トレンドマイクロ株式会社〒151-0053 東京都渋谷区代々木2-1-1 新宿マインズタワー
TEL 03-5334-3601 FAX 03-5334-3639
製品サポート情報 https://success.trendmicro.com/jp/contact-support
P/N FFFFFF-AE0000

※注意事項
複数年契約について・お客さまが複数年契約（複数年分のサポート費用前払い）された場合でも、各製品のサポート期間については、当該契約期間によらず、製品ごとに設定されたサポート提供期間が適用されます。
・複数年契約は、当該契約期間中の製品のサポート提供を保証するものではなく、また製品のサポート提供期間が終了した場合のバージョンアップを保証するものではありませんのでご注意ください。
・各製品のサポート提供期間は以下の Web サイトからご確認いただけます。
https://success.trendmicro.com/jp/solution/000207383
法人向け製品のサポートについて
・法人向け製品のサポートの一部または全部の内容、範囲または条件は、トレンドマイクロの裁量により随時変更される場合があります。
・法人向け製品のサポートの提供におけるトレンドマイクロの義務は、法人向け製品サポートに関する合理的な努力を行うことに限られるものとします。
著作権について本ドキュメントに関する著作権は、トレンドマイクロ株式会社へ独占的に帰属します。トレンドマイクロ株式会社が事前に承諾している場合を除き、形
態および手段を問わず、本ドキュメントまたはその一部を複製することは禁じられています。本ドキュメントの作成にあたっては細心の注意を払っていますが、本ドキュメントの記述に誤りや欠落があってもトレンドマイクロ株
式会社はいかなる責任も負わないものとします。本ドキュメントおよびその記述内容は予告なしに変更される場合があります。

商標についてTRENDMICRO、TREND MICRO、ウイルスバスター、InterScan、INTERSCANVIRUSWALL、InterScanWebManager、InterScan Web Security Suite、PortalProtect、Trend Micro Control Manager、Trend Micro MobileSecurity、
VSAPI、Trend Park、Trend Labs、Network VirusWall Enforcer、Trend Micro
USB Security、InterScan Web Security Virtual Appliance、InterScan
Messaging Security Virtual Appliance、Trend Micro Reliable Security
License、TRSL、Trend Micro Smart Protection Network、SPN、
SMARTSCAN、Trend Micro Kids Safety、Trend Micro Web Security、Trend
Micro Portable Security、Trend Micro Standard Web Security、Trend Micro
Hosted Email Security、Trend Micro Deep Security、ウイルスバスタークラウ
ド、スマートスキャン、Trend Micro Enterprise Security for Gateways、Enterprise Security for Gateways、Smart Protection Server、Deep Security、
ウイルスバスター ビジネスセキュリティサービス、SafeSync、Trend Micro
NAS Security、Trend Micro Data Loss Prevention、Trend Micro オンラインス
キャン、Trend Micro Deep Security Anti Virus for VDI、Trend Micro Deep
Security Virtual Patch、SECURE CLOUD、Trend Micro VDI オプション、おま
かせ不正請求クリーンナップサービス、Deep Discovery、TCSE、おまかせインストール・バージョンアップ、Trend Micro Safe Lock、Deep Discovery
Inspector、Trend Micro Mobile App Reputation、Jewelry Box、InterScan
Messaging Security Suite Plus、おもいでバックアップサービス、おまかせ！
スマホお探しサポート、保険&デジタルライフサポート、おまかせ！迷惑ソフ
トクリーンナップサービス、InterScan Web Security as a Service、Client/Server Suite Premium、Cloud Edge、Trend Micro Remote Manager、Threat
Defense Expert、Next Generation Threat Defense、Trend Micro Smart Home
Network、Retro Scan、is702、デジタルライフサポート プレミアム、Air サ
ポート、Connected Threat Defense、ライトクリーナー、Trend Micro Policy
Manager、フォルダシールド、トレンドマイクロ認定プロフェッショナルト
レーニング、Trend Micro Certified Professional、TMCP、XGen、InterScan
Messaging Security、InterScan Web Security、Trend Micro Policy-based
Security Orchestration、Writing Style DNA、Securing Your Connected World、
Apex One、Apex Central、MSPL、TMOL、TSSL、ZERO DAY INITIATIVE、
Edge Fire、Smart Check、Trend Micro XDR、Trend Micro Managed XDR、OT
Defense Console、Edge IPS、Trend Micro Cloud One、およびスマスキャ、
Cloud One、Cloud One - Workload Security、Cloud One - Conformity、および
ウイルスバスター チェック！は、トレンドマイクロ株式会社の登録商標です。

本ドキュメントに記載されている各社の社名、製品名およびサービス名は、各社の商標または登録商標です。
Copyright © 2021 Trend Micro Incorporated. All rights reserved.
P/N: APEM79311_210806_JP (2021/11)

プライバシーと個人データの収集に関する規定
トレンドマイクロ製品の一部の機能は、お客さまの製品の利用状況や検出にかかわる情報を収集してトレンドマイクロに送信します。この情報は一定の管轄区域内および特定の法令等において個人データとみなされることがあります。トレンドマイクロによるこのデータの収集を停止するには、お客さまが関連機能を無効にする必要があります。
Deep Discovery Analyzer により収集されるデータの種類と各機能によるデー
タの収集を無効にする手順については、次の Web サイトを参照してください。
https://www.go-tm.jp/data-collection-disclosure
重要
データ収集の無効化やデータの削除により、製品、サービス、または機能の利用に影響が発生する場合があります。Deep Discovery Analyzer における無効化の影響をご確認の上、無効化はお客さまの責任で行っていただくようお願いいたします。

トレンドマイクロは、次の Web サイトに規定されたトレンドマイクロのプラ
イバシーポリシー (Global Privacy Notice) に従って、お客さまのデータを取り扱います。
https://www.trendmicro.com/ja_jp/about/legal/privacy-policy-product.html

目次
本書について本書について ......................................................................... 9
ドキュメント ....................................................................... 10
対象読者 .............................................................................. 11
ドキュメントの表記規則 ...................................................... 11
トレンドマイクロについて ................................................... 12

第 1 章：はじめに用語 .................................................................................... 14
イベント .............................................................................. 14
バージョン履歴 .................................................................... 15

第 2 章：Syslog コンテンツマッピング - CEF
CEF 製品検出ログ: 検出イベント / 統合された製品からのサブ
ミットによる検出イベント ................................................... 18
CEF 形式の仮想アナライザ分析ログ: URL 分析イベント ........ 20
CEF 形式の統合製品検出ログ: 検出結果イベント ................... 21
CEF 形式の仮想アナライザ分析ログ: 著しい特性イベント ...... 25
CEF 形式の仮想アナライザ分析ログ: 拒否リストトランザクショ
ンイベント .......................................................................... 27
CEF 形式のシステムイベントログ ......................................... 28
CEF 形式のアラートイベントログ ......................................... 30
CEF 形式の ICAP 事前検索による検出ログ ............................ 32

第 3 章：Syslog コンテンツマッピング - LEEF
LEEF 製品検出ログ: 検出イベント/統合された製品からのサブ
ミットによる検出イベント ................................................... 38vii

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF 形式の形式の仮想アナライザ分析ログ: URL 分析イベント............................................................................................ 40
LEEF 形式の統合製品検出ログ: 検出結果イベント ................. 41
LEEF 形式の仮想アナライザ分析ログ: 著しい特性イベント .... 45
LEEF 形式の仮想アナライザ分析ログ: 拒否リストトランザク
ションイベント .................................................................... 46
LEEF 形式のシステムイベントログ ....................................... 48
LEEF 形式のアラートイベントログ ....................................... 50
LEEF 形式の ICAP 事前検索による検出ログ .......................... 52

第 4 章：Syslog コンテンツマッピング - TMEF
TMEF 製品検出ログ: 検出イベント / 統合された製品からのサブ
ミットによる検出イベント ................................................... 58
TMEF 形式の仮想アナライザ分析ログ: URL 分析イベント ..... 60
TMEF 形式の統合製品検出ログ: 検出結果イベント ................ 61
TMEF 形式の仮想アナライザ分析ログ: 著しい特性イベント ... 65
TMEF 形式の仮想アナライザ分析ログ: 拒否リストトランザク
ションイベント .................................................................... 67
TMEF 形式のシステムイベントログ ...................................... 68
TMEF 形式のアラートイベントログ ...................................... 70
TMEF 形式の ICAP 事前検索による検出ログ ......................... 72

索引
索引 .................................................................................... 77

viii

はじめに

本書について次の項目を参照してください。
•

10 ページの「ドキュメント」•

11 ページの「対象読者」•

11 ページの「ドキュメントの表記規則」•

12 ページの「トレンドマイクロについて」9Deep Discovery Analyzer 7.1 Syslog マッピングガイド

ドキュメントDeep Discovery Analyzer のドキュメントには次のものがあります。
表 1. 製品ドキュメント
ドキュメント
管理者ガイド説明
製品に付属の PDF ドキュメントです。トレンドマイクロのWeb サイトからダウンロードすることもできます。
管理者ガイドには、Deep Discovery Analyzer を設定して管理する方法の詳細な手順、および Deep Discovery Analyzer の概念や機能に関する説明が記載されています。

