株式会社○○○殿
Palo Alto マネージメントサービス
△△△△年××月分月次レポート
（Palo Alto ホスト名）
管理番号 ： XXXXXXXXXXXX-XXXX
目次
１
ご契約サービス内容... 1
２
デバイス情報ならびに統計レポート期間 ... 1
３
診断結果 ... 2
４
アプリケーション通信遮断統計 ... 9
４.１
内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断統計レポート ... 9
４.２
外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断統計レポート ... 14
４.３
ルール別アプリケーション通信遮断統計レポート ... 22
５
SPI 検知統計 ... 27
５.１
攻撃元 IP アドレス別検知統計レポート ... 27
５.２
攻撃種類別検知統計レポート ... 29
５.３
攻撃元 IP アドレス別ブロック統計レポート ... 31
５.４
攻撃種類別ブロック統計レポート ... 33
６
IDS/IPS 検知統計 ... 35
６.１
攻撃元 IP アドレス別検知統計レポート ... 35
６.２
攻撃先 IP アドレス別検知統計レポート ... 37
６.３
攻撃種類別検知統計レポート ... 39
６.４
攻撃元 IP アドレス別ブロック統計レポート ... 41
６.５
攻撃先 IP アドレス別ブロック統計レポート ... 43
６.６
攻撃種類別ブロック統計レポート ... 46
７
スパイウェア検知統計 ... 48
７.１
攻撃元 IP アドレス別検知統計レポート ... 48
７.２
攻撃先 IP アドレス別検知統計レポート ... 50
７.３
攻撃種類別検知統計レポート ... 52
７.４
攻撃元 IP アドレス別ブロック統計レポート ... 54
７.５
攻撃先 IP アドレス別ブロック統計レポート ... 56
７.６
攻撃種類別ブロック統計レポート ... 58
８
ウイルス検知統計 ... 60
８.１
攻撃元 IP アドレス別ウイルス検知統計レポート ... 60
８.２
攻撃先 IP アドレス別ウイルス検知統計レポート ... 63
８.３
攻撃種類別ウイルス検知統計レポート ... 65
８.４
攻撃元 IP アドレス別ウイルスブロック統計レポート ... 68
８.５
攻撃先 IP アドレス別ウイルスブロック統計レポート ... 68
８.６
攻撃種類別ウイルスブロック統計レポート ... 68
９
URL フィルタリング検知統計 ... 69
９.１
カテゴリ別 IP アドレス URL 検知統計レポート ... 69
９.２
IP アドレス別 URL サイト検知統計レポート ... 71
９.３
カテゴリ別 IP アドレスブロック統計レポート ... 73
９.４
IP アドレス別 URL サイトブロック統計レポート ... 75
１０
ログイン認証統計 ... 77
１０.１
ログイン失敗統計レポート ... 77
１０.２
ログイン成功統計レポート ... 79
１１
セキュリティ動向 ... 81
１２
お問い合わせ先 ... 89
１
ご契約サービス内容
月次レポートに関わるお客様のご契約サービスは以下の通りです。 表 1.1 ご契約サービス一覧 No 分類 サービス名 ご契約 1 月次レポート アプリケーション通信遮断統計 ○ 2 SPI 検知統計 ○ 3 IDS/IPS 検知統計 ○ 4 スパイウェア検知統計 ○ 5 ウイルス検知統計 ○ 6 URL フィルタリング検知統計 ○ 7 ログイン認証統計 ○２
デバイス情報ならびに統計レポート期間
本レポートは、下記 Palo Alto の各種統計情報になります。 表 2.1 デバイス情報一覧 No. 分類 情報 1 機種名 2 ホスト名 3 PAN OS 4 IP アドレス 5 Serial#（シリアル番号） 6 設置場所 本レポートは、 Palo Alto の内部で下記ネットワークアドレスを使用していることを想定しております。 表 2.2 Palo Alto の内部で使用しているネットワークアドレス一覧No. 内部 IP アドレス No. 内部 IP アドレス No. 内部 IP アドレス
1 192.168.7.0/24 8 15 2 9 16 3 10 17 4 11 18 5 12 19 6 13 20 7 14 21 本レポートは、下記期間の統計情報のレポートになります。 表 2.3 レポート期間 No. 分類 情報 1 レポート期間
３
診断結果
診断者：ネットワークビジネス部 XXX XXX 診断結果の要点を纏めています。全体的な状況を把握した上で、詳細な診断結果の内容をご参照下さい。 表 3.1 診断結果要点早見表 No. サービス名 ステイタスアイコン 概要 1 アプリケーション通信遮断統計 ピアツーピア(P2P)ファイル共有アプリケーションを 使用した通信が突発的に発生しています。 2 SPI 検知統計 アタックの検知状況についてご確認頂き、閾値の設 定変更を推奨いたします。 3 IDS/IPS 検知統計 攻撃対象の PC が脆弱性攻撃を受けている可能性 があるため、調査頂くことを推奨致します。 4 スパイウェア検知統計 対象のPCがスパイウェアに感染している可能性が あるため、調査頂くことを推奨致します。 5 ウイルス検知統計 IP アドレス「192.168.121.150」を送信元とした通信で ウイルスを 31 件検知しています。 6 URL フィルタリング検知統計 IP アドレス「192.168.4.20」が Facebook へ複数回アク セスを試みています。 7 ログイン認証統計 ログイン認証の成功/失敗状況についてご確認下さ い。 ステイタスアイコンの概要 - ヘルプカード - 異常は検知しておらず、良好な状態と判断できることを示しています。 - 状況を把握するために確認をご推奨することを示しています。 - 重要な内容を記載しています。必ずご確認頂きたい事項を示しています。 ※ステイタスアイコンの結果は、絶対の安全や継続した安全を保証するものではありません。(１) 「４ アプリケーション通信遮断統計(P9 を参照)」 ① 「４.１ 内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断統計レポート(P9 を参照)」 12 月 8 日(火)に送信元 IP アドレス「192.168.7.10」からのアプリケーション「bittorrent」を使用した通信が突発的に発生しています。 「bittorrent」は、大容量ファイルの配布効率を高める目的で作成されたピアツーピア(P2P)ファイル共有アプリケーションです。本アプリ ケーションを使用したシステムは、本来、RedHatLinux の最新版リリースの配布等、正当な理由にて使用されていますが、海外(特に中 国)ではオンラインで（違法・合法に関わらず）大容量のファイルを交換が行われています。 宛先 IP アドレスについて調査したところ組織名が中国に属する通信であることから、社内からの不正利用が考えるため、送信元 IP ア ドレスについて調査頂くことを推奨いたします。 192.168.7.10 192.168.7.33 192.168.7.82 192.168.7.51 192.168.7.88 0 1,000 2,000 3,000 4,000 5,000 6,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 内部ク ラ イア ント/サー バに生成されたプ ロトコ ルイベントの推移 内部ク ラ イア ント/サー バに生成されたプ ロトコ ルイベントの推移 日 図 3.1 内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の推移 ② 「４.３ ルール別アプリケーション通信遮断統計レポート(P22 を参照)」 ･全ての内部 IP について、同様のアプリケーションを使用した通信遮断が行われる傾向にあり、最も多く遮断しているアプリケーション は「bittorrent」です。 rule1 rule6 rule3 rule2 rule4 0 200 400 600 800 1,000 1,200 1,400 1,600 1,800 2,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 プ ロトコ ルによっ てトリガされたフ ァイア ウォ ー ルルー ルの推移 プ ロトコ ルによっ てトリガされたフ ァイア ウォ ー ルルー ルの推移 日 図 3.2 ルール別アプリケーション通信遮断の推移 12 月8 日(火)に「bittorrent」を使用し た通信の遮断が突発的に発生して います。
･今月遮断件数の多いアプリケーションについて、アプリケーションの説明を表 3.2 に示します。 表 3.2 アプリケーションの説明 No. アプリケーション名 説明 1 bittorrent BitTorrent は、ピアツーピア (P2P) ファイル共有通信プロトコルです。ハードウェア、ホスティング、およびネットワークリ ソース等を元の配布者が負担せずに、大量のデータを広く配信することを目的としています。その代わり、BitTorrent プロ トコルを使用してデータを配信するときは、各受信者がデータの一部を新しい受信者に提供することで、任意の個別リソー スにかかるコストおよび負担を軽減しています。また、システムの問題に対する冗長性を提供し、元の配布者への依存性 も軽減しています。このプロトコルは、プログラマである Bram Cohen 氏の考案によるもので、2001 年 4 月に設計され 同年 7 月に初めて実装されました。現在は Cohen 氏の企業、BitTorrent, Inc. によってメンテナンスされています。インタ ーネット上のかなりのトラフィックをこのプロトコルの使用が占めていますが、正確な量の測定は難しいことが証明されて います。uTorrent、BitComet、Deluge、TurboBT、および Transmission 等、さまざまなプログラミング言語で記述され、さま ざまなコンピュータプラットフォーム上で動作する、互換 BitTorrent クライアントが多数存在します。
2 youtube YouTubeは、ユーザがビデオクリップをアップロード、視聴、共有できる人気がある無料のビデオ共有ウェブサイトです。ビ デオを評定できます、そして、ビデオが監視されたという回の平均評価と数は共に発行されます。
3 skype スカイプは SIP や、IAX や、H.323 等の VoIP プロトコルを開くためにインターネット電話同様の独占ピアツーピアです。
(２) 「５ SPI 検知統計(P27 を参照)」
Palo Alto のアタック検知およびブロックが 12 月 17 日(木)より発生していません。17 日前後でログインが成功した履歴は弊社監視セン タにて取得していないため、設定変更は行われていないと考えられます。
① 「５.１ 攻撃元 IP アドレス別検知統計レポート(P27 を参照)」
1 つの IP アドレスからの SCAN 攻撃が集中的に検知しています。本通信は、Palo Alto にて許可されているため、攻撃対象の端末は 攻撃を受けている可能性が考えられます。攻撃元 IP アドレスについて調査頂き、閾値を変更頂くことを推奨いたします。 10.212.200.107 0.0.0.0 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃元別攻撃イベントの推移 攻撃元別攻撃イベントの推移 日 図 3.3 攻撃元 IP アドレス別アタック発生の推移
② 「５.２ 攻撃種類別検知統計レポート(P29 を参照)」 全てのアタックについて同様の傾向で推移しています。表3.3 に示す攻撃先IP アドレスがアタックによる影響を受けていないか調査 頂くことを推奨いたします。 flood SCAN: TCP Port Scan(8001)
SCAN: UDP Port Scan(8003)
