イベント項目の理解

アクション

イベントタイプに関連するアクション、例えば：

• BGP - BGPルート無視、詳細については以下のイベントメッセージを参照してください。

• ファイアウォール - このイベントのルールアクションが実行されるのは、トラック設定が有効になっているルールのみです。

  • 許可 - トラフィックは許可され、イベントは生成されません（デフォルトの動作）

  • モニター - トラフィックは許可され、イベントが生成されます

• IPS - SAMを使用している顧客には、生成されたイベントにモニターアクションが付与されます。

• ラストマイル品質サブタイプ - リンクヘルスルールではアラートアクションがあるイベントが生成されます。

• QoS - アラートまたはクリアアラート

• TLSインスペクション - アラートアクションは未知の証明書または信頼されていないCAなどのケースに対して生成されます。

Active Directory名

ソケットの背後にあるデバイスに関連付けられたActive DirectoryユーザーAwareness名

APIキー名

Cato管理アプリケーションで公開APIキーに対して定義された名前

アプリケーション

さまざまなポリシーで使用されるアプリケーション、例: Facebook, CNN

認証タイプ

このイベントに接続された認証方法、例: MFAまたはパスワード

BGP Cato ASN

Cato BGPピア（ローカル接続）のBGP ASN

BGP Cato IP

Cato BGPピア（ローカル接続）のBGP IPアドレス

BGPエラーコード

BGP切断イベントのエラーメッセージ

BGPピアASN

BGPピア（リモート接続）のBGP ASN

BGPピア説明

BGPイベントについて、Cato管理アプリケーションからのBGP隣接の説明

BGPピアIP

BGPピア（リモート接続）のBGP IPアドレス

BGPルートCIDR

BGPルートのCIDR

BGPサブエラーコード

BGP切断イベントに関連するエラーメッセージ

カテゴリ

デフォルトのCatoシステムカテゴリ

Catoアプリ

このトラフィックフローに関連するアプリデータ

証明書の有効期限

クライアント証明書の有効期限

クライアントクラス

このトラフィックを生成するプロセスのタイプ

クライアントバージョン

ソケットまたはCatoクライアントのバージョン番号

コラボレーター

SaaSセキュリティAPIの場合、ファイルを受信したユーザーの電子メールアドレス

設定されたホスト名

Cato管理アプリケーションで静的IPアドレスのホストに設定された名前

輻輳アルゴリズム

イベント内のトラフィックにおけるTCP輻輳制御アルゴリズム。 可能な値：CUBIC、NewReno、BBR

コネクタ名

SaaSセキュリティAPIの場合、コネクタの名前

コネクタタイプ

SaaSセキュリティAPIの場合、コネクタ向けのSaaSアプリ

重大度

XDRイベントの場合、0（リスク/影響なし）から10（非常に高いリスク/影響）

カスタムカテゴリ

アカウントのカスタムカテゴリ（リソース > カテゴリ）

宛先国

インターネットトラフィックの場合、宛先サーバーのIPアドレスベースの位置

宛先国コード

インターネットトラフィックの場合、(ISO 3166-1 α-2に基づく) 宛先ホストのある2文字の国コード

宛先IP

インターネットトラフィックの場合、宛先サーバーのIPアドレス

宛先がサイトまたはSDPユーザー

WANトラフィックの場合、宛先タイプ：サイトまたはSDPユーザー

宛先ポート

インターネットトラフィックの場合、宛先サーバーのポート番号

宛先サイト

WANトラフィックの場合、宛先サイトまたはSDPユーザーの名前

デバイス名

イベントに接続されたホストの名前

