SonicOS Logs and Reporting

Transcription

1 SonicWall SonicOS 6.5 ログとレポート

2 目次 1 フロー報告の統計の管理 統計 画面 外部フロー報告の統計 内部 AppFlow 報告の統計 IPFIX 合計の統計 設定 画面 設定 ローカルサーバの設定 その他の報告設定 GMSFlow サーバ 画面 外部コレクター 画面 SFR メール設定 画面 SFR 電子メール設定 電子メール送信のスケジュール キャプチャ脅威評価 画面 NetFlow の有効化と配備の情報 ユーザ設定タスク NetFlow バージョン 5 の設定 NetFlow バージョン 9 の設定 IPFIX (NetFlow バージョン 10) の設定 拡張 IPFIX の設定 IPFIX によるログを含む GMSFlow サーバの設定 SonicWall Scrutinizer を用いる拡張 NetFlow の設定 NetFlow テーブル 静的テーブル 動的テーブル テンプレート GMSFlow サーバへの接続 基本モード 詳細モード ログの設定 テーブルの列 ログの重要度と優先順位の設定 ログレベルの設定 警告レベルの設定 イベント属性のグローバルな設定 イベント属性の選択的な設定 最上行のボタン SonicWall SonicOS 6.5 ログとレポート目次 i

3 ログの表示とフィルタ処理 フィルタの追加 フィルタの表示 フィルタの削除 Syslog 設定の構成 イベントプロファイルについて Syslog サーバのプロファイリングについて GMS サーバを Syslog に使用する方法 Syslog 設定 Syslog サーバ Syslog サーバの追加 Syslog サーバの編集 Syslog サーバの有効化 Syslog サーバの無効化 Syslog サーバの削除 ログ自動化の設定 電子メールログの自動化 状態確認電子メール通知 メールサーバ設定 Solera キャプチャスタック 名前解決の設定 名前解決の設定の選択 DNS サーバの指定 ログ Analyzer の設定 法的情報へのアクセス SonicWall サポート このドキュメントについて SonicWall SonicOS 6.5 ログとレポート目次 ii

4 フロー報告の統計の管理 1 メモ :AppFlow 機能は TZ シリーズ以降の装置で利用可能です ファイアウォールのフロー報告 統計 AppFlow およびリアルタイムデータをローカルコレクターまたは外部 AppFlow サーバに送信するための構成可能な設定の管理には AppFlow 機能を使用します AppFlow は NetFlow バージョン 5 NetFlow バージョン 9 IPFIX および拡張 IPFIX といった外部 AppFlow 報告形式をサポートします AppFlow は Quest Change Auditor for SonicWall をサポートしています これは インターネットウェブサイトおよびクラウドアクティビティに関するデータを収集できる自動監査モジュールです SonicOS ファイアウォールでの Change Auditor の使用の詳細については Change Auditor for SonicWall User Guide を参照してください AppFlow 設定 > フロー報告 ページには フロー報告と内部報告に基づいて統計を表示するためにファイアウォールを構成する設定が含まれています このページから 内部報告 GMSFlow サーバ および外部コレクターの報告に関する設定を構成することもできます AppFlow 設定 > フロー報告 > 設定 ページの 統合 AppFlow 報告データコレクションを有効にする チェックボックスの横にあるリンクアイコンを選択すると AppFlow 報告 ページにアクセスできます 各 AppFlow 設定 > フロー報告 ページの下部にある 既定の設定 ボタンを選択すると 各ページの AppFlow 設定をクリアして既定値に戻すことができます AppFlow 設定 > フロー報告 ページには 以下の画面があります SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 1

5 統計 - 報告統計を 4 つのテーブルで表示する 設定 - 各種のリアルタイムデータ収集と AppFlow 報告収集を有効にできるようにする GMSFlow サーバ - GMSFlow サーバに報告する AppFlow を設定できるようにする 外部コレクター - IPFIX コレクターに報告する AppFlow を設定できるようにする SFR メール設定 - SonicFlow レポート (SFR) を送信するためのメールサーバを設定できるようにする キャプチャ脅威評価 - SFR ファイルを生成およびダウンロードできるようにする トピック : 統計 画面 設定 画面 GMSFlow サーバ 画面 外部コレクター 画面 SFR メール設定 画面 キャプチャ脅威評価 画面 NetFlow の有効化と配備の情報 ユーザ設定タスク NetFlow テーブル 統計 画面 この画面には 各種のフロー ( サーバに送信された 収集されていない 破棄された メモリに保存 / 削除された サーバに報告された / 報告されていない ) に関するレポートが表示されます また このセクションには送信された NetFlow と IPFIX (IP Flow Information Export) テンプレートの数と レポートされた一般静的フローが含まれます トピック : 外部フロー報告の統計 内部 AppFlow 報告の統計 IPFIX 合計の統計 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 2

6 外部フロー報告の統計 統計キューされた接続フロー : キューから出された接続フロー : 破棄された接続フロー : 報告が省略された接続フロー : キューされた接続以外のデータ : キューから出された接続以外のデータ : 破棄された接続以外のデータ : 報告された接続関連以外の静的データ : IPFIX によるログ報告 表示される総数 これまでに収集された接続関連のフロー 内部 AppFlow コレクターまたは外部コレクターのどちらかに報告された接続関連のフロー 報告に失敗した接続関連の収集されたフロー 報告が省略された接続関連のフロー これは 収集されたフローが報告のために設定された値よりも多い場合に 定期モードでの実行時に起こる可能性があります これまでに収集された接続関連以外のすべてのフロー 外部コレクターまたは内部 AppFlow コレクターのどちらかに報告された接続関連以外のすべてのフロー 要求が多すぎて破棄された接続関連以外のすべてのデータ 報告された接続関連以外の静的データ これには アプリケーション ウイルス スパイウェア 侵入 テーブルマップ カラムマップ ロケーションマップの一覧が含まれます IPFIX によって報告されたすべてのログ 内部 AppFlow 報告の統計 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 3

7 統計キューされたデータフロー : キューから出されたデータフロー : 破棄されたデータフロー : 報告が省略されたデータフロー : キューされた一般フロー : キューから出された一般フロー : 表示される総数 AppFlow コレクターのキューに入れられた接続関連のフロー データベースに正しく挿入されたすべての接続関連のフロー 接続速度が速いためにデータベースへの挿入に失敗した接続関連のフロー 報告が省略された接続関連のフロー データベースキュー内の接続関連以外のすべてのフロー データベースに正しく挿入された接続関連以外のすべてのフロー 破棄された一般フロー : 速度が速いために ( 要求が多すぎて ) データベースへの挿入に 失敗した接続関連以外のすべてのフロー キューから出された一般静的フロー : データベースに正しく挿入された接続関連以外のすべての静 的フロー AppFlow コレクターエラー : AppFlow コレクターエラー データベース内のフロー総数 : データベース内の接続関連のフロー IPFIX 合計の統計 IPFIX 統計は 統計 画面の下部にある 2 つのテーブルに表示されます 統計送信された NetFlow/IPFIX パケット合計外部コレクターに送信された NetFlow/IPFIX パケット GMSFlow サーバに送信された Netflow/IPFIX パケット送信された Netflow/IPFIX テンプレート外部コレクターに送信された接続フロー GMSFlow サーバに送信された接続フロー 表示される総数 これまでに収集された すべての / 外部コレクター /AppFlow サーバ /GMSFlow サーバへの送信 IPFIX/NetFlow パケット これまでに外部コレクターに送信された IPFIX/NetFlow パケット これまでに GMSFlow コレクターに送信された IPFIX/NetFlow パケット すべての / 外部コレクター /AppFlow サーバ /GMSFlow サーバに送信された IPFIX/NetFlow テンプレート 外部コレクターに報告された接続 / 静的 / 一般フロー GMSFlow サーバに報告された接続 / 静的 / 一般フロー SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 4

8 統計 外部コレクターに送信された接続関連以外の動的フロー GMSFlow サーバに送信された接続関連以外の動的フロー外部コレクターに送信された接続関連以外の静的フロー IPFIX による外部コレクターへのログ報告 GMSFlow サーバに送信された接続関連以外の静的フロー IPFIX による GMSFlow サーバへのログ報告 表示される総数 これまでに外部コレクターに送信された IPFIX/netflow パケット これまでに GMSFlow サーバに送信された IPFIX/NetFlow パケット AppFlow コレクター 外部コレクター または外部コレクターに報告された接続 / 静的 / 一般フロー これまでに IPFIX によって外部コレクターに報告されたログ GMSFlow サーバに報告された接続 / 静的 / 一般フロー これまでに IPFIX によって GMSFlow サーバに報告されたログ 設定 画面 設定 画面には ローカル内部フロー報告 AppFlow サーバ外部フロー報告 および IPFIX コレクターに関する構成可能なオプションがあります 設定 画面には 次の 3 つのセクションがあります 設定 ローカルサーバの設定 その他の報告設定 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 5

9 設定 設定 画面の 設定 セクションでは リアルタイムデータ収集と AppFlow 報告収集を有効にできます 接続報告 - 以下のモードのいずれかに従って AppFlow 報告収集を有効にします すべて - このチェックボックスをオンにすると すべてのフローが報告されます このオプションは既定の設定です インターフェース基準 - このチェックボックスをオンにすると 発信または応答インターフェースのみを基準とするフロー報告が有効になります これは どのフローが外部または内部に報告されるかを制御する手段を提供します 有効にすると フローは ネットワーク > インターフェース ページのインターフェースごとのフロー報告設定に対して確認されます インターフェースでフロー報告が無効になっている場合は そのインターフェースに関連するフローは省略されます ファイアウォール / アプリケーションルール基準 - このチェックボックスをオンにすると 既存のファイアウォールアクセスルールとアプリケーションルールの設定 ( それぞれ ファイアウォール > アクセスルール ページと ファイアウォール > アプリケーションルール ページに存在 ) を基準とするフロー報告が有効になります これはインターフェース基準の報告に似ていて 唯一の違いはインターフェース毎の設定が確認されるのではなく ファイアウォール毎のルールが選択されることです すべてのファイアウォールアクセスルールとアプリケーションルールには フロー報告を有効にするためのチェックボックスがあります このチェックボックスを有効にすると ルールに適合するフローが報告される場合に ファイアウォールルールにおけるフロー報告が有効かどうかが強制的に確認されます メモ : このオプションが有効でも フロー報告オプションが有効になっているルールがなければ データは報告されません このオプションは どのフローが報告される必要があるかを制御する追加の手段です リアルタイムデータ収集を有効にする - ファイアウォール上でのリアルタイムデータ収集を有効にしてリアルタイムの統計情報が得られるようにします 以下のためにリアルタイムデータを収集する ドロップダウンメニューで 個々の項目を有効 / 無効にできます この設定はデフォルトで有効になっています この設定が無効の場合 監視 装置の健全性 > ライブ監視 ページに表示されるリアルタイムグラフが無効になるので リアルタイム監視はストリーミングデータの収集と表示を行いません 以下のためにリアルタイムデータを収集する - リアルタイム監視 ページに表示するストリーミンググラフを選択します 既定では すべての項目が選択されています SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 6

10 オプション上位アプリケーション毎秒のビット数毎秒のパケット数平均パケットサイズ毎秒の接続数コア使用率メモリ使用率 表示するグラフアプリケーション帯域幅パケット速度パケットサイズ接続速度と接続数マルチコア監視メモリ使用率 統合 AppFlow 報告データコレクションを有効にする - SonicWall 装置上での個々の AppFlow 報告収集を有効にし 調査 報告 AppFlow 報告 に表示できるようにします 以下の報告データを収集する ドロップダウンメニューで 個々の項目を有効 / 無効にできます この設定はデフォルトで有効になっています この設定が無効の場合 AppFlow 報告 ではデータの収集と表示が行われません ヒント : 統合 AppFlow 報告データコレクションを有効にする チェックボックスのそばにある表示アイコンを選択すると 調査 報告 AppFlow 報告 ページをすばやく表示できます 以下の報告データを収集する - 調査 報告 AppFlow 報告 ページに表示するデータをこのドロップダウンメニューから選択します 既定で すべての報告が選択されています アプリケーション報告 脅威報告 ユーザ報告 地域 IP 報告 IP 報告 URL 報告 ローカルサーバの設定 ローカルサーバの設定 セクションでは 内部コレクターに対する AppFlow 報告を有効にできます ローカルコレクターに AppFlow を送信する をオンにすると SonicWall 装置上での内部サーバへの AppFlow 報告収集が有効になります このオプションを無効にした場合 調査 報告 AppFlow 報告 のタブ表示が無効になります 既定では このオプションは無効になっています メモ : このオプションを有効 / 無効にするとき この機能を完全に有効 / 無効にするために装置の再起動が必要になることがあります その他の報告設定 その他の報告設定 セクションの各オプションは 接続を報告する条件を設定します このセクションは接続関連以外のフローには適用されません SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 7

11 破棄された接続の報告 - 有効にすると ファイアウォールルールによって破棄された接続は報告されません このオプションは既定で有効です スタック接続の報告を省略する - 有効にすると ファイアウォールの TCP/IP スタックによって始動または応答した接続は報告されません 既定で このオプションは有効になっています 以下の URL 種別を含める - 報告が必要な URL の種別をドロップダウンメニューから選択します 特定の種別の URL 報告を省略するには それらの種別を非選択 ( 無効 ) にします メモ : この設定は 拡張 IPFIX を使っている場合 AppFlow ( 内部 ) と外部レポートの両方に適用されます Gif ( 既定で選択済み ) Json Jpeg ( 既定で選択済み ) Css Png ( 既定で選択済み ) Html ( 既定で選択済み ) Js Aspx ( 既定で選択済み ) Xml Cms 地域 IP 解決を有効にする - 地域 IP 解決を有効にします 無効にすると AppFlow 監視で 始動者 と 応答者 タブでの国に基づくフローのグループ化が行われなくなります このオプションは 既定で非選択 ( 無効 ) になっています メモ : 地域 IP 遮断またはボットネット遮断を有効にすると このオプションは無視されます IPv6 フローの報告を無効にする ( すべて ) - IPv6 フローの報告を無効にします この設定はデフォルトで有効になっています AppFlow 報告アップロードタイムアウト ( 秒 ) - AppFlow アップロードサーバに接続する際のタイムアウト時間 ( 秒 ) を指定します 最小タイムアウト時間は 5 秒 最大値は 300 秒 既定値は 120 秒です GMSFlow サーバ 画面 この画面には AppFlow データやリアルタイムデータを GMSFlow サーバに送信するための設定があります SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 8

