- 限定コンテンツへのアクセス
- 他ユーザーとのつながり
- あなたの体験を共有
- サポート情報の発見
あるドメインにアクセスしたアクティビティを調査したい場合、
XQLのpresetsを使用すると便利にデータを抽出できます。presetsはデータフィールドをグルーピングしたもので
効果的にデータの抽出ができます。
ここでは「network_story」と言うpresetsを使用します。network_storyで使用可能なフィールドはこちらで確認できます。
例えば、ホスト名が「WIN-0TNTTQOMGDR」で、「xxxxxxx.co.jp」にアクセスしたアクティビティについて調べたい場合、
以下のように記述します。
preset = network_story | filter agent_hostname ="WIN-0TNTTQOMGDR" and dst_action_external_hostname contains "xxxxxxx.co.jp"
もしヒットすれば、xxxxxxx.co.jp(サブドメインも含む)にアクセスしたアクティビティが検出され、フィールド「dst_action_external_hostname」に
該当のドメインが、フィールド「agent_hostname」に該当ホスト名が表示されます。
1つのレコードを選択し、プロセスの連鎖を確認するためにCausality Chainを確認すると、
Chrome.exeでアクセスしていることをプロセスの連鎖から確認できます。
また、緑の枠にあるアイコンに注目すると、ホスト「WIN-0TNTTQOMGDR」がIPアドレス「192.168.68.XXX」に
アクセスしたといった趣旨の内容が記載されていますが、その下の緑の枠の中にある「CONNECTION」見ると「192.168.68.116:3128」にアクセスしたとあり、これはこのホストが使用しているプロキシサーバーを指しています。
したがって、この例ではChrome.exeが、プロキシサーバ経由でxxxxxxx.co.jpを含むドメインを持つサイトにアクセスした、
ということがわかります。
ちなみに次世代ファイアウォール(PAシリーズ)のトラフィックログからも同じように調査できますが、
デバイスの種類やシリアル番号なども取得します。
network_storyのフィールド名についてはこちら