SCAN: Host Sweep(8002) 0 200 400 600 800 1,000 1,200 1,400 1,600 1,800 2,000 2,200 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃種類別攻撃先の推移 攻撃種類別攻撃先の推移 日 図 3.4 攻撃種類別攻撃先の推移 表 3.3 攻撃を受けている可能性のある IP アドレス No. 攻撃種別 攻撃先 IP アドレス
1 SCAN: TCP Port Scan(8001) 10.212.200.109 2 SCAN: UDP Port Scan(8003) 10.212.200.109 3 SCAN: Host Sweep(8002) 172.16.10.2 ③ 「５.３ 攻撃元 IP アドレス別ブロック統計レポート (P31 を参照)」
1 つの IP アドレスからの SCAN 攻撃が集中的に検知しています。本通信は、Palo Alto にてブロックされているため、攻撃対象の端 末は安全であると判断いたします。 0.0.0.0 10.212.200.107 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 8,000 9,000 10,000 11,000 12,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃元別攻撃イベントの推移 攻撃元別攻撃イベントの推移 日 図 3.5 攻撃元 IP アドレス別アタック発生の推移
(３) 「６ IDS/IPS 検知統計(P35 を参照)」
① 「６.２攻撃先 IP アドレス別検知統計レポート (P37 を参照)」
12 月 20 日(日)に脆弱性攻撃「Adobe Acrobat and Adobe Reader U3D RHAdobeMeta Buffer Overflow(32607)」を突発的に検知していま す(図 3.6 参照)。本通信は、Palo Alto にてブロックしておらず攻撃先 IP アドレス「192.168.7.20」に何らかの影響を及ぼしている可能性 があります。表 3.4 に脆弱性攻撃の詳細を示します。攻撃先 IP アドレスについて、影響が起きていないか・本攻撃に対して対策が行 われているかご確認頂き、Palo Alto の設定変更の必要性について見当頂くことを推奨致します。 0 4 8 12 16 20 24 28 32 36 40 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃元別攻撃イベントの推移 攻撃元別攻撃イベントの推移 日 図 3.6 攻撃先 IP アドレス別脆弱性攻撃発生の推移 表 3.4 脆弱性攻撃の詳細 No. 脆弱性攻撃 詳細
1 Adobe Acrobat and Adobe Reader U3D RHAdobeMeta Buffer Overflow(32607)
Adobe Acrobat と Adobe Reader は、ある種の細工された.pdf ファイルの解析 間に、オーバーフローの脆弱性を受けやすい性質があります。この脆弱性 は pdf ファイル内の U3D RHAdobeMeta の適切なチェックが欠けていること が原因で、結果的にセキュリティーホールとなるオーバーフローが引き起こ されます。攻撃者は細工された.pdf ファイルを送信することにより、脆弱性の 攻撃が可能です。攻撃が成功した場合、ログインしているユーザの特権で、 リモートからコードが実行されます。 12 月 20 日(日)に突発的な脆弱性攻撃 を受けています。
(４) 「７ スパイウェア検知統計(P48 を参照)」
① 「７.１ 攻撃元 IP アドレス別検知統計レポート(P48 を参照)」
12 月 20 日(日)にスパイウェア「Music_Starware_Toolbar Initial request to server on startup of IE(11912)」を突発的に検知しています(図 3.6 参照)。本スパイウェアは Web ブラウザから有害なサイトにアクセスした際に感染する可能性があるため、攻撃元となっている内 部IP アドレス「192.168.7.105」,「192.168.7.109」,「192.168.7.106」に何らかの影響を及ぼしている可能性があります。表3.4 に脆弱性攻撃 の詳細を示します。攻撃元 IP アドレスについて、影響が起きていないか・本攻撃に対して対策が行われているかご確認頂き、Palo Alto の設定変更の必要性について見当頂くことを推奨致します。 192.168.7.105 192.168.7.109 192.168.7.106 0 10 20 30 40 50 60 70 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃元別攻撃イベントの推移 攻撃元別攻撃イベントの推移 日 図 3.6 攻撃先 IP アドレス別スパイウェア発生の推移 表 3.4 スパイウェアの詳細 No. スパイウェア 詳細 1 Music_Starware_Toolbar Initial request to server on startup of IE(11912)
このシグネチャは spyware Music Starware toolbar のランタイムの振る舞いを検 知します。Music Starware toolbar は IE ブラウザのハイジャッカーです。このス パイウェアは IE auto search、search assistant、一般的なサーチエンジンをハイ ジャックし、音楽に関連したサーチエンジンにリダイレクトします。また、このス パイウェアはユーザのブラウジングの癖を、情報収集のためリモートサーバへ に送信します。Starware toolbar は、ユーザの同意無しに、自身のコントロール サーバから定期的にアップデートをダウンロードします。 (５) 「８ ウイルス検知統計(P60 を参照)」 ① 「８.１ 攻撃元 IP アドレス別ウイルス検知統計レポート(P60 を参照)」 IP アドレス「192.168.121.150」が送信元となった通信のウイルス検知を 31 件検知しています。その中でも特に検知数の多かったウイル スは、Trojan/Js.Agent.mkxi(259133)の 25 件でした。その外にもプライベート IP アドレスが送信元となった通信で多数ウイルスを検知して います。検知した送信元 IP アドレスの PC に対してウイルススキャン等を実施することを推奨致します。
(６) 「９ URL フィルタリング検知統計(P69 を参照)」 ① 「９.１ カテゴリ別 IP アドレス URL 検知統計レポート(P69 を参照)」 今月最も多く検知した URL カテゴリは、「search-engines」の 156 件で、その中で最もアクセスした IP アドレスは「192.168.4.20」の 70 件 でした。業務に関わる調査で「search-engines」カテゴリへのアクセスが考えられるため、特に問題は無いと考えますが、業務外の Web 閲覧で使用している可能性もあるため、検知数の多い IP アドレスに対しては、継続して件数の推移をご確認頂くことを推奨致し ます。 ② 「９.２ IP アドレス別 URL サイト検知統計レポート(P71 を参照)」 今月最も多く検知した IP アドレスは「192.168.4.10」の 94 件で、その中で最もアクセスしたサイトは Google でした。Google は検索サイト で特に危険は無いと判断しますが、2 番目に多く検知された youtube は動画サイトであり、業務に関係している可能性は低いため、IP アドレス「192.168.4.10」が、不必要に動画サイトを閲覧していないかご確認頂くことを推奨致します。 ③ 「９.３ カテゴリ別 IP アドレスブロック統計レポート(P73 を参照)」
今月最も多くブロックした URL カテゴリは、「Personals & Dating」の 94 件で、IP アドレス「192.168.4.20」と「192.168.4.10」が通信のアクセ ス元になっております。「Personals & Dating」は出会い系となり、業務とは関係ない通信を試みたことが考えられますが、ブロックして いるためアクセスは行えておりません。 ④ 「９.４ IP アドレス別 URL サイトブロック統計レポート(P75 を参照)」 今月最も多くブロックした IP アドレスは「192.168.4.20」の 78 件で、その中で最もアクセスしたサイトは facebook でした。Facebook は、 ソーシャルネットワーク(SNS)であり、人と人とのつながりを促進・サポートするコミュニティ型のWebサイトです。一般的に業務とは異 なる目的でアクセスしていることが考えられ、対象の IP アドレスを使用するユーザに何故facebook にアクセスを試みたかご確認頂く ことを推奨致します。 (７) 「１０ ログイン認証統計(P77 を参照)」 ① 「１０.１ ログイン失敗統計レポート(P77 を参照)」 今月は 46 回のログイン失敗が発生しています。ログイン元 IP アドレスについて調査頂くことを推奨いたします。 表 3.4 ログイン失敗の概要 No. 日付 ログイン元 IP アドレス 10.212.200.107 10.12.120.7 1 12 月 1 日(火) 4 0 2 12 月 2 日(水) 0 6 3 12 月 10 日(木) 14 0 4 12 月 23 日(水) 22 0 合計 40 6 ② 「１０.２ ログイン成功統計レポート(P79 を参照)」 今月は 8 回のログイン成功を検知しています。ログイン成功が意図したものであるかご確認頂くことを推奨いたします。 表 3.5 ログイン成功の概要 No. 日付 ログイン元 IP アドレス 10.212.200.107 0.0.0.0 1 12 月 1 日(火) 5 2 2 12 月 20 日(日) 1 0 合計 6 2
４
アプリケーション通信遮断統計
４.１
内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断統計レポート
このページは、サービス開始時にお客様よりヒアリングした Palo Alto の内部で使用している IP アドレスが、送信元もしくは宛先に含まれる 通信を、Palo Alto によって最も多く遮断した IP アドレスならびにアプリケーション/プロトコルの統計を示します。縦軸は、通信が遮断された 回数、横軸は通信が遮断された際、Palo Alto に設定されていた日付を示しています。もし、通信を許可するべき IP アドレスやアプリケーショ ン/プロトコルが存在する場合は、Palo Alto のルール設定の見直しを推奨致します。また、特定の IP アドレスから異常な通信が継続的に行 われている場合は、ウイルスに感染している可能性も考えられます。対象の IP アドレスに対して調査することを推奨致します。 192.168.7.10 192.168.7.33 192.168.7.82 192.168.7.51 192.168.7.88 0 1,000 2,000 3,000 4,000 5,000 6,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 内部ク ラ イア ント/サー バに生成されたプ ロトコ ルイベントの推移 内部ク ラ イア ント/サー バに生成されたプ ロトコ ルイベントの推移 日 図 4.1.1 内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の推移 1 2 3 4 5 6 0 4,000 8,000 12,000 16,000 20,000 24,000 28,000 32,000 36,000 40,000 44,000 48,000 1 2 3 4 5 6 数 内部ク ラ イア ント/サー バに生成されたプ ロトコ ルイベント 内部ク ラ イア ント/サー バに生成されたプ ロトコ ルイベント 種別 図 4.1.2 内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要 ※上記グラフ中の■に続く種別は下記、「内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表の項番とリンクしています。