セキュリティーログ活用ガイド

UTX100/UTX200のセキュリティーログの確認方法について解説します。セキュリティーログを利用したトラブルシューティングやセキュリティーチェックにご活用ください。

1. ログの閲覧
2. 各種UTM機能のログ
3. セキュリティーログ関連ツール
4. セキュリティーログの検索
5. アクションの解説

※ UTX100、UTX200で同じ手順になります。以下の説明では「UTX」と称します。
※ GUIの画面は、ファームウェアバージョンR80.20.15 (992001680) のキャプチャーになります。

1. ログの閲覧

1-1. セキュリティーログの画面を開く

1. Webブラウザーを起動します

   ※ 推奨：Google Chrome, Mozilla Firefox

2. URL欄に次のアドレスを入力します

   https://UTXのIPアドレス:4434

   ※ または、デバイスアクセスのURLでアクセスします

3. 【詳細設定】をクリックします
4. 「*.*.*.*にアクセスする（安全ではありません」をクリックします
5. 実際の画面ではアプライアンスのIPアドレスが表示されます
6. 【ユーザ名】と【パスワード】を入力してログインします
7. 「ログ＆モニタリング」 > 【セキュリティログ】を開きます
   

1-2. ログ項目の見方

セキュリティーログのレコードは左から順番に以下の項目で表示されます。

• 時刻
  ログの作成された時刻（UTXに設定された時刻）
• ブレード
  どのセキュリティーブレード（機能）で【アクション】を行っているか
• インタフェース
  どのインタフェースで通信を行ったか
• アクション
  Accept, Block, Drop, Flag, Key Install, Redirect等、通信に対しての処理（詳細は「5. アクションの解説」を参照）
• ソース
  送信元 IPアドレス
• 宛先
  送信先 IPアドレス
• サービス
  HTTP, POP3など、UTXで定義されているサービス名、またはポート番号
• ルール
  どのアクセスポリシーにより【アクション】が実行されたか
• 説明
  なぜ【アクション】が行われたかの説明

1-3. 詳細情報の表示

セキュリティーログの詳細は、以下の手順で表示することができます。

• レコードを【ダブルクリック】する
  または
• レコードを【右クリック】し、【詳細表示】をクリックする
  

1-3-1. ファイアウォールブレードによるログの詳細情報の例

詳細情報の内、主要なログ情報を以下にまとめます。

※ 以下のログ詳細情報は一例です。ログにより表示項目の数は変化します。

1. 【ログ情報】

   ブレード	セキュリティーブレードの種類
   タイプ	「セッション」や「コネクション」など通信の種類

2. 【ポリシー】

   アクション	通信に対してのアクション 例： Accept / Block / Drop / Detect / Flag / Bypass など（詳細は「5. アクションの解説」を参照）
   ルール	どのアクセスポリシーが適用されたか
   ルール名	アクセスポリシーの種類 例：Incoming/Internal 外部から内部への通信（外部アクセスポリシー）    Outgoing/External 内部から外部への通信（着信、内部アクセスポリシー）

3. 【トラフィック】

   ソース	送信元IPアドレス
   宛先	送信先IPアドレス
   サービス	サービス名、またはポート番号
   インターフェースの方向	通信の方向 例：inbound 外部から内部    outbound 内部から外部
   プロトコル	IPプロトコル番号 例： TCP・・・#6, UDP・・・#17 など
   宛先ポート	宛先ポート番号
   ソースポート	送信元ポート番号

4. 【その他】

   説明	アクションが行われた理由
   インゾーン	通信の入力方向
   アウトゾーン	通信の出力方向

1-3-2. 「Default Policy」について

【ポリシー】の「ルール名」や【その他】の「説明」にある「Default Policy」や「Default Application Policy」とは、UTXが自動生成しているポリシーを指します。

「アクセスポリシー」 > 「ファイアウォール」の【ポリシー】メニューを開くと、「インターネットへの外部アクセス」と「着信、内部およびVPNトラフィック」のそれぞれに設定されていることが確認できます。
外部アクセスポリシーの最下部にはすべての通信を「許可」するポリシーが、着信ポリシーの最下部にはすべての通信を「ブロック」するポリシーが入っています。

1-4. ファイアウォールブレードのログを読み解く

以上の情報を踏まえ、ファイアウォールブレードのログを読み解きます。

2. 各種UTM機能のログ

2-1. IPS

IPS のログでは、検知した攻撃の内容について確認することができます。

1. 【一般イベント情報】

   攻撃名	攻撃の名称
   Confidence Level	3段階で表される、脅威判定の信頼性
   Performance Impact	本体のパフォーマンスへの影響
   Protection Name	脅威対策名（攻撃名と同じ時もあります）
   深刻度	5段階で表される、脅威のリスク

2. 【その他】

   説明	脅威の詳細情報（攻撃名と同じときもあります）
   インダストリリファレンス	CVE番号 ※ CVE・・・共通脆弱性識別子（業界共通の脆弱性情報データベース）

