ワークフローを使用して表示および検索できるマルウェア イベントには、このセクションにリストするフィールドがあります。個別のイベントで利用可能な情報は、いつ、どのように生成されたかによって異なることに注意してください。
（注） |
ネットワーク向け AMP によってマルウェアとして識別されたファイルは、ファイル イベントとマルウェア イベントの両方を生成します。エンドポイント向け AMP によって生成されたマルウェア イベントには対応するファイル イベントはありません。また、ファイル イベントにはエンドポイント向け
AMP 関連のフィールドはありません。
|
syslog メッセージにはメッセージに初期値が入力され、たとえば、レトロスペクティブな判定などで FMC Web インターフェイスの同等なフィールドが更新されたとしても更新されません。
[アクション（Action）]（syslog：FileAction）
ファイルを検出したファイル ポリシー ルールに関連したアクション、および関連するファイル アクション オプション。
AMP クラウド（AMP Cloud）
AMP for Endpoints イベントが発信された AMP クラウドの名前。
アプリケーション ファイル名（Application File Name）
AMP for Endpoints 検出が行われたときに、マルウェア ファイルにアクセスしていたクライアント アプリケーション。これらのアプリケーションはネットワーク検出またはアプリケーション制御とは関係ありません。
アプリケーション ファイル SHA256（Application File SHA256）
検出が行われたときに、AMP for Endpoints で検出された、または隔離されたファイルにアクセスした親ファイルの SHA-256 のハッシュ値。
[アプリケーション プロトコル（Application Protocol）]（syslog：ApplicationProtocol）
管理対象デバイスがファイルを検出したトラフィックで使用されるアプリケーション プロトコル。
アプリケーション プロトコル カテゴリまたはタグ（Application Protocol Category or Tag）
アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。
[アプリケーションのリスク（Application Risk）]
接続で検出されたアプリケーション トラフィックに関連するリスク：Very High、High、Medium、Low、または Very Low。接続で検出されたアプリケーションのタイプごとに、関連するリスクがあります。このフィールドでは、それらのうち最も高いものが表示されます。
[アーカイブの深さ（Archive Depth）]（syslog：ArchiveDepth）
アーカイブ ファイル内でファイルがネストされたレベル（存在する場合）。
[アーカイブ名（Archive Name）]（syslog：ArchiveFileName）
マルウェア ファイルが含まれていたアーカイブ ファイル（ある場合）の名前。
アーカイブ ファイルの内容を表示するには、[分析（Analysis）] > [ファイル（Files）] にある、アーカイブ ファイルの一覧が表示されるいずれかのテーブルに移動し、アーカイブ ファイルのテーブルの行を右クリックしてコンテキスト メニューを開いてから、[アーカイブの内容の表示（View Archive
Contents）] をクリックします。
[SHA256 のアーカイブ（Archive SHA256）]（syslog：ArchiveSHA256）
マルウェア ファイルを含むアーカイブ ファイル（ある場合）の SHA-256 ハッシュ値。
アーカイブ ファイルの内容を表示するには、[分析（Analysis）] > [ファイル（Files）] にある、アーカイブ ファイルの一覧が表示されるいずれかのテーブルに移動し、アーカイブ ファイルのテーブルの行を右クリックしてコンテキスト メニューを開いてから、[アーカイブの内容の表示（View
Archive Contents）] をクリックします。
ArchiveFileStatus（syslog のみ）
調査中のアーカイブのステータス。次のいずれかの値になります。
-
[保留中（Pending）]：アーカイブは調査中です
-
[取得済み（Extracted）]：調査が問題なく正常に実行されました
-
[失敗（Failed）]：システムのリソース不足のため調査に失敗しました。
-
[深度の超過（Depth Exceeded）]：調査は正常に実行されましたが、アーカイブがネストされた調査の深度を超過しました
-
[暗号化（Encrypted）]：部分的に正常に実行されましたが、アーカイブが暗号化されているか、暗号化されたアーカイブが含まれています
-
[調査できませんでした（Not Inspectable）]：部分的に正常に実行されましたが、ファイルは形式が不正であるか破損しています
ビジネスとの関連性（Business Relevance）