表 4.1.1 内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要 内部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント 1. 192.168.7.10 bittorrent(udp)(src) 19,623 31.67% vnc(udp)(src) 2,771 4.47% not-applicable(udp/port:500)(src) 2,573 4.15% not-applicable(udp/port:23) (src) 2,355 3.80% not-applicable(udp/port: 0)(src) 2,273 3.66% not-applicable(udp/port:53)(src) 2,054 3.31% not-applicable(tcp/port:1212)(src) 2,045 3.30% youtube(tcp)(src) 1,938 3.12% not-applicable(tcp/port:80)(src) 1,331 2.14% not-applicable(udp/port:8080)(src) 1,318 2.12% not-applicable(tcp/port:8080)(src) 1,267 2.04% not-applicable(tcp/port:137)(src) 1,251 2.01% not-applicable(udp/port:370)(src) 1,232 1.98% not-applicable(udp/port:178)(src) 1,109 1.79% not-applicable(tcp/port:50001)(src) 913 1.47% not-applicable(udp/port:48520)(src) 849 1.37% not-applicable(udp/port:53628)(src) 802 1.29% not-applicable(tdp/port:49235)(src) 797 1.28% skype(tcp)(src) 623 1.00% not-applicable(udp/port:55230)(src) 383 0.61% 小計 47,507 76.68% その他 285 0.46% 合計 47,792 77.14% 2. 192.168.7.33 bittorrent(udp)(src) 2,474 3.99% vnc(udp)(src) 296 0.47% not-applicable(udp/port:500)(src) 284 0.45% not-applicable(udp/port:23) (src) 260 0.42% not-applicable(udp/port: 0)(src) 238 0.38% not-applicable(udp/port:53)(src) 232 0.37% not-applicable(tcp/port:1212)(src) 231 0.37% youtube(tcp)(src) 168 0.27% not-applicable(tcp/port:80)(src) 158 0.25% not-applicable(udp/port:8080)(src) 155 0.25% not-applicable(tcp/port:8080)(src) 153 0.24% not-applicable(tcp/port:137)(src) 148 0.23% not-applicable(udp/port:370)(src) 143 0.23% not-applicable(udp/port:178)(src) 112 0.18% not-applicable(tcp/port:50001)(src) 100 0.16% not-applicable(udp/port:48520)(src) 84 0.13% not-applicable(udp/port:53628)(src) 76 0.12% not-applicable(tdp/port:49235)(src) 70 0.11% not-applicable(tcp/port:139)(src) 28 0.04% not-applicable(udp/port:55230)(src) 15 0.02% 小計 5,425 8.75%
内部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント その他 19 0.03% 合計 5,444 8.78% 3. 192.168.7.82 bittorrent(udp)(src) 1,625 2.62% not-applicable(tcp/port:1812)(src) 927 1.49% not-applicable(udp/port:500)(src) 748 1.20% not-applicable(udp/port:23) (src) 677 1.09% not-applicable(udp/port: 0)(src) 533 0.86% not-applicable(udp/port:53)(src) 78 0.12% not-applicable(tcp/port:1212)(src) 38 0.06% youtube(tcp)(src) 21 0.03% not-applicable(tcp/port:80)(src) 10 0.01% not-applicable(udp/port:8080)(src) 10 0.01% not-applicable(tcp/port:8080)(src) 10 0.01% not-applicable(tcp/port:137)(src) 10 0.01% not-applicable(udp/port:370)(src) 10 0.01% not-applicable(udp/port:178)(src) 9 0.01% not-applicable(tcp/port:50001)(src) 5 0.00% not-applicable(udp/port:48520)(src) 4 0.00% not-applicable(udp/port:53628)(src) 4 0.00% not-applicable(tdp/port:49235)(src) 4 0.00% not-applicable(tcp/port:139)(src) 4 0.00% not-applicable(udp/port:55230)(src) 4 0.00% 小計 4,731 7.63% その他 7 0.01% 合計 4,738 7.64% 4. 192.168.7.51 not-applicable(udp/port:500)(src) 2,031 3.27% not-applicable(udp/port:23) (src) 602 0.97% not-applicable(udp/port: 0)(src) 181 0.29% not-applicable(udp/port:53)(src) 165 0.26% not-applicable(tcp/port:1212)(src) 107 0.17% youtube(tcp)(src) 94 0.15% not-applicable(tcp/port:80)(src) 85 0.13% not-applicable(udp/port:8080)(src) 78 0.12% not-applicable(tcp/port:8080)(src) 42 0.06% not-applicable(tcp/port:137)(src) 36 0.05% not-applicable(udp/port:370)(src) 28 0.04% not-applicable(udp/port:178)(src) 18 0.02% not-applicable(tcp/port:50001)(src) 17 0.02% not-applicable(udp/port:48520)(src) 13 0.02% その他 0 0.00% 合計 3,497 5.64% 5. 192.168.7.88 bittorrent(udp)(src) 127 0.20% not-applicable(udp/port:500)(src) 40 0.06% not-applicable(udp/port:23) (src) 22 0.03% not-applicable(udp/port: 0)(src) 22 0.03%
内部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント not-applicable(udp/port:53)(src) 21 0.03% not-applicable(tcp/port:1212)(src) 16 0.02% youtube(tcp)(src) 16 0.02% not-applicable(tcp/port:80)(src) 15 0.02% not-applicable(udp/port:8080)(src) 15 0.02% not-applicable(tcp/port:8080)(src) 14 0.02% not-applicable(tcp/port:137)(src) 12 0.01% not-applicable(udp/port:370)(src) 9 0.01% not-applicable(udp/port:178)(src) 8 0.01% not-applicable(tcp/port:50001)(src) 7 0.01% not-applicable(udp/port:48520)(src) 6 0.01% not-applicable(udp/port:53628)(src) 5 0.00% not-applicable(tdp/port:49235)(src) 4 0.00% not-applicable(tcp/port:139)(src) 3 0.00% not-applicable(udp/port:55230)(src) 3 0.00% not-applicable(udp/port:500)(src) 2 0.00% 小計 367 0.59% その他 2 0.00% 合計 369 0.59% 6. 192.168.7.93 bittorrent(udp)(src) 38 0.06% not-applicable(udp/port:500)(src) 14 0.02% not-applicable(udp/port:23) (src) 11 0.01% not-applicable(udp/port: 0)(src) 4 0.00% not-applicable(udp/port:53)(src) 4 0.00% not-applicable(tcp/port:1212)(src) 4 0.00% youtube(tcp)(src) 4 0.00% not-applicable(tcp/port:80)(src) 4 0.00% not-applicable(udp/port:8080)(src) 4 0.00% not-applicable(tcp/port:8080)(src) 4 0.00% not-applicable(tcp/port:137)(src) 4 0.00% not-applicable(udp/port:370)(src) 4 0.00% not-applicable(udp/port:178)(src) 4 0.00% not-applicable(tcp/port:50001)(src) 3 0.00% not-applicable(udp/port:48520)(src) 3 0.00% not-applicable(udp/port:53628)(src) 2 0.00% not-applicable(tdp/port:49235)(src) 1 0.00% その他 0 0.00% 合計 112 0.18% 合計 61,952 100.00%