デバイスポスチャプロファイル

このイベントに一致したプロファイル

ディレクトリホスト名

LDAPイベントの場合、ホスト名

ディレクトリIP

LDAPイベントの場合、ドメインコントローラーのIPアドレス

ディレクトリ同期結果

LDAPイベントの場合、ドメインコントローラーと同期した結果

ディレクトリ同期タイプ

ドメインコントローラーと同期したため生成されたLDAPイベント

表示名

ユーザーの名前

DLPプロファイル

イベントに関連するDLPプロファイル

DNS保護カテゴリ

CatoのDNSリクエストと一致したDNS保護タイプ

DNSクエリ

DNSリクエストでクエリされたドメイン

ドメイン名

SSL SNI、HTTPホスト名、DNS名

持続時間ミリ秒

トランザクションやオペレーションの開始から終了までのミリ単位での持続時間。 例えば、DNSまたはHTTPイベントでは、要求と対応する応答の間の時間を反映しています。

DNSイベントサブタイプの場合

出力PoP名

NATまたはルート経由設定を用いたネットワークルールを通じて定義されたトラフィック出力元のPoPの名前

フィールドは、サイトが接続されているPoP以外からトラフィックが出力される場合にのみ表示されます

出力サイト

トラフィックをバックホールするための出力サイト名

イベントカウント

1分間に複数回繰り返されるイベントのカウント

イベントメッセージ

Catoによるイベントの説明

BGPルート無視アクションの場合：

• ルートが多すぎる - 許可されるBGPルートの最大数を超えました。 ルート番号1024以降の任意のルートは無視されます。

• ルート衝突 - BGPルートは、CatoがブロックするBGPレンジと競合したため無視されます。

• ゼロ長ルート - デフォルトルート (0.0.0.0/0) が無視されました。

イベントタイプ

イベントの種類: 接続性、セキュリティ、ルーティング、システム、ソケット管理、または検出と対応

ファイルハッシュ

マルウェア対策イベントの関連ファイルのハッシュ値

ファイル名

関連ファイルの名前

注: PoP が検出時に実際のファイル名を取得できない場合、URL の最後の部分がファイル名として使用される可能性があります。例: download

ファイルサイズ

関連ファイルのサイズ（バイト単位）

ファイルタイプ

ファイルのコンテンツタイプ（例: アーカイブまたは Microsoft Office）

ファイル制御ルールの場合、form_data は HTTP 要求（たとえば、マルチパートフォーム提出）で一般的に使用される、ウェブフォームを通じて送信されたデータの汎用的な表現です。 特定のファイルタイプを示すものではありません。

フローカーディナリティ

特定のインシデントにおけるフローの数

フルパスURL

アプリのアクティビティにおけるフルパスURL。 アプリケーション制御が有効になっている場合に、このフィールドはアプリケーションセキュリティイベントに表示されます。

ホストIP

イベントに関連するホストのIPアドレス

ホストMACアドレス

このイベントのホストのMACアドレス

HTTPレスポンスコード

HTTPステータスコード（例: DNS要求、DoHが使用されている場合のDNS-over-HTTPSサーバー）

DNSとアプリケーションセキュリティイベントのサブタイプ用

IPプロトコル

このイベントのネットワークプロトコル

ISP名

このイベントで使用されるISP

ISPからIPアドレスが提供されない場合、イベントメッセージはIPアドレスが静的に割り当てられています

注: 異なるISPを使用する複数のアクティブなWANインタフェースを持つサイトのため、トラフィックフローのライフタイムにわたってインターフェースが変更される可能性があるため、ISP名の値が正確でないことがあります

