syslogメッセージの形式 · Customer Self-Service

CEFのsyslogメッセージの形式

すべてのCEFイベントには、イベントの元のDeep Security Agentソースを特定する目的で、dvc=IPv4 Addressまたはdvchost=Hostname(またはIPv6アドレス) が含まれます。この拡張機能は、Deep Security Virtual Applianceまたはマネージャから送信されたイベントにとって重要です。この場合、メッセージのsyslog送信者はイベントの発信者ではありません。

ログエントリがDeep Security ManagerまたはDeep Security Agentからのものであるかを判断するには、デバイス製品フィールドを確認してください。

注意

Virtual Applianceで保護されていて、Agentで保護されていない仮想マシンで発生したイベントも、Agentからのイベントとして識別されます。

イベントをトリガしたルールの種類を判断するには、Signature IDフィールドとNameフィールドを確認します。

署名ID (Signature ID) の値は、トリガされたイベントの種類を示します。

署名ID	説明
10	カスタム侵入防御（IPS）ルール
20	ログのみのファイアウォールルール
21	拒否するファイアウォールルール
30	カスタム変更監視ルール
40	カスタムセキュリティログ監視ルール
100-7499	システムイベント
100-199	ポリシーファイアウォールルールとファイアウォールステートフル設定
200-299	IPSの内部エラー
300-399	SSL/TLSイベント
500-899	IPSの正規化
1,000,000-1,999,999	トレンドマイクロのIPSルール。署名IDは、IPSルールIDと同一です。
2,000,000-2,999,999	変更監視ルール。署名IDは、変更監視ルールID + 1,000,000です。
3,000,000-3,999,999	セキュリティログ監視ルール。署名IDは、セキュリティログ監視ルールID + 2,000,000です。
4,000,000-4,999,999	不正プログラム対策イベント。現在は、以下の署名IDのみが使用されています。 4,000,000 - 不正プログラム対策 - リアルタイム検索 4,000,001 - 不正プログラム対策 - 手動検索 4,000,002 - 不正プログラム対策 - 予約検索 4,000,003 - 不正プログラム対策 - クイック検索 4,000,010 - スパイウェア対策 - リアルタイム検索 4,000,011 - スパイウェア対策 - 手動検索 4,000,012 - スパイウェア対策 - 予約検索 4,000,013 - スパイウェア対策 - クイック検索 4,000,020 - 不審アクティビティ - リアルタイム検索 4,000,030 - 不正変更 - リアルタイム検索
5,000,000-5,999,999	Webレピュテーションイベント。現在は、以下の署名IDのみが使用されています。 5,000,000 - Webレピュテーション - ブロック済み 5,000,001 - Webレピュテーション - 検出のみ
6,000,000-6,999,999	アプリケーションコントロールイベント。現在は、以下の署名IDのみが使用されています。 6,001,100 - アプリケーションコントロール - ブロックリスト内の検出のみ 6,001,200 - アプリケーションコントロール - 検出のみ、許可リストにない 6,002,100 - アプリケーションコントロール - ブロックリスト内 6,002,200 - アプリケーションコントロール - ブロック済み、許可リストに含まれていません
7,000,000-7,999,999	デバイスコントロールイベント。現在は、以下の署名IDのみが使用されています。 7,000,000-デバイスコントロール-不明なデバイスへのアクセスがブロックされました 7,000,200-デバイスコントロール-不明なデバイスの書き込みがブロックされました 7,001,000-デバイスコントロール-USBデバイスへのアクセスがブロックされました 7,001,200-デバイスコントロール-USBデバイスの書き込みがブロックされました 7,002,000-デバイスコントロール-モバイルデバイスへのアクセスがブロックされました 7,002,200-デバイスコントロール-モバイルデバイスの書き込みがブロックされました

次のイベントログの形式の表に示すすべてのCEF拡張が必ずしも各ログエントリに含まれているわけではありません。また、CEF拡張の順序が常に同じであるとは限りません。正規表現を使用してエントリを解析する場合は、表にある各キーと値のペアがあることを前提としたり、またはその順序に依存したりしないようにしてください。 {: .note }

Syslogメッセージは、Syslogプロトコル仕様によって最大64KBに制限されています。長いメッセージの場合は、データが切り捨てられることがあります。Basic Syslog形式は、最大1KBに制限されています。 {: .note }