内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要- ヘルプカード クライアント/サーバ – サービス開始時にお客様よりヒアリングした Palo Alto の内部で使用している IP アドレス を表します。 アプリケーション/プロトコル – コンピュータ同士の通信で使用したアプリケーションおよびプロトコルの名称を 表します。プロトコル名の後に(src)と(dst)が付与されます。(src)はクライアント/サーバが通信の送信元であるこ とを表し、(dst)はクライアント/サーバが通信の宛先であることを表します。 ルールにアプリケーションをご指定頂いていない場合、アプリケーション名は「not-applicable」と表示します。 「not-applicable」のようにアプリケーションが特定できないものについては、通信で使用するポート番号を付 与して表示します。 イベント – 送信元もしくは宛先に内部 IP アドレスが含まれる通信を遮断した回数を表します。 その他 – 「内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表に記述されなかった通信遮 断件数の合計を表します。全ての通信遮断件数が表記されている場合、本見出しは表示されません。 合計 – 「内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表にて、表の列に記述してある その他を含めた、通信遮断件数の合計を表します。 小計 – 「内部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表にて、表の列に記述してある その他を含めない、通信遮断件数の合計を表します。全ての通信遮断件数が表記されている場合、本見出しは 表示されません。 このページは、内部 IP アドレスが送信元もしくは宛先に含まれる通信を、Palo Alto によって最も頻繁に遮断 された IP アドレスならびにアプリケーション/プロトコルを示します。特定のアプリケーション/プロトコルを使用し た内部 IP アドレスの通信量がわかるため、ウイルスの感染や、不正なアクセスを試みている内部 IP アドレスを 特定することに役立ちます。 注意 – Palo Alto にて発生した通信の送信元と宛先が、共に内部アドレスとして記録されているイベントは、この 表では 2 回としてカウントされます。送信元と宛先共に Palo Alto の外部 IP アドレスとして記録されているイベン トは、この表に表示されません。
４.２
外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断統計レポート
このページは、Palo Alto の外部で使用されている IP アドレスが送信元もしくは宛先に含まれる通信を、Palo Alto によって最も多く遮断した IP アドレスならびにアプリケーション/プロトコルの統計を示します。縦軸は、通信が遮断された回数、横軸は通信が遮断された際、Palo Alto に設定されていた日付を示しています。もし、通信を許可するべき IP アドレスやアプリケーション/プロトコルが存在する場合、Palo Alto のルール設定の見直しを推奨致します。また、特定の IP アドレスから異常な通信が継続的に行われている場合は、ウイルスに感染してい る可能性も考えられます。対象の IP アドレスに対して調査することを推奨致します。 192.168.76.99 192.168.47.9 192.168.182.80 192.168.65.66 192.168.77.66 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 8,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 外部ク ラ イア ント/サー バによるプ ロトコ ルイベントの推移 外部ク ラ イア ント/サー バによるプ ロトコ ルイベントの推移 日 図 4.2.1 外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の推移 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 0 10,000 20,000 30,000 40,000 50,000 60,000 70,000 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 数 外部ク ラ イア ント/サー バによるプ ロトコ ルイベント 外部ク ラ イア ント/サー バによるプ ロトコ ルイベント 種別 図 4.2.2 外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要 ※上記グラフ中の■に続く種別は下記、「外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表の項番とリンクしています。
表 4.2.1 外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要 外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント 1. 192.168.76.99 bittorrent(udp)(dst) 29,918 18.73% not-applicable(udp/port:520)(src) 3,970 2.48% not-applicable(udp/port:500)(src) 3,642 2.28% not-applicable(udp/port:23) (src) 3,579 2.24% not-applicable(udp/port: 0)(src) 3,004 1.88% not-applicable(udp/port:53)(src) 3,000 1.87% not-applicable(tcp/port:1212)(src) 2,946 1.84% youtube(tcp)(src) 1,994 1.24% not-applicable(tcp/port:80)(src) 1,898 1.18% not-applicable(udp/port:8080)(src) 1,888 1.18% not-applicable(tcp/port:8080)(src) 1,855 1.16% not-applicable(tcp/port:137)(src) 1,539 0.96% not-applicable(udp/port:370)(src) 1,428 0.89% not-applicable(udp/port:178)(src) 1,386 0.86% not-applicable(tcp/port:50001)(src) 1,205 0.75% not-applicable(udp/port:48520)(src) 1,068 0.66% not-applicable(udp/port:53628)(src) 1,053 0.65% not-applicable(tdp/port:49235)(src) 933 0.58% skype(tcp)(src) 330 0.20% not-applicable(udp/port:55230)(src) 126 0.07% 小計 66,762 41.80% その他 284 0.17% 合計 67,046 41.98% 2. 192.168.47.9 bittorrent(udp)(dst) 19,301 12.08% not-applicable(udp/port:520)(src) 3,096 1.93% not-applicable(udp/port:500)(src) 2,530 1.58% not-applicable(udp/port:23) (src) 2,122 1.32% not-applicable(udp/port: 0)(src) 1,855 1.16% not-applicable(udp/port:53)(src) 1,826 1.14% not-applicable(tcp/port:1212)(src) 1,585 0.99% youtube(tcp)(src) 1,321 0.82% not-applicable(tcp/port:80)(src) 1,309 0.82% not-applicable(udp/port:8080)(src) 1,213 0.76% not-applicable(tcp/port:8080)(src) 1,089 0.68% not-applicable(tcp/port:137)(src) 762 0.47% not-applicable(udp/port:370)(src) 712 0.44% not-applicable(udp/port:178)(src) 636 0.39% not-applicable(tcp/port:50001)(src) 595 0.37% not-applicable(udp/port:48520)(src) 258 0.16% not-applicable(udp/port:53628)(src) 202 0.12% not-applicable(tdp/port:49235)(src) 170 0.10% skype(tcp)(src) 71 0.04% not-applicable(udp/port:55230)(src) 67 0.04% 小計 40,720 25.49%
外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント その他 73 0.04% 合計 40,793 25.54% 3. 192.168.182.80 bittorrent(udp)(dst) 5,055 3.16% not-applicable(udp/port:520)(src) 1,124 0.70% not-applicable(udp/port:500)(src) 1,084 0.67% not-applicable(udp/port:23) (src) 995 0.62% not-applicable(udp/port: 0)(src) 909 0.56% not-applicable(udp/port:53)(src) 756 0.47% not-applicable(tcp/port:1212)(src) 675 0.42% youtube(tcp)(src) 648 0.40% not-applicable(tcp/port:80)(src) 640 0.40% not-applicable(udp/port:8080)(src) 570 0.35% not-applicable(tcp/port:8080)(src) 511 0.32% not-applicable(tcp/port:137)(src) 377 0.23% not-applicable(udp/port:370)(src) 339 0.21% not-applicable(udp/port:178)(src) 263 0.16% not-applicable(tcp/port:50001)(src) 183 0.11% not-applicable(udp/port:48520)(src) 164 0.10% not-applicable(udp/port:53628)(src) 163 0.10% not-applicable(tdp/port:49235)(src) 136 0.08% skype(tcp)(src) 65 0.04% not-applicable(udp/port:55230)(src) 51 0.03% 小計 14,708 9.21% その他 39 0.02% 合計 14,747 9.23% 4. 192.168.65.66 bittorrent(udp)(dst) 3,580 2.24% not-applicable(udp/port:520)(src) 776 0.48% not-applicable(udp/port:500)(src) 732 0.45% not-applicable(udp/port:23) (src) 652 0.40% not-applicable(udp/port: 0)(src) 558 0.34% not-applicable(udp/port:53)(src) 550 0.34% not-applicable(tcp/port:1212)(src) 444 0.27% youtube(tcp)(src) 439 0.27% not-applicable(tcp/port:80)(src) 428 0.26% not-applicable(udp/port:8080)(src) 412 0.25% not-applicable(tcp/port:8080)(src) 320 0.20% not-applicable(tcp/port:137)(src) 287 0.18% not-applicable(udp/port:370)(src) 179 0.11% not-applicable(udp/port:178)(src) 147 0.09% not-applicable(tcp/port:50001)(src) 122 0.07% not-applicable(udp/port:48520)(src) 119 0.07% not-applicable(udp/port:53628)(src) 90 0.05% not-applicable(tdp/port:49235)(src) 86 0.05% skype(tcp)(src) 41 0.02% not-applicable(udp/port:55230)(src) 25 0.01%
