Stealthwatch: セキュリティイベント関連フローの検索方法

[Akihiro Sumida]

• はじめに
• 前提条件
• ホストのIPアドレスから関連フローを検索
• I. Alarm by Typeから絞り込み
• II. Top Security Eventsから検索
• 発生したアラームから関連フローを検索

はじめに

本ドキュメントでは Stealthwatch Management Console (SMC) にて発生したセキュリティイベントに関連したフローの検索方法について説明します。ドキュメント作成で使用したバージョンは 7.0.0 です。他のバージョンでは内容が異なる場合があります。

前提条件

フローを収集し、セキュリティイベントを管理しているFlow Collector (FC) とSMCを連携させる必要があります。SMCとFCは同一バージョンを使用します。

なお、本ドキュメントで使用する「アラーム」とは Concern Index、Target Index などの Alarm Categories に分類されるアラームのみを指すものではなく、セキュリティイベントを含む SMC 上で表示されるアラーム全般を意味しています。

ホストのIPアドレスから関連フローを検索

1. Security Insight Dashboard 上の Top Alarming Hosts からフローを検索するホストを選択し、Host Report 画面に遷移します。対象となるホストが表示されていない場合は View All Hosts を選択するか Monitor -> Hosts から検索できます。

I. Alarm by Typeから絞り込み

2. Alarms by Type 上に表示されている当該ホストで発生したアラームの一覧から検索するアラームを選択します。

3. 検索するアラームのDetails欄のリンクをクリック

4. セキュリティイベントのACTIONS欄のアイコンをクリックし、Associated Flows を選択

5. 発生したセキュリティイベントの関連フローが表示されます。

II. Top Security Eventsから検索

2. Host Report のTop Security Events 上から検索するセキュリティイベントのACTIONS -> Associated Flowsを選択

3. 発生したセキュリティイベントの関連フローが表示されます。

発生したアラームから関連フローを検索

1. Alarms by Type や Today's Alarms から検索するアラームを選択

2. 検索するアラームのDetails欄のリンクをクリック

3. セキュリティイベントのACTIONS欄のアイコンをクリックし、Associated Flows を選択

4. 発生したセキュリティイベントの関連フローが表示されます。