ネットワークのイベントを分析する

概要

Catoイベントは、アカウント全体のトラフィックとアクティビティに関する詳細なデータを提供します。各イベントは、接続試行、セキュリティアクション、または構成関連の活動など、環境で発生した内容に関する情報を記録し、Catoがどのように対処したかを理解するために必要なコンテキストを含めて提供します。

Cato管理アプリケーション（CMA）のイベントページを使用して、トラフィックを調査し、アカウント活動を監視し、ポリシーの動作を検証し、運用の問題をトラブルシュートします。イベントデータを時間範囲、イベントタイプ、フィールド値、プリセット、カスタムフィルター、または自然言語検索で絞り込み、特定のネットワークやセキュリティの質問に関連するイベントに焦点を当てることができます。

追加の分析、集中監視、または保持のために、次のことができます：

• イベントをイベント連携を通じて外部のプラットフォームに送信し、イベント連携の開始を参照してください。

• イベントページからイベントデータをエクスポートします。ファイルへのイベントのエクスポート参照。

イベントデータはCatoのデータレイクに保存されます。詳細はCato データレイク ガイドをご覧ください。

注：

• イベントが生成された後、通常は5分以内にそのイベントのデータがイベントページに表示されます。ただし、一部のイベントは最大30分遅れることがあります。

• エンティティ名（例：ポリシー ルール）の変更が関連するイベントフィールドに反映されるまで最大24時間かかることがあります。

• When the Client reconnects after a network change or temporary connectivity issue, the previous tunnel can remain connected until it times out. As a result, a Disconnected event for the previous tunnel can appear after the Connected event for the new tunnel. This sequence is expected and does not indicate that the events are displayed out of order.

クイックビューを使用したイベントフィールドの表示

クイックビューは、ページのパフォーマンスを向上させるために各イベントのフィールドを減らして表示するオプションです。デフォルトで有効化されており、分析に最も一般的に必要とされるフィールドを表示します。クイックビューエクスポートオプションを選択すると、イベントページのパフォーマンス向上およびエクスポートパフォーマンスが大幅に向上します。

クイックビューが有効な場合、手動で選択またはフィルターで指定されたフィールドも表示されます。

すべてのフィールドを読み込むためにクイックビューを無効化することができますが、パフォーマンスに影響を与える可能性があります。

イベントページの表示

ホーム > イベントページでアカウント全体のイベントを表示できます。

イベントページの要素

次の画像と表では、イベントページおよびイベントタブの要素について説明します：

イベントタイプの理解

これがイベントページ上のイベントタイプです：

• 接続性 - アカウント内のLANモニタリング、サイト、およびVPNクライアントに関連するイベント

  • 接続性イベントはサイト接続に関する問題に関連しており、例えばパケット損失に関連するリンク品質を示しています

• 検知と対応 - XOpsストーリーに関連するイベント

  • 検知と対応イベントは、対応ポリシーによって生成された新しいおよび更新されたXOpsストーリーに関連しています

• ポスチャー - ポスチャーチェックに関連するイベント

  • ポスチャーイベントは、ポスチャースコアの変化および新しいチェックに関連しています

• ルーティング - ルーティング、およびBGPイベント

  • ルーティングイベントは、BGPセッションおよびルートのステータスに関連しています

• セキュリティ - 脅威保護およびファイアウォールエンジンによって生成されたイベント

  • セキュリティイベントは、潜在的なセキュリティ問題に関連しており、ファイアウォールのルールを微調整するのに役立ちます

• ソケット管理 - ソケットに関連するイベント、例えばファームウェアの更新

  • ソケット管理イベントは、ソケットが正常に最新バージョンに更新されたことに関連しています

• システム - LDAP、ユーザー認識、ライセンス、およびユーザーアカウントに関連するイベント

  • システムイベントは、ディレクトリサービス同期のステータスに関連しています

イベントのフィルタリングとソート

イベントをフィルタリングすることで、関連する情報を迅速に見つけるのに役立ちます。

自然言語検索を使用したイベントフィルタリング

日常の言語を使用してイベントを検索し、ページ上で関連するデータを絞り込み、特定できます。詳しくは、自然言語検索の使用を参照してください。

現在またはカスタムフィルターを使用したイベントフィルタリング

Catoのプリセットフィルターを使用するか、カスタムフィルターを作成して関連するイベントを見つけるのに役立てることができます。詳細については、ページでのデータフィルタリングを参照してください

イベント値のフィルターへの追加

イベントページの左側のセクションには、イベントに含まれるフィールドと値（前の例の項目5）が表示されます。イベントフィルターにフィールドの値を追加すると、関連するイベントを特定しやすくなります。

次の表は、イベントフィールドのボタンを説明しています：

さらに、特定のフィールド用のイベントデータを表示する新しい列を追加することができます。次の表は、イベントフィールドのボタンを説明しています：

フィルターにイベント値を追加するには：

1. イベントページで、フィールドをクリックして値を展開します。

   

2. 特定の値について、その値または除外をフィルターに追加するにはボタンをクリックします。

   イベントページが更新され、新しいフィルターに一致するイベントが表示されます。フィールド値が一致するイベントの数を表示します。

ファイルへのイベントのエクスポート

イベントページのイベントデータをファイルにエクスポートして、更なる分析に使用できます。一度に最大250,000件のイベントをファイルにエクスポートできます。現在のフィルターおよび時間範囲のすべてのイベントはエクスポートに含まれます。エクスポートに含めるイベントフィールドを制御するために、次の3つのオプションを使用できます：

• すべてのフィールド: エクスポートで各イベントのすべてのフィールドを含めます。 

• 選択されたフィールド: エクスポートに追加したフィールドのみを含めます。 

• QuickView: QuickViewが有効になっている時、QuickViewフィールドおよび手動で追加したフィールドまたはフィルターで明示されたフィールドのみを含めます。このオプションは、エクスポートのパフォーマンスを向上させるために設計されています。

注：

• Editorロールを持つCMA管理者のみがCSVファイルにエクスポートする権限を持っています。管理者ロールの設定について詳しくは、管理者の管理を参照してください。

• イベントのエクスポートを試みると、クエリに時間がかかりすぎてリクエストがタイムアウトする場合があります。イベントフィルターの時間枠を短縮するか、QuickViewエクスポートオプションを使用して再試行することができます。

• イベントページのイベント数は切り上げられることがあります。例えば、イベントページが2Kイベントと表示し、実際のイベント数は1952です。

• イベントをエクスポートした後、CSVファイルのevents_count列には、行ごとに複数のイベントが表示されることがあります。これは、同じイベントが1分の時間枠内で複数回発生した場合に発生します。この列のCOUNTは、エクスポートされたイベントの合計数と異なる値を表示することがあります。エクスポートされたイベントの合計数を表示するには、events_count列のSUMを使用してください。

イベントをCSVファイルにエクスポートするには：

1. (オプション) エクスポートしているフィールドに対して追加をクリックします。

2. イベントページから、イベントをエクスポートをクリックします。

3. エクスポートの範囲を選択します: イベントのすべてのフィールド、フィルター内の選択されたフィールド、またはQuickViewに含まれるフィールド。

   • イベントのすべてのフィールド

   • フィルター内の選択されたフィールド

   • QuickViewに含まれるフィールド

4. OKをクリックします。イベントはCSVファイルにエクスポートされ、そのファイルはインターネットブラウザの設定に従ってダウンロードされます。