リンク健全性の混雑

特定のリンクの混雑を測るデータ

リンク健全性のジッター

特定のリンクのジッターを測るデータ

リンク健全性のレイテンシー

特定のリンクのレイテンシーを測るデータ

リンク健全性のパケットロス

特定のリンクのパケットロスを測るデータ

リンクタイプ

この接続のリンクタイプ、例: Cato または Alt。 WAN

ログインタイプ

ログインアクション、値は: 管理者ログイン か VPN クライアント（リモートアクセスまたはサイトトラフィック）

マッチしたデータタイプ

イベントに関連するマッチしたDLPデータ型

Mitre攻撃フィールド

関連するIPSイベントに対して、包括的なMitre Att&ckナレッジベースに基づいたデータを表示します

• Mitre 攻撃小技術

• Mitre 攻撃戦術

• Mitre 攻撃手法

NATエラー

NATに関連する接続性の問題の理由を示します

ネットワークルール

このイベントでトラフィックが一致したネットワークルールの名前

値が0の場合、フローはパケット破損問題を経験しているか、ソケットWebUIにアクセスするシステムフローでした

オフィスモード

オフィスモードがこのユーザーに対して有効であることを示します

オンプレミスSID

MicrosoftのAzure Active Directory（Azure AD）におけるユーザーオブジェクトに割り当てられたユニークな識別子で、さまざまなAzureサービスを通してユーザーを明確に識別および管理するために使用されます

OSタイプ

ホストオペレーティングシステムまたはトンネルデバイスのタイプ

OSバージョン

ホストオペレーティングシステムまたはトンネルデバイスのバージョン番号

PoP名

このイベントに接続しているPoPロケーションの名前

パブリック送信元IP

トラフィックが出力したPoPによって割り当てられたパブリックIPアドレス。 ルーティング手法としてインターネットトラフィックバックホールを使用しているサイトの場合、このフィールドにはサイトのネイティブレンジのローカルIPアドレスが表示されます。

内部のDNS要求やFTPトラフィックのようにPoPからインターネットへ出力しないトラフィックの場合、フィールドは表示されません。

QoS優先度

トラフィックが一致したネットワークルールで定義されるQoS優先度の値

QoS報告時間

QoSの場合、このQoSイベントが開始された時間。 QoSイベントが終了した時にイベントが生成されます。

レコードタイプ

問い合わせのタイプ（例: DNSクエリ： A, AAAA, MX, または PTR）

DNSとアプリセキュリティイベントのサブタイプ用

登録コード

ZTNAユーザーが初めて認証を行う際に使用される登録コード（コードは部分的に不明瞭化されています）

関連するアプリケーション

このイベントのトラフィックフローで特定されたアプリケーションのリスト。アプリケーション識別プロセスの一部です。

このプロセスでは、フローのさまざまな段階でトラフィックを分析し、すべてのプロトコル、サービス、およびアプリケーションに関する情報収集を行って、アプリケーションの正確な最終判断を下します。 このフィールドは、プロセスの段階を通じて特定されたアプリケーションを示すことにより、アプリケーション識別に関連するコンテキストを提供します。