LEEF 2.0のsyslogメッセージの形式

[LEEF 2.0ログエントリのサンプル (DSMシステムイベントログのサンプル):] LEEF:2.0|Trend Micro|Deep Security Manager|<DSA version>|192|cat=System name=Alert Ended desc=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning sev=3 src=10.201.114.164 usrName=System msg=Alert: CPUWarning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity:Warning TrendMicroDsTenant=Primary

managerで発生するイベント

システムイベントログの形式

[LEEF 2.0ログエントリのサンプル:] LEEF:2.0|Trend Micro|Deep Security Manager|<DSA version>|192|cat=System name=Alert Ended desc=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning sev=3 src=10.201.114.164 usrName=System msg=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning TrendMicroDsTenant=Primary

LEEF形式では、重要度を示すsevという予約キーと、名前を示すnameという予約キーが使用されます。

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
src	src	Source IP Address	Deep Security ManagerのIPアドレス。	src=10.52.116.23
suser	usrName	Source User	Deep Security Manager管理者のアカウント。	suser=MasterAdmin
target	target	Target Entity	イベントの件名。Deep Security Managerにログインしている管理者アカウント、またはコンピュータを指定できます。	target=MasterAdmin target=server01
targetID	targetID	Target Entity ID	Managerで追加された識別子。	targetID=1
targetType	targetType	Target Entity Type	イベントの対象のエンティティの種類。	targetType=Host
msg	msg	詳細	システムイベントの詳細。イベントの詳細な説明が含まれる場合があります。	msg=User password incorrect for username MasterAdmin on an attempt to sign in from 127.0.0.1 msg=A Scan for Recommendations on computer (localhost) has completed...
TrendMicroDsTags	TrendMicroDsTags	Event Tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant Name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
TrendMicroDsReasonId	TrendMicroDsReasonId	イベント理由ID	イベントの説明の理由IDを示します。各イベントには独自の理由ID定義があります。	TrendMicroDsReasonId = 1
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=3
なし	Windows、Linux	カテゴリ	イベントのカテゴリ	cat=System
なし	name	名前	イベント名	name=Alert Ended
なし	desc	説明	イベントの説明	desc:Alert: CPUの警告しきい値の超過

Agentで発生するイベント

不正プログラム対策イベントフォーマット

[CEFログエントリのサンプル:]CEF:0|Trend Micro|Deep Security Agent|<DSA version>|4000000|Eicar_test_file|6|cn1=1 cn1Label=Host ID dvchost=hostname cn2=205 cn2Label=Quarantine File Size cs6=ContainerImageName | ContainerName | ContainerID cs6Label=Container filePath=C:\\Users\\trend\\Desktop\\eicar.exe act=Delete result=Delete msg=Realtime TrendMicroDsMalwareTarget=N/A TrendMicroDsMalwareTargetType=N/TrendMicroDsFileMD5=44D88612FEA8A8F36DE82E1278ABB02F TrendMicroDsFileSHA1=3395856CE81F2B7382DEE72602F798B642F14140 TrendMicroDsFileSHA256=275A021BBFB6489E54D471899F7DB9D1663FC695EC2FE2A2C4538AABF651FD0F TrendMicroDsDetectionConfidence=95 TrendMicroDsRelevantDetectionNames=Ransom_CERBER.BZC;Ransom_CERBER.C;Ransom_CRYPNISCA.SM

[LEEFログエントリのサンプル:] LEEF: 2.0|Trend Micro|Deep Security Agent|<DSA version>|4000030|cat=Anti-Malware name=HEU_AEGIS_CRYPT desc=HEU_AEGIS_CRYPT sev=6 cn1=241 cn1Label=Host ID dvc=10.0.0.1 TrendMicroDsTags=FS TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 filePath=C:\\Windows\\System32\\virus.exe act=Terminate msg=Realtime TrendMicroDsMalwareTarget=Multiple TrendMicroDsMalwareTargetType=File System TrendMicroDsFileMD5=1947A1BC0982C5871FA3768CD025453E#011 TrendMicroDsFileSHA1=5AD084DDCD8F80FBF2EE3F0E4F812E812DEE60C1#011 TrendMicroDsFileSHA256=25F231556700749F8F0394CAABDED83C2882317669DA2C01299B45173482FA6E TrendMicroDsDetectionConfidence=95 TrendMicroDsRelevantDetectionNames=Ransom_CERBER.BZC;Ransom_CERBER.C;Ransom_CRYPNISCA.SM