インストールガイド

製品に付属の PDF ドキュメントです。トレンドマイクロのWeb サイトからダウンロードすることもできます。
インストールガイドには、Deep Discovery Analyzer の導入計
画とインストールの要件および手順、さらに事前設定コン
ソールを使用して初期設定とシステムタスクを実行する方法についての情報が含まれています。

Syslog コンテンツマッピン
グガイド

製品に付属の PDF ドキュメントです。トレンドマイクロのWeb サイトからダウンロードすることもできます。
Syslog コンテンツマッピングガイドには、ログの管理基準
や、Deep Discovery Analyzer の Syslog イベントを実装するための構文に関する情報が記載されています。

クイックスタートガイド

クイックスタートガイドには、Deep Discovery Analyzer を
ネットワークに接続して初期設定を実行するための手順がわかりやすく説明されています。

ReadmeReadme には、オンラインヘルプや印刷されたドキュメントには記載されていない最新の製品情報が含まれています。
新機能、既知の問題、および製品リリースの履歴に関する情報を確認できます。

オンラインヘルプ

Deep Discovery Analyzer 管理コンソールからアクセスできる Web ベースのドキュメントです。
オンラインヘルプには、Deep Discovery Analyzer のコンポー
ネントと機能、Deep Discovery Analyzer を設定するために必要な手順が説明されています。

10

本書についてドキュメント
サポートポータル

説明
サポートポータルは、問題の解決およびトラブルシュー
ティングの情報を参照できるオンラインデータベースです。製品の既知の問題に関する最新の情報を得ることができます。サポートポータルにアクセスするには、以下のWeb サイトをご覧ください。
https://success.trendmicro.com/jp/technical-support

対象読者
この Deep Discovery Analyzer のドキュメントは、IT 管理者とセキュリティア
ナリストを対象としています。ここでは次のトピックを含め、読者にネット
ワークと情報セキュリティに関する十分な知識があることを前提としています。
•

ネットワークトポロジ•

データベース管理•

ウイルス対策とコンテンツのセキュリティ保護

ただし、サンドボックス環境や脅威イベントの相関分析については、読者がその知識を持っていないものとして説明します。

ドキュメントの表記規則
このドキュメントでは、次の表記規則を使用しています。
表 2. ドキュメントの表記規則
表記規則
注意

説明
設定上の注意11

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

表記規則
ヒント

重要

警告!

説明
推奨事項

必要な設定や初期設定、および製品の制限事項に関する情報
重要な操作と設定オプション

トレンドマイクロについて
トレンドマイクロは、サイバーセキュリティにおける世界的企業として、安全にデジタル情報をやり取りできる環境の実現に向けて継続的に取り組んでいます。個人消費者、企業、および政府機関向けの革新的ソリューションである XGen セキュリティ戦略を巧みに利用することで、つながるセキュリティ
をデータセンター、クラウドワークロード、ネットワーク、およびエンドポ
イントにもたらします。
Amazon Web Services、Microsoft、および VMware などの主要な環境に合わせて最適化された階層化ソリューションにより、組織は、今日の脅威から重要な情報を自動的に保護することができます。トレンドマイクロの提供するConnected Threat Defense によって、脅威インテリジェンスのシームレスな共有が可能になるとともに、一元化された可視性と調査の提供によって、組織の柔軟性が最大限に高まります。
トレンドマイクロのお客さまには、自動車、銀行、医療、電気通信、および石油といった産業にわたる、Fortune Global 500 企業の上位 10 社のうち 9 社が含まれています。
世界 50 か国の 6,500 人を超える従業員と、最先端のグローバルな脅威調査および脅威インテリジェンスによって、トレンドマイクロは「つながる世界」のセキュリティを確保できるようお客さまを支援します。詳細については、
次のサイトを参照してください。https://www.trendmicro.com

12

第1章

はじめに
Deep Discovery Analyzer Syslog コンテンツマッピングガイドには、ログの管理基準や、Deep Discovery Analyzer の Syslog イベントを実装するための構文に関する情報が記載されています。
サードパーティのログ管理システムとの柔軟な統合を実現するため、Deep
Discovery Analyzer では次の syslog 形式がサポートされます。
ログ管理システム
CEF (Common Event Format)
詳細については、17 ページの Syslog コン
テンツマッピング - CEF を参照してください。
LEEF (Log Event Extended Format)
詳細については、37 ページの Syslog コン
テンツマッピング - LEEF を参照してください。
TMEF (Trend Micro Event Format)
詳細については、57 ページの Syslog コン
テンツマッピング - TMEF を参照してください。

説明HP ArcSight によって開発されたオープンな
ログ管理標準です。
Deep Discovery Analyzer では CEF ディク
ショナリのサブセットを使用します。
IBM Security QRadar 用に開発されたイベン
ト形式です。
Deep Discovery Analyzer では LEEF ディク
ショナリのサブセットを使用します。
ログフィールドのスーパーセットです。これにより、Deep Discovery Analyzer から提供される検出イベントをサードパーティの
Syslog 管理機能でより柔軟に制御できるよ
うになります。

13

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

用語
用語

説明

CEF

Common Event Format (共通イベントフォーマット)

LEEF

Log Event Extended Format (ログイベント拡張フォーマット)

TMEF

Trend Micro Event Format (トレンドマイクロのイベント形式)

イベント
Deep Discovery Analyzer では、次のイベントがサポートされます。
表 1-1. サポートされるイベント
イベント名

14

イベントの説明仮想アナライザ分析ログ:
ファイル分析イベント

仮想アナライザのファイル分析イベント

仮想アナライザ分析ログ:
URL 分析イベント

仮想アナライザの URL 分析イベント

統合製品検出ログ: 検出結
果イベント

Deep Discovery Inspector や InterScan Web Security Virtual
Appliance などの統合製品の検出

仮想アナライザ分析ログ:
著しい特性イベント

仮想アナライザの結果の著しい特性

仮想アナライザ分析ログ:
拒否リストトランザク
ションイベント

仮想アナライザの結果の不審オブジェクト

システムイベントログ

システムによって生成されるイベントログ

アラートイベントログ

アラートによって生成されるイベントログ

はじめにバージョン履歴
表 1-2. Deep Discovery Analyzer のバージョン履歴
バージョン

改訂

5.5

初期バージョン

5.5 SP1

統合製品検出ログ: 検出結果イベントを追加

6.0•

システムイベントログを追加•

アラートイベントログを追加•

統合製品検出ログ: 検出結果イベントの ICAP プロトコルのdeviceDirection の値を更新

15

第2章

Syslog コンテンツマッピング - CEF
次の各表は、Deep Discovery Analyzer のログ出力と CEF 形式のシステム出力
ログとのコンテンツマッピングを示しています。
•

18 ページの「CEF 製品検出ログ: 検出イベント / 統合された製品からのサブミットによる検出イベント」•

20 ページの「CEF 形式の仮想アナライザ分析ログ: URL 分析イベント」•

21 ページの「CEF 形式の統合製品検出ログ: 検出結果イベント」•

25 ページの「CEF 形式の仮想アナライザ分析ログ: 著しい特性イベント」•

27 ページの「CEF 形式の仮想アナライザ分析ログ: 拒否リストトランザ
クションイベント」•

28 ページの「CEF 形式のシステムイベントログ」•

30 ページの「CEF 形式のアラートイベントログ」

17

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF 製品検出ログ: 検出イベント / 統合された製品からのサブミットによる検出イベント
表 2-1. CEF 製品検出ログ: 検出イベント / 統合された製品からのサブミットによる検出イベ

ント

CEF キー

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200119Header (eventName)

説明

Sample file sandbox analysis isfinished

Header (severity)

重大度

3: 情報

cn1

GRID/CSSS の結果•-1: GRID が不明•

0: GRID が無害と知られていない•

1: GRID が無害と知られている

cn1Label

GRID/CSSS の結果

GRIDIsKnownGood<cnx または csx>Label は
ラベルのキー名です。

18

cn2

ROZ レーティング (仮想アナライザの分析結果用
内部コード)

例: 3

cn2Label

ROZ レーティング (仮想アナライザの分析結果用
内部コード)ROZRatingSyslog コンテンツマッピング - CEF

CEF キーcn3

説明
PCAP 使用可能値•

0: PCAP が使用可能でない•

1: PCAP が使用可能

cn3Label

PCAP 使用可能

PcapReadycs1

サンドボックスイメージの種類

例: win7cs1Label

サンドボックスイメージの種類

SandboxImageTypecs2

不正プログラム名

例: HEUR_NAMETRICK.A

cs2Label

不正プログラム名

MalwareName

cs3

上位の SHA-1

例:
A29E4ACA70BEF4AF8CE75AF51032B
6B91572AA0D

cs3Label

上位の SHA-1

ParentFileSHA1

deviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

rt

分析時刻

例: Mar 09 2015 17:05:21 GMT+08:00

19

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

ログの例:

CEF 形式の仮想アナライザ分析ログ: URL 分析イベント
表 2-2. CEF 形式の仮想アナライザ分析ログ: URL 分析イベント
CEF キー

20

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200126

Header (eventName)説明

URL sandbox analysis is finished

Header (severity)

重大度

3: 情報

cn2

ROZ レーティング (仮想アナライザの分析結果用
内部コード)