12 AppFlow を GMSFlow サーバに送信する - SonicWall 装置は IPFIX を通して AppFlow データを SonicWall GMSFlow サーバに送信します このオプションは既定では無効になっています このオプションが無効になっていると SonicWall GMSFlow サーバは AppFlow 監視 AppFlow 報告 および AppFlow ダッシュボードのグラフを GMSFlow サーバ上で ( または別の SonicWall 装置のリダイレクトを通して ) 表示しません メモ : このオプションを有効 / 無効にするとき この機能を完全に有効 / 無効にするために装置の再起動が必要になることがあります リアルタイムデータを SonicWall GMSFlow サーバに送信する - SonicWall 装置は IPFIX を通してリアルタイムデータを SonicWall GMSFlow サーバに送信します このオプションは 既定では無効になっています このオプションが無効になっていると SonicWall GMSFlow サーバはリアルタイムグラフを GMSFlow サーバ上で ( または SonicWall 装置のリダイレクトを通して ) 表示しません SonicWall GMSFlow サーバにシステムログを送信する - SonicWall ファイアウォールは IPFIX を通してシステムログを SonicWall GMSFlow サーバに送信します このオプションは 既定では選択されていません 接続オープンを報告 - SonicWall 装置は新しい接続のオープンを報告します 接続がオープンした時点で対象の接続に関連するすべてのデータが利用可能であるとは限りません このオプションにより フローは新しい接続がオープンになって間もなく GMSFlow サーバ上に表示されます このオプションは 既定では無効になっています 接続クローズを報告 - SonicWall 装置は新しい接続のクローズを報告します これは GMSFlow サーバに対してフローを報告するための最も効率的な方法です 対象の接続に関連するすべてのデータが利用可能で 報告されます このオプションは既定で有効です 以下の更新時に接続を報告 - ファイアウォールは 指定された更新の発生を報告します ドロップダウンメニューから更新を選択します 既定では どの更新も選択されていません 脅威検知アプリケーション検知ユーザ検知 VPN トンネル検知 URL 検出 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 9

13 以下のテーブルに動的 AppFlow を送信する - ファイアウォールは選択されているテーブルのデータを送信します 既定では すべてのテーブルが選択されています 接続ユーザ URL URL 格付け VPN デバイススパムロケーション VOIP 重要 : 拡張 IPFIX モードでは 選択されているテーブルについてファイアウォールが報告を生成できます ファイアウォールは このデータをキャッシュしていないので 送信されなかった一部のフローでは 他の関連データとフローを相関させる際にエラーが生成される場合があります 外部コレクター 画面 外部コレクター 画面には 外部 IPFIX コレクターへの AppFlow 報告に関する設定があります フローとリアルタイムデータを外部コレクターに送信する - 指定したフローを外部フローコレクターへ報告できるようにします このオプションは 既定では無効になっています 重要 : このオプションを有効 / 無効にするとき この機能を完全に有効 / 無効にするために装置の再起動が必要になることがあります 外部フロー報告形式 - 外部フローコレクターに対して報告する オプションが選択されている場合 フロー報告の種別をドロップダウンメニューから選択する必要があります SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 10

14 NetFlow バージョン 5 ( 既定値 ) IPFIX NetFlow バージョン 9 拡張 IPFIX 1 1. 拡張 IPFIX v2 は内部設定を有効することによってサポートされます このオプションを有効にする方法については SonicWall サポートにお問い合わせください 現在は GMSFlow サーバはこのバージョンの IPFIX をサポートしていません メモ : 外部フロー報告形式 の選択内容に応じて 使用可能なオプションが変わります 報告形式の設定により 以下のようになります Netflow バージョン 5 9 または IPFIX に設定されている場合は 任意のサードパーティ製コレクターを使用して ファイアウォールから報告されたフローを表示できます ファイアウォールでは IETF で定義されている標準データ形式を使用しています Netflow バージョンおよび IPFIX 報告形式には 接続関連フローの詳細情報のみが標準に従って含まれています 拡張 IPFIX に設定されている場合 以下に関する SonicWall 動的テーブルの報告に SonicWall フロー対応のコレクターのみを使用できます コネクション ユーザ アプリケーション ロケーション URL ログ デバイス VPN トンネル デバイス スパム 無線 脅威 ( ウイルス / スパイウェア / 侵入 ) リアルタイム状況 ( メモリ /CPU/ フェースの統計 ) このモードで報告されるフローは コレクターとして設定された別の SonicWall ファイアウォール ( 特に 高可用性ペアでアイドルファイアウォールがコレクターとして動作している場合 ) から または SonicWall Linux コレクターから表示できます 標準 IPFIX サポートを使用しているいくつかのサードパーティ製コレクターも このモードを使用してアプリケーションを表示できます ただし サードパーティ製コレクターですべての報告を表示できるわけではありません メモ : 拡張 IPFIX を使う場合は Scrutinizer など SonicWall フローに対応したサードパーティ製コレクターを選択してください 外部コレクターのサーバアドレス - 機器が Netflow/IPFIX を通してフローを送信する外部コレクター IP アドレスを指定します コレクターがフロー報告を生成するためには この IP アドレスは SonicWall ファイアウォールから到達可能である必要があります コレクターが VPN トンネル経由で到達可能な場合 VPN トンネルでコレクターを使用する際の送信元 IP に送信元 IP を指定する必要があります VPN トンネルでコレクターを使用する際の送信元 IP - 外部コレクターに VPN トンネルを通して到達する必要がある場合 正しい VPN ポリシーに対する送信元 IP アドレスを指定します メモ :VPN ポリシー内で指定したローカルネットワークから送信元 IP を選択します 指定した場合 Netflow/IPFIX フローパケットは常に VPN パスを通ります 外部コレクター UDP ポート番号 - 送信する NetFlow/IPFIX パケットの UDP ポート番号を指定します 既定のポートは 2055 です 定期的に IPFIX/Netflow テンプレートを送信する - 装置はテンプレートフローを定期的に送信できるようになります このオプションは 既定では選択されています メモ : このオプションは NetFlow バージョン 9 IPFIX および拡張 IPFIX でのみ利用可能です SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 11

15 NetFlow バージョン 9 および IPFIX は データを送信する前に外部コレクターに知らせる必要があるテンプレートを使います IETF により コレクターが機器との同期を保つために 報告する機器はテンプレートを通常の間隔で送信できる必要があります コレクターが定期的にテンプレートを必要としなければ この機能は無効にしてかまいません 定期的に静的 AppFlow を送信する - 指定された静的 AppFlow テーブルに関する IPFIX レコードの 1 時間ごとの送信が有効になります このオプションは 既定では無効になっています メモ : このオプションは 拡張 IPFIX でのみ利用可能です SonicWall Scrutinizer をコレクターとして使用する場合は このオプションが選択されている必要があります 以下のテーブルに静的 AppFlow を送信する - ドロップダウンメニューから フローに対して生成する静的マッピングテーブルを選択します 静的テーブルの詳細については NetFlow テーブルを参照してください アプリケーション ( 既定で選択済み ) サービス ( 既定で選択済み ) ウイルス ( 既定で選択済み ) 格付けマップ ( 既定で選択済み ) スパイウェア ( 既定で選択済み ) テーブルマップ 侵入 ( 既定で選択済み ) カラムマップ ロケーションマップ 拡張 IPFIX モードで動作している場合は ファイアウォールはユーザ VPN アプリケーション ウイルス スパイウェアの情報を関連付けるために 複数の種別のデータを外部機器に報告します データは静的と動的の両方です 静的テーブルは めったに変化しないので一度だけ必要とされます 外部コレクターの能力によっては すべての静的テーブルが必要というわけではありません 拡張 IPFIX モードで ファイアウォールは静的マッピングテーブルを非同期で生成することにより 外部コレクターと同期できます この同期は外部コレクターがファイアウォールよりも遅れて初期化されたとき必要となります 以下のテーブルに動的 AppFlow を送信する - ドロップダウンメニューから フローに対して生成する動的マッピングテーブルを選択します 動的テーブルの詳細については NetFlow テーブルを参照してください メモ : このオプションは拡張 IPFIX でのみ利用可能です ファイアウォールは選択されているテーブルに関するレポートを生成します ファイアウォールは この情報をキャッシュしていないので 送信されなかった一部のフローでは 他の関連データとフローを相関させる際にエラーが生成される場合があります 接続 ( 既定で選択済み ) デバイス ユーザ ( 既定で選択済み ) スパム URL ( 既定で選択済み ) ロケーション URL 格付け ( 既定で選択される ) VOIP ( 既定で選択済み ) VPN ( 既定で選択済み ) IPFIX に以下の追加報告を含む - フローに生成される追加の IPFIX 報告を選択します ドロップダウンメニューから値を選択します 既定では何も選択されていません 統計は 5 秒毎に報告されます メモ : このオプションは拡張 IPFIX でのみ利用可能です SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 12

16 システムログ - インターフェース状態の変化 ファン障害 ユーザ認証 HA フェイルオーバーとフェイルバック トンネルのネゴシエーション 設定変更などのシステムログを生成します システムログには 通常はフロー ( セッション / 接続 ) 関連以外のイベント ( ファイアウォールを通るトラフィックに依存しないイベント ) が記録されます 上位 10 アプリケーション - 上位 10 アプリケーションを生成します インターフェース状況 - インターフェース毎の統計 ( インターフェース名 インターフェース帯域幅使用率 MAC アドレス リンク状況など ) を生成します コア使用率 - コア毎の使用率を生成します メモリ使用率 - 利用可能なメモリ 使用中のメモリ AppFlow コレクターで使用中のメモリの状況を生成します どちらのモードで動作していても SonicWall は接続とフローに関連しない より多くのデータを報告できます これらのテーブルはこのセクション ( 追加の報告 ) 下にグループ化されます 外部コレクターの能力によっては すべての追加テーブルが必要というわけではありません このオプションでは 必要なテーブルを選択できます 接続オープンを報告 - 新しい接続の確立時にフローを報告します 接続がオープンした時点で対象の接続に関連するすべてのデータが利用可能であるとは限りません ただし このオプションでは 新しい接続が確立して間もなく外部コレクター上にフローが表示されます 既定で このオプションは有効になっています 接続クローズを報告 - 接続のクローズ時にフローを報告します これは 外部コレクターに対してフローを報告するための最も効率的な方法です 対象の接続に関連するすべてのデータが利用可能で 報告されます 既定で このオプションは有効になっています 動作タイムアウト時に接続を報告 - 動作タイムアウトセッション数に基づく接続を報告します 有効になっている場合 ファイアウォールはアクティブなタイムアウト期間ごとにアクティブな接続を報告します 既定で このオプションは無効になっています メモ : このオプションを選択すると 転送されたバイト数 ( キロバイト ) に接続を報告 オプションを同時に選択できなくなります このオプションが既にオンになっている場合に 転送されたバイト数 ( キロバイト ) に接続を報告 を選択しようとすると 以下のメッセージが表示されます 秒数 - 動作タイムアウトまでの秒数を設定します アクティブなタイムアウトでは範囲を 1 から 999 秒の間で設定できます 既定の設定は 60 秒です 転送されたバイト数 ( キロバイト ) に接続を報告 - キロバイトで指定した一定のトラフィック量が転送されたタイミングに基づいてフローを報告します この設定が有効になっている場合 ファイアウォールは アクティブな接続上で指定バイト数の双方向データが転送されるたびに SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 13

17 アクティブな接続を報告します このオプションは 長時間動作していて監視が必要なフローに対して理想的です このオプションは 既定では選択されていません メモ : このオプションを選択すると 動作タイムアウト時に接続を報告 オプションを同時に選択できなくなります このオプションが既にオンになっている場合に 動作タイムアウト時に接続を報告 を選択しようとすると 以下のメッセージが表示されます 転送されたキロバイト - 報告を行うために必要となる 接続上で転送されるデータの量をキロバイト単位で指定します 既定値は 100 キロバイトです 1 度だけ報告 - 転送されたバイト数 ( キロバイト ) に接続を報告 オプションが有効になっている場合 指定した量のデータが接続上で転送されるたびに同じフローが繰り返し報告されます これにより ロードされたシステムで大量の IPFIX パケットが生成されることがあります このオプションを有効にすると レポートは 1 度しか送信されません このオプションは 既定では選択されています 以下の更新時に接続を報告 - プルダウンメニューから接続報告を有効にする対象を選択します ( 既定ではすべてが選択されています ) 選択項目 報告するフロー 脅威検知 脅威特有のフロー ウイルス 侵入 またはスパイウェアが検知され ると フローは再度報告されます アプリケーション検知 ユーザ検知 VPN トンネル検知 アプリケーション特有のフロー 精密パケット検査の実行によって SonicWall 装置は フローがアプリケーションの一部であるかどうかを検知できます 識別されると フローは再度報告されます ユーザ特有のフロー SonicWall 装置は フローをログイン資格情報に基づいたユーザ基準の検知に関連付けます 識別されると フローは再度報告されます VPN トンネルを通して送信されたフロー VPN トンネル上で送信されたフローが識別されると フローは再度報告されます 動作 - 以下のボタンを選択すると テンプレートと静的フローを非同期で生成します すべてのテンプレートの生成 - このボタンを選択すると IPFIX サーバ上でテンプレートの構築が開始されます この生成には最長で 2 分かかります メモ : このオプションは NetFlow バージョン 9 IPFIX および拡張 IPFIX でのみ利用可能です 静的 APPFLOW データを生成する - このボタンを選択すると IPFIX サーバへの大量のフローの生成が開始されます この生成には最長で 2 分かかります メモ : このオプションは拡張 IPFIX でのみ利用可能です ログ設定を外部コレクターに送信する - すべてのエントリを送信 ボタンを選択すると 必要なログ設定のフィールドを外部コレクターに送信します ヒント : このオプションは 合のみ表示されます 外部フロー報告形式 として 拡張 IPFIX を選択した場 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 14

18 メモ : すべてのエントリを送信 ボタンを選択する前に SonicOS と外部コレクターサーバの接続が完了していることを確認してください ヒント : 以下の場合は ボタンを再度選択して設定を同期します SonicOS がアップグレードされてログイベントが新たに追加された場合 SonicOS と外部サーバの接続がしばらく停止し ログ設定が編集された可能性がある場合 SFR メール設定 画面 SFR メール設定 画面を使用して SonicFlow レポート (SFR) が電子メールアドレスに自動的に送信されるように設定します トピック : SFR 電子メール設定 電子メール送信のスケジュール SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 15

19 SFR 電子メール設定 SonicFlow レポート (SFR) を電子メールアドレスに自動的に送信するには 以下の手順に従います 1 電子メールでレポートを送信する チェックボックスをオンにします 2 以下のオプションを入力します SMTP サーバのホスト名 フィールドに電子メールサーバのアドレスを入力します 電子メール送信先 フィールドに受信者の電子メールアドレスを入力します 送信元電子メール フィールドに送信者として使用する電子メールアドレスを入力します SMTP ポート フィールドに SMTP ポート番号を入力します 既定値は 25 です 接続セキュリティ方式 ドロップダウンメニューから電子メールのセキュリティ方式を選択します なし ( 既定 ) SSL/TLS STARTTLS 3 電子メールサーバに SMTP 認証が必要な場合は SMTP 認証を有効にする チェックボックス をオンにして 以下のオプションを入力します SMTP ユーザ名 フィールドにユーザ名を入力します SMTP ユーザパスワード フィールドにパスワードを入力します 4 電子メールサーバがメール送信前の POP 認証をサポートしている場合は メール送信前の POP 認証を有効にする チェックボックスをオンにして 以下のオプションを入力できます POP サーバアドレス フィールドに POP サーバのアドレスを入力します POP ユーザ名 フィールドにユーザ名を入力します POP ユーザパスワード フィールドにパスワードを入力します 5 適用 を選択します 電子メール設定をテストするには 以下の手順に従います 1 SFR 電子メール設定に必要な値を入力します 2 電子メールのテスト を選択します 電子メール設定が正しい場合は 確認ダイアログボックスが表示されます 電子メール設定が誤っている場合は 警告ダイアログボックスが表示されます 電子メール設定を確認し もう一度やり直してください SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 16

