管理ガイド › クエリおよびレポート › プロンプト › IP プロンプトの使用

IP プロンプトの使用

IP プロンプトは、指定した IP アドレスが選択した精製済みイベント CEG フィールドに表示されるイベントに対してクエリを実行します。 元のイベント データが精製されると、イベントの詳細に複数の CEG IP アドレスが含まれることがあります。 次のシナリオを考えます。

1. source_address にあるイベント イニシエータが、dest_address にあるターゲットに、アクション event_action を試行します。

   注： source_address と dest_address は、異なる場合も同じである場合もあります。

2. このイベントが event_source_address にあるリポジトリに記録されます。

   注： event_source_address は source_address や dest_address と異なる場合も、どちらかと同じまたは両方と同じである場合もあります。

3. agent_address にインストールされた CA User Activity Reporting Module エージェントが、event_source_address に記録されたイベントのコピーを作成します。

   注： agent_address は、エージェント ベースのログ収集では event_source_address と同じですが、エージェントレス ログ収集や直接ログ収集では異なります。

4. agent_address にあるエージェントが、CA User Activity Reporting Module 収集サーバに event_logname のイベントのコピーを送信します。

IP プロンプトを使用する方法

1. ［クエリおよびレポート］を選択します。

   ［クエリ リスト］に、［プロンプト］フォルダおよびほかのクエリ用の 1 つ以上のフォルダが表示されます。

2. ［プロンプト］を展開し、［ホスト］を選択します。

   IP プロンプトが表示されます。

3. このクエリの基となる IP アドレスを入力します。
4. IP アドレス エントリと一致するデータにクエリを実行するフィールドを、以下の中から 1 つ以上選択します。

   source_address

   アクションが開始されたホストの IP アドレスです。

   dest_address

   アクションの宛先またはターゲットであるホストの IP アドレスです。

   event_source_address

   イベントが発生したときに元のイベントを記録するホストの IP アドレスです。

   たとえば、WinRM に基づいたコネクタを展開し、Windows Server 2008 ホストのイベント ビューアからイベントを収集できます。 指定した Windows Server 2008 ホストから取得されたイベントを選択するには、そのサーバの IP アドレスを入力し、このフィールドを選択します。

   receiver_hostaddress

   agent_address と同じです。

   agent_address

   CA User Activity Reporting Module エージェントが展開されているホストの IP アドレスです。

5. ［実行］をクリックします。

   IP プロンプト クエリの結果が表示されます。

6. 以下の説明を使用して、クエリ結果を解釈します。

   CA 重大度

   イベントの重大度を示します。値には、重大度が大きくなる順に、情報、警告、マイナー インパクト、メジャー インパクト、クリティカル、および致命的、があります。

   日付

   イベントが発生した日付を示します。

   Result

   対応するアクションの結果のコードを示します。表示される文字は、「S」は成功、「F」は失敗、「A」は許可、「D」は廃棄、「R」は拒否、「U」は不明を表します。

   宛先ポート

   宛先ホスト（イベント アクションのターゲット）の通信ポートを示します。

   送信元 IP

   イベント アクションが開始された IP アドレスを示します。

   宛先 IP

   イベント アクションのターゲットとなったホストの IP アドレスを示します。

   イベント ソース IP

   イベントが最初に記録されたリポジトリのあるホストの IP アドレスを示します。

   エージェント IP

   イベント ソースからのイベントの収集を実行する CA User Activity Reporting Module エージェントがあるホストの名前を示します。

   受信側 IP

   エージェント IP と同じです。

   カテゴリ

   対応するイベント アクションの上位レベルのカテゴリを示します。 たとえば、「システム アクセス」は認証アクション用のカテゴリです。

   ［アクション］

   イベント アクションを示します。

   ログ名

   イベントを収集したコネクタによって使用されたログ名を示します。