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=1
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cn2	cn2	File Size	隔離ファイルのサイズ。	cn2=100
cn2Label	cn2Label	File Size	フィールドcn2の名前ラベル。	cn2Label=Quarantine File Size
cs3	cs3	Infected Resource	スパイウェアアイテムのパス。このフィールドはスパイウェア検出イベント専用です。	cs3=C:\test\atse_samples\SPYW_Test_Virus.exe
cs3Label	cs3Label	Infected Resource	フィールドcs3の名前ラベル。このフィールドはスパイウェア検出イベント専用です。	cs3Label=Infected Resource
cs4	cs4	Resource Type	Resource Typeの値: 10=ファイルとディレクトリ 11=システムレジストリ 12=インターネットCookie 13=インターネットURLショートカット 14=メモリ内のプログラム 15=プログラム起動領域 16=ブラウザヘルパーオブジェクト 17=レイヤードサービスプロバイダ 18=hostsファイル 19=Windowsポリシー設定 20=ブラウザ 23=Windowsシェル設定 24=IEでダウンロードしたプログラムファイル 25=プログラムの追加/削除 26=サービスその他=その他たとえば、システムの再起動後もスパイウェアファイルを存続させるためにレジストリ実行キーを作成するspy.exeという名前のスパイウェアファイルがある場合、スパイウェアのレポートには次の2つのアイテムが含まれます。spy.exeのアイテムはcs4=10 (ファイルとディレクトリ)、実行キーのアイテムはcs4=11 (システムレジストリ) となります。このフィールドはスパイウェア検出イベント専用です。	cs4=10
cs4Label	cd4Label	Resource Type	フィールドcs4の名前ラベル。このフィールドはスパイウェア検出イベント専用です。	cs4Label=Resource Type
cs5	cs5	リスクレベル	リスクレベルの値: 0=超低 25=低 50=中 75=高 100=超高このフィールドはスパイウェア検出イベント専用です。	cs5=25
cs5Label	cs5Label	リスクレベル	フィールドcs5の名前ラベル。このフィールドはスパイウェア検出イベント専用です。	cs5Label=Risk Level
cs6	cs6	Container	不正プログラムが検出されたDockerコンテナのイメージ名、コンテナ名、コンテナID。	cs6=ContainerImageName \| ContainerName \| ContainerID
cs6Label	cs6Label	Container	フィールドcs6の名前ラベル。	cs6Label=Container
cs7	cs7	Flow	仮想アプライアンスで保護されている仮想マシンで発生したイベントのうち、ゲスト内にAgentが存在しない場合は、 Agentからのイベントとして識別されます。フロー値: FWD=Connection Flow REV=Reverse Flow	cs7=FWD
cs7Label	cs7Label	Flow	フィールドcs7の名前ラベル。	cs7Label=Flow
filePath	filePath	File Path	不正プログラムファイルの場所。	filePath=C:\\Users\\Mei\\Desktop\\virus.exe
act	act	処理	不正プログラム対策エンジンによって実行された処理。値には、Deny Access、Quarantine、Delete、Pass、Clean、Terminate、Unspecifiedがあります。	act=Clean act=Pass
結果	結果	結果	失敗した不正プログラム対策処理の結果	result=Passed result=Deleted result=Quarantined result=Cleaned result=Access Denied result=Terminated result=Log result=Failed result=Pass Failed result=Delete Failed result=Quarantine Failed result=Clean Failed result=Terminate Failed result=Log Failed result=Scan Failed result=Passed (Scan Failed) result=Quarantined (Scan Failed) result=Quarantine Failed (Scan Failed) result=Deny Access (Scan Failed)
msg	msg	メッセージ	検索の種類。値には、Realtime、Scheduled、Manualがあります。	msg=Realtime msg=Scheduled
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=fe80::f018:a3c6:20f9:afa6%5
TrendMicroDsBehaviorRuleID	TrendMicroDsBehaviorRuleID	挙動監視ルールID	内部不正プログラムのケース追跡の挙動監視ルールIDです。	BehaviorRuleID = CS913
TrendMicroDsBehaviorType	TrendMicroDsBehaviorType	挙動監視の種類	検出された挙動監視イベントの種類。	BehaviorType =脅威の検出