例: 3

cn2Label

ROZ レーティング (仮想アナライザの分析結果用
内部コード)ROZRatingcn3

PCAP 使用可能•

0: PCAP が使用可能でない•

1: PCAP が使用可能

cn3Label

PCAP 使用可能

PcapReadycs1

サンドボックスイメージの種類

例: win7cs1Label

サンドボックスイメージの種類

SandboxImageType

Syslog コンテンツマッピング - CEF

CEF キー

説明値

deviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

requestURL

例: http://www.rainking.net/?
utm_campaign=4-21-2014 |http://
images.rainking.net/eloquaimage

rt

分析時刻

例: Mar 09 2015 17:05:21 GMT+08:00

ログの例:

CEF 形式の統合製品検出ログ: 検出結果イベント
表 2-3. CEF 形式の統合製品検出ログ: 検出結果イベント
CEF キー

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

20012821

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キー

22

説明

値

Header (eventName)

説明SUBMISSION_ANALYZEDHeader (severity)

Deep Discovery Analyzerのリスクレベルマッピン
グ:•

1: 未評価•2: リスクなし

•

4: 低

•

6: 中

•

8: 高

app

アプリケーションプロト
コル

例: FTP/HTTPS/MSN/...

c6a2

送信元 IPv6 アドレス

例: 2001:db8::1

c6a2Label

送信元 IPv6 アドレス

srcIPv6c6a3

送信先 IPv6 アドレス

例: 2001:db8:a0b:12f0::1

c6a3Label

送信先 IPv6 アドレス

dstIPv6

cn1

サンプルの種類•

0: ファイルのサンプル•

1: URL のサンプル

cn1Label

サンプルの種類

sampleTypecs1

不正プログラム名

例: HEUR_NAMETRICK.A

cs1Label

不正プログラム名

malNamecs2

メール ID例:<20150414032514.494EF1E9A365@internalbeta.bcc.ddei>

cs2Label

メール ID

messageId

cs3

アプリケーションプロト
コルグループ

例: SMTP/HTTP/…

cs3Label

アプリケーションプロト
コルグループappGroup

cs4

サブミッターSyslog コンテンツマッピング - CEF

CEF キー

説明値

cs4Label

サブミッター

サブミッターcs5

サブミッターのホスト名

例: shost1

cs5Label

サブミッターのホスト名

submitterName

cs6

SHA256

例:
275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0F

cs6Label

sha256deviceDirection

関連付けられた方向

ICAP プロトコルの場合:•

0: ICAP REQMOD•

1: ICAP RESPMOD

その他のプロトコルの場合:
•

0: 受信

•

1: 送信

•

2: 不明

deviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceProcessName

アプライアンスのプロセ
ス名

例: explorer.exe

dhost

送信先ホスト名

例: dhost1

dmac

送信先 MAC アドレス

例: 00:0C:29:6E:CB:F9

dpt

送信先ポート0～65535 の値

dst

送信先 IPv4 アドレス

例: 10.1.144.199

duser

メール受信者例:
user1@example2.com;test@163.com

23

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キー説明値dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

msg

メールの件名例: hello

requestURL

例: http://www.rainking.net/?
utm_campaign=4-21-2014 |http://
images.rainking.net/eloquaimage

requestClientApplication

ユーザエージェント

例: IE

rt

サブミッターでのイベン
ト生成時間

例: Mar 09 2015 17:05:21 GMT+08:00

shost

送信元ホスト名

例: shost1

smac

送信元 MAC アドレス

例: 00:0C:29:6E:CB:F9

spt

送信元ポート0～65535 の値

src

送信元 IPv4 アドレス

例: 10.1.144.199

suser

メール送信者

例: user2@example.com

ログの例:
CEF:0|Trend Micro|Deep Discovery Analyzer|5.5.1.1034|20012
8|SUBMISSION_ANALYZED|1|rt=May 06 2016 14:34:29 GMT+08:00

24

Syslog コンテンツマッピング - CEF

dvc=192.168.1.1 dvchost=DDAN-Active dvcmac=B8:CA:3A:68:2F:
CC deviceExternalId=F8E649AA-AF79-4545-9B5A-580BA993D5E3 s
rc=192.168.14.59 spt=20819 smac=98:90:96:CA:78:1F shost=nj-host1 dst=106.120.188.47 dpt=80 dmac=00:00:0C:9F:F0:0E dh
ost=106.120.188.47 cn1Label=sampleType cn1=0 fname=sgim_us
rzoneext.zip fsize=692 fileType=PKZIP fileHash=9D49696A96D
B224F7E884146D801DD8C828D17BF request=http://pc.profile.pi
nyin.sogou.com/upload.php?hid\\\=sgpy-windows-generic-device-id&v\\\=7.9.0.7504&brand\\\=1&platform\\\=1&ifbak\\\=1&
ifmobile\\\=0&ifauto\\\=0&filename\\\=sgim_usrzoneext.zip&
m\\\=ACB0BDECEF76784CD482133A068241B7 app=HTTP cs3Label=ap
pGroup cs3=HTTP cs4Label=submitter cs4=Deep Discovery Insp
ector cs5Label=submitterName cs5=TEST-DDI cs6Label=sha256
cs6=275A021BBFB6489E54D471899F7DB9D1663FC695EC2FE2A2C4538A
ABF651FD0F deviceDirection=1 requestClientApplication=sogo
u_ime/7.9.0.7504

CEF 形式の仮想アナライザ分析ログ: 著しい特性イ
ベント
表 2-4. CEF 形式の仮想アナライザ分析ログ: 著しい特性イベント
CEF キー

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200127Header (eventName)

説明Notable Characteristics of theanalyzed sample

Header (severity)

重大度

6: 警告

25

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キー

26

説明

値

cs1

違反ポリシー名

例: Internet Explorer Setting
Modification

cs1Label

違反ポリシー名

PolicyCategorycs2

違反イベントの分析

例 :Modified important registry
items

cs2Label

違反イベントの分析

PolicyName

cs3

サンドボックスイメージの種類

例: win7cs3Label

サンドボックスイメージの種類

SandboxImageTypedeviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

msg

詳細例: Source: ATSE\nDetection Name:TSPY_FAREIT.WT\nEngine Version:
9.755.1246\nMalware Pattern
Version: 11.501.90

rt

分析時刻

例: Mar 09 2015 17:05:21 GMT+08:00

Syslog コンテンツマッピング - CEF

ログの例:

CEF 形式の仮想アナライザ分析ログ: 拒否リストト
ランザクションイベント
表 2-5. CEF 形式の仮想アナライザ分析ログ: 拒否リストトランザクションイベント
CEF キー

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200120

Header (eventName)説明

Deny List updated

Header (severity)

重大度

3: 情報

act

イベントの処理Add

cs1

拒否リストの種類•

Deny List IP/Port•

Deny List URL•

Deny List File SHA1•

Deny List Domain

cs1Label

拒否リストの種類

type

cs2

リスクレベル•Low•

Medium•High•

Confirmed Malware

cs2Label

リスクレベル

RiskLevel27

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キー

説明値

deviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

dhost

送信先ホスト名

例: dhost1

dpt

送信先ポート0～65535 の値

dst

送信先 IPv4 アドレス

例: 10.1.144.199

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

end

拒否リストの有効期限

例: Mar 09 2015 17:05:21 GMT+08:00

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

requestURL

例: http://www.rainking.net/?
utm_campaign=4-21-2014 |http://
images.rainking.net/eloquaimagert

ログ生成時刻例: Mar 09 2015 17:05:21 GMT+08:00

ログの例:

CEF 形式のシステムイベントログ
表 2-6. CEF 形式のシステムイベントログ
CEF キー

28

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend MicroSyslog コンテンツマッピング - CEF

CEF キー

説明値

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 6.0.0.1001

Header (eventid)

イベント ID•

300102 (PRODUCT_UPDATE)•

300999 (SYSTEM_EVENT)

Header (eventName)

説明

例: Updates: Component update
settings modified by 'admin' from
192.168.10.2.

Header (severity)

重大度

3: 情報

dvc

アプライアンスの IP ア
ドレス

例: IPv4: 192.168.10.1

devmacアプライアンスの MAC
アドレス

例: 00:0D:60:AF:1B:61

dvchost

アプライアンスのホスト
名

例: DDANdeviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

rt

ログ生成時刻例: Mar 03 2016 16:28:20 GMT+08:00

cs1Label

イベントの種類のラベル

eventType

cs1

イベントの種類

例: Account Logon/Logoff

duser

ユーザ名

例: adminsrc

送信元 IPv4 アドレス

例: IPv4: 192.168.10.1

c6a2Label

送信元 IPv6 アドレスのラベル

srcIPv6c6a2

送信元 IPv6 アドレス

例: 2620:0101:4002:0401::131

shost

送信元ホスト名

例: shost1

29

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キーoutcome

説明
結果のステータス

値•

Success•

Failureログの例:
CEF: 0|Trend Micro|Deep Discovery Analyzer|6.0.0.1119|3009
99|Log Settings: Settings modified by 'admin' from 10.204.
1.2|3|rt=Nov 07 2017 10:05:58 GMT+00:00 dvc=10.204.1.1 dvc
host=DDAN dvcmac=00:0C:29:2F:3B:6B deviceExternalId=423E63A
A-D466-406E-A15F-6AC6F3CEE50A cs1Label=eventType cs1=System
Setting duser=admin src=10.204.1.2 outcome=Success