20 電子メール送信のスケジュール レポートを 1 回だけ送信するか 繰り返し送信するか またはその両方で送信するかをスケジュール設定することができます レポートの配信スケジュールを設定するには 以下の手順に従います 1 スケジュールの編集 ボタンを選択し SonicFlow レポート (SFR) が電子メールで送信されるスケジュールを設定します 2 スケジュールの追加 ダイアログボックスが表示されます 3 スケジュール名 フィールドに レポートの名前を入力します 4 レポートが送信される頻度を選択します 1 回 - レポートは指定した日時に 1 回だけ送信されます 繰り返し - レポートは指定した曜日と時刻に繰り返し送信されます 混在 - レポートは 1 回送信され また指定した曜日と時刻に繰り返し送信されます トピック : SFR の 1 回のみの配信のスケジュール設定 SFR の繰り返し配信のスケジュール設定 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 17

21 SFR の 1 回のみの配信のスケジュール設定 SonicFlow レポート (SFR) の 1 回のみの配信をスケジュールするには 以下の手順に従います 1 スケジュール種別 で 1 回 を選択します 2 1 回 セクションで SFR を作成する期間を設定します ドロップダウンメニューから年 月 日 時 分を選択し レポートの開始期間と終了期間を設定します 3 OK を選択します SFR の繰り返し配信のスケジュール設定 SonicFlow レポート (SFR) の繰り返し配信をスケジュールするには 以下の手順に従います 1 スケジュール種別 で 繰り返し を選択します 2 繰り返し セクションで 以下の操作を行います a レポートを作成する曜日を選択します すべての曜日を一度に選択するには すべて を選択します b レポートの開始時刻と終了時刻を 24 時間形式 ( 午前 2 時は 02:00 午後 2 時は 14:00 など ) で入力します c 追加 を選択して レポートを スケジュールリスト に追加します d 作成するスケジュール済みレポートごとにこれらの手順を繰り返します 3 OK を選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 18

22 スケジュール済みレポートの削除 一部またはすべてのスケジュール済みレポートを削除できます 特定のスケジュール済みレポートを削除するには 以下の手順に従います 1 削除するレポートを スケジュールリスト で選択します 2 削除 を選択します 選択したレポートがリストから削除されます 3 OK を選択します すべてのスケジュール済みレポートを削除するには 以下の手順に従います 1 すべて削除 を選択します すべてのレポートがリストから削除されます 2 OK を選択します キャプチャ脅威評価 画面 キャプチャ脅威評価 画面を使用して ダウンロードおよびキャプチャ脅威評価サービスへのポストができる SonicFlow レポート (SFR) を生成します SonicFlow レポート (SFR) を生成およびポストするには 以下の手順に従います 1 ログと報告 AppFlow 設定 > フロー報告 ページの キャプチャ脅威評価 画面に移動します 2 レポートの生成 を選択します 3 レポートが生成された後は そのレポートをダウンロードすることや 新しいレポートを生成することができます SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 19

23 4 レポートをダウンロードするには レポートのダウンロード を選択します NetFlow の有効化と配備の情報 計画 監視 およびアカウンティングアプリケーションに必要なデータをキャプチャする 戦略的に配置されたエッジ / アグリゲーションルータ上での NetFlow の配備と NetFlow サービスの有効化について慎重に計画を立てることをお勧めします 配備に関する重要な考慮事項としては以下のものがあります アプリケーション駆動データ収集要件の理解 アカウンティングアプリケーションにはルータフローの開始と終了の情報だけで済むこともあるのに対し 監視アプリケーションにはより包括的な ( データ集約的な ) エンドツーエンドビューが必要になることもあります フロー収集戦略へのネットワークトポロジおよびルーティングポリシーの影響の理解 たとえば 重複したフローの収集を避けるため トラフィックの開始点または終了点となる要のアグリゲーションルータ上で NetFlow を有効化し 同じフロー情報の重複ビューを生じさせるバックボーンルータや中間ルータでは有効化しません NetFlow を SonicOS 管理インターフェースに実装して ネットワーク内のフロー数およびルータへの影響を把握できます その後 NetFlow エクスポートをセットアップして NetFlow 配備を完了することができます 一般に NetFlow はエッジ / アグリゲーションルータまたは WAN アクセスルータの適切なインターフェースに配備すべき受信測定技術であり アカウンティング 監視 およびネットワーク計画のデータに関する顧客のニーズを満たすためにトラフィックの開始と終了についての包括的なビューを得るためのものです NetFlow によるデータ量の管理性を高めるための重要な手法は NetFlow の配備を慎重に計画することです NetFlow をネットワーク内のすべてのルータに配備する代わりに 段階的 ( つまり インターフェース単位で ) かつ戦略的に ( つまり 適切なルータに対して ) 配備できます ユーザ設定タスク 収集するフローの種別に応じて セットアップと設定に最適な報告の種別を判断する必要があります このセクションでは サポートされている NetFlow ソリューションごとに設定例と 2 台目の装置をコレクターとして動作させる設定を含みます SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 20

24 NetFlow バージョン 5 の設定 NetFlow バージョン 9 の設定 IPFIX (NetFlow バージョン 10) の設定 拡張 IPFIX の設定 IPFIX によるログを含む GMSFlow サーバの設定 SonicWall Scrutinizer を用いる拡張 NetFlow の設定 NetFlow バージョン 5 の設定 Netflow バージョン 5 のフロー報告を設定するには 以下の手順に従います 1 設定 を選択します 2 設定 セクションの 接続報告 で 次の 3 つのラジオボタンのいずれかを選択します すべて ( 既定 ) インターフェース基準 - 有効にすると フロー報告は 始動者または応答者インターフェースを基準として行われます ファイアウォール / アプリケーションルール基準 - 有効にすると 既存のファイアウォールルールを基準とするフロー報告が行われます 有効になっている場合 フロー報告は 始動者または応答者インターフェース あるいは既存のファイアウォールルールを基準として行われます メモ : この手順はオプションですが 選択したインターフェースでフロー報告が行われる場合は必須です 3 外部コレクター 画面を選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 21

25 4 フローとリアルタイムデータを外部コレクターに送信する チェックボックスをオンにします 5 外部フロー報告形式 として ドロップダウンリストから Netflow バージョン 5 を選択します 6 外部コレクターのサーバアドレス フィールドで外部コレクターの IP アドレスを指定します 7 必要に応じて VPN トンネルで外部コレクターに到達しなければならない場合は VPN トンネ ルでコレクターを使用する際の送信元 IP に送信元 IP を指定します 重要 : VPN トンネルによって外部コレクターに到達する必要がある場合 この手順は必須です 8 外部コレクター UDP ポート番号 で外部コレクターの UDP ポート番号を指定します 既定のポートは 2055 です 9 ページの上部にある 適用 ボタンを選択します メモ : この設定を完全に有効にするために 機器の再起動が必要になることがあります NetFlow バージョン 9 の設定 Netflow バージョン 9 のフロー報告を設定するには 以下の手順に従います 1 設定 を選択します 2 設定 セクションの 接続報告 で 次の 3 つのラジオボタンのいずれかを選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 22

26 すべて ( 既定 ) インターフェース基準 - 有効にすると フロー報告は 始動者または応答者インターフェースを基準として行われます ファイアウォール / アプリケーションルール基準 - 有効にすると 既存のファイアウォールルールを基準とするフロー報告が行われます 重要 : この手順はオプションですが 選択したインターフェースでフロー報告が行われる場合は必須です 3 外部コレクター を選択します 4 フローとリアルタイムデータを外部コレクターに送信する チェックボックスをオンにします 重要 : このオプションを有効にすると この機能を完全に有効にするために装置の再起動が必要になることがあります 5 外部フロー報告形式 として ドロップダウンメニューから Netflow バージョン 9 を選択します 6 外部コレクターのサーバアドレス フィールドで外部コレクターの IP アドレスを指定します 7 必要に応じて VPN トンネルで外部コレクターに到達しなければならない場合は VPN トンネ ルでコレクターを使用する際の送信元 IP に送信元 IP を指定します 重要 : VPN トンネルによって外部コレクターに到達する必要がある場合 この手順は必須です 8 外部コレクター UDP ポート番号 で外部コレクターの UDP ポート番号を指定します 既定のポートは 2055 です SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 23

27 9 動作 の すべてのテンプレートの生成 ボタンを選択して テンプレートの生成を開始します 確認を求めるメッセージが表示されます 重要 : IPFIX は データを送信する前に外部コレクターに知らせる必要があるテンプレートを使います 10 テンプレートが生成された後 適用 を選択します IPFIX (NetFlow バージョン 10) の設定 IPFIX (Netflow バージョン 10) のフロー報告を設定するには 以下の手順に従います 1 設定 を選択します 2 設定 セクションの 接続報告 で 次の 3 つのラジオボタンのいずれかを選択します すべて ( 既定 ) インターフェース基準 - 有効にすると フロー報告は 始動者または応答者インターフェースを基準として行われます ファイアウォール / アプリケーションルール基準 - 有効にすると 既存のファイアウォールルールを基準とするフロー報告が行われます 重要 : この手順はオプションですが 選択したインターフェースでフロー報告が行われる場合は必須です 3 外部コレクター を選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 24

28 4 フローとリアルタイムデータを外部コレクターに送信する チェックボックスをオンにします 重要 : このオプションを有効にすると この機能を完全に有効にするために装置の再起動が必要になることがあります 5 外部フロー報告形式 として ドロップダウンメニューから IPFIX を選択します 6 外部コレクターのサーバアドレス フィールドで外部コレクターの IP アドレスを指定します 7 必要に応じて VPN トンネルで外部コレクターに到達しなければならない場合は VPN トンネ ルでコレクターを使用する際の送信元 IP に送信元 IP を指定します 重要 : VPN トンネルによって外部コレクターに到達する必要がある場合 この手順は必須です 8 外部コレクター UDP ポート番号 で外部コレクターの UDP ポート番号を指定します 既定のポートは 2055 です 9 動作 の すべてのテンプレートの生成 ボタンを選択して テンプレートの生成を開始します 確認を求めるメッセージが表示されます 重要 : IPFIX は データを送信する前に外部コレクターに知らせる必要があるテンプレートを使います 10 テンプレートが生成された後 適用 を選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 25

29 拡張 IPFIX の設定 拡張 IPFIX のフロー報告を設定するには : 1 設定 を選択します 2 設定 セクションの 接続報告 で 次の 3 つのラジオボタンのいずれかを選択します すべて ( 既定 ) インターフェース基準 - 有効にすると フロー報告は 始動者または応答者インターフェースを基準として行われます ファイアウォール / アプリケーションルール基準 - 有効にすると 既存のファイアウォールルールを基準とするフロー報告が行われます 重要 : この手順はオプションですが 選択したインターフェースでフロー報告が行われる場合は必須です 3 外部コレクター を選択します 4 フローとリアルタイムデータを外部コレクターに送信する チェックボックスをオンにします 重要 : このオプションを有効にすると この機能を完全に有効にするために装置の再起動が必要になることがあります 5 外部フロー報告形式 ドロップダウンメニューから 拡張 IPFIX を選択します 6 外部コレクターのサーバアドレス フィールドで外部コレクターの IP アドレスを指定します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 26

30 7 VPN トンネルで外部コレクターに到達しなければならない場合は VPN トンネルでコレクター を使用する際の送信元 IP に送信元 IP を指定します 重要 : VPN トンネルによって外部コレクターに到達する必要がある場合 この手順は必須です 8 外部コレクター UDP ポート番号 で外部コレクターの UDP ポート番号を指定します 既定のポートは 2055 です 9 以下のテーブルに静的 AppFlow を送信する ドロップダウンメニューから 静的フローを受信したいテーブルを選択します 10 以下のテーブルに動的 AppFlow を送信する ドロップダウンメニューから 動的フローを受信したいテーブルを選択します 11 IPFIX に以下の追加報告を含む ドロップダウンメニューから フローに対して生成する追加の報告を選択します 重要 : システムログを生成するには このドロップダウンメニューから システムログ を選択します 12 すべてのテンプレートの生成 ボタンをクリックしてテンプレートの生成を開始します 重要 : 拡張 IPFIX は データを送信する前に外部コレクターに知らせる必要があるテンプレートを使います 13 定期的に静的 AppFlow を送信する チェックボックスを選択して このオプションを有効にします 選択した後で 静的 APPFLOW データを生成する ボタンを選択します 14 静的フローデータの生成を開始するには 静的 APPFLOW データを生成する ボタンを選択します 確認を求めるメッセージが表示されます 15 ログメッセージを外部コレクターに送信するには ログ設定を外部コレクターに送信する オプションの すべてのエントリを送信 ボタンを選択します 重要 : すべてのエントリを送信 ボタンを選択する前に ファイアウォールの SonicOS と外部コレクターサーバの接続が完了していることを確認してください 外部サーバは再起動時に使用するプロパティ ( 保存されるプロパティを参照 ) と設定を読み込みます 以下の場合は すべてのエントリを送信 ボタンを選択して設定を同期します SonicOS のアップグレードなどによってログイベントが新たに追加された場合 SonicOS ( ファイアウォール ) と外部サーバの接続がしばらく停止し その間にログ設定が編集された可能性がある場合 メモ : ログイベント設定のフィールドが変更された場合 SonicOS は自動的に更新を外部サーバに送信します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 27

31 保存されるプロパティ 種別 プロパティ イベントのプロパティと設定 イベント ID 優先順位 所属グループ ID ストリームフィルタ 色 イベント名 メッセージ種別 ID ログメッセージ グループのプロパティ グループ ID グループ名 所属種別 ID 種別のプロパティ 種別 ID 種別名 メッセージ種別のプロパティ 種別 ID 種別名 16 適用 を選択します IPFIX によるログを含む GMSFlow サーバの設定 IPFIX によるログを含むように GMSFlow サーバを設定するには : 1 AppFlow > フロー報告 に移動します 2 GMSFlow サーバ を選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 28