TrendMicroDsTags	TrendMicroDsTags	Events tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
TrendMicroDsMalwareTarget	TrendMicroDsMalwareTarget	Target(s)	不正プログラムが操作を試みた対象のファイル、プロセス、またはレジストリキー (ある場合)。不正プログラムの対象が複数に及ぶ場合、このフィールドの値は「Multiple」になります。	TrendMicroDsMalwareTarget=N/A TrendMicroDsMalwareTarget=C:\\Windows\\System32\\cmd.exe TrendMicroDsMalwareTarget=HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings TrendMicroDsMalwareTarget=Multiple
TrendMicroDsMalwareTargetCount	TrendMicroDsMalwareTargetCount	ターゲット数	ターゲットファイルの数。	TrendMicroDsMalwareTargetCount = 3
TrendMicroDsMalwareTargetType	TrendMicroDsMalwareTargetType	Target Type	この不正プログラムが操作を試みたシステムリソースの種類。ファイルシステム、プロセス、Windowsレジストリなどです。	TrendMicroDsMalwareTargetType=N/A TrendMicroDsMalwareTargetType=Exploit TrendMicroDsMalwareTargetType=File System TrendMicroDsMalwareTargetType=Process TrendMicroDsMalwareTargetType=Registry
TrendMicroDsProcess	TrendMicroDsProcess	プロセス	プロセス名	TrendMicroDsProcess = abc.exe
TrendMicroDsFileMD5	TrendMicroDsFileMD5	File MD5	ファイルのMD5ハッシュ。	TrendMicroDsFileMD5=1947A1BC0982C5871FA3768CD025453E
TrendMicroDsFileSHA1	TrendMicroDsFileSHA1	File SHA1	ファイルのSHA1ハッシュ。	TrendMicroDsFileSHA1=5AD084DDCD8F80FBF2EE3F0E4F812E812DEE60C1
TrendMicroDsFileSHA256	TrendMicroDsFileSHA256	File SHA256	ファイルのSHA256ハッシュ。	TrendMicroDsFileSHA256=25F231556700749F8F0394CAABDED83C2882317669DA2C01299B45173482FA6E
TrendMicroDsDetectionConfidence	TrendMicroDsDetectionConfidence	Threat Probability	ファイルが不正プログラムモデルと一致する割合 (%表示) を示します。	TrendMicroDsDetectionConfidence=95
TrendMicroDsRelevantDetectionNames	TrendMicroDsRelevantDetectionNames	Probable Threat Type	機械学習型検索が分析を他の既知の脅威 (セミコロン「;」で区切る) と比較した後にファイルに含まれる脅威の最も可能性の高い種類を示します。	TrendMicroDsRelevantDetectionNames=Ransom_CERBER.BZC;Ransom_CERBER.C;Ransom_CRYPNISCA.SM
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=6
なし	Windows、Linux	カテゴリ	カテゴリ	cat=Anti-Malware
なし	name	名前	イベント名	name=SPYWARE_KEYL_ACTIVE
なし	desc	説明	イベントの説明。不正プログラム対策では、イベント名が説明として使用されます。	desc=SPYWARE_KEYL_ACTIVE
TrendMicroDsCommandLine	TrendMicroDsCommandLine	コマンドライン	対象プロセスが実行するコマンド	TrendMicroDsCommandLine = / tmp / orca-testkit-sample / testsys_m64 -u 1000 -g 1000 -U 1000 -G 1000 -e cve_2017_16995 1 -d 4000000
TrendMicroDsCve	TrendMicroDsCve	CVE	Common Vulnerabilities and Exposuresのいずれかでプロセスの動作が特定された場合のCVE情報。	TrendMicroDsCve = CVE-2016-5195、CVE-2016-5195、CVE-2016-5195
TrendMicroDsMitre	TrendMicroDsMitre	MITRE	MITER攻撃のシナリオのいずれかでプロセスの動作が特定された場合のMITRE情報。	TrendMicroDsMitre = T1068、T1068、T1068
suser	suser	ユーザ名	このイベントをトリガしたユーザアカウント名	suser=root