CEF 形式のアラートイベントログ
表 2-7. CEF 形式のアラートイベントログ
CEF キー30

説明値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 6.0.0.1001

Header (eventid)

イベント ID

300105Header (eventName)説明

ALERT_EVENTHeader (severity)

重大度

•

2: 情報

•

6: 重要

•

8: 重大

Syslog コンテンツマッピング - CEF

CEF キーdvc

説明
アプライアンスの IP ア
ドレス

値
例:
•

IPv4: 192.168.10.1•

IPv6: 2620:0101:4009:0401::1

devmacアプライアンスの MAC
アドレス

例: 00:0D:60:AF:1B:61

dvchost

アプライアンスのホスト
名

例: DDANdeviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

rt

イベントのログ記録日時

例: Mar 03 2016 16:28:20 GMT+08:00

cs1Label

ルール名のラベル

ruleName

cs1

ルール名

例: High Memory Usage

cs2Label

影響を受けるアプライア
ンスのラベルaffectedAppliancecs2

影響を受けるアプライア
ンス

例: DDAN.com ( 10.204.1.2 | FE80::
29FF:29FF: 29FF: 29FF )cs3Label

件名のラベルsubjectcs3

件名

例: DDAN Important Alert - High
Memory Usage

cs4Label

メッセージのラベル

ruleContent

cs4

メッセージ

メッセージの内容

ログの例:
CEF: 0|Trend Micro|Deep Discovery Analyzer|6.0.0.1119|300105|ALERT_EVENT|6|rt=Nov 07 2017 08:39:54 GMT+00:00 dvc=10.204.
1.1 dvchost=DDAN dvcmac=00:0C:29:2F:3B:6B deviceExternalId=4
23E63AA-D466-406E-A15F-6AC6F3CEE50A cs1Label=ruleName cs1=Hi
gh CPU Usage cs2Label=affectedAppliance cs2=DDAN ( 10.204.19
1.1 | FE80::20C:29FF:FE2F:3011 ) cs3Label=subject cs3=DDAN I

31Deep Discovery Analyzer 7.1 Syslog マッピングガイド

mportant Alert - High CPU Usage cs4Label=ruleContent cs4=The
average CPU usage in the last 5 minutes exceeded the thresh
old of 90%.\n\nAverage CPU usage: 96%\nAffected appliance: D
DAN (10.204.191.1 | FE80::20C:29FF:FE2F:3011)\n\nReduce thenumber of Virtual Analyzer instances, or add a secondary app
liance to improve performance.\n\n\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\nAlert time: 20
17-11-07 08:39:54\nManagement console: https://10.204.191.1/| https://[FE80::20C:29FF:FE2F:3011]/

CEF 形式の ICAP 事前検索による検出ログ
表 2-8. CEF 形式の ICAP 事前検索による検出ログ
CEF キー

32

説明

値

Header (logVer)

CEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 7.1.0.1088

Header (eventid)

署名 ID

200129Header (eventName)

イベント名

ICAP_PRESCAN_EVENTHeader (severity)

リスクレベル

8

rt

ログ生成時刻例: May 31 2021 15:56:04 GMT+08:00

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:56:B3:57

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhostSyslog コンテンツマッピング - CEF

CEF キー

説明値

deviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

src

送信元 IPv4 アドレス

例: 10.1.144.199

dst

送信先 IPv4 アドレス

例: 10.1.144.198

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

cn1Label

サンプルの種類

sampleTypecn1

サンプルの種類•

0: ファイルのサンプル•

1: URL のサンプル

requestURL

例: http://example.com:80/

cs1Label

不正プログラム名

malNamecs1

不正プログラム名

例: HEUR_NAMETRICK.A

cs2LabelsubmitterName

cs2

ICAP クライアント

cs3Label

icapModecs3

ICAP モード

cs4Label

例: 10.205.190.3

例:•

REQMOD:ICAP 要求の変更方
法•

RESPMOD:ICAP 応答の変更方
法

送信元ユーザ33

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キー説明cs4

ICAP クライアントにより送信された XAuthenticated-User ICAP
ヘッダ

cs5Label

検出元

cs5

オブジェクトを処理した検出モジュールの名前

cs6Label

sha256

cs6

SHA256値
例: test.com

例:•

Web Reputation Services•

Advanced Threat Scan Engine•

Virtual Analyzer•

Suspicious Object•

User-defined Suspicious Object•

YARA Rule (+ Yara_file_name)•

Predictive Machine Learning
Engine•

ICAP: Password-protected file
(bypass scanning)•

ICAP: Password-protected file(non-malicious, unextracted)

例:
275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0F

ログの例:
CEF:0|Trend Micro|Deep Discovery Analyzer|7.1.0.1088|20012
9|ICAP_PRESCAN_EVENT|8|rt=Aug 01 2021 02:31:35 GMT+00:00 d
vc=10.2.3.100 dvchost=DDAN dvcmac=00:50:56:98:33:69 device
ExternalId=627EE441-DD62-4483-B9E4-60B3C8A92529 src=10.2.1
1.122 cn1Label=sampleType cn1=1 fileHash=317D137FE590EE561
648ECA137CB2B6898526115 request=http://wrs21.test.com:80/
cs1Label=malName cs1=TSPY_KEYLOG.GC cs2Label=submitterName

34

Syslog コンテンツマッピング - CEF

cs2=10.2.1.6 cs3Label=icapMode cs3=REQMOD cs4Label=source
User cs5Label=identifiedBy cs5=Web Reputation Services cs6
Label=sha256 cs6=F5C748A953D23B8CE4F5C792FDC1E7987471DD48F
E24ABA07C3CFD10B4AEF72F
CEF:0|Trend Micro|Deep Discovery Analyzer|7.1.0.1088|20012
9|ICAP_PRESCAN_EVENT|8|rt=Aug 01 2021 02:31:31 GMT+00:00 d
vc=10.2.1.52 dvchost=DDAN dvcmac=00:50:56:98:33:69 deviceE
xternalId=627EE441-DD62-4483-B9E4-60B3C8A92529 dst=10.2.1.
122 src=10.2.1.123 cn1Label=sampleType cn1=0 fname=3-layer.zip fileType=ZIP archive fileHash=D7273555CB0AC08303415CB
EB3F3D72DD0893BC4 request=http://test.com/3-layer.zip cs1L
abel=malName cs1=Eicar_test_file,TROJ_OLEXP.TPD cs2Label=submitterName cs2=10.2.1.6 cs3Label=icapMode cs3=RESPMODE cs4Label=sourceUser cs5Label=identifiedBy cs5=Advanced Threat Scan Engine cs6Label=sha256 cs6=08F18BC62297A67DD91E192
A27C1EEDE3C1BBEE19A90FC0B1FADD07CE93B9823

35

第3章

Syslog コンテンツマッピング - LEEF
次の各表は、Deep Discovery Analyzer のログ出力と LEEF 形式のシステム出力ログとのコンテンツマッピングを示しています。
•

38 ページの「LEEF 製品検出ログ: 検出イベント/統合された製品からのサブミットによる検出イベント」•

40 ページの「LEEF 形式の形式の仮想アナライザ分析ログ: URL 分析イベント」•

41 ページの「LEEF 形式の統合製品検出ログ: 検出結果イベント」•

45 ページの「LEEF 形式の仮想アナライザ分析ログ: 著しい特性イベント」•

46 ページの「LEEF 形式の仮想アナライザ分析ログ: 拒否リストトランザ
クションイベント」•

48 ページの「LEEF 形式のシステムイベントログ」•

50 ページの「LEEF 形式のアラートイベントログ」
注意
LEEF ログ構文を使用する場合は、イベント属性をタブ区切り記号「<009>」で区切ります。

37

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF 製品検出ログ: 検出イベント/統合された製品からのサブミットによる検出イベント
表 3-1. LEEF 製品検出ログ: 検出イベント/統合された製品からのサブミットによる検出イベ
ント

LEEF キー

38

説明

値

Header (logVer)

LEEF 形式のバージョン

LEEF: 1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventName)

イベント名FILE_ANALYZED

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:56:B3:57

deviceProcessHash

上位の SHA-1

例:
A29E4ACA70BEF4AF8CE75AF51032B
6B91572AA0D

devTime

ログ生成時刻例: Jan 28 2015 02:00:36 GMT+08:00

devTimeFormat

時刻の形式

yyyy MMM dd HH:mm:ss z

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap fileSyslog コンテンツマッピング - LEEF

LEEF キー

説明

値

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

gridIsKnownGood

GRID/CSSS の結果•-1: GRID が不明•

0: GRID が無害と知られていない•

1: GRID が無害と知られている

malName

不正プログラム名

例: HEUR_NAMETRICK.A

pcapReady

PCAP 使用可能•

0: PCAP が使用可能でない•

1: PCAP が使用可能

pComp

検出エンジン/コンポー
ネント

SandboxrozRating

ROZ レーティング (仮想アナライザの分析結果用
内部コード)

例: 3

sev

重大度

3: 情報

注意
LEEF ログ構文を使用する場合は、イベント属性をタブ区切り記号「<009>」で区切ります。

ログの例:

39

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF 形式の形式の仮想アナライザ分析ログ: URL
分析イベント
表 3-2. LEEF 形式の形式の仮想アナライザ分析ログ: URL 分析イベント
LEEF キー40

説明

値

Header (logVer)

LEEF 形式のバージョン

LEEF: 1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventName)

イベント名

URL_ANALYZED

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:56:B3:57

deviceOSName

サンドボックスイメージの種類

例: win7

devTime

ログ生成時刻例: Jan 28 2015 02:00:36 GMT+08:00

devTimeFormat

時刻の形式

yyyy MMM dd HH:mm:ss z

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

pcapReady

PCAP 使用可能•

0: PCAP が使用可能でない•

1: PCAP が使用可能

Syslog コンテンツマッピング - LEEF

LEEF キー

説明

値

pComp

検出エンジン/コンポー
ネント

SandboxrozRating

ROZ レーティング (仮想アナライザの分析結果用
内部コード)

例: 3

sev

重大度

3: 情報

url

URL

例: http://1.2.3.4/query?term=value

注意
LEEF ログ構文を使用する場合は、イベント属性をタブ区切り記号「<009>」で区切ります。

ログの例:

LEEF 形式の統合製品検出ログ: 検出結果イベント
表 3-3. LEEF 形式の統合製品検出ログ: 検出結果イベント
LEEF キー

説明

値

Header (logVer)

LEEF 形式のバージョン

LEEF: 1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventName)

説明SUBMISSION_ANALYZED

app

アプリケーションプロト
コル

例: FTP/HTTPS/MSN/...