外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント 小計 9,987 6.25% その他 2 0.00% 合計 9,989 6.25% 5. 192.168.77.66 bittorrent(udp)(dst) 3,710 2.32% not-applicable(udp/port:520)(src) 438 0.27% not-applicable(udp/port:500)(src) 435 0.27% not-applicable(udp/port:23) (src) 373 0.23% not-applicable(udp/port: 0)(src) 333 0.20% not-applicable(udp/port:53)(src) 326 0.20% not-applicable(tcp/port:1212)(src) 310 0.19% youtube(tcp)(src) 299 0.18% not-applicable(tcp/port:80)(src) 266 0.16% not-applicable(udp/port:8080)(src) 258 0.16% not-applicable(tcp/port:8080)(src) 242 0.15% not-applicable(tcp/port:137)(src) 223 0.14% not-applicable(udp/port:370)(src) 188 0.11% not-applicable(udp/port:178)(src) 153 0.09% not-applicable(tcp/port:50001)(src) 151 0.09% not-applicable(udp/port:48520)(src) 135 0.08% not-applicable(udp/port:53628)(src) 118 0.07% not-applicable(tdp/port:49235)(src) 101 0.06% skype(tcp)(src) 66 0.04% not-applicable(udp/port:55230)(src) 42 0.02% 小計 8,167 5.11% その他 49 0.03% 合計 8,216 5.14% 6. 192.168.44.9 bittorrent(udp)(src) 1,869 1.17% not-applicable(udp/port:520)(src) 943 0.59% not-applicable(udp/port:500)(src) 665 0.41% not-applicable(udp/port:23) (src) 644 0.40% not-applicable(udp/port: 0)(src) 566 0.35% not-applicable(udp/port:53)(src) 70 0.04% not-applicable(tcp/port:1212)(src) 37 0.02% youtube(tcp)(src) 35 0.02% not-applicable(tcp/port:80)(src) 32 0.02% not-applicable(udp/port:8080)(src) 26 0.01% not-applicable(tcp/port:8080)(src) 25 0.01% not-applicable(tcp/port:137)(src) 22 0.01% not-applicable(udp/port:370)(src) 10 0.00% not-applicable(udp/port:178)(src) 9 0.00% not-applicable(tcp/port:50001)(src) 9 0.00% not-applicable(udp/port:48520)(src) 8 0.00% その他 0 0.00% 合計 4,970 3.11% 7. 192.168.11.22 bittorrent(udp)(dst) 2,441 1.52%
外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント not-applicable(udp/port:520)(src) 211 0.13% not-applicable(udp/port:500)(src) 96 0.06% not-applicable(udp/port:23) (src) 52 0.03% not-applicable(udp/port: 0)(src) 52 0.03% not-applicable(udp/port:53)(src) 19 0.01% その他 0 0.00% 合計 2,871 1.79% 8. 192.168.232.200 bittorrent(udp)(src) 665 0.41% not-applicable(udp/port:520)(src) 424 0.26% not-applicable(udp/port:500)(src) 309 0.19% not-applicable(udp/port:23) (src) 150 0.09% not-applicable(udp/port: 0)(src) 143 0.09% not-applicable(udp/port:53)(src) 113 0.07% not-applicable(tcp/port:1212)(src) 113 0.07% youtube(tcp)(src) 113 0.07% not-applicable(tcp/port:80)(src) 113 0.07% not-applicable(udp/port:8080)(src) 113 0.07% not-applicable(tcp/port:8080)(src) 102 0.06% not-applicable(tcp/port:137)(src) 90 0.05% not-applicable(udp/port:370)(src) 38 0.02% その他 0 0.00% 合計 2,486 1.55% 9. 192.168.6.19 not-applicable(udp/port:520)(src) 1,021 0.63% not-applicable(udp/port:500)(src) 663 0.41% not-applicable(udp/port:23) (src) 406 0.25% not-applicable(udp/port: 0)(src) 172 0.10% not-applicable(udp/port:53)(src) 109 0.06% not-applicable(tcp/port:1212)(src) 47 0.02% youtube(tcp)(src) 43 0.02% not-applicable(tcp/port:80)(src) 17 0.01% その他 0 0.00% 合計 2,478 1.55% 10. 192.168.77.49 not-applicable(udp/port:520)(src) 578 0.36% not-applicable(udp/port:500)(src) 146 0.09% not-applicable(udp/port:23) (src) 125 0.07% not-applicable(udp/port: 0)(src) 88 0.05% not-applicable(udp/port:53)(src) 75 0.04% not-applicable(tcp/port:1212)(src) 74 0.04% youtube(tcp)(src) 73 0.04% not-applicable(tcp/port:80)(src) 73 0.04% not-applicable(udp/port:8080)(src) 73 0.04% not-applicable(tcp/port:8080)(src) 73 0.04% not-applicable(tcp/port:137)(src) 71 0.04% not-applicable(udp/port:370)(src) 70 0.04% not-applicable(udp/port:178)(src) 57 0.03%
外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント not-applicable(tcp/port:50001)(src) 26 0.01% not-applicable(udp/port:48520)(src) 7 0.00% not-applicable(udp/port:53628)(src) 2 0.00% not-applicable(tdp/port:49235)(src) 1 0.00% skype(tcp)(src) 1 0.00% not-applicable(udp/port:55230)(src) 1 0.00% not-applicable(udp/port:520)(src) 1 0.00% 小計 1,615 1.01% その他 1 0.00% 合計 1,616 1.01% 11. 192.168.9.159 not-applicable(udp/port:520)(src) 586 0.36% not-applicable(udp/port:500)(src) 557 0.34% not-applicable(udp/port:23) (src) 29 0.01% その他 0 0.00% 合計 1,172 0.73% 12. 192.168.76.32 not-applicable(udp/port:520)(src) 421 0.26% not-applicable(udp/port:500)(src) 224 0.14% not-applicable(udp/port:23) (src) 197 0.12% その他 0 0.00% 合計 842 0.52% 13. 192.168.0.2 not-applicable(udp/port:80)(src) 353 0.22% not-applicable(udp/port:500)(src) 353 0.22% その他 0 0.00% 合計 706 0.44% 14. 192.168.182.130 not-applicable(udp/port:520)(src) 172 0.10% not-applicable(udp/port:500)(src) 55 0.03% not-applicable(udp/port:23) (src) 31 0.01% not-applicable(udp/port: 0)(src) 30 0.01% not-applicable(udp/port:53)(src) 28 0.01% not-applicable(tcp/port:1212)(src) 24 0.01% youtube(tcp)(src) 20 0.01% not-applicable(tcp/port:80)(src) 20 0.01% not-applicable(udp/port:8080)(src) 20 0.01% not-applicable(tcp/port:8080)(src) 19 0.01% not-applicable(tcp/port:137)(src) 16 0.01% not-applicable(udp/port:370)(src) 12 0.00% not-applicable(udp/port:178)(src) 12 0.00% not-applicable(tcp/port:50001)(src) 12 0.00% not-applicable(udp/port:48520)(src) 8 0.00% not-applicable(udp/port:53628)(src) 8 0.00% not-applicable(tdp/port:49235)(src) 4 0.00% skype(tcp)(src) 4 0.00% not-applicable(udp/port:55230)(src) 4 0.00% not-applicable(udp/port:520)(src) 1 0.00% その他 0 0.00%