アプリケーションコントロールイベント形式

Example CEF Log Entry::

CEF: 0|Trend Micro|Deep Security Agent|10.2.229|6001200|AppControl detectOnly|6|cn1=202
                     cn1Label=Host ID dvc=192.168.33.128 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0
                     fileHash=80D4AC182F97D2AB48EE4310AC51DA5974167C596D133D64A83107B9069745E0 suser=root
                     suid=0 act=detectOnly filePath=/home/user1/Desktop/Directory1//heartbeatSync.sh fsize=20
                     aggregationType=0 repeatCount=1 cs1=notWhitelisted cs1Label=actionReason cs2=0CC9713BA896193A527213D9C94892D41797EB7C
                     cs2Label=sha1 cs3=7EA8EF10BEB2E9876D4D7F7E5A46CF8D cs3Label=md5

LEEFログエントリの例::LEEF:2.0|Trend Micro|Deep Security Agent|10.0.2883|60|cat=AppControl name=blocked desc=blocked sev=6 cn1=2 cn1Label=Host ID dvc=10.203.156.39 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 fileHash=E3B0C44298FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855 suser=root suid=0 act=blocked filePath=/bin/my.jar fsize=123857 aggregationType=0 repeatCount=1 cs1=notWhitelisted cs1Label=actionReason

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=2
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cs1	cs1	理由	アプリケーションコントロールが指定されたアクションを実行した理由、例えば「notWhitelisted」(ソフトウェアに一致するルールがなく、アプリケーションコントロールが未認識のソフトウェアをブロックするように設定されていた)。	cs1=notWhitelisted
cs1Label	cs1Label		フィールドcs1の名前ラベル。	cs1Label=actionReason
cs2	cs2		ファイルのSHA-1ハッシュ (計算済みの場合)。	cs2=156F4CB711FDBD668943711F853FB6DA89581AAD
cs2Label	cs2Label		フィールドcs2の名前ラベル。	cs2Label=sha1
cs3	cs3		ファイルのMD5ハッシュ (計算済みの場合)。	cs3=4E8701AC951BC4537F8420FDAC7EFBB5
cs3Label	cs3Label		フィールドcs3の名前ラベル。	cs3Label=md5
act	act	処理	アプリケーションコントロールエンジンによって実行された処理。値には、Blocked、Allowedがあります。	act=blocked
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.1.10
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
suid	suid	ユーザID	ユーザ名のアカウントID番号。	suid=0
suser	suser	ユーザ名	保護対象コンピュータにソフトウェアをインストールしたユーザアカウントの名前。	suser=root
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント名。	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントのID番号。	TrendMicroDsTenantId=0
fileHash	fileHash	File hash	ソフトウェアファイルを識別するSHA 256ハッシュ。	fileHash=E3B0C44298FC1C149AFBF4C8996FB92427AE41E4649B934CA495991B7852B855
filePath	filePath	File Path	不正プログラムファイルの場所。	filePath=/bin/my.jar
fsize	fsize	File Size	バイト単位のファイルサイズ。	fsize=16
aggregationType	aggregationType	Aggregation Type	イベントの集約方法を示す整数: 0: イベントが集約されません。 1: イベントが、ファイル名、パス、イベントの種類に応じて集約されます。 2: イベントがイベントの種類に応じて集計されます。イベントの集約については、アプリケーションコントロールイベントログを参照してください。	aggregationType=2
repeatCount	repeatCount	繰り返しカウント	イベントの発生回数。非集約イベントの値には1を指定します。集約イベントの値は2以上です。	repeatCount=4
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=6
なし	Windows、Linux	カテゴリ	カテゴリ	cat=AppControl
なし	name	名前	イベント名	name=blocked
なし	desc	説明	イベントの説明。アプリケーションコントロールでは、アクションを説明として使用します。	desc=blocked

ファイアウォールイベントログの形式

[CEFログエントリのサンプル:] CEF:0|Trend Micro|Deep Security Agent|<DSA version>|20|Log for TCP Port 80|0|cn1=1 cn1Label=Host ID dvc=hostname act=Log dmac=00:50:56:F5:7F:47 smac=00:0C:29:EB:35:DE TrendMicroDsFrameType=IP src=192.168.126.150 dst=72.14.204.147 out=1019 cs3=DF MF cs3Label=Fragmentation Bits proto=TCP spt=49617 dpt=80 cs2=0x00 ACK PSH cs2Label=TCP Flags cnt=1 TrendMicroDsPacketData=AFB...