41

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF キー

説明

値

appGroup

アプリケーションプロト
コルグループ

例: SMTP/HTTP/…

deviceDirection

関連付けられた方向

ICAP プロトコルの場合:•

0: ICAP REQMOD•

1: ICAP RESPMOD

その他のプロトコルの場合:

42

•

0: 受信

•

1: 送信

•

2: 不明

deviceProcessName

アプライアンスのプロセ
ス名

例: explorer.exe

devTime

サブミッターでのイベン
ト生成時間

例: Jan 28 2015 02:00:36 GMT+08:00

devTimeFormat

時刻の形式

yyyy MMM dd HH:mm:ss z

dhost

送信先ホスト名

例: dhost1

dst

送信先 IPv4 アドレス

例: 10.1.144.199

送信先 IPv6 アドレス

例: 2001:db8:a0b:12f0::1

dstMAC

送信先 MAC アドレス

例: 00:0C:29:6E:CB:F9

dstPort

送信先ポート0～65535 の値

duser

メール受信者例:
user1@example2.com;test@163.comdvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhostSyslog コンテンツマッピング - LEEF

LEEF キー説明

値

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

mailMsgSubject

メールの件名例: hello

malName

不正プログラム名

例: HEUR_NAMETRICK.A

messageId

メール ID例:<20150414032514.494EF1E9A365@internalbeta.bcc.ddei>

requestClientApplication

ユーザエージェント

例: IE

sampleType

サンプルの種類•

0: ファイルのサンプル•

1: URL のサンプル•

1: 未評価•2: リスクなし

•

4: 低

•

6: 中

•

8: 高

sev

Deep Discovery Analyzerのリスクレベルマッピン
グ:

sha256

SHA256

例:
275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0F

shost

送信元ホスト名

例: shost1

43

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF キーsrc

説明

値

送信元 IPv4 アドレス

例: 10.1.144.199

送信元 IPv6 アドレス

例: 2001:db8::1

srcMAC

送信元 MAC アドレス

例: 00:0D:60:AF:1B:61

srcPort

送信元ポート0～65535 の値

サブミッター

サブミッター

submitterName

サブミッターのホスト名

例: shost1

suser

メール送信者

例: user2@example.com

url

URL

例: http://1.2.3.4/query?term=value

ログの例:
LEEF:1.0|Trend Micro|Deep Discovery Analyzer|5.5.1.1034|SU
BMISSION_ANALYZED|devTime=May 06 2016 14:33:52 GMT+08:00<009>devTimeFormat=MMM dd yyyy HH:mm:ss z<009>sev=1<009>dvc=
192.168.1.1<009>dvchost=DDAN-Active<009>deviceMacAddress=B
8:CA:3A:68:2F:C0<009>deviceGUID=F8E649AA-AF79-4545-9B5A-58
0BA993D5E3<009>src=192.168.88.108<009>srcPort=40167<009>sr
cMAC=9C:99:A0:4B:7B:76<009>shost=android-e1b7f2d1e98eb838<009>dst=42.62.93.35<009>dstPort=80<009>dstMAC=3C:61:04:96:
97:00<009>dhost=42.62.93.35<009>sampleType=0<009>fname=lla.zip<009>fsize=423<009>fileType=PKZIP<009>fileHash=4511117
B782C243E01E830ED63BCBAB6B9BD111E<009>sha256=275A021BBFB64
89E54D471899F7DB9D1663FC695EC2FE2A2C4538AABF651FD0F<009>ur
l=http://stat.moji.com/aMoUp<009>app=HTTP<009>appGroup=HTT
P<009>submitter=Deep Discovery Inspector<009>submitterName=TEST-DDI<009>deviceDirection=1<009>requestClientApplicati
on=Apache-HttpClient/UNAVAILABLE (java 1.4)

44

Syslog コンテンツマッピング - LEEF

LEEF 形式の仮想アナライザ分析ログ: 著しい特性
イベント
表 3-4. LEEF 形式の仮想アナライザ分析ログ: 著しい特性イベント
LEEF キー

説明

値

Header (logVer)

LEEF 形式のバージョン

LEEF: 1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventName)

イベント名NOTABLE_CHARACTERISTICS

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:56:B3:57

deviceOSName

サンドボックスイメージの種類

例: win7

devTime

ログ生成時刻例: Jan 28 2015 02:00:36 GMT+08:00

devTimeFormat

時刻の形式

yyyy MMM dd HH:mm:ss z

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

45

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF キー

説明

値

fsize

ファイルサイズ

例: 131372

msg

詳細例: Process ID:884 \nFile: %TEMP%\~DF7A0C28F4D7D9E792.TMP\nType: VSDT_ERROR

pComp

検出エンジン/コンポー
ネント

Sandbox

ruleCategory

違反ポリシー名

例: Internet Explorer Setting
Modification

ruleName

違反イベントの分析

例 :Modified important registry
items

sev

重大度

6: 警告

注意
LEEF ログ構文を使用する場合は、イベント属性をタブ区切り記号「<009>」で区切ります。

ログの例:

LEEF 形式の仮想アナライザ分析ログ: 拒否リスト
トランザクションイベント
表 3-5. LEEF 形式の仮想アナライザ分析ログ: 拒否リストトランザクションイベント
LEEF キー46

説明

値

Header (logVer)

LEEF 形式のバージョン

LEEF: 1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Syslog コンテンツマッピング - LEEF

LEEF キー

説明

値

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventName)

イベント名

DENYLIST_CHANGE

act

イベントの処理

Add

deviceExternalRiskType

リスクレベル•Low•

Medium•High•

Confirmed Malware

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:56:B3:57

devTime

ログ生成時刻例: Jan 28 2015 02:00:36 GMT+08:00

devTimeFormat

時刻の形式

yyyy MMM dd HH:mm:ss z

dhost

送信先ホスト名

例: dhost1

dpt

送信先ポート0～65535 の値

dst

送信先 IPv4 アドレス

例: 10.1.144.199

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

end

レポート終了時刻

例: Mar 09 2015 17:05:21 GMT+08:00

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

pComp

検出エンジン/コンポー
ネント

Sandbox47

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF キー

説明

値

sev

重大度

3: 情報

type

拒否リストの種類•

Deny List IP/Port•

Deny List URL•

Deny List File SHA1•

Deny List Domain

url

URL

例: http://1.2.3.4/query?term=value

注意
LEEF ログ構文を使用する場合は、イベント属性をタブ区切り記号「<009>」で区切ります。

ログの例:
LEEF:1.0|Trend Micro|Deep Discovery Analyzer|5.5.0.1202|DENY
LIST_CHANGE|devTime=Feb 28 2015 02:50:03 GMT+00:00<009>devTim
eFormat=MMM dd yyyy HH:mm:ss z<009>sev=3<009>pComp=Sandbox<009>dvc=10.204.191.249<009>dvchost=DDAN<009>deviceMacAddress=EC:F4:BB:C6:F1:D0<009> deviceGUID=758B04C9-F577-4B8A-B527-ABCB84FDAC83<009>end=Mar 30 2015 02:45:48 GMT+00:00<009>act=Add<009>fileHash=CF1A6CF231BDA185DEBF70B8562301798F286FAD<009>devic
eExternalRiskType=High<009>type=Deny List File SHA1LEEF 形式のシステムイベントログ
表 3-6. LEEF 形式のシステムイベントログ
LEEF キー48

説明

値

Header (logVer)

LEEF 形式のバージョン

1.0

Header (vendor)

アプライアンスのベンダ

Trend MicroSyslog コンテンツマッピング - LEEF

LEEF キー

説明

値

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 6.0.0.1001

Header (eventName)