32 3 SonicWall GMSFlow サーバにシステムログを送信する チェックボックスをオンにします このオプションは 既定では選択されていません 4 適用 を選択します 5 AppFlow 設定 > GMS フローサーバ に移動します 6 ログメッセージを GMSFlow サーバに送信するには ログ設定の同期 ボタンを選択します 重要 : ログ設定の同期 ボタンを選択する前に ファイアウォールの SonicOS と GMSFlow サーバの接続が完了していることを確認してください 外部サーバは再起動時に使用するプロパティ ( 保存されるプロパティを参照 ) と設定を読み込みます 以下の場合は すべてのエントリを送信 ボタンを選択して設定を同期します SonicOS のアップグレードなどによってログイベントが新たに追加された場合 SonicOS ( ファイアウォール ) と外部サーバの接続がしばらく停止し その間にログ設定が編集された可能性がある場合 メモ : ログイベント設定のフィールドが変更された場合 SonicOS は自動的に更新を外部サーバに送信します 7 適用 を選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 29

33 SonicWall Scrutinizer を用いる拡張 NetFlow の設定 拡張 Netflow で使用できる外部フロー報告オプションの 1 つとして SonicWall Scrutinizer というサードパーティ製コレクターがあります このコレクターは Netflow および SonicWall フローの両方に対応した一定の範囲の報告と分析を表示します 拡張 Netflow の報告の設定を確認するには 以下の手順に従います 1 設定 を選択します 2 設定 セクションの 接続報告 で すべてのラジオボタンを選択します 重要 : この手順はオプションですが 選択したインターフェースでフロー報告が行われる場合は必須です 3 外部コレクター を選択します 4 フローとリアルタイムデータを外部コレクターに送信する チェックボックスをオンにします 重要 : このオプションを有効にすると この機能を完全に有効にするために装置の再起動が必要になることがあります 5 外部フロー報告形式 ドロップダウンメニューから 拡張 IPFIX を選択します 6 外部コレクターのサーバアドレス フィールドで外部コレクターの IP アドレスを指定します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 30

34 7 必要に応じて VPN トンネルによって外部コレクターに到達する必要がある場合は VPN トン ネルでコレクターを使用する際の送信元 IP フィールドで送信元 IP を指定します 重要 : VPN トンネルによって外部コレクターに到達する必要がある場合 この手順は必須です 8 外部コレクター UDP ポート番号 で外部コレクターの UDP ポート番号を指定します 既定のポートは 2055 です 9 定期的に静的 AppFlow を送信する チェックボックスを選択します 10 以下のテーブルに動的 AppFlow を送信する ドロップダウンメニューから 静的フローを受信したいテーブルを選択します メモ : 現在 Scrutinizer は アプリケーション と 脅威 のみをサポートしています Plixer は 将来のバージョンで静的フローの ロケーションマップ サービス 格付けマップ テーブルマップ および カラムマップ をサポートする予定です 11 静的 APPFLOW データを生成する ボタンを選択します 12 適用 を選択します 13 システムセットアップ ネットワーク > インターフェース に移動します 14 データの要求先となるすべてのインターフェースについて 設定 アイコンをクリックしてフロー報告が有効になっていることを確認します インターフェースの編集 ダイアログが表示されます SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 31

35 15 詳細 画面で フロー報告を有効にする チェックボックスがオンになっていることを確 認します 16 OK を選択します 17 SonicWall Scrutinizer にログインします 数分でデータが表示されます SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 32

36 NetFlow テーブル 次のセクションでは 種々の NetFlow テーブルについて説明します また フローを報告するように SonicWall を設定した場合にエクスポートされる拡張 IPFX テーブルについても詳しく説明します トピック : 静的テーブル 動的テーブル テンプレート NetFlow バージョン 5 NetFlow バージョン 9 IPFIX (NetFlow バージョン 10) 拡張 IPFIX 静的テーブル 静的テーブルとは 時間が経過してもデータが変化しないテーブルです ただし このデータは他のテーブルと関連付けるために不可欠です 静的テーブルは 通常は指定の間隔で報告されますが 1 度だけ送信されるように設定することもできます エクスポートできる静的 IPFIX テーブル表は エクスポートできる静的 IPFIX テーブルの一覧を示します エクスポートできる静的 IPFIX テーブル アプリケーションマップウイルスマップスパイウェアマップ侵入マップロケーションマップサービスマップ 格付けマップテーブルレイアウトマップカラムマップ 種々の属性 シグネチャ ID アプリケーション ID 種別名 および種別 ID など ファイアウォールが識別するすべてのアプリケーションを報告します ファイアウォールによって検知されたすべてのウイルスを報告します ファイアウォールによって検知されたすべてのスパイウェアを報告します ファイアウォールによって検知されたすべての侵入を報告します 国と地域およびそれらの ID のリストを記述した SonicWall のロケーションマップを表します ポート番号 プロトコル種別 ポート番号の範囲 および名前が含まれる SonicWall のサービスリストを表します SonicWall の格付け ID リストおよび格付け種別の名前を表します テーブル ID とテーブル名など エクスポートする SonicWall のテーブルのリストを報告します すべてのテーブルの各カラムについて名前 種別サイズ および IPFIX 標準の相当物と共に報告する SonicWall のカラムリストを表します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 33

37 動的テーブル 動的テーブルのデータは 静的テーブルとは違って 時間が経過すると変化し ファイアウォールの動作に基づいて繰り返し送信されます これらのテーブルのカラムは 統計や使用率の報告が含まれる少数のテーブルを除いて 時間の経過と共に増大します エクスポートできる動的 IPFIX テーブル表は エクスポートできる動的 IPFIX テーブルの一覧を示します エクスポートできる動的 IPFIX テーブル 接続ユーザ URL URL 格付け VPN デバイススパムロケーション VoIP SonicWall の接続を報告します トリガを設定することによって 同じフローテーブルを何回も報告することができます LDAP/RADIUS ローカル または SSO によってファイアウォールにログインしているユーザを報告します ファイアウォールを通じてアクセスされた URL を報告します ファイアウォールを通じてアクセスされたすべての URL の格付け ID を報告します ファイアウォールを通じて確立されたすべての VPN トンネルを報告します 接続された機器の MAC アドレス IP アドレス インターフェース および NETBIOS 名を含めて ファイアウォールを通じて接続されたすべての機器のリストを報告します スパムサービスを通じたすべての電子メール交換を報告します IP アドレスのロケーションとドメイン名を報告します ファイアウォールを通じたすべての VoIP/H323 呼び出しを報告します テンプレート 次のセクションでは エクスポートされる Netflow テンプレートの例を示します 独自の Netflow 設定の診断レポートを実行するには 調査 ツール システム診断 に移動し テクニカルサポートレポート セクションの レポートのダウンロード ボタンを選択します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 34

38 トピック : NetFlow バージョン 5 NetFlow バージョン 9 IPFIX (NetFlow バージョン 10) 拡張 IPFIX NetFlow バージョン 5 NetFlow バージョン 5 のデータグラムは ヘッダーと 1 つ以上のフローレコードから成っており UDP を使用してエクスポートデータグラムを送信します ヘッダーの最初のフィールドには エクスポートデータグラムのバージョン番号が含まれます ヘッダーの 2 番目のフィールドには データグラム内のレコード数が含まれます これはレコードの検索に使用できます NetFlow バージョン 5 は固定データグラムなので テンプレートは使用できず NetFlow バージョン 5 のヘッダー形式表および NetFlow バージョン 5 のレコード形式表の表の形式に従います NetFlow バージョン 5 のヘッダー形式 バイト 目次 説明 0-1 version NetFlow エクスポート形式のバージョン番号 2-3 count このパケットでエクスポートされたフローの数 (1~30) 4-7 SysUptime エクスポート機器が起動してから現在までの時間 ( ミリ秒数 ) SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 35

39 NetFlow バージョン 5 のヘッダー形式 バイト 目次 説明 8-11 unix_secs 0000 UTC 1970 から現在までの秒数 unix_nsecs 0000 UTC 1970 からの残余時間 ( ナノ秒数 ) flow_sequence 観測したフロー全体のシーケンスカウンタ 20 engine_type フロースイッチングエンジンの種別 20 engine_id フロースイッチングエンジンのスロット番号 sampling_interval 最初の 2 ビットがサンプリングモードを保持し 残りの 14 ビットがサンプリング間隔の値を保持します NetFlow バージョン 5 のレコード形式 バイト 目次 説明 0-3 srcaddr 送信元 IP アドレス 4-7 dstaddr 送信先 IP アドレス 8-11 nexthop ネクストホップルータの IP アドレス input 入力インターフェースの SNMP インデックス output 出力インターフェースの SNMP インデックス dpkts フローのパケット数 doctets フローのパケットのレイヤ 3 バイトの総数 First フロー開始時の SysUptime Last フローの最終パケット受信時の SysUptime srcport TCP/UDP 送信元ポート番号または同等の情報 dstport TCP/UDP 送信先ポート番号または同等の情報 36 pad1[l2tp] 未使用 ( ゼロ ) バイト 37 tcp_flags TCP フラグの累積 OR 38 prot IP プロトコル種別 ( 例えば TCP=6 UDP=17) 39 tos IP サービス種別 (ToS) src_as 送信元の Autonomous システム番号 起点またはピア dst_as 送信先の Autonomous システム番号 起点またはピア 44 src_mask 送信元アドレスプレフィックスマスクビット 45 dst_mask 送信先アドレスプレフィックスマスクビット pad2 未使用 ( ゼロ ) バイト SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 36

40 NetFlow バージョン 9 NetFlow バージョン 9 の例 NetFlow バージョン 9 のテンプレート FlowSet フィールドは NetFlow バージョン 9 のテンプレート FlowSet フィールドの詳しい説明です NetFlow バージョン 9 のテンプレート FlowSet フィールド フィールド名 Template ID 説明 ファイアウォールは エクスポートされる NetFlow データのタイプに適合する FlowSet テンプレートに基づいて一意の ID を持つテンプレートを生成します Name NetFlow テンプレートの名前 Number of Elements NetFlow テンプレート内のフィールドの総数 Total Length NetFlow テンプレート内の報告されたすべてのフィールドの総バイト長 Field Type フィールドの種別を表す数値 この値はベンダごとに異なる可能性があ ります Field bytes 特定のフィールド種別のバイト長 IPFIX (NetFlow バージョン 10) IPFIX (NetFlow バージョン 10) の例 IPFIX のテンプレート FlowSet フィールドは IPFIX のテンプレート FlowSet フィールドについて説明します SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 37

41 IPFIX のテンプレート FlowSet フィールド フィールド名 Template ID Name Number of Elements 説明 ファイアウォールは エクスポートされる NetFlow データのタイプに適合する FlowSet テンプレートに基づいて一意の ID を持つテンプレートを生成します NetFlow テンプレートの名前 NetFlow テンプレート内のフィールドの総数 Total Length NetFlow テンプレート内の報告されたすべてのフィールドの総バイト長 Field Type フィールドの種別を表す数値 この値はベンダごとに異なる可能性があります Field bytes 特定のフィールド種別のバイト長 拡張 IPFIX 拡張 IPFIX がエクスポートするテンプレートは 前述したバージョンの NetFlow フィールドと SonicWall ID を組み合わせたものです これらのフローには エンタープライズ定義のフィールドタイプやエンタープライズ ID といった拡張がいくつか含まれています メモ :SonicWall 固有のエンタープライズ ID (EntID) は 8741 として定義されています 拡張 IPFIX の Name テンプレートの例表は拡張 IPFIX テンプレートの標準です 指されている値は静的で すべての NetFlow エクスポート可能テンプレートの Table Name と関連しています 拡張 IPFIX のテンプレートの例表も参照してください 拡張 IPFIX の Name テンプレートの例 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 38

42 拡張 IPFIX のテンプレートの例 SonicWall SonicOS 6.5 ログとレポートフロー報告の統計の管理 39

43 GMSFlow サーバへの接続 2 AppFlow 設定 > GMSFlow サーバ ページでは GMSFlow サーバへの接続を確立できます SonicWall グローバル管理システム (GMS) では GMS の分散配備にフローサーバの役割を使用できます この役割では GMS サーバが単一のサービスとして動作し 既定のポートで SonicWall フローを収集します この役割で動作する単一のサービスは SonicWall Universal Management Suite - フローサーバです フローは 内部データベースに収集され 保存されます これらのフローからレポートを作成するには バージョン 7.1 以降の GMS サーバを配備し コンソールまたはオールインワンの役割を設定する必要があります また 以下のポートをオープンにする必要もあります UDP 2055 UDP 5055 TCP 9063 TCP 9064 TCP 9065 TCP 9066 TCP 9067 GMS サーバには 固定 Syslog ファシリティ ( ローカル 0) Syslog 形式 ( 既定 ) およびサーバ ID ( ファイアウォール ) があります GMS のイベントプロファイル値は既定で 0 に設定されますが プロファイルに関係なくすべてのイベントが GMS に報告されます GMS は速度制限からも除外されます GMS の有効と無効の切り替えは システムセットアップ 装置 > 基本設定 ページの より高度な管理 セクションでのみ行うことができ ログ設定 > Syslog ページではできません トピック : 基本モード 詳細モード SonicWall SonicOS 6.5 ログとレポート GMSFlow サーバへの接続 40

44 基本モード 接続の確立は 次の 2 ステップで行われます 1 GMSFlow サーバへの接続を確立します 2 SonicOS の ログと報告 AppFlow 設定 > フロー報告 ページで GMSFlow サーバを設定します GMS を使用する AppFlow サーバの設定については 以下のページで参照できる最新の SonicWall GMS 管理者ガイド を参照してください GMSFlow サーバへの接続を確立するには 以下の手順に従います 1 GMS で Instant GMSFlow サーバにログインします 2 ネットワーク > 設定 ページに移動します 3 GMSFlow サーバのホスト IP アドレスを確認し コピーします SonicWall ネットワークセキュリティ装置で 以下の手順に従います 1 ログと報告 AppFlow 設定 > GMSFlow サーバ ページに移動します 2 Flow サーバ設定モード で 基本 が選択されている必要があります ( これが既定の設定 です ) 3 GMSFlow サーバアドレス フィールドで 次のいずれかの操作を行います GMSFlow サーバからコピーしたホスト IP アドレスを貼り付けます 事前定義されたアドレスオブジェクトを アドレスオブジェクト ドロップダウンリストから選択します アドレスオブジェクトの作成 を選択して新しいアドレスオブジェクトを作成することもできます アドレスオブジェクトの作成については SonicWall SonicOS 6.5 ポリシーを参照してください 4 VPN トンネルを越えて使用する送信元 IP フィールドに 適用可能な VPN ポリシーの送信元 IP アドレスを指定します 重要 : GMSFlow サーバが VPN トンネル経由で到達可能な場合 このフィールドを指定する必要があります VPN ポリシーから IP を選択できます 5 サーバ通信タイムアウト フィールドに Flow サーバからの応答をファイアウォールが待機する時間 ( 秒数 ) を指定します 有効な範囲は 60 ( 既定値 ) ~ 120 秒です SonicWall SonicOS 6.5 ログとレポート GMSFlow サーバへの接続 41