[LEEFログエントリのサンプル:] LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|21|cat=Firewall name=Remote Domain Enforcement (Split Tunnel) desc=Remote Domain Enforcement (Split Tunnel) sev=5 cn1=37 cn1Label=Host ID dvchost=www.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 act=Deny dstMAC=67:BF:1B:2F:13:EE srcMAC=78:FD:E7:07:9F:2C TrendMicroDsFrameType=IP src=10.0.110.221 dst=105.152.185.81 out=177 cs3= cs3Label=Fragmentation Bits proto=UDP srcPort=23 dstPort=445 cnt=1 TrendMicroDsPacketData=AFB...

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
act	act	処理		act=Log act=Deny
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cnt	cnt	繰り返しカウント	このイベントが連続して繰り返された回数。	cnt=8
cs2	cs2	TCP Flags		cs2=0x10 ACK cs2=0x14 ACK RST
cs2Label	cs2Label	TCP Flags	フィールドcs2の名前ラベル。	cs2Label=TCP Flags
cs3	cs3	Packet Fragmentation Information		cs3=DF cs3=MF cs3=DF MF
cs3Label	cs3Label	Fragmentation Bits	フィールドcs3の名前ラベル。	cs3Label=Fragmentation Bits
cs4	cs4	ICMP Type and Code	(ICMPプロトコルの場合のみ) ICMPタイプとコード (スペース区切り)。	cs4=11 0 cs4=8 0
cs4Label	cs4Label	ICMP	フィールドcs4の名前ラベル。	cs4Label=ICMP Type and Code
dmac	dstMAC	Destination MAC Address	送信先コンピュータのネットワークインタフェースのMACアドレス。	dmac= 00:0C:29:2F:09:B3
dpt	dstPort	送信先ポート	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信先コンピュータの接続またはセッションのポート番号。	dpt=80 dpt=135
dst	dst	Destination IP Address	送信先コンピュータのIPアドレス。	dst=192.168.1.102 dst=10.30.128.2
in	in	Inbound Bytes Read	(受信接続の場合のみ) 読み取られた受信バイト数。	in=137 in=21
out	out	Outbound Bytes Read	(送信接続の場合のみ) 読み取られた送信バイト数。	out=216 out=13
proto	proto	Transport protocol	使用するトランスポートプロトコルの名前。	proto=tcp proto=udp proto=icmp
smac	srcMAC	Source MAC Address	送信元コンピュータのネットワークインタフェースのMACアドレス。	smac= 00:0E:04:2C:02:B3
spt	srcPort	送信元ポート	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信元コンピュータの接続またはセッションのポート番号。	spt=1032 spt=443
src	src	Source IP Address	このイベントにおけるパケットの送信元IPアドレス。	src=192.168.1.105 src=10.10.251.231
TrendMicroDsFrameType	TrendMicroDsFrameType	Ethernet frame type	接続のイーサネットフレームの種類。	TrendMicroDsFrameType=IP TrendMicroDsFrameType=ARP TrendMicroDsFrameType=RevARP TrendMicroDsFrameType=NetBEUI
TrendMicroDsPacketData	TrendMicroDsPacketData	Packet data	Base64で表されるパケットデータ。	TrendMicroDsPacketData = AFB ...
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=exch01.example.com dvchost=2001:db8::5
TrendMicroDsTags	TrendMicroDsTags	Event Tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant Name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=5
なし	Windows、Linux	カテゴリ	カテゴリ	cat=Firewall
なし	name	名前	イベント名	name=Remote Domain Enforcement (Split Tunnel)
なし	desc	説明	イベントの説明。ファイアウォールイベントでは、イベント名が説明として使用されます。	desc=Remote Domain Enforcement (Split Tunnel)

変更監視ログイベント形式

[LEEFログエントリのサンプル:] LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|2002779|cat=Integrity Monitor name=Microsoft Windows - System file modified desc=Microsoft Windows - System file modified sev=8 cn1=37 cn1Label=Host ID dvchost=www.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 act=updated suser=admin sproc=C:\\Windows\\System32\\notepad.exe