イベント名

•

PRODUCT_UPDATE•SYSTEM_EVENT

sev

重大度

3: 情報

dvc

アプライアンスの IP ア
ドレス

例: 192.168.10.1

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0D:60:AF:1B:61

dvchost

アプライアンスのホスト
名

例: DDANdeviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

devTime

イベントのログ記録日時

例: Mar 03 2016 16:28:20 GMT+08:00

devTimeFormat

時刻の形式

MMM dd yyyy HH:mm:ss z

eventType

イベントの種類•

System Setting•

Account Logon/Logoff•

System Update

duser

ユーザ名

例: adminmsg

詳細例: Updates: Component update
settings modified by 'admin' from10.64.54.159.

src

送信元 IPv4/IPv6 アドレス

例: 192.168.100.100

shost

送信元ホスト名

例: shost1

49

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

LEEF キーoutcome

説明
結果のステータス

値•

Success•

Failureログの例:
LEEF: 1.0|Trend Micro|Deep Discovery Analyzer|6.0.0.1119|SYS
TEM_EVENT|devTime=Nov 07 2017 10:08:30 GMT+00:00<009>devTime
Format=MMM dd yyyy HH:mm:ss z<009>sev=3<009>dvc=10.204.1.1<009>dvchost=DDAN<009>deviceMacAddress=00:0C:29:2F:3B:6B<009>d
eviceGUID=423E63AA-D466-406E-A15F-6AC6F3CEE50A<009>eventType=System Setting<009>duser=admin<009>src=10.204.1.2<009>msg=L
og Settings: Settings modified by 'admin' from 10.204.1.2<00
9>outcome=Success

LEEF 形式のアラートイベントログ
表 3-7. LEEF 形式のアラートイベントログ
LEEF キー50

説明値

Header (logVer)

LEEF 形式のバージョン

1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 6.0.0.1001

Header (eventName)

イベント名

ALERT_EVENT

sev

重大度

•

2: 情報

•

6: 重要

•

8: 重大

Syslog コンテンツマッピング - LEEF

LEEF キーdvc

説明
アプライアンスの IP ア
ドレス

値
例:
•

IPv4: 192.168.10.1•

IPv6: 2620:0101:4009:0401::1

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0D:60:AF:1B:61

dvchost

アプライアンスのホスト
名

例: DDANdeviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

devTime

イベントのログ記録日時

例: Mar 03 2016 16:28:20 GMT+08:00

devTimeFormat

時刻の形式

MMM dd yyyy HH:mm:ss z

ruleName

ルール名

例: High Memory Usage

affectedAppliance影響を受けるアプライア
ンス

例: DDAN.com ( 10.204.1.1 | FE80::
29FF:29FF: 29FF: 29FF )subject

件名

例: DDAN Important Alert - High
Memory Usage

ruleContent

メッセージ

メッセージの内容

ログの例:
LEEF: 1.0|Trend Micro|Deep Discovery Analyzer|6.0.0.1119|ALE
RT_EVENT|devTime=Nov 07 2017 08:39:54 GMT+00:00<009>devTimeF
ormat=MMM dd yyyy HH:mm:ss z<009>sev=6<009>dvc=10.204.1.1<009>dvchost=DDAN<009>deviceMacAddress=00:0C:29:2F:3B:6B<009>deviceGUID=423E63AA-D466-406E-A15F-6AC6F3CEE50A<009>ruleName=H
igh CPU Usage<009>affectedAppliance=DDAN ( 10.204.1.1 | FE80::20C:29FF:FE2F:1B6B )<009>subject=DDAN Important Alert - Hi
gh CPU Usage<009>ruleContent=The average CPU usage in the la
st 5 minutes exceeded the threshold of 90%.\n\nAverage CPU usage: 96%\nAffected appliance: DDAN (10.204.1.1 | FE80::20C:
29FF:FE2F:1B6B)\n\nReduce the number of Virtual Analyzer ins
tances, or add a secondary appliance to improve performance.

51

Deep Discovery Analyzer 7.1 Syslog マッピングガイド\n\n\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\nAlert time: 2017-11-07 08:39:54\nManagement
console: https://10.204.1.1/ | https://[FE80::20C:29FF:FE2F:
1B6B]/

LEEF 形式の ICAP 事前検索による検出ログ
表 3-8. LEEF 形式の ICAP 事前検索による検出ログ
CEF キー

52

説明

値

Header (logVer)

LEEF 形式のバージョン

LEEF: 1.0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 7.1.0.1088

Header (eventName)

イベント名

ICAP_PRESCAN_EVENT

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

devTime

ログ生成時刻例: Jan 28 2015 02:00:36 GMT+08:00

devTimeFormat

時刻の形式

yyyy MMM dd HH:mm:ss z

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap fileSyslog コンテンツマッピング - LEEF

CEF キー

説明

値

fname

ファイル名

例: excel.rar

sha256

SHA256

例:
275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0F

sampleType

サンプルの種類•

0: ファイルのサンプル•

1: URL のサンプル

url

URL

例: http://1.2.3.4/query?term=valuesrc

送信元 IPv4 アドレス

例: 10.1.144.199

dst

送信先 IPv4 アドレス

例: 10.1.144.198

sourceUser

ICAP クライアントにより送信された XAuthenticated-User ICAP
ヘッダ

例: testsev

リスクレベル

8: 高

malName

不正プログラム名

例: HEUR_NAMETRICK.A

icapMode

ICAP モード

例:•

REQMOD:ICAP 要求の変更方
法•

RESPMOD:ICAP 応答の変更方
法53

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

CEF キー
identifiedBy

説明
オブジェクトを処理した検出モジュールの名前

値
例:•

Web Reputation Services•

Advanced Threat Scan Engine•

Virtual Analyzer•

Suspicious Object•

User-defined Suspicious Object•

YARA Rule (+ Yara_file_name)•

Predictive Machine Learning
Engine•

ICAP: Password-protected file
(bypass scanning)•

ICAP: Password-protected file(non-malicious, unextracted)

ログの例:
LEEF:1.0|Trend Micro|Deep Discovery Analyzer|7.1.0.1009|IC
AP_PRESCAN_EVENT|devTime=May 31 2021 15:56:04 GMT+08:00<00
9>devTimeFormat=MMM dd yyyy HH:mm:ss z<009>sev=8<009>dvc=1
0.204.191.223<009>dvchost=DDAN<009>deviceMacAddress=00:50:
56:98:39:75<009>deviceGUID=22DB5662-BDEC-4071-9D82-E5008EF
8B328<009>dst=10.204.190.8<009>src=10.204.190.7<009>sample
Type=1<009>fileHash=317D137FE590EE561648ECA137CB2B68985261
15<009>url=http://test.com:80/<009>malName=VAN_WEB_THREAT.
UMXX<009>submitterName=10.204.190.6<009>icapMode=RESPMODE<
009>sourceUser=auth_test2<009>identifiedBy=Web Reputation
Services<009>sha256=F5C748A953D23B8CE4F5C792FDC1E7987471DD
48FE24ABA07C3CFD10B4AEF72F
LEEF:1.0|Trend Micro|Deep Discovery Analyzer|7.1.0.1009|IC
AP_PRESCAN_EVENT|devTime=Jun 02 2021 13:26:17 GMT+08:00<00
9>devTimeFormat=MMM dd yyyy HH:mm:ss z<009>sev=8<009>dvc=1
0.204.191.223<009>dvchost=DDAN<009>deviceMacAddress=00:50:
56:98:39:75<009>deviceGUID=22DB5662-BDEC-4071-9D82-E5008EF
8B328<009>dst=10.204.191.122<009>src=10.204.190.6<009>samp
leType=0<009>fname=\\x332d6c617965722e7a6970<009>fileType=54

Syslog コンテンツマッピング - LEEF

ZIP archive<009>fileHash=D7273555CB0AC08303415CBEB3F3D72DD
0893BC4<009>malName=TROJ_OLEXP.TPD,Eicar_test_file<009>sub
mitterName=10.204.190.6<009>icapMode=RESPMODE<009> sourceU
ser=auth_test<009>identifiedBy=Advanced Threat Scan Engine<009>sha256=08F18BC62297A67DD91E192A27C1EEDE3C1BBEE19A90FC
0B1FADD07CE93B9823

55

第4章

Syslog コンテンツマッピング - TMEF
次の各表は、Deep Discovery Analyzer のログ出力と TMEF 形式のシステム出力ログとのコンテンツマッピングを示しています。
•

58 ページの「TMEF 製品検出ログ: 検出イベント / 統合された製品からのサブミットによる検出イベント」•

60 ページの「TMEF 形式の仮想アナライザ分析ログ: URL 分析イベント」•

61 ページの「TMEF 形式の統合製品検出ログ: 検出結果イベント」•

65 ページの「TMEF 形式の仮想アナライザ分析ログ: 著しい特性イベント」•

67 ページの「TMEF 形式の仮想アナライザ分析ログ: 拒否リストトラン
ザクションイベント」•

68 ページの「TMEF 形式のシステムイベントログ」•

70 ページの「TMEF 形式のアラートイベントログ」

57

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF 製品検出ログ: 検出イベント / 統合された製品からのサブミットによる検出イベント
表 4-1. TMEF 製品検出ログ: 検出イベント / 統合された製品からのサブミットによる検出イ
ベント

TMEF キー値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200119Header (eventName)

説明

FILE_ANALYZEDHeader (severity)

重大度

3: 情報

cn1

GRID/CSSS の結果•-1: GRID が不明•

0: GRID が無害と知られていない•

1: GRID が無害と知られている

cn1Label

GRID/CSSS の結果

GRIDIsKnownGood

cn2

ROZ レーティング (仮想アナライザの分析結果用
内部コード)