接続で検出されたアプリケーション トラフィックに関連するビジネス関連性：Very High、High、Medium、Low、または Very Low。接続で検出されたアプリケーションのタイプごとに、関連するビジネスとの関連性があります。このフィールドでは、それらのうち最も低いもの（関連が最も低い）が表示されます。
カテゴリ（Category）/ファイル タイプ カテゴリ（File Type Category）
ファイル タイプの一般的なカテゴリ（Office ドキュメント、アーカイブ、マルチメディア、実行可能ファイル、PDF ファイル、エンコード ファイル、グラフィック、システム ファイルなど）。
[クライアント（Client）]（syslog：Client）
1 つのホストで実行され、ファイルを送信するためにサーバに依存するクライアント アプリケーション。
クライアント カテゴリまたはタグ（Client Category or Tag）
アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。
（Syslog のみ）
ある接続と別の同時接続を区別するカウンタ。このフィールドは、それ自体には意味がありません。
[Sensor UUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、特定のファイルまたはマルウェアイベントに関連付けられた接続イベントを一意に識別できます。
（Syslog のみ）
接続イベントを処理した Snort インスタンス。このフィールドは、それ自体には意味がありません。
[Sensor UUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、特定のファイルまたはマルウェアイベントに関連付けられた接続イベントを一意に識別できます。
メンバー数（Count）
複数の同じ行を作成する制約を適用した後の、各行の情報に一致するイベントの数。
検出名（Detection Name）
検出されたマルウェアの名前。
ディテクタ（Detector）
マルウェアを識別した AMP for Endpoints ディテクタ（ClamAV、Spero、SHA など）。
Device
ネットワーク向け AMP によって生成されたファイル イベントとマルウェア イベントの場合は、ファイルを検出したデバイスの名前。
エンドポイント向け AMP によって生成されたマルウェア イベントと AMP クラウドによって生成されたレトロスペクティブ マルウェア イベントの場合は、Firepower Management Center の名前。
[後処理/ファイルの後処理（Disposition / File Disposition）]（syslog：SHA_Disposition）
ファイルの性質：
- マルウェア（Malware）
-
AMP クラウドでそのファイルがマルウェアとして分類された、ローカル マルウェア分析でマルウェアとして識別された、またはファイル ポリシーで定義されたマルウェアしきい値をファイルの脅威スコアが超えたことを示します。
- [クリーン（Clean）]
-
AMP クラウドでそのファイルがクリーンとして分類されているか、ユーザがファイルをクリーン リストに追加したことを示します。クリーンのファイルがマルウェア テーブルに含められるのは、そのファイルがクリーンに変更された場合だけです。
- [不明（Unknown）]
-
システムが AMP クラウドに問い合わせましたが、ファイルの性質が割り当てられていませんでした。言い換えると、AMP クラウドがファイルを正しく分類していませんでした。
- カスタム検出（Custom Detection）
-
ユーザがカスタム検出リストにファイルを追加したことを示します。
- [応対不可（Unavailable）]
-
システムがAMPクラウドに問い合わせできなかったことを示します。この性質に関するイベントが、わずかながら存在する可能性があります。これは予期された動作です。
- [該当なし（N/A）]
-
[ファイル検出（Detect Files）] または [ファイル ブロック（Block Files）] ルールがファイルを処理し、Firepower Management Center が AMP クラウドに問い合わせなかったことを示します。
ファイルの後処理は、システムが AMP クラウドにクエリを実行したファイルについてのみ表示されます。
syslog フィールドには最初の後処理のみが反映されます。レトロスペクティブな判定を反映するようには更新されません。
ドメイン
ネットワーク向け AMP によって生成されたファイル イベントとマルウェア イベントの場合は、ファイルを検出したデバイスのドメイン。エンドポイント向け AMP によって生成されたマルウェア イベントおよび AMP クラウドによって生成される遡及的マルウェア
イベントの場合、イベントを報告した AMP クラウド接続に関連付けられたドメイン。
This field is only present if you have ever configured the Firepower Management Center for multitenancy.