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
act	act	処理	変更監視ルールによって検出される処理。値は、created、updated、deleted、またはrenamedのいずれかです。	act=created act=deleted
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
filePath	filePath	Target Entity	変更監視ルールの対象のエンティティ。監視対象のログファイルが含まれます。	filePath=C:\WINDOWS\system32\drivers\etc\hosts
suser	suser	Source User	監視対象のファイルを変更したユーザーのアカウント。	suser=WIN-038M7CQDHIN \ Administrator
sproc	sproc	ソースプロセス	イベントのソースプロセスの名前。	sproc = C:\\Windows\\System32\\notepad.exe
msg	msg	Attribute changes	(「renamed」処理の場合のみ) 変更された属性名のリスト。[Manager経由でリレーする] を選択した場合、すべてのイベント処理の種類に完全な説明が含まれます。	msg=lastModified,sha1,size
oldfilePath	oldfilePath	Old target entity	(「renamed」処理の場合のみ) filePathフィールドに記録された新しいエンティティに名前変更された、以前の変更監視ルールの対象のエンティティ。	oldFilePath=C:\WINDOWS\system32\logfiles\ds_agent.log
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
TrendMicroDsTags	TrendMicroDsTags	Events tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=8
なし	Windows、Linux	カテゴリ	カテゴリ	cat=Integrity Monitor
なし	name	名前	イベント名	name=Microsoft Windows - System file modified
なし	desc	説明	イベントの説明。変更監視では、イベント名が説明として使用されます。	desc=Microsoft Windows - System file modified
entityType	entityType	EntityType	変更監視イベントが該当するエンティティの種類: Directory、File、Group、InstalledSoftware、Port、Process、RegistryKey、RegistryValue、Service、User、またはWql	entityType=ファイル

侵入防御イベントログの形式

[CEFログエントリのサンプル:] CEF:0|Trend Micro|Deep Security Agent|<DSA version>|1001111|Test Intrusion Prevention Rule|3|cn1=1 cn1Label=Host ID dvchost=hostname dmac=00:50:56:F5:7F:47 smac=00:0C:29:EB:35:DE TrendMicroDsFrameType=IP src=192.168.126.150 dst=72.14.204.105 out=1093 cs3=DF MF cs3Label=Fragmentation Bits proto=TCP spt=49786 dpt=80 cs2=0x00 ACK PSH cs2Label=TCP Flags cnt=1 act=IDS:Reset cn3=10 cn3Label=Intrusion Prevention Packet Position cs5=10 cs5Label=Intrusion Prevention Stream Position cs6=8 cs6Label=Intrusion Prevention Flags TrendMicroDsPacketData=R0VUIC9zP3...

[LEEFログエントリのサンプル:] LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|1000940|cat=Intrusion Prevention name=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities desc=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities sev=10 cn1=6 cn1Label=Host ID dvchost=exch01 TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 dstMAC=55:C0:A8:55:FF:41 srcMAC=CA:36:42:B1:78:3D TrendMicroDsFrameType=IP src=10.0.251.84 dst=56.19.41.128 out=166 cs3= cs3Label=Fragmentation Bits proto=ICMP srcPort=0 dstPort=0 cnt=1 act=IDS:Reset cn3=0 cn3Label=DPI Packet Position cs5=0 cs5Label=DPI Stream Position cs6=0 cs6Label=DPI Flags TrendMicroDsPacketData=R0VUIC9zP3...