例: 3

cn2Label

ROZ レーティング (仮想アナライザの分析結果用
内部コード)ROZRatingcn3

PCAP 使用可能•

0: PCAP が使用可能でない•

1: PCAP が使用可能

cn3Label58

説明

PCAP 使用可能

PcapReadySyslog コンテンツマッピング - TMEF

TMEF キー説明

値

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

deviceOSName

サンドボックスイメージの種類

例: win7deviceProcessHash

上位の SHA-1

例:
A29E4ACA70BEF4AF8CE75AF51032B
6B91572AA0D

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

malName

不正プログラム名

例: HEUR_NAMETRICK.A

pComp

検出エンジン/コンポー
ネント

Sandboxrt

分析時刻

例: Mar 09 2015 17:05:21 GMT+08:00

ログの例:

59

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF 形式の仮想アナライザ分析ログ: URL 分析イ
ベント
表 4-2. TMEF 形式の仮想アナライザ分析ログ: URL 分析イベント
TMEF キー60

説明値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200126

Header (eventName)

説明

URL_ANALYZEDHeader (severity)

重大度

3: 情報

cn2

ROZ レーティング (仮想アナライザの分析結果用
内部コード)

例: 3

cn2Label

ROZ レーティング (仮想アナライザの分析結果用
内部コード)ROZRatingcn3

PCAP 使用可能•

0: PCAP が使用可能でない•

1: PCAP が使用可能

cn3Label

PCAP 使用可能

PcapReadydeviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

deviceOSName

サンドボックスイメージの種類

例: win7

Syslog コンテンツマッピング - TMEF

TMEF キー

説明

値

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

pComp

検出エンジン/コンポー
ネント

SandboxrequestURL

例: http://www.rainking.net/?
utm_campaign=4-21-2014 |http://
images.rainking.net/eloquaimage

rt

分析時刻

例: Mar 09 2015 17:05:21 GMT+08:00

ログの例:

TMEF 形式の統合製品検出ログ: 検出結果イベント
表 4-3. TMEF 形式の統合製品検出ログ: 検出結果イベント
TMEF キー

説明

値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200128Header (eventName)

説明SUBMISSION_ANALYZED61

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF キー
Header (severity)

62

説明
Deep Discovery Analyzerのリスクレベルマッピン
グ:

値•

1: 未評価•2: リスクなし

•

4: 低

•

6: 中

•

8: 高

app

アプリケーションプロト
コル

例: FTP/HTTPS/MSN/...

appGroup

アプリケーションプロト
コルグループ

例: SMTP/HTTP/…

c6a2

送信元 IPv6 アドレス

例: 2001:db8::1

c6a2Label

送信元 IPv6 アドレス

srcIPv6c6a3

送信先 IPv6 アドレス

例: 2001:db8:a0b:12f0::1

c6a3Label

送信先 IPv6 アドレス

dstIPv6

cn1

サンプルの種類•

0: ファイルのサンプル•

1: URL のサンプル

cn1Label

サンプルの種類

sampleType

cs1

メール ID例:<20150414032514.494EF1E9A365@internalbeta.bcc.ddei>

cs1Label

メール ID

messageId

cs2

サブミッターcs2Label

サブミッター

サブミッターcs3

サブミッターのホスト名

例: shost1

cs3Label

サブミッターのホスト名

submitterName

Syslog コンテンツマッピング - TMEF

TMEF キー説明

cs6

SHA256cs6Label

SHA256deviceDirection

関連付けられた方向値
例:
275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0F

ICAP プロトコルの場合:•

0: ICAP REQMOD•

1: ICAP RESPMOD

その他のプロトコルの場合:
•

0: 受信

•

1: 送信

•

2: 不明

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

deviceProcessName

アプライアンスのプロセ
ス名

例: explorer.exe

dhost

送信先ホスト名

例: dhost1

dmac

送信先 MAC アドレス

例: 00:0C:29:6E:CB:F9

dpt

送信先ポート0～65535 の値

dst

送信先 IPv4 アドレス

例: 10.1.144.199

duser

メール受信者例:
user1@example2.com;test@163.comdvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

63

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF キー説明

値

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

mailMsgSubject

メールの件名例: hello

malName

不正プログラム名

例: HEUR_NAMETRICK.A

requestURL

例: http://www.rainking.net/?
utm_campaign=4-21-2014 |http://
images.rainking.net/eloquaimage

requestClientApplication

ユーザエージェント

例: IE

rt

サブミッターでのイベン
ト生成時間

例: Mar 09 2015 17:05:21 GMT+08:00

shost

送信元ホスト名

例: shost1

smac

送信元 MAC アドレス

例: 00:0C:29:6E:CB:F9

spt

送信元ポート0～65535 の値

src

送信元 IPv4 アドレス

例: 10.1.144.199

suser

メール送信者

例: user2@example.com

ログの例:
CEF:0|Trend Micro|Deep Discovery Analyzer|5.5.1.1034|20012
8|SUBMISSION_ANALYZED|1|rt=May 06 2016 09:03:17 GMT+08:00
dvc=192.168.1.1 dvchost=DDAN-Active deviceMacAddress=B8:CA:3A:68:2F:CC deviceGUID=F8E649AA-AF79-4545-9B5A-580BA993D5
E3 src=192.168.50.93 spt=57775 smac=F4:8E:38:94:D1:71 shos64

Syslog コンテンツマッピング - TMEF

t=nj-host1 dst=106.120.188.46 dpt=80 dmac=00:00:0C:9F:F0:3
2 dhost=106.120.188.46 cn1Label=sampleType cn1=0 fname=sgi
m_phrases.zip fsize=935 fileType=PKZIP fileHash=022D399592
43995944F024C3E079CAD8EFF06468 request=http://pc.profile.p
inyin.sogou.com/upload.php?hid\\\=sgpy-windows-generic-dev
ice-id&v\\\=8.0.0.7807&brand\\\=1&platform\\\=6&ifbak\\\=1&ifmobile\\\=0&ifauto\\\=1&filename\\\=sgim_phrases.zip&m\\\=6A844AC16D9A0CBB99D333F9EDDA4DD5 app=HTTP appGroup=HTTP
cs2Label=submitter cs2=Deep Discovery Inspector cs3Label=submitterName cs3=TEST-DDI cs6Label=sha256 cs6=275A021BBFB
6489E54D471899F7DB9D1663FC695EC2FE2A2C4538AABF651FD0F devi
ceDirection=1 requestClient Application=sogou_ime/8.0.0.78
07

TMEF 形式の仮想アナライザ分析ログ: 著しい特性
イベント
表 4-4. TMEF 形式の仮想アナライザ分析ログ: 著しい特性イベント
TMEF キー

説明

値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200127Header (eventName)説明NOTABLE_CHARACTERISTICS

Header (severity)

重大度

6: 警告

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F965

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF キー値

deviceOSName

サンドボックスイメージの種類

例: win7dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB3
95E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap file

fname

ファイル名

例: excel.rar

fsize

ファイルサイズ

例: 131372

msg

詳細例: ATSE\nDetection Name:
TROJ_FAM_00004f2.TOMA\nEngine
Version: 9.826.1078\nMalware
Pattern Version: 11.749.92

pComp

検出エンジン/コンポー
ネント

Sandboxrt

分析時刻

例: Mar 09 2015 17:05:21 GMT+08:00

ruleCategory

違反ポリシー名

例: Internet Explorer Setting
Modification

ruleName

違反イベントの分析

例 :Modified important registry
items

ログの例:

66

説明

Syslog コンテンツマッピング - TMEF

TMEF 形式の仮想アナライザ分析ログ: 拒否リスト
トランザクションイベント
表 4-5. TMEF 形式の仮想アナライザ分析ログ: 拒否リストトランザクションイベント
TMEF キー

説明

値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 5.5.0.1191

Header (eventid)

署名 ID

200120

Header (eventName)説明

DENYLIST_CHANGE

Header (severity)

重大度

3: 情報

act

イベントの処理Add

cs1

拒否リストの種類•

Deny List IP/Port•

Deny List URL•

Deny List File SHA1•

Deny List Domain

cs1Label

拒否リストの種類

type

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9

deviceExternalRiskType

リスクレベル•Low•

Medium•High•

Confirmed Malware

67

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF キー

説明

値

dhost

送信先ホスト名

例: dhost1

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

end

レポート終了時刻

例: Mar 09 2015 17:05:21 GMT+08:00

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

pComp

検出エンジン/コンポー
ネント

Sandboxrt

ログ生成時刻例: Mar 09 2015 17:05:21 GMT+08:00

ログの例:

TMEF 形式のシステムイベントログ
表 4-6. TMEF 形式のシステムイベントログ
TMEF キー68

説明

値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 6.0.0.1001

Header (eventid)

イベント ID•

300102•300999Syslog コンテンツマッピング - TMEF

TMEF キー
Header (eventName)

説明
説明

値
•

PRODUCT_UPDATE•SYSTEM_EVENTHeader (severity)