外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント 合計 500 0.31% 15. 192.168.75.33 not-applicable(udp/port:520)(src) 236 0.14% not-applicable(udp/port:500)(src) 236 0.14% その他 0 0.00% 合計 472 0.29% 16. 192.168.76.98 not-applicable(udp/port:520)(src) 190 0.11% not-applicable(udp/port:500)(src) 95 0.05% その他 0 0.00% 合計 285 0.17% 17. 192.168.47.8 not-applicable(udp/port:520)(src) 60 0.03% not-applicable(udp/port:500)(src) 12 0.00% not-applicable(udp/port:23) (src) 12 0.00% not-applicable(udp/port: 0)(src) 12 0.00% not-applicable(udp/port:53)(src) 12 0.00% not-applicable(tcp/port:1212)(src) 6 0.00% youtube(tcp)(src) 6 0.00% その他 0 0.00% 合計 120 0.07% 18. 192.168.82.1 bittorrent(udp)(dst) 42 0.02% not-applicable(udp/port:520)(src) 12 0.00% not-applicable(udp/port:500)(src) 7 0.00% not-applicable(udp/port:23) (src) 7 0.00% not-applicable(udp/port: 0)(src) 7 0.00% not-applicable(udp/port:53)(src) 6 0.00% not-applicable(tcp/port:1212)(src) 5 0.00% youtube(tcp)(src) 5 0.00% not-applicable(tcp/port:80)(src) 5 0.00% not-applicable(udp/port:8080)(src) 5 0.00% not-applicable(tcp/port:8080)(src) 4 0.00% not-applicable(tcp/port:137)(src) 3 0.00% not-applicable(udp/port:370)(src) 2 0.00% not-applicable(udp/port:178)(src) 2 0.00% not-applicable(tcp/port:50001)(src) 1 0.00% not-applicable(udp/port:48520)(src) 1 0.00% not-applicable(udp/port:53628)(src) 1 0.00% not-applicable(tdp/port:49235)(src) 1 0.00% skype(tcp)(src) 1 0.00% not-applicable(udp/port:55230)(src) 1 0.00% 小計 118 0.07% その他 1 0.00% 合計 119 0.07% 19. 192.168.77.64 not-applicable(udp/port:80)(src) 19 0.01% 20. 192.168.3.10 not-applicable(udp/port:dst)(dst) 9 0.00% 小計 159,456 99.85% その他 236 0.14%
外部クライアント/サーバに生成されたアプリケーション/プロトコルイベント クライアント/サーバ アプリケーション/プロトコル イベント 合計 159,692 100.00% 外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要- ヘルプカード クライアント/サーバ – サービス開始時にお客様よりヒアリングした Palo Alto の内部で使用している IP アドレス 以外の IP アドレスを表します。 アプリケーション/プロトコル – コンピュータ同士の通信で使用したアプリケーションおよびプロトコルの名称を 表します。プロトコル名の後に(src)と(dst)が付与されます。(src)はクライアント/サーバが通信の送信元であるこ とを表し、(dst)はクライアント/サーバが通信の宛先であることを表します。 ルールにアプリケーションをご指定頂いていない場合、アプリケーション名は「not-applicable」と表示します。 「not-applicable」のようにアプリケーションが特定できないものについては、通信で使用するポート番号を付 与して表示します。 イベント – 送信元もしくは宛先に外部 IP アドレスが含まれる通信を遮断した回数を表します。 その他 – 「外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表に記述されなかった通信遮 断件数の合計を表します。全ての通信遮断件数が表記されている場合、本見出しは表示されません。 合計 – 「外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表にて、表の列に記述してある その他を含めた、通信遮断件数の合計を表します。 小計 – 「外部 IP アドレスが送信元もしくは宛先に含まれる通信遮断の概要」の表にて、表の列に記述してある その他を含めない、通信遮断件数の合計を表します。全ての通信遮断件数が表記されている場合、本見出しは 表示されません。 このページは、外部 IP アドレスが送信元もしくは宛先に含まれる通信を、Palo Alto によって最も頻繁に遮断 された IP アドレスならびにアプリケーション/プロトコルを示します。特定のアプリケーション/プロトコルを使用し た外部 IP アドレスの通信量がわかるため、ウイルスの感染や、不正なアクセスを試みている外部 IP アドレスを 特定することに役立ちます。 注意 – Palo Alto にて発生した通信の送信元と宛先が、共に外部アドレスとして記録されているイベントは、この 表では 2 回としてカウントされます。送信元と宛先共に Palo Alto の内部 IP アドレスとして記録されているイベン トは、この表に表示されません。
４.３
ルール別アプリケーション通信遮断統計レポート
このページは、Palo Alto に設定したルールによって遮断された通信を、ルール毎に示しています。縦軸は Palo Alto のルールによって遮断 された通信の回数、横軸は通信が遮断された際、Palo Alto に設定されていた日付を示しています。遮断された通信が継続的且つ非常に多 く発生している場合は、アタックを受けている可能性が考えられます。遮断されているアプリケーション/プロトコルが見覚えないものであれ ば調査が必要です。また、通信を遮断したアプリケーション/プロトコルを特定することで、ネットワークのリソースを無駄に使用しているア プリケーション等を把握することも可能です。対象のアプリケーションを使用禁止にする等の対応を行うことで、ネットワークリソースの有効 活用が可能です。このページには Palo Alto に設定したルールも表示されますので、継続的に遮断された通信が存在する場合は、Palo Alto の設定内容もご確認頂くことを推奨致します。 rule1 rule6 rule3 rule2 rule4 0 200 400 600 800 1,000 1,200 1,400 1,600 1,800 2,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 プ ロトコ ルによっ てトリガされたフ ァイア ウォ ー ルルー ルの推移 プ ロトコ ルによっ てトリガされたフ ァイア ウォ ー ルルー ルの推移 日 図 4.3.1 ルール別アプリケーション通信遮断の推移 1 2 3 4 5 6 0 2,000 4,000 6,000 8,000 10,000 12,000 14,000 16,000 18,000 20,000 1 2 3 4 5 6 数 プ ロトコ ルによっ てトリガされるフ ァイア ウォ ー ルルー ル プ ロトコ ルによっ てトリガされるフ ァイア ウォ ー ルルー ル 種別 図 4.3.2 ルール別アプリケーション通信遮断の概要 ※上記グラフ中の■に続く種別は下記、「ルール別アプリケーション通信遮断の概要」の表の項番とリンクしています。
表 4.3.1 ルール別アプリケーション通信遮断の概要 アプリケーション/プロトコルによってトリガされるファイアウォールルール ルール アプリケーション/プロトコル イベント 1. rule1 bittorrent 8,066 7.27% not-applicable(udp/port:520) 962 0.86% not-applicable(udp/port:500) 917 0.82% not-applicable(udp/port:23) 877 0.79% not-applicable(udp/port: 0) 857 0.77% not-applicable(udp/port:53) 811 0.73% not-applicable(tcp/port:1212) 663 0.59% youtube 656 0.59% not-applicable(tcp/port:80) 640 0.57% not-applicable(udp/port:8080) 607 0.54% not-applicable(tcp/port:8080) 492 0.44% not-applicable(tcp/port:137) 487 0.43% not-applicable(udp/port:370) 477 0.43% not-applicable(udp/port:178) 400 0.36% not-applicable(tcp/port:50001) 364 0.32% not-applicable(udp/port:48520) 355 0.32% not-applicable(udp/port:53628) 266 0.24% not-applicable(tdp/port:49235) 263 0.23% not-applicable(udp/port:53887) 243 0.21% not-applicable(udp/port:53114) 69 0.06% 小計 18,472 16.66% その他 108 0.09% 合計 18,580 16.76% 2. rule6 not-applicable(tcp/port:80) 8,065 7.27% not-applicable(udp/port:8080) 961 0.86% not-applicable(tcp/port:8080) 918 0.82% not-applicable(tcp/port:137) 882 0.79% not-applicable(udp/port:370) 855 0.77% not-applicable(udp/port:178) 806 0.72% not-applicable(tcp/port:50001) 665 0.60% not-applicable(udp/port:48520) 653 0.58% not-applicable(udp/port:53628) 629 0.56% not-applicable(tdp/port:49235) 609 0.55% not-applicable(udp/port:53887) 496 0.44% not-applicable(udp/port:53114) 492 0.44% not-applicable(udp/port:520) 476 0.43% not-applicable(udp/port:500) 400 0.36% not-applicable(udp/port:23) 364 0.32% not-applicable(udp/port: 0) 356 0.32% not-applicable(udp/port:53) 267 0.24% not-applicable(tcp/port:1212) 263 0.23% not-applicable(udp/port:5520) 243 0.21% not-applicable(udp/port:4500) 68 0.06% 小計 18,468 16.66%