45 6 ファイアウォールが再起動するたびに静的なフローをフローサーバに送信する場合は GMSFlow サーバを自動同期する オプションを選択します ( これは既定で選択されています ) 7 また GMSFlow サーバへの接続をテストするには 接続テスト ボタンをクリックします 接続状況が表示されます 8 静的データを GMSFlow サーバに手動で送信する場合は サーバの同期 ボタンをクリックし ます 同期状況が表示されます 9 適用 を選択します トピック : GMSFlow サーバへの接続 詳細モード 重要 : SonicWall GMS 製品に接続し 登録した後で クリックする必要があります サーバの同期 ボタンを一度だけ 詳細モード 詳細設定モードでは 複数の GMSFlow サーバを選択し サーバ間でフローをどのように振り向けたり負荷分散したりするかを設定できます 接続の確立は 次の 2 ステップで行われます 1 GMSFlow サーバへの接続を確立します 2 SonicOS の ログと報告 AppFlow 設定 > フロー報告 ページで GMSFlow サーバを設定します GMS を使用する AppFlow サーバの設定については 以下のページで参照できる最新の SonicWall GMS 管理者ガイド を参照してください GMSFlow サーバへの接続を確立するには 以下の手順に従います 1 GMS で Instant GMSFlow サーバにログインします 2 ネットワーク > 設定 ページに移動します 3 GMSFlow サーバのホスト IP アドレスを確認し コピーします SonicWall ネットワークセキュリティ装置で 以下の手順に従います 1 ログと報告 AppFlow 設定 > GMSFlow サーバ ページに移動します 2 Flow サーバ設定モード で 詳細 を選択します 3 詳細 Flow サーバ設定モード を設定します SonicWall SonicOS 6.5 ログとレポート GMSFlow サーバへの接続 42

46 アクティブスタンバイ - このオプションを選択すると フローはまず GMSFlow サーバ 1 ( 利用可能な場合 ) に振り向けられます GMSFlow サーバ 1 が利用できない場合 フローは GMSFlow サーバ 2 ( 利用可能な場合 ) に振り向けられます ( これが既定の設定です ) 負荷分散 - このオプションを選択すると 次のどちらかの負荷分散設定を選択できます 共有負荷 - 両方の Flow サーバが利用できる場合 フローは 2 台の Flow サーバ間で均等に分割されます ミラー - この負荷分散オプションを選択すると すべてのフローが両方の Flow サーバに送られます 4 GMSFlow サーバアドレス フィールドで 次のどちらかの操作を行います GMSFlow サーバからコピーしたホスト IP アドレスを貼り付けます 事前定義されたアドレスオブジェクトを アドレスオブジェクト ドロップダウンリストから選択します アドレスオブジェクトの作成 を選択して新しいアドレスオブジェクトを作成することもできます アドレスオブジェクトの作成については SonicWall SonicOS 6.5 ポリシーを参照してください 5 各 GMSFlow サーバの VPN トンネルを越えて使用する送信元 IP フィールドに 適用可能な VPN ポリシーの送信元 IP アドレスを指定します 6 各 GMSFlow サーバの サーバ通信タイムアウト フィールドに Flow サーバからの応答をファイアウォールが待機する時間 ( 秒数 ) を指定します 有効な範囲は 60 ( 既定値 ) ~ 120 秒です 7 ファイアウォールが再起動するたびに静的なフローを Flow サーバに送信できるようにする場合は その GMSFlow サーバの GMSFlow サーバを自動同期する オプションを選択します 8 GMSFlow サーバへの接続をテストするには その GMSFlow サーバの 接続テスト ボタンを選択します 接続状況が表示されます 9 静的データを GMSFlow サーバに手動で送信する場合は その GMSFlow サーバの サーバの同期 ボタンを選択します 同期状況が表示されます 10 適用 を選択します トピック : GMSFlow サーバへの接続 基本モード 重要 : GMSFlow サーバが VPN トンネル経由で到達可能な場合 このフィールドを指定する必要があります VPN ポリシーから IP を選択できます 重要 : SonicWall GMS 製品に接続し 登録した後で クリックする必要があります サーバの同期 ボタンを一度だけ SonicWall SonicOS 6.5 ログとレポート GMSFlow サーバへの接続 43

47 3 ログの設定 このセクションでは トラブルシューティングと診断のために SonicWall セキュリティ装置のログ機能を分類およびカスタマイズするための設定タスクについて説明します ログ設定 > 基本設定 ページには一連の列にログデータが表示されます ここでログ登録を設定したりイベント数をリセットしたりできます 登録をフィルタして データの表示を興味のあるイベントだけに制限することができます ログテンプレートのインポートと保存ができます トピック : テーブルの列 ログの重要度と優先順位の設定 最上行のボタン ログの表示とフィルタ処理 ログの表示とフィルタ処理 SonicWall SonicOS 6.5 ログとレポートログの設定 44

48 テーブルの列 トピック : 種別 列 色 列 ID 列 優先順位 列 GUI 列 警告 列 Syslog 列 メール 列 IPFIX 列 イベント数 列 編集 アイコンと イベント数のリセット アイコン 種別 列 ログ監視 テーブルの 種別 列には 次の 3 つのレベルがあります 種別 - ツリー構造の第 1 レベル グループ - 第 2 レベル イベント - 第 3 レベル 種別またはグループ名の左側にある小さな黒い三角形を選択すると 種別またはグループの内容の展開と折り畳みが切り替わります SonicWall SonicOS 6.5 ログとレポートログの設定 45

49 色 列 色 列には ダッシュボード > ログ監視 でイベントが強調表示されるときの色が表示されます イベントの色を変更するには イベントの編集アイコンを選択します ID 列 ID 列には イベントの ID 番号が表示されます 特定のメッセージの ID は SonicOS 総合ログイベントリファレンスガイド にリストされています メモ :ID 番号は 第 2 または第 3 レベルに表示されるイベントレベルにのみ表示されます 優先順位 列 注意 : イベント優先順位を変更すると すべての種別のイベント優先順位が変更されるので 深刻な結果を招くことがあります イベント優先順位の変更は pri= タグに対する Syslog 出力に影響し 優先順位レベルでフィルタするときのイベントの処理にも影響します イベント優先順位をログレベルよりも低いレベルに設定すると それらのイベントは除外されます また GMS はデバッグレベルの受信 Syslog を無視するので ハートビートメッセージと報告メッセージには情報レベルの最小のイベント優先順位を与える必要があります 優先順位 列には 種別 グループ またはイベントの重大度または優先順位が表示されます イベントの場合 選択できる優先順位のリストがドロップダウンメニューに表示されます 種別とグループの場合 行の末尾にある 設定 ボタンを選択すると 優先順位の一覧がダイアログに表示されます 使用できる優先順位として次のものがあります 緊急 警告 重大 エラー 注意 通告 情報 デバッグ GUI 列 GUI 列は この項目を ダッシュボード > ログ監視 に表示するかどうかを示します 種別およびグループを表示するかどうかは 表示または非表示のインジケータで示されます 表示と非表示を切り替えるには 以下の手順に従います イベントの場合は 列のチェックボックスをオンまたはオフにします カテゴリおよびグループの場合 列にある編集アイコンを選択すると ロググループの編集 ダイアログが表示されます SonicWall SonicOS 6.5 ログとレポートログの設定 46

50 警告 列 警告 列には このイベント グループ または種別について警告メッセージを送信するかどうかを示すチェックボックスが表示されます メッセージを送信するかどうかは 表示または非表示のインジケータで示されます 警告メッセージを送信するかどうかを変更するには 以下の手順に従います イベントの場合は 列のチェックボックスをオンまたはオフにします カテゴリおよびグループの場合 列にある編集アイコンを選択すると ロググループの編集 ダイアログが表示されます Syslog 列 Syslog 列は イベント グループ または種別を Syslog サーバに送信するかどうかを示します イベント グループ または種別を送信するかどうかは 表示または非表示のインジケータで示されます イベント グループ または種別を送信するかどうかを変更するには 以下の手順に従います イベントの場合は 列のチェックボックスをオンまたはオフにします 種別およびグループの場合は 列にある編集アイコンを選択して ログ種別の編集 または ロググループの編集 ダイアログを表示します IPFIX 列 IPFIX 列は ログイベントで IPFIX が有効かどうかを示します SonicOS 以降では システムログを IPFIX パケット経由で外部サーバに送信し ディスク上のデータベースに保存できます ログには 接続キャッシュなしで報告された記録のみが含まれます イベント グループ または種別で IPFIX が有効かどうかは 表示または非表示のインジケータで示されます IPFIX の有効 / 無効を切り替えるには 以下の手順に従います イベントの場合は 列のチェックボックスをオンまたはオフにします 種別およびグループの場合は 列にある編集アイコンを選択して ログ種別の編集 または ロググループの編集 ダイアログを表示します メール 列 メール 列は 設定したアドレスに電子メールでログを送信するかどうかを示します イベントの場合 これらのチェックボックスは列内で設定できます 種別またはグループの メール の場合 行の末尾にある 編集 ボタンを選択して表示される ロググループの編集 ダイアログまたは ログ種別の編集 ダイアログで設定する必要があります イベント数 列 イベント数 列には 以下のレベルごとにイベント数が表示されます イベントレベル - このイベントが発生した回数 グループレベル - グループ内で発生したイベントの総数 種別レベル - 種別内で発生したイベントの総数 イベント数の上にマウスを移動すると これらの理由で破棄されたイベントの数がポップアップメッセージに表示されます SonicWall SonicOS 6.5 ログとレポートログの設定 47

51 オーバーフロー GUI フィルタ 警告フィルタ Syslog フィルタ 電子メールフィルタ 優先順位 Syslog イベント送出数 Syslog データ送出数 編集 アイコンと イベント数のリセット アイコン 編集 アイコンと イベント数のリセット アイコンは 各行の末尾に表示されています 編集 アイコン 編集 アイコンを選択すると ログイベントの編集 ダイアログ ロググループの編集 ダイアログ または ログ種別の編集 ダイアログが表示されます イベント グループ または種別のすべての属性を設定できます イベント数のリセット アイコン イベント数のリセット アイコンを選択すると イベント グループ または種別のイベント数がリセットされ それより上のレベルのイベント数が再計算されます すべてのカウンタをリセットするには ログの設定 テーブルの上にある イベント数のリセット ボタンを使用します ( イベント数のリセット ボタンを参照 ) SonicWall SonicOS 6.5 ログとレポートログの設定 48

52 ログの重要度と優先順位の設定 このセクションには キャプチャされたログメッセージの優先順位と 電子メールで通知される対応する警告メッセージの優先順位の設定についての情報があります メモ : 警告電子メールは ログ設定 > 自動化 ページで 電子メールアドレスへログを送信 オプションおよび 電子メールアドレスに警告を送信 オプションを設定すると送信されます トピック : ログレベルの設定 イベント属性のグローバルな設定 イベント属性の選択的な設定 ログレベルの設定 ログレベルを使用すると イベントを優先順位に基づいてフィルタ処理できます 指定と同じか それより高い優先順位のイベントが含まれます 指定より低い優先順位のイベントは除外されます これによって 優先順位の低いイベントをフィルタで除外し システムのログに含まれないようにすることができます ログ設定 > 基本設定 ページでは ログ監視 ページに表示されるベースラインのログレベルを設定できます 以下に 選択できるログレベルをレベルの高いものから低いものへの順に示します 緊急 警告 重大 エラー 注意 通告 情報 デバッグ ログレベルを設定するには 次の操作を行います 1 ログと報告 ログ設定 > 基本設定 ページに移動します 2 ログレベル ドロップダウンメニューから目的のログレベルを選択します SonicWall SonicOS 6.5 ログとレポートログの設定 49

53 選択した登録と同じかそれよりも高い優先順位を持つイベントもすべてログに記録されます 例えば ログレベルとして エラー を選択すると エラー としてタグ付けされたすべてのメッセージ および それより高い優先順位 ( 重大 警告 緊急 ) のメッセージがすべて表示されます 既定値は デバッグ です メモ : すべてのイベントを表示するには ログレベルとして デバッグ を選択します 警告レベルの設定 警告レベルを使用すると 電子メール警告を警告レベルによってフィルタ処理できます 特定の警告レベル以上のイベントが 指定した電子メールアドレスに送信されます 指定より低い警告レベルのイベントは無視されます これによって レベルの低い電子メール警告をフィルタで除外し 実際に送信される電子メールの数を減らすことができます ログ設定 > 基本設定 ページでは 警告レベルを設定できます 緊急 調査 報告 ログ報告 ページに表示されるベースラインの 警告 重大 エラー 注意警告レベルを設定するには 次の操作を行います 1 ログと報告 ログ設定 > 基本設定 ページに移動します 2 警告レベル ドロップダウンメニューから目的のログレベルを選択します 選択したログレベルより警告レベルが高いすべてのイベントもログに記録されます 例えば ログレベルとして エラー を選択すると エラー としてタグ付けされたすべてのメッセージだけでなく それより高い警告レベル ( 重大 警告 緊急 ) のメッセージもすべて表示されます 既定値は 警告 です ヒント : すべての警告イベントを表示するには ログレベルとして 注意 を選択します SonicWall SonicOS 6.5 ログとレポートログの設定 50

54 イベント属性のグローバルな設定 メモ : イベント属性を選択的に設定する方法については イベント属性の選択的な設定を参照してください 設定アイコンを選択すると すべての種別の属性を編集 ダイアログが表示されます このダイアログを使用すると すべての種別およびグループのすべてのイベントの属性を一度に設定できます 以下のグローバル属性を変更できます イベント優先順位 ログ監視 電子メール および Syslog へのイベントの包含 冗長フィルタ設定 電子メール設定 ログ監視に表示するときのフォントの色 種別の属性をグローバルに編集するには 次の操作を行います 1 ログと報告 ログ設定 > 基本設定 ページに移動します SonicWall SonicOS 6.5 ログとレポートログの設定 51

55 2 設定アイコンを選択します すべての種別の属性の編集 ポップアップダイアログが表示さ れます メモ : 有効 ボタンは すべての種別 グループ イベントが有効なときは緑色 すべて無効なときは白色 混在状態( 一部有効 一部無効 ) のときは半分だけ色が付いた状態になります この設定はすべての種別に適用されるものなので 明示的にオプションを すべて有効 ( アイコンを無地の緑色になるまで繰り返し選択 ) または すべて無効 ( アイコンを白色になるまで繰り返し選択 ) にする必要があります 特定のイベントだけをそのグループまたは種別の他のイベントと異なるように設定するには 個別のイベント設定を行う必要があります これを行うと アイコンは半分だけ色が付いた状態になります これらのフィールドに 複数の値 と表示されている場合は 1 つ以上の種別 グループ またはイベントに異なる値が指定されていることを意味します 個別の設定を表示するには イベント属性の選択的な設定を参照してください すべての種別の属性の編集 ダイアログを表示しているとき 複数の値 の設定をすべての種別 グループ またはイベントに適用される 1 つの値に変更するには そのオプションが有効になっていてフィールドにアクセスして新しい値を入力できるか確認します オプションが無効な場合 フィールドはグレーアウトされ アクセスできません 3 イベント優先順位 ドロップダウンメニューで 目的の優先順位を選択します 注意 : イベント優先順位を変更すると すべての種別のイベント優先順位が変更されるので 深刻な結果を招くことがあります イベント優先順位の変更は pri= タグに対する Syslog 出力に影響し 優先順位レベルでフィルタするときのイベントの処理にも影響します イベント優先順位をログレベルよりも低いレベルに設定すると それらのイベントは除外されます また GMS はデバッグレベルの受信 Syslog を無視するので ハートビートメッセージと報告メッセージには情報レベルの最小のイベント優先順位を与える必要があります SonicWall SonicOS 6.5 ログとレポートログの設定 52