リクエストメソッド

HTTPリクエストメソッド（例: GET, POST）

リクエストサイズ

リクエストパケットのサイズ（バイト単位、例: DNSリクエストパケット）

DNSとアプリセキュリティイベントのサブタイプ用

レスポンスサイズ

レスポンスパケットのサイズ（バイト単位、例: DNSレスポンスパケット）

DNSとアプリセキュリティイベントのサブタイプ用

リスクレベル

IPSイベントは、ホストまたはネットワークに対する脅威の全体的な影響を示します：

リスクレベル低 - アドウェアなど、ネットワークに対して最小限のリスク

リスクレベル中 - ネットワークスキャンなど、ネットワークに対して中程度のリスク

リスクレベル高 - スパイウェアやワームなど、ネットワークに対して重大なリスク

ルール

このイベントでトラフィックが一致したファイアウォールルールの名前

ルールID

イベントに関連するセキュリティルールのユニークなCatoID

SAMアカウント名

Windows 2000以前のバージョンで使用されるログオン名で、Windows Active Directory内で使用されます

セベリティ

セキュリティルールで定義されたセベリティ

共有スコープ

ファイルの共有オプション（例: SharePoint）

シグネチャーID

IPSおよびSAMのためのIPSシグネチャのID

ソケットインタフェースID

ソケットインターフェースのためのユニークなCatoID

ソケットインタフェース名

ソケットポート（インタフェース）のためのCato管理アプリケーション内の名前

ソケット新規バージョン

ソケットアップグレードイベントのための新しいバージョンのバージョン番号

Socket旧バージョン

ソケットアップグレードイベントでは、以前のバージョンのバージョン番号

Socketリセット

ソケットリセットイベントでは、ハードウェアまたはソフトウェアのリセットを示します

ソケットロール

ソケットの高可用性イベントにおいて、該当するソケットがプライマリかセカンダリかを示します

ソース国

クライアントやサイトのための、トンネル外の公開IPアドレスを使用して検出される物理ロケーション

ソース国コード

ソースホストが所在する国の国コード（公開IPアドレス経由で検出）

送信元IP

Catoがホストまたはクライアントに割り当てるIPアドレス

ソースISP IP

Catoクラウドを接続するためのトンネル外にあるISPのIPアドレス

ソースはサイトまたはSDPユーザー

WANトラフィック用のソースタイプ：サイトまたはSDPユーザー

ソース

すべてのトラフィックに対する、ソースサイトまたはSDPユーザーの名前

送信元ポート

ネットワーク接続のためのクライアント、サイト、またはホストの内部ポート番号

ソースサイト

すべてのトラフィックに対する、ソースサイトまたはSDPユーザーの名前

サブネット名

Cato管理アプリケーションで定義されたサブネットの名前

サブタイプ

イベントタイプのサブタイプ、例：インターネットファイアウォール、SDP活動、アプリセキュリティなど

ターゲットカーディナリティ

このイベントに関連するターゲット（サーバー）の数

TCPアクセラレーション

イベントにおけるトラフィックがTCP加速されたかを示します。 値は1（加速された）および0（加速されていない）です。

このフィールドは、TCPベースのトラフィックフローにのみ表示されます

脅威名

マルウェアイベント用のマルウェア名

IPSイベントの場合、トラフィックがブロックされた理由を説明します

脅威参照

疑わしいファイルのため、マルウェア対策脅威データベースへのリンク

脅威の種類

マルウェアイベントの種類

脅威判定

マルウェア対策スキャンの結果

• サイズによるバイパス - ファイルが大きすぎてスキャンできません

• 最小サイズによるバイパス - ファイルが小さすぎでスキャンできません

• クリーン - ファイルがスキャンされ、脅威は検出されませんでした

• 暗号化 - ファイルが暗号化されているためスキャンできません

• 一致 - マルウェア対策のルールに一致しました

• スキャンなし - ファイルにスキャンするコンテンツがありません

• コンテンツ一致用にスキャンされていない - ファイルがデータ保護ルール（DLP）に一致するためのスキャンを受けていません

• 疑わしい - ファイルがスキャンされ、分析に基づいて疑わしいとされました

• ウイルス発見 - ファイルがスキャンされ、判定は悪意あり

時間

このイベントのタイムスタンプ（Linuxエポック形式）

TLSエラーの説明

このイベントにおけるTLSエラーの説明、値は以下の通りです：

close notify, unexpected message, bad record mac, decompression failure, handshake failure, no certificate, bad certificate, unsupported certificate, certificate revoked, certificate expired, certificate unknown, illegal parameter, decryption failed, record overflow, unknown CA, access denied, decode error, decrypt error, export restriction, protocol version, insufficient security, internal error, user canceled, no renegotiation, unknown PSK identity, unknown