アプリケーション/プロトコルによってトリガされるファイアウォールルール ルール アプリケーション/プロトコル イベント その他 110 0.09% 合計 18,578 16.76% 3. rule2 not-applicable(tcp/port:80) 7,983 7.20% not-applicable(udp/port:8080) 962 0.86% not-applicable(tcp/port:8080) 917 0.82% not-applicable(tcp/port:137) 880 0.79% not-applicable(udp/port:370) 857 0.77% not-applicable(udp/port:178) 759 0.68% not-applicable(tcp/port:50001) 665 0.60% not-applicable(udp/port:48520) 653 0.58% not-applicable(udp/port:53628) 622 0.56% not-applicable(tdp/port:49235) 606 0.54% not-applicable(udp/port:53887) 495 0.44% not-applicable(udp/port:53114) 487 0.43% not-applicable(udp/port:520) 475 0.42% not-applicable(udp/port:500) 396 0.35% not-applicable(udp/port:23) 363 0.32% not-applicable(udp/port: 0) 356 0.32% not-applicable(udp/port:53) 267 0.24% not-applicable(tcp/port:1212) 262 0.23% not-applicable(udp/port:5520) 244 0.22% not-applicable(udp/port:4500) 66 0.06% 小計 18,315 16.52% その他 102 0.09% 合計 18,417 16.61% 4. rule3 bittorrent(udp) 7,980 7.20% not-applicable(tcp/port:80) 963 0.86% not-applicable(udp/port:8080) 915 0.82% not-applicable(tcp/port:8080) 873 0.78% not-applicable(tcp/port:137) 856 0.77% not-applicable(udp/port:370) 755 0.68% not-applicable(udp/port:178) 672 0.60% not-applicable(tcp/port:50001) 652 0.58% not-applicable(udp/port:48520) 626 0.56% not-applicable(udp/port:53628) 605 0.54% not-applicable(tdp/port:49235) 493 0.44% not-applicable(udp/port:53887) 490 0.44% not-applicable(udp/port:53114) 475 0.42% not-applicable(udp/port:520) 395 0.35% not-applicable(udp/port:500) 364 0.32% not-applicable(udp/port:23) 358 0.32% not-applicable(udp/port: 0) 267 0.24% not-applicable(udp/port:53) 264 0.23% not-applicable(tcp/port:1212) 245 0.22% not-applicable(udp/port:5520) 68 0.06%
アプリケーション/プロトコルによってトリガされるファイアウォールルール ルール アプリケーション/プロトコル イベント 小計 18,316 16.52% その他 101 0.09% 合計 18,417 16.61% 5. rule4 not-applicable(tcp/port:80) 7,990 7.21% not-applicable(udp/port:8080) 962 0.86% not-applicable(tcp/port:8080) 914 0.82% not-applicable(tcp/port:137) 871 0.78% not-applicable(udp/port:370) 857 0.77% not-applicable(udp/port:178) 750 0.67% not-applicable(tcp/port:50001) 670 0.60% not-applicable(udp/port:48520) 650 0.58% not-applicable(udp/port:53628) 623 0.56% not-applicable(tdp/port:49235) 603 0.54% not-applicable(udp/port:53887) 493 0.44% not-applicable(udp/port:53114) 493 0.44% not-applicable(udp/port:520) 476 0.43% not-applicable(udp/port:500) 394 0.35% not-applicable(udp/port:23) 364 0.32% not-applicable(udp/port: 0) 358 0.32% not-applicable(udp/port:53) 267 0.24% not-applicable(tcp/port:1212) 263 0.23% not-applicable(udp/port:5520) 246 0.22% not-applicable(udp/port:4500) 69 0.06% 小計 18,313 16.52% その他 102 0.09% 合計 18,415 16.61% 6. rule5 not-applicable(tcp/port:80) 7,992 7.21% not-applicable(udp/port:8080) 959 0.86% not-applicable(tcp/port:8080) 917 0.82% not-applicable(tcp/port:137) 873 0.78% not-applicable(udp/port:370) 857 0.77% not-applicable(udp/port:178) 752 0.67% not-applicable(tcp/port:50001) 671 0.60% not-applicable(udp/port:48520) 652 0.58% not-applicable(udp/port:53628) 620 0.55% not-applicable(tdp/port:49235) 603 0.54% not-applicable(udp/port:53887) 493 0.44% not-applicable(udp/port:53114) 490 0.44% not-applicable(udp/port:520) 475 0.42% not-applicable(udp/port:500) 396 0.35% not-applicable(udp/port:23) 363 0.32% not-applicable(udp/port: 0) 357 0.32% not-applicable(udp/port:53) 268 0.24% not-applicable(tcp/port:1212) 264 0.23% not-applicable(udp/port:5520) 241 0.21%
アプリケーション/プロトコルによってトリガされるファイアウォールルール ルール アプリケーション/プロトコル イベント not-applicable(udp/port:4500) 70 0.06% 小計 18,313 16.52% その他 102 0.09% 合計 18,415 16.61% 合計 110,822 100.00% ルール別アプリケーション通信遮断統計レポートの概要 - ヘルプカード
ルール – Palo Alto を通過する通信に対して、IP アドレスやアプリケーション/プロトコルによってアクセス権を定 義したものです。 アプリケーション/プロトコル – コンピュータ同士の通信で使用したアプリケーションおよびプロトコルの名称を 表します。 ルールにアプリケーションをご指定頂いていない場合、アプリケーション名は「not-applicable」と表示します。 「not-applicable」のようにアプリケーションが特定できないものについては、通信で使用するポート番号を付 与して表示します。 イベント – Palo Alto によって通信を遮断した回数を表します。 その他 – 「ルール別アプリケーション通信遮断の概要」の表に記述されなかった通信遮断件数の合計を表しま す。全ての通信遮断件数が表記されている場合、本見出しは表示されません。 合計 – 「ルール別アプリケーション通信遮断の概要」の表にて、表の列に記述してあるその他を含めた、通信 遮断件数の合計を表します。 小計 – 「ルール別アプリケーション通信遮断の概要」の表にて、表の列に記述してあるその他を含めない、通 信遮断件数の合計を表します。全ての通信遮断件数が表記されている場合、本見出しは表示されません。 このページは、Palo Alto のルールによって遮断された通信のアプリケーション/プロトコルを示します。最も 頻繁に遮断されたアプリケーション/プロトコルを統計的に知ることができます。
５
SPI 検知統計
５.１
攻撃元 IP アドレス別検知統計レポート
このページは、Palo Alto にて検知した攻撃元 IP アドレス別アタックの統計情報を示します。縦軸は Palo Alto がアタックを検知した際に、そ の旨を記したログを弊社監視センタにて取得した回数になります。また、横軸はログを送信した際、Palo Alto に設定されていた日付を示し ています。Palo Alto およびその内側に存在するサーバ等に対して、アタックを受けている可能性があります。攻撃元 IP アドレスの表示を元 に、Whois データベース等にアクセスして調査することを推奨致します。 10.212.200.107 0.0.0.0 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃元別攻撃イベントの推移 攻撃元別攻撃イベントの推移 日 図 5.1.1 攻撃元 IP アドレス別アタック発生の推移 1 2 0 6,000 12,000 18,000 24,000 30,000 36,000 42,000 1 2 数 攻撃元別攻撃イベント 攻撃元別攻撃イベント 種別 図 5.1.2 攻撃元 IP アドレス別アタック発生の概要 ※上記グラフ中の■に続く種別は下記、「攻撃元 IP アドレス別アタック発生の概要」の表の項番とリンクしています。