DstIP（syslog のみ）
接続に応答したホストの IP アドレス。これは、FileDirection フィールドの値によってファイルの送信者または受信者の IP アドレスとなる場合があります。
FileDirection が Upload の場合、これはファイル受信者の IP アドレスです。
FileDirection が Download の場合、これはファイル送信者の IP アドレスです。
SrcIP も参照してください。
DstPort（syslog のみ）
DstIP で説明されている接続で使用されるポート。
イベント サブタイプ（Event Subtype）
マルウェア検出につながった AMP for Endpoints アクション（[作成（Create）]、[実行（Execute）]、[移動（Move）]、[スキャン（Scan）] など）。
イベント タイプ（Event Type）
マルウェア イベントのサブタイプ。
[ファイル名（File Name）]（syslog：FileName）
ファイルの名前。
ファイル パス（File Path）
AMP for Endpoints によって検出されたマルウェア ファイルのファイル パス（ファイル名を含まない）。
[ファイル ポリシー（File Policy）]（syslog：FilePolicy）
ファイルを検出したファイル ポリシー。
[ファイル ストレージ/保存済み（File Storage / Stored）]（syslog：FileStorageStatus）
イベントに関連付けられたファイルのストレージ ステータス：
- 保存（Stored）
-
関連するファイルが現在保存されているすべてのイベントを返します。
- 関連保存（Stored in connection）
-
関連するファイルが現在保存されているかどうかに関係なく、関連するファイルをシステムがキャプチャおよび保存したすべてのイベントを返します。
- 失敗しました（Failed）
-
関連するファイルをシステムが保存できなかったすべてのイベントを返します。
syslog フィールドには、初期のステータスのみが含まれています。これらのステータスは変更後のステータスを反映するようには更新されません。
ファイルのタイムスタンプ（File Timestamp）
AMP for Endpoints が検出したマルウェア ファイルが作成された日時。
FileDirection（syslog のみ）
接続中にファイルがダウンロードされたか、またはアップロードされたか。値は次のとおりです。
FileSandboxStatus（syslog のみ）
ファイルが動的分析のために送信されたかとその場合のステータスを示します。
（Syslog のみ）
システムが最初のパケットを検出した時間。
[Sensor UUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、特定のファイルまたはマルウェアイベントに関連付けられた接続イベントを一意に識別できます。
FirstPacketSecond（syslog のみ）
ファイルのダウンロード フローまたはアップロード フローが開始された時刻。
イベントが発生した時刻がメッセージ ヘッダーのタイムスタンプにキャプチャされます。
HTTP 応答コード（HTTP Response Code）
ファイルの転送時にクライアントの HTTP 要求に応じて送信される HTTP ステータス コード。
IOC
マルウェア イベントが、接続に関与したホストに対する侵入の痕跡（IOC）をトリガーしたかどうか。AMP for Endpoints データが IOC ルールをトリガーした場合、タイプ AMP IOC で、完全なマルウェア イベントが生成されます。
メッセージ（Message）
マルウェア イベントに関連付けられる追加情報。ファイル イベントおよびネットワーク向け AMP によって生成されたマルウェア イベントでは、このフィールドは、後処理が変更された、つまり関連付けられたレトロスペクティブ イベントがあるファイルに対してのみ入力されます。
Protocol（syslog のみ）
接続に使用されたプロトコル（TCP や UDP など）。
受信側の大陸（Receiving Continent）
ファイルを受信するホストの大陸。
受信側の国（Receiving Country）
ファイルを受信するホストの国。
受信側 IP（Receiving IP）
FMC の Web インターフェイスでは、次のようになります。
ファイル イベントおよびネットワーク向け AMP によって生成されたマルウェア イベントの場合、ファイルを受信するホストの IP アドレス。
エンドポイント向け AMP によって生成されたマルウェアのイベントの場合、コネクタがイベントを報告したエンドポイントの IP アドレス。
同等な syslog については（ネットワーク向け AMP のみ）、 DstIP と SrcIP を参照してください。
受信側のポート（Receiving Port）
FMC の Web インターフェイスでは、次のようになります。
ファイルが検出されたトラフィックによって使用される宛先ポート。
Syslog と同等なものについては、DstIP および SrcIP と DstPort および SrcPort を参照してください。
[セキュリティ コンテキスト（Security Context）]（syslog：Context）
トラフィックが通過した仮想ファイアウォール グループを識別するメタデータ。複数のコンテキスト モードで実行している 1 台以上の ASA FirePOWER デバイスを管理する場合、システムはこのフィールドのみを表示します。
送信側の大陸（Sending Continent）
ファイルを送信するホストの大陸。
送信側の国（Sending Country）
ファイルを送信するホストの国。
送信側 IP（Sending IP）
FMC の Web インターフェイス：ファイルを送信するホストの IP アドレス。
同等な syslog については、 DstIP と SrcIP を参照してください。
送信側のポート（Sending Port）
FMC の Web インターフェイスでは、次のようになります。
ファイルが検出されたトラフィックによって使用される送信元ポート。
同等な syslog については、DstIP および SrcIP と DstPort および SrcPort を参照してください。
（Syslog のみ）
イベントを生成した Firepower デバイスの一意の識別子。
[Sensor UUID]、[First Packet Time]、[Connection Instance ID]、および [Connection Counter] フィールドの情報を総合すると、特定のファイルまたはマルウェアイベントに関連付けられた接続イベントを一意に識別できます。
[SHA256/ファイル SHA256/（SHA256/File SHA256）]（syslog：FileSHA256）
ファイルの SHA-256 ハッシュ値。
SHA256 値を得るには、ファイルが次のいずれかによって処理されている必要があります。
-
[ファイルの保存（Store files）] が有効になっているファイル検出ファイル ルール。
-
[ファイルの保存（Store files）] が有効になっているファイル ブロック ファイル ルール。
-
マルウェア クラウド ルックアップ ファイル ルール
-
マルウェア ブロック ファイル ルール
-
AMP for Endpoints
また、この列には最後に検出されたファイル イベントおよびファイルの後処理を表し、ネットワーク ファイル トラジェクトリにリンクするネットワーク ファイル トラジェクトリ アイコンも表示されます。
[サイズ（KB）/ファイル サイズ（KB）（Size (KB) / File Size (KB)）]（syslog：FileSize）
FMC の Web インターフェイス：ファイルのサイズ（バイト単位）。
In syslog messages: The size of the file, in bytes.