56 4 ログ監視 にログイベントを表示する場合は イベントをログ監視に表示する オプショ ンの有効アイコンを選択します a イベントをログ監視に表示する の 頻度フィルタ間隔 フィールドには 次の条件を満たす秒数 ( すなわち その秒数の経過後であれば 続けて発生した同じイベントがログに記録され ログ監視に表示されるようになる ) を入力します 有効な範囲は 0 ~ です 例えば この値を 60 秒に設定した場合 接続クローズ イベントが最初に午後 1 時 15 分に発生したとき 最初のイベントから 60 秒経過するまで次の 接続クローズ イベントはログに記録されません 60 秒以内に発生した 接続クローズ イベントはすべて破棄されます 5 電子メール警告としてイベントを送信する場合は 電子メール警告としてイベントを送信す る オプションの有効アイコンを選択します a 電子メール警告としてイベントを送信する の 頻度フィルタ間隔 フィールドには 次の条件を満たす秒数 ( すなわち その秒数の経過後であれば 続けて発生した同じ電子メール警告がイベントとして送信されるようになる ) を入力します 有効な範囲は 0 ~ です 例えば この値を 60 秒に設定した場合 電子メール警告が最初に午後 1 時 15 分に発生したとき 最初の電子メール警告から 60 秒経過するまで次の電子メール警告は送信されません 60 秒以内に発生した電子メール警告はすべて破棄されます 6 Syslog でイベントを報告する場合は Syslog を介してイベントを報告する オプションの有効 アイコンを選択します a ヒント : 頻度フィルタ間隔 フィールドに時間間隔 ( 秒単位 ) を入力すると その間隔内に同じログメッセージが重複しないようにすることができます この間隔の範囲は 0 ~ 秒です Syslog メッセージについては 既定の間隔が 90 秒に設定されます 警告メッセージについては 既定の間隔が 900 秒に設定されます ヒント : 各オプションは互いに独立しており オプションを任意の組み合わせで有効にしたり オプションごとに異なる生成頻度を設定したりできます 例えば 電子メールで送られてくるようにしたイベントメッセージを ダッシュボード > ログ監視 ページに表示されないようにすることができます ただし GMS を有効にした場合は イベントの属性を変更するとき レポートの生成に使用するイベントをフィルタで誤って除外しないように注意する必要があります 種別およびグループレベルのイベントに対するユーザによる変更 ( 暗黙の変更 ) が工場出荷時に定義されたイベント (GMS で必要とされるイベントなど ) に影響する場合 それらの変更は無視されます しかし 特定のイベントに対する変更 ( 明示的な変更 ) が GMS で必要とされるイベントに対するこの組み込みの保護よりも優先されることがあります Syslog を介してイベントを報告する の 頻度フィルタ間隔 フィールドには 次の条件を満たす秒数 ( すなわち その秒数の経過後であれば 続けて発生した同じ Syslog メッセージが送信されるようになる ) を入力します 有効な範囲は 0 ~ です 例えば この値を 60 秒に設定した場合 Syslog メッセージが最初に午後 1 時 15 分に発生したとき 最初の Syslog メッセージから 60 秒経過するまで次の Syslog メッセージは送信されません 60 秒以内に発生した Syslog メッセージはすべて破棄されます 7 特定の Syslog サーバグループに Syslog を送信するには この Syslog サーバプロファイルを使用する フィールドにグループの ID を入力します 既定値は 0 です Syslog サーバ ( イベント ) プロファイルについては イベントプロファイルについておよび Syslog サーバを参照してください SonicWall SonicOS 6.5 ログとレポートログの設定 53

57 8 IPFIX でイベントを報告する場合は IPFIX を介してイベントを報告する オプションの有効ア イコンを選択します a IPFIX を介してイベントを報告する の 頻度フィルタ間隔 フィールドには 次の条件を満たす秒数 ( すなわち その秒数の経過後であれば 続けて発生した同じメッセージが IPFIX 経由で送信されるようになる ) を入力します 有効な範囲は 0 ~ です 例えば この値を 60 秒に設定した場合 IPFIX 経由で送信するメッセージが最初に午後 1 時 15 分に発生したとき 最初のメッセージから 60 秒経過するまで次のメッセージは送信されません 60 秒以内に発生したメッセージはすべて破棄されます 9 グローバルイベントを電子メールで送信する場合は ログダイジェストにイベントを含める オプションの有効アイコンを選択します メモ : このオプションを有効にする場合は ログダイジェストの送信先電子メールアドレス フィールドで指定した電子メールアドレスが正しいことを確認してください 10 ログダイジェストにイベントを含める を有効にした場合は 電子メールアドレスにログダイジェストを送信する に対して 次のどちらかの操作を行います このダイアログで他の値を変更しても ログ設定 > 自動化 ページで入力した同じ電子メールアドレスを使う場合は 変更しない チェックボックスをオンにします このオプションは既定で有効です 電子メールアドレスを変更する場合は 変更しない オプションを無効にし 現在アクティブなフィールドに新しいアドレスを入力します ヒント : 電子メール警告とは イベントが発生したとき そのイベントの発生ごとに直ちに送信される電子メールです 一方 ログダイジェストは 複数のイベントを発生順にとりまとめてダイジェスト形式で 1 つのメールとして送信するものです これは複数のイベントの要約なので イベント情報の時間は古いイベントと新しいイベントが混在したものになります 11 このダイアログのグローバル設定に基づいて電子メールで警告を送信する場合は 電子メールアドレスに警告を送信する に対して 次のどちらかの操作を行います このダイアログで他の値を変更しても ログ設定 > 自動化 ページで入力した同じ電子メールアドレスを使う場合は 変更しない チェックボックスをオンにします このオプションは既定で有効です 電子メールアドレスを変更する場合は 変更しない オプションを無効にし 現在アクティブなフィールドに新しいアドレスを入力します 12 グローバルイベントログに特定の色を使用する場合は 変更しない オプションをオフ ( 既定の設定 ) にします 色選択マトリックスが表示されます 13 目的の色を選択します イベントをカラー表示する の四角が選択した色になります 14 適用 を選択します SonicWall SonicOS 6.5 ログとレポートログの設定 54

58 イベント属性の選択的な設定 メモ : イベント属性をグローバルに設定する方法については イベント属性のグローバルな設定を参照してください ログ設定 > 基本設定 ページには さまざまなレベル ( 種別 グループ または個々のイベント ) で設定できる主なイベント属性が各列に表示されます メモ : ログの編集 ポップアップダイアログは外観が似ていますが それぞれ適用範囲が異なります 次のダイアログがあります ログ種別の編集 ダイアログでは 同じ種別のすべてのグループの設定 すなわち その種別のすべてのイベントが変更されます ロググループの編集 ダイアログでは そのグループのすべてのイベントの設定が変更されます ログイベントの編集 ダイアログでは 特定のイベントの設定が変更されます メモ : 各列の 有効 ボタンは すべて有効なときは緑色 すべて無効なときは白色 混 在状態 ( 一部有効 一部無効 ) のときは半分だけ色が付いた状態 になります この設定はすべての種別に適用されるものなので 明示的にオプションを すべて有効 ( アイコ ンを無地の緑色になるまで繰り返し選択 ) または すべて無効 ( アイコンを白色になるまで繰 り返し選択 ) にする必要があります ある種別 グループ またはイベントだけを異なる設定に するには 個々のダイアログまたはイベント設定箇所に移動する必要があります これを行う と アイコンは半分だけ色が付いた状態になります 列単位で有効または無効にできます 種別およびグループに対応する行の有効インジケータは 灰色 ( は有効 は無効 は混在状態 ) で ログ種別の編集 または ロググループの 編集 ダイアログ以外からは変更できません イベントに対応する行には インジケータの代わりに イベントを有効 ( ) または無効 ( ) に するチェックボックスがあります トピック : イベント属性の種別レベルの設定 イベント属性のグループレベルの設定 イベント属性のイベントレベルの設定 SonicWall SonicOS 6.5 ログとレポートログの設定 55

59 イベント属性の種別レベルの設定 種別レベルで行った変更は 選択した種別に限定して すべてのグループとすべてのイベントに適用されます イベント属性を種別レベルで設定するには 以下の手順に従います 1 ログ設定 > 基本設定 で特定の種別を選択します 2 設定アイコンを選択して ログ種別の編集 ダイアログを開きます 3 イベント属性のグローバルな設定の手順を実行します イベント属性のグループレベルの設定 イベント属性をグループレベルで設定すると 選択した種別に限定して 設定の変更をより小さな適用範囲で行うことができます グループに対して行われた変更は 選択したグループのみに属するすべてのイベントに適用されます イベント属性をグループレベルで設定するには 以下の手順に従います 1 ログ設定 > 基本設定 で特定の種別を選択します 2 種別内の特定のグループを選択します 3 グループの設定アイコンを選択して ロググループの編集 ダイアログを開きます SonicWall SonicOS 6.5 ログとレポートログの設定 56

60 4 イベント属性のグローバルな設定の手順を実行します イベント属性のイベントレベルの設定 よりきめ細かいレベルであるイベントレベルでは イベント属性 列を直接変更できます 具体的には 選択した種別をグループに拡張し さらに選択したグループをそのグループ内の個々のイベントに拡張します イベントに対して行われた変更は 選択したグループ内の当該イベントだけに適用されます イベント属性をイベントレベルで設定するには 以下の手順に従います 1 ログ設定 > 基本設定 で特定の種別を選択します 2 種別内の特定のグループを選択します 3 グループ内の特定のイベントを選択します 4 イベントの設定アイコンを選択して ログイベントの編集 ダイアログを開きます 5 イベント属性のグローバルな設定の手順を実行します SonicWall SonicOS 6.5 ログとレポートログの設定 57

61 最上行のボタン トピック : テンプレートの保存 ボタン テンプレートのインポート ボタン イベント数のリセット ボタン キャンセル ボタン 適用 ボタン テンプレートの保存 ボタン テンプレートの保存 ボタンを選択すると ユーザ定義テンプレートに保存 ポップアップダイアログが表示され 現在設定されているログ設定をユーザ定義テンプレートにエクスポートできます このダイアログでは ユーザ定義テンプレートの説明も入力できます 変更して保存できるのはユーザ定義テンプレートのみであり ユーザ定義テンプレートは 1 つのみです ユーザ定義テンプレートを保存するたびに 古いユーザ定義テンプレートは上書きされます SonicWall SonicOS 6.5 ログとレポートログの設定 58

62 テンプレートのインポート ボタン テンプレートのインポート ボタンを選択すると ログ種別テンプレートからインポート ダイアログが表示され 以下のテンプレートの 1 つを選択してインポートできます 既定のテンプレート 最小設定のテンプレート Analyzer / Viewpoint / GMS 用のテンプレート メモ : 既定 最小設定 および Analyzer / Viewpoint / GMS 用のテンプレートは 工場出荷時に定義されています 既定のテンプレート 既定のテンプレートは 以下の各ログフィールドについて すべてのログイベントの設定を SonicWall の既定値に復元します イベント優先順位 イベントをログ監視に表示 電子メール警告としてイベントを送信 Syslog 経由でイベントを報告 ログダイジェストにイベントを含める ログ冗長フィルタ 電子メールアドレスにログダイジェストを送信 電子メールアドレスに警告を送信 イベントをカラー表示 最小設定のテンプレート 最小設定のテンプレートは生成ログを最小限のレベルに維持しながら ファイアウォールの特に重要なイベントに関して十分な情報を提供するものです 最小設定のテンプレートはキャプチャフィルタを変更して重大なイベントのみをログに反映します 重大ではないイベントはほぼ除外されます キャプチャフィルタの以下のフィールドが変更されます GUI 警告 Syslog および電子メールの重大ではないフィルタが無効になります メモ : キャプチャフィルタのみが変更され 冗長フィルタ間隔は変更されません SonicWall SonicOS 6.5 ログとレポートログの設定 59

63 Analyzer / Viewpoint / GMS 用のテンプレート Analyzer/Viewpoint/GMS 用のテンプレートは工場出荷時に設定され ファイアウォールをレポーティングソフトウェアサーバー (Analyzer Viewpoint GMS) の設定で適切に動作するようにします すべての関連イベントは サーバの要件を満たすように設定されています すべての設定は Syslog 経由でイベントを報告する オプションとそれに関連する 冗長フィルタ間隔 に限定されます Analyzer Viewpoint および GMS の報告機能にとって重要なイベントについて 以下のフィールドは工場出荷時の推奨既定値に設定されます Syslog 経由でイベントを報告 Syslog の冗長フィルタ間隔 ファイアウォール動作のテンプレート ファイアウォール動作のテンプレートは Analyzer / Viewpoint / GMS 用のテンプレートに基づいて定義されます Analyzer/Viewpoint/GMS 用のテンプレートの設定に加えて このテンプレートは破棄されたパケットを報告するログが記録されるようにします イベント数のリセット ボタン イベント数のリセット ボタンは すべてのイベント数をゼロ (0) に設定します キャンセル ボタン キャンセル ボタンを選択すると それまでの変更がすべてキャンセルされ 設定はそのまま変更されません 適用 ボタン 適用 ボタンを選択すると ログ設定 > 基本設定 ページで行った変更が適用されます SonicWall SonicOS 6.5 ログとレポートログの設定 60

64 ログの表示とフィルタ処理 装置のログを設定した後 最上行のリンク アイコンを選択すると ダッシュボード > ログ監 視 をすぐに表示できます ログに記録して 調査 報告 ログ報告 ページに表示する情報をカスタマイズするには 個別フィ ルタを適用 作成 削除します 指定する条件に応じて 単純なフィルタでも複雑なフィルタでも作 成できます フィルタを作成することで 他のアプリケーション ユーザ その他のトラフィック データに気を取られずに問題に集中できます 次の 3 通りの方法でフィルタを作成できます ログ設定 > 基本設定 ページの リンク ボタンを選択して ダッシュボード > ログ監視 ページを表示し SonicWall SonicOS 6.5 調査の手順に従います ログ設定 > 基本設定 ページの 表示フィルタ ボタンを使用して 種別 グループ またはイベントレベルでフィルタを作成します トピック : フィルタの追加 フィルタの表示 フィルタの削除 フィルタの追加 メモ : フィルタは ログ設定 > 基本設定 ページが表示されている間だけ有効です 別のページを表示するかログアウトすると フィルタは削除されます 表示フィルタ を使用してフィルタを作成するには : 1 ログ設定 > 基本設定 ページ上部の 表示フィルタ ボタンの隣にある フィルタ追加 ボタンを選択します 種別フィルタの宣言 ポップアップダイアログが表示されます 2 フィルタを入力します 例えば priority=warning;id=1221,1222,1149 とします セミコロン (;) で区切って複数の鍵を入力し 鍵ごとにカンマで区切って複数の値を入力できます 名前 ( 種別 から ) 優先順位 ( 優先順位 から ) または ID ( ID 列から ) を鍵にすることができます 鍵は大文字と小文字が区別されます メモ : 一度に 1 つのフィルタだけが有効になります 別のフィルタを追加すると それが既存のフィルタの代わりに使われます 3 適用 を選択します SonicWall SonicOS 6.5 ログとレポートログの設定 61