表 5.1.1 攻撃元 IP アドレス別アタック発生の概要 攻撃元別攻撃イベント
攻撃元 攻撃種類 回数
1. 10.212.200.107 SCAN: TCP Port Scan(8001) 14,667 25.01%
SCAN: UDP Port Scan(8003) 14,667 25.01%
SCAN: Host Sweep(8002) 14,606 24.91%
合計 43,940 74.95% 2. 0.0.0.0 flood 14,686 25.05% 合計 58,626 100.00% 攻撃元 IP アドレス別アタック発生の概要 - ヘルプカード 攻撃元 - 攻撃元 IP アドレスを表します。 Flood 系のアタック検知ログにて、攻撃元/先 IP アドレスが全て「0.0.0.0」と表示されるため、SPI 検知統計 における「Flood」攻撃の攻撃元/先 IP アドレスは全て「0.0.0.0」と表示されます。 攻撃種類 -攻撃元が攻撃先に対して行った攻撃の種類を表します。
Palo Alto の制限により「SYN Flood Protection」「ICMP Flood Protection」「UDPFlood Protection」「Other IP Flood Protection」の検知ログ(以下:Flood 系のアタック)が別名のアタック検知として出力されるため、上記アタッ ク検知ログは「Flood」アタックとして包含した統計情報としてレポートに記載します。 回数 - Palo Alto にてアタックを検知した際に、その旨を記したログを弊社監視センタにて取得した回数を表しま す。 その他 – 「攻撃元IPアドレス別アタック発生の概要」の表に記述されなかったアタック発生の回数の合計を表し ます。全てのアタック発生の回数が表記されている場合、本見出しは表示されません。 合計 - 「攻撃元 IP アドレス別アタック発生の概要」の表にて、表の列に記述してあるその他を含めた、アタック 発生の回数の合計を表します。 小計 - 「攻撃元 IP アドレス別アタック発生の概要」の表にて、表の列に記述してあるその他を含めない、アタッ ク発生の回数の合計を表します。全てのログメッセージが表記されている場合は、本見出しは表示されませ ん。 このページによって、Palo Alto にて検知した攻撃元 IP アドレス別アタックの検知状況を統計的に知ることが できます。
５.２
攻撃種類別検知統計レポート
このページは、Palo Alto にて検知した攻撃種類別アタックの統計情報を示します。縦軸は Palo Alto がアタックを検知した際に、その旨を記 したログを弊社監視センタにて取得した回数になります。また、横軸はログを送信した際、Palo Alto に設定されていた日付を示しています。 これらの統計情報により検知したアタックの推移や傾向の把握が可能です。
flood
SCAN: TCP Port Scan(8001)
SCAN: UDP Port Scan(8003)
SCAN: Host Sweep(8002) 0 200 400 600 800 1,000 1,200 1,400 1,600 1,800 2,000 2,200 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃種類別攻撃先の推移 攻撃種類別攻撃先の推移 日 図 5.2.1 攻撃種類別アタック発生の推移 1 2 3 4 0 2,000 4,000 6,000 8,000 10,000 12,000 14,000 1 2 3 4 数 攻撃種類別攻撃先 攻撃種類別攻撃先 種別 図 5.2.2 攻撃種類別アタック発生の概要 ※上記グラフ中の■に続く種別は下記、「攻撃種類別アタック発生の概要」の表の項番とリンクしています。 表 5.2.1 攻撃種類別アタック発生の概要 攻撃種類別攻撃先 攻撃種類 攻撃先 回数 1. flood 0.0.0.0 14,686 25.05%
2. SCAN: TCP Port Scan(8001) 10.212.200.109 14,667 25.01%
3. SCAN: UDP Port Scan(8003) 10.212.200.109 14,667 25.01%
4. SCAN: Host Sweep(8002) 172.16.10.2 14,606 24.91%
攻撃種類別アタック発生の概要 - ヘルプカード
攻撃種類 -攻撃元が攻撃先に対して行った攻撃の種類を表します。
Palo Alto の制限により「SYN Flood Protection」「ICMP Flood Protection」「UDPFlood Protection」「Other IP Flood Protection」の検知ログ(以下:Flood 系のアタック)が別名のアタック検知として出力されるため、上記アタッ ク検知ログは「Flood」アタックとして包含した統計情報としてレポートに記載します。 攻撃先 - 攻撃元より攻撃を受けた IP アドレスまたはホスト名を表します。 Flood 系のアタック検知ログにて、攻撃元/先 IP アドレスが全て「0.0.0.0」と表示されるため、SPI 検知統計 における「Flood」攻撃の攻撃元/先 IP アドレスは全て「0.0.0.0」と表示されます。 その他 – 「攻撃種類別アタック発生の概要」の表に記述されなかったアタック発生の回数の合計を表します。 全てのアタック発生の回数が表記されている場合、本見出しは表示されません。 回数 - 行われた攻撃の回数を表します。 合計 - 「攻撃種類別アタック発生の概要」の表にて、表の列に記述してあるその他を含めた、アタック発生のイ ベント数の合計を表します。 小計 - 「攻撃種類別アタック発生の概要」の表にて、表の列に記述してあるその他を含めない、アタック発生の 回数の合計を表します。全てのログメッセージが表記されている場合は、本見出しは表示されません。 最も行われた攻撃の種類と、攻撃の種類毎の攻撃先がこのページから分かります。
５.３
攻撃元 IP アドレス別ブロック統計レポート
このページは、Palo Alto にてブロックした攻撃元 IP アドレス別アタックの統計情報を示します。縦軸は Palo Alto がアタックをブロックした際 に、その旨を記したログを弊社監視センタにて取得した回数になります。また、横軸はログを送信した際、Palo Altoに設定されていた日付を 示しています。攻撃元 IP アドレスの表示を元に、Whois データベース等にアクセスして調査することを推奨致します。 0.0.0.0 10.212.200.107 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 8,000 9,000 10,000 11,000 12,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃元別攻撃イベントの推移 攻撃元別攻撃イベントの推移 日 図 5.3.1 攻撃元 IP アドレス別アタック発生の推移 1 2 0 10,000 20,000 30,000 40,000 50,000 60,000 70,000 80,000 1 2 数 攻撃元別攻撃イベント 攻撃元別攻撃イベント 種別 図 5.3.2 攻撃元 IP アドレス別アタック発生の概要 ※上記グラフ中の■に続く種別は下記、「攻撃元 IP アドレス別アタック発生の概要」の表の項番とリンクしています。
表 5.3.1 攻撃元 IP アドレス別アタック発生の概要
攻撃元別攻撃イベント
攻撃元 攻撃種類 回数
1. 0.0.0.0 flood 75,432 62.57%
2. 10.212.200.107 SCAN: TCP Port Scan(8001) 15,075 12.50%
SCAN: UDP Port Scan(8003) 15,034 12.47%
SCAN: Host Sweep(8002) 15,014 12.45%
合計 45,123 37.42% 合計 120,555 100.00% 攻撃元 IP アドレス別アタック発生の概要 - ヘルプカード 攻撃元 - 攻撃元 IP アドレスを表します。 Flood 系のアタック検知ログにて、攻撃元/先 IP アドレスが全て「0.0.0.0」と表示されるため、SPI 検知統計 における「Flood」攻撃の攻撃元/先 IP アドレスは全て「0.0.0.0」と表示されます。 攻撃種類 -攻撃元が攻撃先に対して行った攻撃の種類を表します。
Palo Alto の制限により「SYN Flood Protection」「ICMP Flood Protection」「UDPFlood Protection」「Other IP Flood Protection」の検知ログ(以下:Flood 系のアタック)が別名のアタック検知として出力されるため、上記アタッ ク検知ログは「Flood」アタックとして包含した統計情報としてレポートに記載します。 回数 - Palo Alto にてアタックをブロックした際に、その旨を記したログを弊社監視センタにて取得した回数を表 します。 その他 – 「攻撃元IPアドレス別アタック発生の概要」の表に記述されなかったアタック発生の回数の合計を表し ます。全てのアタック発生の回数が表記されている場合、本見出しは表示されません。 合計 - 「攻撃元 IP アドレス別アタック発生の概要」の表にて、表の列に記述してあるその他を含めた、アタック 発生の回数の合計を表します。 小計 - 「攻撃元 IP アドレス別アタック発生の概要」の表にて、表の列に記述してあるその他を含めない、アタッ ク発生の回数の合計を表します。全てのログメッセージが表記されている場合は、本見出しは表示されませ ん。 このページによって Palo Alto にてブロックした、攻撃元 IP アドレス別アタックの発生状況を統計的に知るこ とができます。
５.４
攻撃種類別ブロック統計レポート
このページは、Palo Alto にてブロックした攻撃種類別アタックの統計情報を示します。縦軸は Palo Alto がアタックをブロックした際に、その 旨を記したログを弊社監視センタにて取得した回数になります。また、横軸はログを送信した際、Palo Alto に設定されていた日付を示して います。これらの統計情報によりブロックしたアタックの推移や傾向の把握が可能です。
flood
SCAN: TCP Port Scan(8001)
SCAN: UDP Port Scan(8003)
SCAN: Host Sweep(8002) 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 8,000 9,000 10,000 11,000 12,000 12/02 12/04 12/06 12/08 12/10 12/12 12/14 12/16 12/18 12/20 12/22 12/24 12/26 12/28 12/30 数 攻撃種類別攻撃先の推移 攻撃種類別攻撃先の推移 日 図 5.4.1 攻撃種類別アタック発生の推移 1 2 3 4 0 10,000 20,000 30,000 40,000 50,000 60,000 70,000 80,000 1 2 3 4 数 攻撃種類別攻撃先 攻撃種類別攻撃先 種別 図 5.4.2 攻撃種類別アタック発生の概要 ※上記グラフ中の■に続く種別は下記、「攻撃種類別アタック発生の概要」の表の項番とリンクしています。 表 5.4.1 攻撃種類別アタック発生の概要 攻撃種類別攻撃先 攻撃種類 攻撃先 回数 1. flood 0.0.0.0 75,432 62.57%
2. SCAN: TCP Port Scan(8001) 10.212.200.109 15,075 12.50%
3. SCAN: UDP Port Scan(8003) 10.212.200.109 15,034 12.47%
4. SCAN: Host Sweep(8002) 172.16.10.2 15,014 12.45%