ファイルが完全に受信される前にシステムがファイルのタイプを特定した場合は、ファイル サイズが計算されない場合があります。この状況では、このフィールドは空白です。
SperoDisposition(Syslog のみ)
SPERO 署名がファイル分析で使用されたかどうかを示します。有効な値：
-
ファイルで実行された Spero の検出
-
ファイルで実行されなかった Spero の検出
SrcIP（syslog のみ）
接続を開始したホストの IP アドレス。これは、FileDirection フィールドの値によってファイルの送信者または受信者の IP アドレスとなる場合があります。
FileDirection が Upload の場合、これはファイル送信者の IP アドレスです。
FileDirection が Download の場合、これはファイル受信者の IP アドレスです。
DstIP も参照してください。
SrcPort（syslog のみ）
SrcIP で説明されている接続で使用されるポート。
[SSL の実際のアクション（SSL Actual Action）]（syslog：SSLActualAction）
システムが暗号化されたトラフィックに適用したアクション。
- [ブロック（Block）] または [リセットしてブロック（Block with reset）]
-
ブロックされた暗号化接続を表します。
- [復号（再署名）（Decrypt (Resign)）]
-
再署名サーバ証明書を使用して復号された発信接続を表します。
- [復号（キーの交換）（Decrypt (Replace Key)）]
-
置き換えられた公開キーと自己署名サーバ証明書を使用して復号化された発信接続を表します。
- [復号（既知のキー）（Decrypt (Known Key)）]
-
既知の秘密キーを使用して復号化された着信接続を表します。
- [デフォルトアクション（Default Action）]
-
接続がデフォルト アクションによって処理されたことを示します。
- [復号しない（Do not Decrypt）]
-
システムが復号化しなかった接続を表します。
フィールド値は、検索ワークフロー ページの [SSL ステータス（SSL Status）] フィールドに表示されます。
[SSL 証明書情報（SSL Certificate Information）]
トラフィックを暗号化するための公開キー証明書に保存される次の情報：
-
サブジェクト/発行元共通名（Subject/Issuer Common Name）
-
サブジェクト/発行元組織（Subject/Issuer Organization）
-
サブジェクト/発行元組織単位（Subject/Issuer Organization Unit）
-
有効期間（Not Valid Before/After）
-
シリアル番号（Serial Number）、証明書フィンガープリント（Certificate Fingerprint）
-
公開キー フィンガープリント（Public Key Fingerprint）
syslog の場合は、SSLCertificate を参照してください。
[SSL 失敗の理由（SSL Failure Reason）]（syslog：SSLFlowStatus）
システムが暗号化されたトラフィックの復号化に失敗した理由。
-
不明
-
No Match
-
Success
-
Uncached Session
-
不明な暗号スイート
-
サポートされていない暗号スイート
-
Unsupported SSL Version
-
SSL Compression Used
-
Session Undecryptable in Passive Mode
-
Handshake Error
-
Decryption Error
-
Pending Server Name Category Lookup
-
Pending Common Name Category Lookup
-
Internal Error
-
Network Parameters Unavailable
-
Invalid Server Certificate Handle
-
Server Certificate Fingerprint Unavailable
-
Cannot Cache Subject DN
-
Cannot Cache Issuer DN
-
Unknown SSL Version
-
External Certificate List Unavailable
-
External Certificate Fingerprint Unavailable
-
Internal Certificate List Invalid
-
Internal Certificate List Unavailable
-
Internal Certificate Unavailable
-
Internal Certificate Fingerprint Unavailable
-
Server Certificate Validation Unavailable
-
Server Certificate Validation Failure
-
無効なアクション（Invalid Action）
フィールド値は、検索ワークフローのページの [SSL ステータス（SSL Status）] フィールドに表示されます。
SSL ステータス（SSL Status）