65 フィルタされたデータを反映するように表示が変更され 新しいボタンである [ 種別フィルタ ] が 表示フィルタ ボタンの隣に表示されます フィルタの表示 現在のフィルタを簡単に調べるには [ 種別フィルタ ] ボタンを選択します ボタンの下に小さなポップアップウィンドウでフィルタが表示されます メモ : ポップアップを閉じるには [ 種別フィルタ ] ボタンの三角形または [ 種別フィルタ ] を選択します ポップアップの右上隅にある X は フィルタが削除されるので選択しないでください フィルタの削除 フィルタを削除するには 表示フィルタ ボタン [ 種別フィルタ ] ボタン またはポップアップダイアログで 削除ボックス ボタン内の X を選択します 別のページを表示するかログアウトしても フィルタは削除されます SonicWall SonicOS 6.5 ログとレポートログの設定 62

66 4 Syslog 設定の構成 SonicWall セキュリティ装置では イベントメッセージを GUI に表示するだけでなく 同じメッセージを外部の ユーザ設定の Syslog サーバに送信して表示することができます Syslog 設定 で Syslog メッセージの形式を選択し 送信先の Syslog サーバを Syslog サーバ テーブルで指定できます SonicWall の Syslog はすべてのログアクティビティをキャプチャし すべての接続の送信元と送信先の名前 /IP アドレス IP サービス および転送バイト数を記録します SonicWall の Syslog サポートでは Syslog デーモンを実行する外部サーバが必要で その UDP ポートを設定できます SonicWall には完全互換の Syslog ビューア (GMS Analyzer など ) があり 受信 Syslog メッセージに基づいて有用なレポートを生成できます GMS または Analyzer が有効にされると 送信先ホストが Syslog サーバの 1 つとして自動的に追加されます しかし その他の Syslog サーバを必要に応じて追加することもできます Syslog サーバを追加する方法の詳細については イベントプロファイルについてを参照してください メモ : 詳細については RCF BSD Syslog プロトコルを参照してください メモ :Syslog 出力は ログ設定 > 基本設定 ページで行ったイベント グループ またはグローバル種別に対するイベント優先順位の変更に影響されます 詳細については イベント属性のグローバルな設定を参照してください メモ :SonicWall の Syslog サポートでは UDP ポート上で Syslog デーモンを実行する外部サーバが必要になります 既定のポートは UDP Port 514 ですが 別のポートを選択してもかまいません SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 63

67 ダッシュボード > ログ監視 ページを表示するには ページの右上隅にある ログ監視を表示します アイコンを選択します パケットデータを Syslog サーバに送信できます このオプションを設定する方法については SonicWall サポートにお問い合わせください トピック : イベントプロファイルについて Syslog サーバのプロファイリングについて GMS サーバを Syslog に使用する方法 Syslog 設定 Syslog サーバ イベントプロファイルについて メモ : イベントプロファイルは SonicOS 以降を実行しているすべてのファイアウォール ( ただし SM 9800 を除く ) でサポートされています イベントをすべての Syslog サーバにグローバルに設定すると システム内のすべてのモジュールから発生するイベントが 設定されたすべての Syslog サーバに報告されます この場合 Syslog トラフィックが大量に発生し パフォーマンス低下やパケット損失などの問題につながる可能性があります イベントプロファイルと呼ばれる Syslog サーバプロファイルを使用すると グローバルではなく Syslog サーバごとにイベントを設定して きめ細かく制御することができます また Syslog サーバを複数のグループに分けて サーバのグループに応じて異なるイベントを報告することもできます イベントプロファイルは最大 24 個指定でき プロファイルごとに最大 7 台の Syslog サーバを設定できるので 各ファイアウォールに最大 168 台の Syslog サーバを設定できます 重要 : Syslog に使用する GMS サーバはプロファイル 0 グループに属している必要があります したがって プロファイル 0 グループにだけは合計で最大 8 台のサーバ (7 台の Syslog サーバと 1 台の GMS サーバ ) を含めることができます イベントプロファイルは サーバ名およびポートと併せて Syslog サーバ テーブルで Syslog サーバを一意に識別するために使用します これにより 複数の行でプロファイルが異なる同じ名前 ポートの組み合わせを使用できます したがって 同じ Syslog サーバを複数のイベントプロファイルグループのメンバーにすることができます Syslog サーバのプロファイリングについて この機能を利用すると すべてのサーバに対してグローバルな設定を使用する代わりに 各 Syslog サーバを個別に設定できます 以前のリリースでは システム内のすべてのモジュールから発生するイベントが 設定されたすべての Syslog サーバに報告されていました このため 配備によっては膨大な量の Syslog トラフィックが発生し パフォーマンスの問題やパケット損失を引き起こすこともありました Syslog サーバのプロファイリングを使用すると 以下の新機能を利用できるようになります Syslog サーバごとに異なる設定を使用して Syslog メッセージを送信できます Syslog サーバの複数のグループを作成できます SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 64

68 イベントごとに異なる Syslog サーバのグループに報告されるように設定できます ログ設定 > Syslog ページのすべての設定は Syslog サーバの NDPP 強制を有効にする チェックボックスを除いて Syslog サーバ テーブルの行ごとに個別に設定できます これにより サーバごとに異なる設定で Syslog メッセージを表示することができ 各サーバに独自の送出数制限オプションを設定できます 有効にする チェックボックスを使用すると 特定の Syslog サーバへの Syslog メッセージの送信を有効または無効にすることができます 拡張 Syslog および ArcSight 形式の設定も個別に行うことができます これらの設定はすべて SonicOS ウェブインターフェースおよびコマンドラインインターフェース (CLI) から行うことができます 利便性のために グローバル設定を使用してすべてのサーバを設定できます メモ : レポートソフトウェアの設定を Syslog 設定よりも優先させる オプションは削除されました Syslog サーバで個別の設定を使用できるので このオプションは不要になりました GMS サーバを Syslog に使用する方法 GMS の有効と無効の切り替えは システム > 管理 ページでのみ行うことができます (GMS の有効化と設定については SonicWall SonicOS 6.5 システムセットアップを参照してください ) Syslog に GMS サーバを使用する場合 以下の制限が適用されます イベントプロファイル は 0 にする必要があります Syslog ファシリティ は ローカル 0 にする必要があります Syslog 形式 は 既定 にする必要があります Syslog ID は firewall にする必要があります GMS を使用してファイアウォールを管理している場合 GMS からグローバル設定のみ設定できます そのため グローバル設定を変更すると すべてのサーバが影響を受けます GMS 8.1 では対応するタグをサポートしていないので 個別サーバの設定は設定できません したがって 新しい Syslog サーバを追加するときはホスト名とポートのみ設定でき それ以外のフィールドには既定値が使用されます GMS を有効にすると GMS サーバが Syslog サーバ テーブルのイベントプロファイル 0 グループに追加されます それ以外のプロファイルグループに追加することはできません したがって プロファイル 0 グループにだけは合計 8 台のサーバ (7 台の Syslog サーバと 1 台の GMS サーバ ) を含めることができます その他のグループには 7 台のサーバしか含めることができません ログ設定 > 基本設定 ページの GMS グループのイベントにはプロファイル 0 が設定されており 変更はできません 他のイベントには異なるプロファイルを設定できます Syslog 設定 ログ設定 > Syslog ページでは Syslog サーバにログを送信するときに使用する各種設定を指定できます Syslog ファシリティと Syslog 形式を選択できます メモ :SonicWall のグローバル管理システム (GMS) を使用してファイアウォールを管理している場合 Syslog 形式 は既定に固定され Syslog ID は firewall に固定されます したがって これらのフィールドはグレーアウトされ 変更できません しかし 他のすべてのフィールドは 必要に応じてカスタマイズできます SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 65

69 ファイアウォールで Syslog 設定を指定するには 次の手順に従います 1 ログと報告 ログ設定 > Syslog ページに移動します 2 Syslog ID フィールドに Syslog ID を入力します 既定値は firewall です Syslog ID フィールドの値の前に id= を付けたものが 生成されるすべての Syslog メッセージで使用されます したがって 既定値 firewall の場合は すべての Syslog メッセージに id=firewall が含まれます この ID として設定する文字列には英数字とアンダースコアを使用でき 長さは 0 ~ 32 文字です 3 Syslog ファシリティは 工場出荷時の既定の設定のままでもかまいません しかし 必要に応じて Syslog ファシリティ ドロップダウンメニューから ネットワークに適した Syslog ファシリティを選択します Syslog ファシリティ カーネル UUCP サブシステムローカル 0 1 ユーザレベルメッセージ Clock Daemon (BSP Linux) ローカル 1 メールシステム AUTHPRV セキュリティ / 認証メッセージ ローカル 2 システムデーモン FTP デーモン ローカル 3 セキュリティ / 認証メッセージ NTP サブシステム ローカル 4 Syslogd により内部的に生成されたメッセージ ログ監査 ローカル 5 ラインプリンタサブシステム ログ警告 ローカル 6 ネットワークニュースサブシステム Clock Daemon (Solaris) ローカル 7 1. 既定 4 Syslog 形式 ドロップダウンメニューから Syslog 形式を選択します Syslog 形式 既定 WebTrends 拡張 Syslog ArcSight 既定の SonicWall Syslog 形式 メモ : この形式は GMS またはレポーティングソフトウェアで必要とされます WebTrends の Syslog 形式 WebTrends ソフトウェアをシステムにインストールしておく必要があります 拡張 SonicWall Syslog 形式 ArcSight の Syslog 形式 ArcSight Logger アプリケーションで ArcSight メッセージがデコードされるように Syslog サーバを設定する必要があります SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 66

70 5 選択した内容によって次の手順が異なります 既定または WebTrends の場合は 手順 13 に進みます 拡張 Syslog の場合は 手順 6 に進みます ArcSight の場合は 手順 10 に進みます 6 ( オプション ) 拡張 Syslog を選択した場合は 拡張 Syslog フィールドの設定 の設定アイコンを選択します 拡張 Syslog の設定 ポップアップダイアログが表示されます 7 ( オプション ) ログに記録する 拡張 Syslog オプションを選択します 既定では すべてのオプションが選択されています ホスト (sn) オプションと イベント ID (m) オプションは変更できないので淡色表示になっています これを行うには 次の手順に従います すべてのオプションを選択するには すべて選択 を選択します すべてのオプションを選択解除するには すべて消去 を選択します 一部のオプションのみを選択するには 次のいずれかを行います すべて消去 を選択してから ログに記録するオプションのみを選択します ログに記録しないオプションのみを選択解除します 8 保存 を選択します 9 手順 13 へ進みます SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 67

71 10 必要に応じて ArcSight を選択した場合は ArcSight CEF フィールドの設定 の設定アイコンを選択します ArcSight CEF フィールドの設定 ポップアップダイアログが表示されます 11 必要に応じて ログに記録する ArcSight オプションを選択します 既定では すべてのオプションが選択されています ホスト オプションと イベント ID オプションは変更できないので淡色表示になっています これを行うには 次の手順に従います すべてのオプションを選択するには すべて選択 を選択します すべてのオプションを選択解除するには すべて消去 を選択します 一部のオプションのみを選択するには 次のいずれかを行います すべて消去 を選択してから ログに記録するオプションのみを選択します ログに記録しないオプションのみを選択解除します 12 保存 を選択します 13 必要に応じて 秒毎の最大イベント数 フィールドでイベントの最大数を指定します 最小は毎秒 0 最大は毎秒 1000 既定値は毎秒 1000 です このオプションを使用すると ログに記録されるイベント数を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐことができます メモ : イベント送出数の制限は 個々のイベントのログ優先順位とは関係なく適用されます 14 必要に応じて 秒毎の最大イベントバイト数 フィールドで最大バイト数を指定します 最小は毎秒 0 バイト 最大は毎秒 バイト 既定値は毎秒 バイトです このオプションを使用すると ログに記録されるデータ量を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐことができます メモ : データ送出量の制限は 個々のイベントのログ優先順位とは関係なく適用されます 15 必要に応じて Syslog サーバの NDPP 強制を有効にする を選択します 16 適用 を選択します SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 68

72 Syslog サーバ イベントプロファ Syslog サーバに設定されているプロファイル イル サーバ名 Syslog サーバの IP アドレスと名前 サーバポート Syslog サーバのポート サーバファシリティサーバ形式 サーバ ID 有効 設定 Syslog サーバのサーバファシリティ サーバファシリティの一覧については Syslog ファシリティ表を参照してください Syslog サーバに必要な形式 既定 ( 既定 ) WebTrends 拡張 Syslog ArcSight Syslog サーバに設定されている ID 既定値は firewall です Syslog サーバが有効かどうかを示し これを使用して 特定の Syslog サーバへの Syslog メッセージの送信を有効または無効にすることができます 各 Syslog サーバの編集アイコンと削除アイコンが表示されます GMS サーバの場合は ログ設定 > Syslog ページで削除や設定を行うことはできないので これらの 2 つのアイコンは淡色表示になっています グローバル設定はすべてのサーバに適用されます 例えば グローバルの形式を変更すると すべてのサーバの形式が選択値に変更されます Syslog サーバの追加 ファイアウォールに Syslog サーバを追加するには 以下の手順に従います 1 ログ設定 > Syslog ページに移動します SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 69

73 2 Syslog サーバ セクションに移動します 3 追加 を選択します Syslog サーバの追加 ダイアログが表示されます 4 イベントプロファイル フィールドに このサーバのイベントプロファイルを指定します 最小値は 0 ( グループ数 1 個 ) 最大値は 23 ( グループ数 24 個 ) 既定値は 0 です 各グループには 最大 7 台の Syslog サーバを設定できます メモ :GMS の場合は イベントプロファイル は 0 にする必要があります 5 名前または IP アドレス ドロップダウンメニューから Syslog サーバの名前または IP アドレス を選択します これで ファイアウォールからサーバにメッセージが送信されます 6 Syslog サーバが既定のポート 514 を使用しない場合は ポート フィールドにポート番号を入 力します 7 Syslog 形式 ドロップダウンメニューから Syslog 形式を選択します 既定値は 既定 です すべてのオプションについては Syslog 形式表を参照してください メモ :GMS の場合は 8 Syslog ファシリティ ドロップダウンメニューから Syslog ファシリティを選択します 既定値は ローカル 0 です すべての Syslog ファシリティについては Syslog ファシリティ表を参照してください メモ :GMS の場合は Syslog 形式 を 既定 にする必要があります Syslog ファシリティ を ローカル 0 にする必要があります SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 70