以上の情報を踏まえ、以下のログを読み解きます。

2-2. アンチウイルス

アンチウイルスのログでは、検知したマルウェアについて確認することができます。

1. 【一般イベント情報】

   Confidence Level	3段階で表される、脅威判定の信頼性
   Protection Name	脅威対策名（ウイルス名）
   深刻度	5段階で表される、脅威のリスク

2. 【その他】

   説明	脅威や検知内容の詳細情報
   プロキシソースIP	発信元のIPアドレス
   クライアントタイプ	どのソフトウェアで検出したか
   マルウェアアクション	検知した内容
   リソース	アクセス先のURLなど、リソースの表示
   Protection Type	何によって判断されたか

以上の情報を踏まえ、以下のログを読み解きます。

※ このログは「SSLインスペクション」を有効にした時のものです。SSLインスペクションが無効の場合、HTTPS通信に対してアンチウイルスは動作しません。

2-3. アンチボット

アンチボットのログでは、検知した攻撃の内容について確認することができます。

1. 【一般イベント情報】

   Confidence Level	3段階で表される、脅威判定の信頼性
   Protection Name	脅威対策名（ウイルス名）
   深刻度	5段階で表される、脅威のリスク

2. 【その他】

   説明	脅威や検知内容の詳細情報
   プロキシソースIP	発信元のIPアドレス
   Suppressed Logs	セッションにあったコネクション数
   クライアントタイプ	どのソフトウェアで動きを検出したか
   マルウェアアクション	検知したアクション
   リソース	アクセス先のURLなど、リソースの表示
   Protection Type	何によって判断されたか

以上の情報を踏まえ、以下のログを読み解きます。

2-4. アプリケーションコントロール

アプリケーションコントロールのログでは、通信からアプリケーション分類やその内容について確認することができます。

1. 【その他】

   プライマリカテゴリ	アプリケーションの分類
   説明	どのような処理が行われたか

2. 【Details（詳細）】

   アプリケーションプロパティ	アプリケーションの用途やリスク 例： 広帯域、情報の転送、暗号化通信、ビデオ共有・・・等
   アプリケーションリスク	5段階で表されるリスク評価
   アプリケーション名	アプリケーションの名称

以上の情報を踏まえ、以下のログを読み解きます。

2-5. URLフィルタリング

URLフィルタリングのログでは、URLの分類について確認することができます。

1. 【その他】

   プライマリカテゴリ	検出した URLの分類
   説明	どのような処理が行われたか
   クライアントタイプ	どのソフトウェアで検出したか
   リソース	アクセス先のURL

2. 【Details（詳細）】

   アプリケーションプロパティ	分類されるカテゴリやリスク 例： スパイウェア、不正なウェブサイト、ポルノ・・・など
   アプリケーションリスク	5段階で表されるリスク評価
   アプリケーション名	アクセス先のURL

以上の情報を踏まえ、以下のログを読み解きます。

2-6. アンチスパム

アンチスパムのログでは、処理内容やメールの情報を確認することができます。

1. 【その他】

   Eメールコントロール	スパム判定を行った理由 Content Anti Spam : コンテンツの内容から判定 IP Reputation Anti Spam : IPアドレスのレピュテーションから判定 Block List Anti Spam : ブロックリストから判定
   スパムメールカテゴリ	スパム判定の分類 Spam : スパムメールである Suspected Spam : スパムメールと疑われる

2. 【User Information】

   送信者	メールの送信元アドレス

以上の情報を踏まえ、以下のログを読み解きます。

※ 1: 送信元のなりすましも存在するため、送信者情報が確実とは限りません
※ 2: メールの件名に文字列を追加する場合も「Flag」アクションとなります

3. セキュリティーログ関連ツール

3-1. ツールバー

3-2. 検索ボックス

検索ボックスでは以下の検索方法を使用できます。

※ 要素が複合した検索（AND/OR検索）には対応しておりません

検索する際は、検索ボックスに条件を入力し、右の虫眼鏡ボタンをクリックします。

4. セキュリティーログの検索

4-1. 日付で検索

• 「Today」で検索 ・・・本日のログのみが表示されます
• 「Yesterday」で検索 ・・・昨日のログのみが表示されます
  

4-2. IPアドレスで検索

例：送信元IPアドレスが「192.168.1.163」の場合

• 「Source:192.168.1.163」で検索
  

  または、IPアドレスのみでも検索が可能です。この場合、送信元、または宛先のどちらかに該当するログが表示されます。

  

4-3. サービスで検索

例：利用サービスが「HTTPS」の場合

• 「Service:https」で検索
  

4-4. ブレード名で検索

下記のようなブレード名で検索することも可能です。

• Firewall
• IPS
• Anti-Virus
• Anti-bot
• Anti-Spam
• Application Control
• URL Filtering
• Identity Awareness
• VPN
  

5. アクションの解説

通信に対する各アクションの処理は以下になります。