暗号化接続をログに記録した [SSL の実際のアクション（SSL Actual Action）]（SSL ルール、デフォルトのアクション、または復号化できないトラフィック アクション）に関連付けられているアクション。ロック アイコン（
）は、TLS/SSL 証明書の詳細にリンクしています。証明書を利用できない場合（たとえば、TLS/SSL ハンドシェイク エラーにより接続がブロックされる場合）、ロック アイコンはグレー表示になります。
システムが暗号化接続を復号できなかった場合は、[SSL の実際の動作（SSL Actual Action）]（実行された復号不能のトラフィック アクション）と、[SSL 失敗理由（SSL Failure Reason）] が表示されます。たとえば、不明な暗号スイートによって暗号化されたトラフィックをシステムが検出し、それ以上のインスペクションをせずにこれを許可した場合、このフィールドには [Do Not Decrypt (Unknown Cipher Suite)] が表示されます。
このフィールドを検索する場合は、[SSL の実際の動作（SSL Actual Action）] と [SSL 失敗理由（SSL Failure Reason）] の 1 つ以上の値を入力し、システムが処理した、または復号に失敗した暗号化トラフィックを表示します。
[SSL 件名/発行者の国（SSL Subject/Issuer Country）]
暗号化証明書に関連付けられた件名または発行元国の 2 文字の ISO 3166-1 alpha-2 国番号。
SSLCertificate（syslog のみ）
TLS/SSL サーバの証明書のフィンガープリント。
[脅威の名前（Threat Name）]（syslog：ThreatName）
検出されたマルウェアの名前。
[脅威スコア（Threat Score）]（syslog：ThreatScore）
このファイルに関連付けられている最新の脅威スコア。これは、動的分析中に観察された悪意がある可能性がある動作に基づいた 0 ～ 100 の値です。
脅威スコア アイコンは、[動的分析要約（Dynamic Analysis Summary）] レポートにリンクされています。
時刻（Time）
イベントが生成された日時。このフィールドは検索できません。
syslog メッセージでは、 FirstPacketSecond を参照してください。
[タイプ/ファイル タイプ（Type/File Type）]（syslog：FileType）
ファイルのタイプ（HTML や MSEXE など）。
[URI/ファイルURI（URI/File URI）]（syslog：URI）
ファイル トランザクションに関連付けられている接続の URI。たとえば、ユーザがファイルをダウンロードした URL など。
[ユーザ（User）]（syslog：User）
FMC の Web インターフェイスでは、次のようになります。
イベントが発生したホストに関連付られているユーザ名（Receiving IP）。
syslog メッセージでは、次のようになります。
ファイルをダウンロードした内部ホストに関連付けられているユーザ名。
ファイル イベントおよびネットワーク向け AMP によって生成されたマルウェア イベントの場合、このユーザはネットワーク検出によって判別されます。ユーザは宛先ホストに関連付けられているため、内部ホストがマルウェア ファイルをアップロードしたマルウェア
イベントにユーザは関連付けられません。
エンドポイント向け AMP によって生成されたマルウェア イベントの場合、エンドポイント向け AMP がユーザ名を判別します。これらのユーザをユーザ検出または制御に関連付けることはできません。それらは [ユーザ（Users）] テーブルに含まれず、それらのユーザの詳細を表示することもできません。
[Web アプリケーション（Web Application）]（syslog：WebApplication）
接続で検出された HTTP トラフィックについて、内容を表すまたは URL を要求したアプリケーション。
Web アプリケーションのカテゴリまたはタグ（Web Application Category or Tag）
アプリケーションの機能を理解するのに役立つ、アプリケーションの特性を示す基準。
）が示されます。その後ろに、マップは残りの 240 個のイベントを表示します。
）をクリックします。
）をクリックし、プロンプトが表示されたら、ファイルをダウンロードすることを確認します。ファイルをダウンロードできない場合、このアイコンは淡色表示されます。
）をクリックすると、動的分析のためにファイルを送信できます。ファイルを送信できない場合、または AMP クラウドに接続できない場合は、このアイコンは淡色表示されます。
）をクリックします。
）をクリックします。システムがファイル構成レポートを生成していなければ、このアイコンは淡色表示されます。
）の上にポインタを合わせると、イベントのサマリー情報が表示されます。いずれかのイベント サマリー情報リンクをクリックすると、デフォルトの [ファイル イベント（File Events）] ワークフローの最初のページが新しいウィンドウで開き、そのファイル
タイプのすべての余分のイベントが表示されます。[ファイル サマリー（File Summary）] イベント ビューが新しいウィンドウで表示され、クリックした条件値に一致するすべてのファイル イベントが表示されます。
フィードバック