74 9 必要に応じて ログに記録されるイベント数を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐために イベント送出数を制限する チェックボックスをオンにします メモ : イベント送出数の制限は 個々のイベントのログ優先順位とは関係なく適用されます a 1 秒間あたりの最大イベント数 フィールドでイベントの最大数を指定します 最小は 0 最大は 1000 既定値は 1 秒間あたり 1000 です 10 必要に応じて ログに記録されるイベント数を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐために イベントデータ送出バイトを制限する チェックボックスをオンにします メモ : データ送出量の制限は 個々のイベントのログ優先順位とは関係なく適用されます a 1 秒間あたりの最大バイト数 フィールドで最大バイト数を指定します 最小は 0 最大は 既定値は 1 秒間あたり バイトです このオプションを使用すると ログに記録されるデータ量を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐことができます 11 VPN トンネルにバインドして NDPP モードでネットワーク監視ポリシーを作成するには 以下の手順に従います a 必要に応じて ローカルインターフェース ドロップダウンメニューからインターフェースを選択します b 必要に応じて 発信インターフェース ドロップダウンメニューからインターフェースを選択します 12 OK を選択します Syslog サーバの編集 Syslog サーバを編集するには : 1 設定 列で 編集 アイコンを選択します Syslog サーバの編集 ダイアログが表示され ます 2 Syslog サーバの追加の手順 4 から手順 12 の説明に従います SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 71

75 Syslog サーバの有効化 重要 : GMS Syslog サーバは システム > 管理 ページでのみ有効化できます SonicWall SonicOS 6.5 システムセットアップを参照してください 単一の Syslog サーバを有効にするには : 1 有効 列にあるチェックボックスをオンにします すべての Syslog サーバを有効にするには : 1 すべて有効化 ボタンを選択します Syslog サーバの無効化 重要 : GMS Syslog サーバは システム > 管理 ページでのみ無効化できます SonicWall SonicOS 6.5 システムセットアップを参照してください 単一の Syslog サーバを無効にするには : 1 有効 列にあるチェックボックスをオフにします すべての Syslog サーバを無効にするには : 1 すべて無効化 ボタンを選択します Syslog サーバの削除 重要 : GMS Syslog サーバは システム > 管理 ページでのみ削除できます SonicWall SonicOS 6.5 システムセットアップを参照してください 単一の Syslog サーバを削除するには : 1 設定 列にある削除アイコンを選択します すべての Syslog サーバを削除するには : 1 すべて無効化 ボタンを選択します SonicWall SonicOS 6.5 ログとレポート Syslog 設定の構成 72

76 5 ログ自動化の設定 ログ設定 > 自動化 ページには 電子メールを使用してログファイルを送信するための SonicWall の設定 およびメールサーバの設定が含まれます トピック : 電子メールログの自動化 状態確認電子メール通知 SonicWall SonicOS 6.5 ログとレポートログ自動化の設定 73

77 メールサーバ設定 Solera キャプチャスタック 電子メールログの自動化 ログの送信先電子メールアドレス - イベントログを電子メールで受け取る場合は 電子メールアドレス (username@mydomain.com) を入力します 送信されたログは SonicWall コンテンツセキュリティマネージャのメモリから消去されます このフィールドを空白のままにした場合 ログは電子メールで送信されません 警告の送信先電子メールアドレス - 攻撃またはシステムエラーの発生時に直ちに電子メールが送信されるようにする場合は 電子メールアドレス (username@mydomain.com) を標準の電子メールアドレスまたは電子メールページングサービスとして入力します このフィールドを空白のままにした場合 電子メール警告メッセージは送信されません ユーザ作成と有効化通知の送信先電子メールアドレス - ユーザが作成されて有効化されたときに直ちに電子メールが送信されるようにする場合は 電子メールアドレス (username@mydomain.com) を入力します このフィールドを空白のままにした場合 電子メール通知は送信されません ログの送信 - ログファイルの送信頻度を指定します このドロップダウンメニューのオプションは次のとおりです 一杯のとき ( 既定値 ) 1 週間ごと - 毎 ドロップダウンメニューからログを送信する曜日を選択し 時刻 フィールドに時刻を 24 時間形式で入力します 1 日ごと - ログを送信する時刻を 24 時間形式で 時刻 フィールドに入力します 電子メール形式 - ログ電子メールを プレーンテキスト と HTML のどちらの形式で送信するかをドロップダウンメニューから選択します すべてのログ情報を含める - 選択すると すべての情報がログレポートに含められます SonicWall SonicOS 6.5 ログとレポートログ自動化の設定 74

78 状態確認電子メール通知 状態確認電子メール通知 セクションでは 選択したスケジュールで指定される時間に 一定の件名と本文を持つ定義済みの電子メール通知を作成できます 状態確認電子メール通知を設定するには 以下の手順に従います 1 電子メールスケジュール ドロップダウンメニューから定義済みスケジュール 新しいス ケジュールを作成する または 無効 を選択します 2 宛先電子メールアドレス フィールドに 通知の受信者の電子メールアドレスを入力します 3 電子メールの題名 フィールドに 電子メールの件名を入力します 4 電子メールの本文 フィールドに 電子メールの本文を入力します メールサーバ設定 メールサーバ設定では メールサーバの名前または IP アドレス 差出人の電子メールアドレス および認証方式を指定できます メールサーバ ( 名前または IP アドレス ) - このフィールドには ログ電子メールの送信に使用する電子メールサーバの IP アドレスまたは FQDN を入力します メモ : メールサーバ ( 名前または IP アドレス ) を空白のままにした場合は ログおよび警告メッセージは電子メールで送信されません 詳細 - 詳細 ボタンを選択すると ログメールアドレス設定 ダイアログが表示されます SonicWall SonicOS 6.5 ログとレポートログ自動化の設定 75

79 SMTP ポート - 電子メールに使う SMTP ポートを入力します 既定のポート番号は 25 です 接続セキュリティ方式 - 電子メールのセキュリティ方式をドロップダウンメニューから選択します なし ( 既定 ) SSL/TLS STARTTLS SMTP 認証を有効にする - 電子メールの SMTP 認証を有効にする場合に選択し 以下の情報を入力します このオプションは 既定では無効になっています ユーザー名 パスワード 差出人電子メールアドレス - メッセージの差出人フィールドに表示したい電子メールアドレスを入力します 認証方式 - 既定値の なし または メール送信前に POP 認証する を選択できます Solera キャプチャスタック Solera Networks は ネットワークトラフィックをキャプチャ アーカイブ および再生成するために設計された さまざまな能力や速度の一連の装置を生産しています Solera Networks のネットワークパケットキャプチャシステム (NPCS) は キャプチャしたデータに時系列再生でアクセスできるユーティリティを備えています つまり デバイスでデータをアクティブにキャプチャおよびアーカイブしながら NPCS を介して キャプチャしたデータの分析をライブネットワーク上で実行できます SonicWall SonicOS 6.5 ログとレポートログ自動化の設定 76

80 Solera を使用するようにファイアウォールを設定するには : 1 Solera Capture Stack 統合を有効にする オプションを選択します このセクションの各オプショ ンが利用可能になります 2 Solera サーバのホストを サーバ ドロップダウンメニューから選択します 新しいホストを 作成する... を選択すると ホストを動的に作成できます 3 プロトコル ドロップダウンメニューから HTTP または HTTPS のどちらかを選択し ます 既定の設定は HTTPS です 4 ポート フィールドに Solera サーバに接続するためのポート番号を入力します 既定のポートは 443 です 5 DeepSee ベース URL フィールドで DeepSee パスに対するベース URL の形式を定義します この形式には 特殊トークンを含めることができます 実際の URL 内では 特殊トークンは実際の値に置換されます 既定の形式が設定されています DeepSee ベース URL と PCAP ベース URL フィールドでは 以下のトークンが使えます $host - データを持つサーバ名または IP アドレス $port - サーバが待機する HTTP/HTTPS ポート番号 $usr - 認証のためのユーザ名 $pwd - 認証のためのパスワード $start - 開始日時および時刻 $stop - 終了日時および時刻 $ipproto - IP プロトコル $srcip - 送信元 IP アドレス $dstip - 送信先 IP アドレス $srcport - 送信元ポート $dstport - 送信先ポート 6 DeepSee ベース URL フィールドで PCAP パスに対するベース URL の形式を定義します この形式には 特殊トークンを含めることができます 実際の URL 内では 特殊トークンは実際の値に置換されます これらのトークンとその定義については 手順 5 を参照してください 既定の形式が設定されています 7 Base64 エンコードリンクアイコン フィールドで Solera サーバへのデスクトップショートカットとして使用する Base 64 エンコード GIF イメージを定義します アイコンが有効なものになるように またサイズができるだけ小さくなるようにしてください 既定のアイコンが設定されています 8 電子メール警告よりリンクするアドレス ドロップダウンメニューから 既定の LAN ( 既 定 ) または 既定の WAN のどちらかを選択します SonicWall SonicOS 6.5 ログとレポートログ自動化の設定 77

81 6 名前解決の設定 ログ設定 > 名前解決 ページには ログレポート内の IP アドレスとサーバ名を解決するために使用するネームサーバの設定が含まれています SonicWall ネットワークセキュリティ装置は DNS サーバまたは NetBIOS を使用してログレポートのすべての IP アドレスをサーバ名に解決します 名前 / アドレスは 後で参照できるように ペアでキャッシュに保存されます ログ設定 > 名前解決 ページの下部にある 名前キャッシュのリセット を選択すると キャッシュを消去できます トピック : 名前解決の設定の選択 DNS サーバの指定 名前解決の設定の選択 ファイアウォール装置で DNS NetBios のどちらか または両方を使用して IP アドレスとサーバ名を解決できます 名前解決方法 リストで 以下を選択します なし : セキュリティ装置は ログレポートの IP アドレスおよび名前の解決を試行しません DNS: セキュリティ装置は 指定された DNS サーバを使用してアドレスおよび名前を解決します NetBIOS: セキュリティ装置は NetBios を使用してアドレスおよび名前を解決します NetBios を選択した場合 これ以外の設定を行う必要はありません DNS の後に NetBIOS: セキュリティ装置は 最初に指定された DNS サーバを使用してアドレスおよび名前を解決します これで名前が解決されない場合は NetBios でもう一度試行されます DNS サーバの指定 DNS サーバを指定するか または WAN ゾーンと同じサーバを使用することができます 1 マニュアルで DNS サーバを指定する または WAN ゾーンと同じ DNS サーバ設定にする を選択します 2 番目の選択肢が既定で選択されています SonicWall SonicOS 6.5 ログとレポート名前解決の設定 78

82 2 DNS サーバの指定を選択する場合 ネットワーク上の最低 1 つの DNS サーバに対する IP アドレスを入力します サーバは 3 つまで入力できます 3 ログ設定 > 名前解決 ページの左上隅にある 適用 を選択して 変更内容を有効にします SonicWall SonicOS 6.5 ログとレポート名前解決の設定 79

83 7 ログ Analyzer の設定 ログ設定 > Analyzer ページで Analyzer サーバの IP アドレスとポート番号を追加できます Analyzer サーバ接続をファイアウォールに追加するには 以下の手順に従います 1 ログと報告 ログ設定 > Analyzer ページに移動します 2 追加 ボタンを選択します Syslog サーバの追加 ダイアログが表示されます SonicWall SonicOS 6.5 ログとレポートログ Analyzer の設定 80

84 3 名前または IP アドレス ドロップダウンメニューから 目的の項目を選択するか アドレ スオブジェクトの作成 を選択します 4 ポート フィールドに Analyzer のポート番号を入力します 5 Syslog 形式 ドロップダウンメニューから Syslog 形式を選択します Syslog 形式 既定 WebTrends 拡張 Syslog ArcSight 既定の SonicWall Syslog 形式 メモ : この形式は GMS またはレポーティングソフトウェアで必要とされます WebTrends の Syslog 形式 WebTrends ソフトウェアをシステムにインストールしておく必要があります 拡張 SonicWall Syslog 形式 ArcSight の Syslog 形式 ArcSight Logger アプリケーションで ArcSight メッセージがデコードされるように Syslog サーバを設定する必要があります 6 Syslog ファシリティ は 工場出荷時の既定の設定のままでもかまいません しかし 必要に応じて Syslog ファシリティ ドロップダウンメニューから ネットワークに適した Syslog ファシリティを選択します Syslog ファシリティ カーネル UUCP サブシステムローカル 0 1 ユーザレベルメッセージ Clock Daemon (BSP Linux) ローカル 1 メールシステム AUTHPRV セキュリティ / 認証メッセージ ローカル 2 システムデーモン FTP デーモン ローカル 3 セキュリティ / 認証メッセージ NTP サブシステム ローカル 4 Syslogd により内部的に生成されたメッセージ ログ監査 ローカル 5 ラインプリンタサブシステム ログ警告 ローカル 6 ネットワークニュースサブシステム Clock Daemon (Solaris) ローカル 7 1. 既定 7 Syslog ID フィールドでは 値を firewall に設定する必要があります 8 ( オプション ) ログに記録されるイベント数を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐために イベント送出数を制限する チェックボックスをオンにします メモ : イベント送出数の制限は 個々のイベントのログ優先順位とは関係なく適用されます 1 秒間あたりの最大イベント数 フィールドでイベントの最大数を指定します 最小は 0 最大は 1000 既定値は 1 秒間あたり 1000 です 9 ( オプション ) ログに記録されるイベント数を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐために イベントデータ送出バイトを制限する チェックボックスをオンにします メモ : データ送出量の制限は 個々のイベントのログ優先順位とは関係なく適用されます SonicWall SonicOS 6.5 ログとレポートログ Analyzer の設定 81

85 1 秒間あたりの最大バイト数 フィールドで最大バイト数を指定します 最小は毎秒 0 バイト 最大は毎秒 バイト 既定値は毎秒 バイトです このオプションを使用すると ログに記録されるデータ量を制限して 内部または外部のログ機構でログイベント数が過剰になるのを防ぐことができます 10 ( オプション ) VPN トンネルを通じて Analyzer に接続するには NDPP モードの場合 VPN トン ネルに割り当て ネットワーク監視ポリシーを作成する の下で以下を行います a ローカルインターフェース ドロップダウンメニューで インターフェースの選択 を選択します b 発信インターフェース ドロップダウンメニューで トンネルインターフェースの 選択 を選択します 11 OK を選択します メモ :Analyzer の設定と管理の詳細については Analyzer User's Guide を参照してください SonicWall SonicOS 6.5 ログとレポートログ Analyzer の設定 82

86 法的情報へのアクセス 8 SonicWall エンドユーザ製品利用規約 (EUPA) およびその他の法的情報は 照できます 法的情報 ページから参 SonicWall SonicOS 6.5 ログとレポート法的情報へのアクセス 83