これらのエラーの説明については、こちらのドキュメントを参照してください。

TLSエラータイプ

このイベントのＴＬＳエラータイプ、値は以下の通りです：

• 警告 - 一般的には接続が通常通り継続するが、受信者は接続を閉じることができます。

• 致命的 - 一般的にTLS接続を閉じます。 例えば、ネットワークがビジーであるか、パケットドロップ

• 不明 - 接続は通常通り継続可能です。 TLS接続の一部が不明であり、certificate_uknown など

TLSインスペクション

イベントでトラフィックがＴＬＳされていたかを示します。 値は1（検査済み）および0（未検査）です。

このフィールドは、TLSトラフィックフローにのみ表示されます

TLSルール名

トラフィックがＴＬＳインスペクションされた際、このフィールドはトラフィックが一致したルールの名前を表示します（デフォルトルールは除く）

TLSバージョン

このイベントのTLSプロトコルのバージョン番号

トラフィックの方向

このイベントのネットワークトラフィックの方向、値はインバウンドまたはアウトバウンド

取引サイズ

バイト単位の合計トランザクションサイズ、リクエストとレスポンスの両方を含む

DNSおよびApp Securityイベントサブタイプのため

トンネルプロトコル

トンネル接続のためのプロトコル

アップグレード終了時間

ソケットアップグレードの終了時間（Linuxエポック形式）

アップグレード開始者

ソケットのアップグレードがメンテナンスウィンドウ期間中に行われたか、サポートによって開始されたかを示します（値はCato Admin）

アップグレード開始時間

ソケットアップグレードの開始時間（Linuxエポック形式）

URL

インターネットトラフィック用のイベントのＵＲＬ

ユーザーエージェント

サインインで使用されたユーザーエージェントとしてHTTPトラフィックヘッダーのユーザーエージェントフィールドに表示される。 このフィールドは、HTTPリクエストから値が抽出された場合のみ補完され、現在以下のケースで発生します：

• TLSインスペクションが発生した際のIPSイベント

• アプリケーション制御イベント

• XDRにおけるセキュリティストーリーに関連するイベント

これらはユーザーエージェントの値の例です：

• Chrome/90.0.4430.212

• Safari/537.36

• Mozilla/5.0 (Windows NT 10.0; Win64; x64)

ユーザー認知メソッド

ユーザー認知（例えばアイデンティティ・エージェント）によるアイデンティティ取得に使用される方法

ユーザーメール

ユーザーのメールアドレス

ユーザー名

イベントを生成したユーザー

ユーザーオブジェクトID

Azure Active Directory内でユーザーオブジェクトに割り当てられるユニーク識別子、ユーザーアカウントを明確に識別して管理するために使用

ユーザープリンシパル名

Microsoft Active Directory環境でのユーザーのログイン名、メールアドレス形式でフォーマットされ、サインインに使用されます（例：user@domain.com）

ユーザー参照ID

ブロック/プロンプトページ用の、不正なカテゴリを報告するための参照ID

ユーザーSID

Windowsデバイスシステム上で各ユーザーに割り当てられるユニーク識別子、権限やアクセス権を管理するため

Windowsドメイン名

LDAP同期イベント用のADドメイン名

XFF

XFF HTTPヘッダーが接続の元IPアドレスを示します

クライアントクラス

キーワード

このネットワークフローを作成したオペレーティングシステムで動作しているクライアントアプリケーションのタイプ、例えば Chrome

フローカーディナリティ

数

このセキュリティインシデントに含まれるネットワークフローの数

インシデント集計

数

このイベントが以下を示すか否かを示す真/偽の値：

• 多数のイベントを集約した要約（true）

• 単一イベントの生ネットワークフロー（false）

インシデントID

キーワード

このセキュリティインシデントを特定するID。 このIDを使用して、MDRチームとのさらなる情報のやりとりが可能です。

ターゲットのカーディナリティ

数

このセキュリティインシデントに含まれるサーバー数

デバイスカテゴリ

イベントに関連するデバイスの一般的なカテゴリー。

デバイスID

イベントに関連するデバイスの一意のCato識別子

デバイスメーカー

イベントに関連するデバイスを製造した会社

デバイスモデル

イベントに関連するデバイスのモデル名

デバイスOSタイプ

イベントに関連するデバイス上のオペレーティングシステム

デバイスタイプ

イベントに関連する特定のデバイスタイプ。 デバイスタイプには複数の異なるモデルが含まれる可能性があります