重大度

3: 情報

dvc

アプライアンスの IP ア
ドレス

例: 192.168.10.1

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0D:60:AF:1B:61

dvchost

アプライアンスのホスト
名

例: DDANdeviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

rt

イベントのログ記録日時

例: Mar 03 2016 16:28:20 GMT+08:00

cs1Label

イベントの種類のラベル

eventType

cs1

イベントの種類•

System Setting•

Account Logon/Logoff•

Logoff System Update

duser

ユーザ名

例: adminmsg

詳細例: Updates: Component update
settings modified by 'admin' from
192.168.10.2.

src

送信元 IPv4 アドレス

例: 192.168.100.100

c6a2Label

IPv6 アドレスのラベル

srcIPv6

c6a2

IPv6 アドレス

例: 2001:db8::1

shost

送信元ホスト名

例: shost1

outcome

結果のステータス•

Success•

Failure69

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

ログの例:
CEF: 0|Trend Micro|Deep Discovery Analyzer|6.0.0.1119|300999|SYSTEM_EVENT|3|rt=Nov 07 2017 10:05:58 GMT+00:00 dvc=10.204.1.1 dvchost=DDAN deviceMacAddress=00:0C:29:2F:3B:6B deviceG
UID=423E63AA-D466-406E-A15F-6AC6F3CEE50A cs1Label=eventType
cs1=System Setting duser=admin src=10.204.1.2 msg=Log Settin
gs: Settings modified by 'admin' from 10.204.1.2 outcome=Suc
cess

TMEF 形式のアラートイベントログ
表 4-7. TMEF 形式のアラートイベントログ
TMEF キー値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 6.0.0.1001

Header (eventid)

イベント ID

300105Header (eventName)説明

ALERT_EVENTHeader (severity)

重大度

•

2: 情報

•

6: 重要

•

8: 重大

dvc

deviceMacAddress70

説明

アプライアンスの IP ア
ドレス

アプライアンスの MAC
アドレス

例:
•

IPv4: 192.168.10.1•

IPv6: 2620:0101:4009:0401::1

例: 00:0D:60:AF:1B:61

Syslog コンテンツマッピング - TMEF

TMEF キー説明

値

dvchost

アプライアンスのホスト
名

例: DDANdeviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

rt

イベントのログ記録日時

例: Mar 03 2016 16:28:20 GMT+08:00

ruleName

ルール名

例: High Memory Usage

cs1Label

影響を受けるアプライア
ンスのラベルaffectedAppliancecs1

影響を受けるアプライア
ンス

例: DDAN.com ( 10.204.1.2 | FE80::
29FF:29FF: 29FF: 29FF )cs2Label

件名のラベルsubjectcs2

件名

例: DDAN Important Alert - High
Memory Usage

cs3Label

メッセージのラベル

ruleContent

cs3

メッセージ

メッセージの内容

ログの例:
CEF: 0|Trend Micro|Deep Discovery Analyzer|6.0.0.1119|300105|ALERT_EVENT|6|rt=Nov 07 2017 08:39:54 GMT+00:00 dvc=10.204.
1.1 dvchost=DDAN deviceMacAddress=00:0C:29:2F:3B:6B deviceGU
ID=423E63AA-D466-406E-A15F-6AC6F3CEE50A ruleName=High CPU Us
age cs1Label=affectedAppliance cs1=DDAN ( 10.204.1.1 | FE80::20C:29FF:FE2F:1B6B ) cs2Label=subject cs2=DDAN Important Al
ert - High CPU Usage cs3Label=ruleContent cs3=The average CP
U usage in the last 5 minutes exceeded the threshold of 90%.
\n\nAverage CPU usage: 96%\nAffected appliance: DDAN (10.204.1.1 | FE80::20C:29FF:FE2F:1B6B)\n\nReduce the number of Vir
tual Analyzer instances, or add a secondary appliance to imp
rove performance.\n\n\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\=\nAlert time: 2017-11-07 08:3

71

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

9:54\nManagement console: https://10.204.1.1/ | https://[FE80::20C:29FF:FE2F:1B6B]/

TMEF 形式の ICAP 事前検索による検出ログ
表 4-8. TMEF 形式の ICAP 事前検索による検出ログ
TMEF キー72

説明

値

Header (logVer)

TMEF 形式のバージョン

CEF: 0

Header (vendor)

アプライアンスのベンダ

Trend Micro

Header (pname)

アプライアンス製品

Deep Discovery Analyzer

Header (pver)

アプライアンスのバー
ジョン

例: 7.1.0.1088

Header (eventName)

イベント名

ICAP_PRESCAN_EVENTHeader (severity)

リスクレベル8

deviceGUID

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

deviceMacAddress

アプライアンスの MAC
アドレス

例: 00:0C:29:6E:CB:F9rt

ログ生成時刻例: May 31 2021 15:56:04 GMT+08:00

dvcmacアプライアンスの MAC
アドレス

例: 00:0C:29:56:B3:57

dvc

アプライアンスの IP ア
ドレス

例: 10.1.144.199

dvchost

アプライアンスのホスト
名

例: localhost

fileHash

SHA1

例:
1EDD5B38DE4729545767088C5CAB
395E4197C8F3

fileType

実際のファイルタイプ

例: RIFF bitmap fileSyslog コンテンツマッピング - TMEF

TMEF キー

説明

値

fname

ファイル名

例: excel.rar

sha256

SHA256

例:
275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0Fcn1Label

サンプルの種類

sampleTypecn1

サンプルの種類•

0: ファイルのサンプル•

1: URL のサンプル

requestURL

例: http://example.com:80/

malName

不正プログラム名

例: HEUR_NAMETRICK.A

src

送信元 IPv4 アドレス

例: 10.1.144.199

dst

送信先 IPv4 アドレス

例: 10.1.144.198

cs1LabelsubmitterName

malNamecs1

ICAP クライアント

例: 10.205.190.3

cs2Label

icapModecs2

ICAP モード

deviceExternalId

アプライアンスの GUID

例: 6B593E17AFB7-40FBBB28A4CE-0462-A536

cs2LabelsubmitterName

例:

cs3Label•

REQMOD:ICAP 要求の変更方
法•

RESPMOD:ICAP 応答の変更方
法

送信元ユーザ73

Deep Discovery Analyzer 7.1 Syslog マッピングガイド

TMEF キーcs3

ICAP クライアントにより送信された XAuthenticated-User ICAP
ヘッダ

cs4Label

検出元

cs4

オブジェクトを処理した検出モジュールの名前

cs5Label

74

説明

sha256

値
例:•

Web Reputation Services•

Advanced Threat Scan Engine•

Virtual Analyzer•

Suspicious Object•

User-defined Suspicious Object•

YARA Rule (+ Yara_file_name)•

Predictive Machine Learning
Engine•

ICAP: Password-protected file
(bypass scanning)•

ICAP: Password-protected file(non-malicious, unextracted)

例:•

Web Reputation Services•

Advanced Threat Scan Engine•

Virtual Analyzer•

Suspicious Object•

User-defined Suspicious Object•

YARA Rule (+ Yara_file_name)•

Predictive Machine Learning
Engine•

ICAP: Password-protected file
(bypass scanning)•

ICAP: Password-protected file(non-malicious, unextracted)

Syslog コンテンツマッピング - TMEF

TMEF キーcs5

説明SHA256

値
例:275A021BBFB6489E54D471899F7DB
9D1663FC695EC2FE2A2C4538AABF6
51FD0F

ログの例:
CEF:0|Trend Micro|Deep Discovery Analyzer|7.1.0.1088|20012
9|ICAP_PRESCAN_EVENT|8|rt=Aug 01 2021 02:36:08 GMT+00:00 d
vc=10.204.191.52 dvchost=DDAN deviceMacAddress=00:50:56:98:33:69 deviceGUID=627EE441-DD62-4483-B9E4-60B3C8A92529 src=10.2.11.122 cn1Label=sampleType cn1=1 fileHash=317D137FE5
90EE561648ECA137CB2B6898526115 request=http://wrs21.test.c
om:80/ malName=TSPY_KEYLOG.GC cs1Label=submitterName cs1=1
0.204.190.6 cs2Label=icapMode cs2=REQMOD cs3Label=sourceUs
er cs4Label=identifiedBy cs4=Web Reputation Services cs5La
bel=sha256 cs5=F5C748A953D23B8CE4F5C792FDC1E7987471DD48FE2
4ABA07C3CFD10B4AEF72F
CEF:0|Trend Micro|Deep Discovery Analyzer|7.1.0.1088|20012
9|ICAP_PRESCAN_EVENT|8|rt=Aug 01 2021 02:36:11 GMT+00:00 d
vc=10.204.191.52 dvchost=DDAN deviceMacAddress=00:50:56:98:33:69 deviceGUID=627EE441-DD62-4483-B9E4-60B3C8A92529 dst=10.2.1.123 src=10.2.1.122 cn1Label=sampleType cn1=0 fname=3-layer.zip fileType=ZIP archive fileHash=D7273555CB0AC08
303415CBEB3F3D72DD0893BC4 request=http://test.com/3-layer.
zip malName=Eicar_test_file,TROJ_OLEXP.TPD cs1Label=submit
terName cs1=10.204.190.6 cs2Label=icapMode cs2=RESPMODE cs
3Label=sourceUser cs4Label=identifiedBy cs4=Advanced Threat Scan Engine cs5Label=sha256 cs5=08F18BC62297A67DD91E192A
27C1EEDE3C1BBEE19A90FC0B1FADD07CE93B9823

75

索引

77