は、クエリを実行しているイベントのデータはありません。将来のイベントのパケット収集を有効にするには、パケット アナライザでキャプチャ セッションを開始します。

• クエリの時間枠がキャプチャされたファイルの時間枠から外れているか、キャプチャ セッションが上書きされています。

• Packet Analyzer が正しいパケットをキャプチャしていません。

• 関連データを含むキャプチャ セッション ファイルがバッファに書き込まれ続けています。ファイルへの書き込みが完了するまで、セッションに対するクエリを実行できません。数分間待ってからもう一度試してください。

• https://www.cisco.com/c/en/us/support/security/security-packet-analyzer/products-user-guide-list.html の Cisco Security Packet Analyzerユーザ ガイド のトラブルシューティングの情報を参照してください。

クエリに時間がかかりすぎる

• 各 Packet Analyzer で一度に 1 つのみのクエリを実行できます。特定のクエリに先立ってキューイングされた複数のクエリが存在する場合、クエリの完了までに長い時間がかかります。複数のクエリ送信元がある場合でも、存在するのは単一のキューです。

• 開始時刻と終了時刻を両方とも指定していないクエリの場合、プロセスの時間は大幅に長くなります。

• 開始時刻から終了時刻までの期間が長くなるほど、システムで検索を完了するのにかかる時間も長くなります。

[分析（Analysis）] > [詳細（Advanced）] > [コンテキスト クロス起動（Contextual Cross-Launch）] ページを使用して外部の Web ベースのリソースを管理します。

シスコが提供している事前定義のリソースにはシスコのロゴが付いています。残りのリンクはサードパーティのリソースです。

必要がないリソースは無効にするか、または削除できます。あるいは、たとえば名前の前に小文字の「z」を追加するなどして名前を変更し、そのリソースをリストの下部に分類することができます。削除されたリソースは、元に戻すことはできませんが、再作成できます。

リソースを追加するには、コンテキスト クロス起動のリソースの追加を参照してください。

セキュリティ イベントを syslog に送信するようにシステムを設定するには、次を知っておく必要があります。

• セキュリティ イベント syslog メッセージングを設定するためのベストプラクティス

• セキュリティ イベントの syslog の設定場所

• セキュリティ イベントの syslog メッセージに適用する FTD プラットフォームの設定

• ポリシーで syslog の設定を変更した場合、それらの変更を有効にするには展開する必要があります。

FTD 6.3 以降からのセキュリティ イベント メッセージの例（侵入イベント）

Firepower は、次の表で説明するように、複数の syslog データ タイプを送信できます。

一般に、現在 eStreamer に重大な既存イベントがない組織は、セキュリティ イベント データを外部で管理するのに eStreamer ではなく syslog を使用する必要があります。