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
act	act	処理	(Deep Securityバージョン7.5 SP1以前に作成されたIPSルールでは、Insert、Replace、Deleteも実行することができましたが、現在これらの処理は実行されません。これらの処理の実行を試みる古いIPSルールが実行された場合、ルールが検出のみモードで適用されたことを示すイベントが記録されます)。	act=Block
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cn3	cn3	Intrusion Prevention Packet Position	イベントをトリガしたデータのパケット内の位置。	cn3=37
cn3Label	cn3Label	Intrusion Prevention Packet Position	フィールドcn3の名前ラベル。	cn3Label=Intrusion Prevention Packet Position
cnt	cnt	繰り返しカウント	このイベントが連続して繰り返された回数。	cnt=8
cs1	cs1	Intrusion Prevention Filter Note	(オプション) DPIルールに関連する短いバイナリまたはテキストによる備考を含めることのできる注記用フィールド。注記用フィールドの値がすべて印刷可能なASCII文字の場合、値はテキストとしてログに記録され、スペース (空白文字) はアンダースコアに変換されます。バイナリデータが含まれる場合は、Base64エンコードを使用してログに記録されます。	cs1=Drop_data
cs1Label	cs1Label	Intrusion Prevention Note	フィールドcs1の名前ラベル。	cs1Label=Intrusion Prevention Note
cs2	cs2	TCP Flags	(TCPプロトコルの場合のみ) TCPフラグバイトの後には、[URG]、[ACK]、[PSH]、[RST]、[SYN]、[FIN] の各フィールドが続きます。このフラグバイトは、TCPヘッダが設定されている場合に存在する可能性があります。	cs2=0x10 ACK cs2=0x14 ACK RST
cs2Label	cs2Label	TCP Flags	フィールドcs2の名前ラベル。	cs2Label=TCP Flags
cs3	cs3	Packet Fragmentation Information		cs3=DF cs3=MF cs3=DF MF
cs3Label	cs3Label	Fragmentation Bits	フィールドcs3の名前ラベル。	cs3Label=Fragmentation Bits
cs4	cs4	ICMP Type and Code	(ICMPプロトコルの場合のみ) 単一のスペースで区切って個別の順序で格納されているICMPタイプとコード。	cs4=11 0 cs4=8 0
cs4Label	cs4Label	ICMP	フィールドcs4の名前ラベル。	cs4Label=ICMP Type and Code
cs5	cs5	Intrusion Prevention Stream Position	イベントをトリガしたデータのストリーム内の位置。	cs5=128 cs5=20
cs5Label	cs5Label	Intrusion Prevention Stream Position	フィールドcs5の名前ラベル。	cs5Label=Intrusion Prevention Stream Position
cs6	cs6	Intrusion Prevention Filter Flags	フラグの値の合計値。1 - Data truncated - データをログに記録できませんでした。2 - Log Overflow - ログがオーバーフローしました。4 - Suppressed - ログのしきい値が抑制されました。8 - Have Data - パケットデータが含まれます。16 - Reference Data - 以前にログに記録されたデータを参照します。	1 (Data truncated) と8 (Have Data) の組み合わせの例: cs6=9
cs6Label	cs6Label	Intrusion Prevention Flags	フィールドcs6の名前ラベル。	cs6=Intrusion Prevention Filter Flags
dmac	dstMAC	Destination MAC Address	送信先コンピュータのネットワークインタフェースMACアドレス。	dmac= 00:0C:29:2F:09:B3
dpt	dstPort	送信先ポート	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信先コンピュータの接続ポート。	dpt=80 dpt=135
dst	dst	Destination IP Address	送信先コンピュータのIPアドレス。	dst=192.168.1.102 dst=10.30.128.2
xff	xff	X-Forwarded-For	X-Forwarded-Forヘッダ内の最後のハブのIPアドレス。通常は、存在する可能性のあるプロキシを越えた送信元のIPアドレスです。srcフィールドも参照してください。イベントにxffを含めるには、1006540 [X-Forwarded-For HTTPヘッダのログを有効にする] 侵入防御ルールを有効にします。	xff=192.168.137.1
in	in	Inbound Bytes Read	(受信接続の場合のみ) 読み取られた受信バイト数。	in=137 in=21
out	out	Outbound Bytes Read	(送信接続の場合のみ) 読み取られた送信バイト数。	out=216 out=13
proto	proto	Transport protocol	使用する接続トランスポートプロトコルの名前。	proto=tcp proto=udp proto=icmp
smac	srcMAC	Source MAC Address	送信元コンピュータのネットワークインタフェースMACアドレス。	smac= 00:0E:04:2C:02:B3
spt	srcPort	送信元ポート	(TCPプロトコルおよびUDPプロトコルの場合のみ) 送信元コンピュータの接続ポート。	spt=1032 spt=443
src	src	Source IP Address	送信元コンピュータのIPアドレス。これは、最後のプロキシサーバ (存在する場合) のIP、またはクライアントIPです。xffフィールドも参照してください。	src=192.168.1.105 src=10.10.251.231
TrendMicroDsFrameType	TrendMicroDsFrameType	Ethernet frame type	接続のイーサネットフレームの種類。	TrendMicroDsFrameType=IP TrendMicroDsFrameType=ARP TrendMicroDsFrameType=RevARP TrendMicroDsFrameType=NetBEUI
TrendMicroDsPacketData	TrendMicroDsPacketData	Packet data	Base64で表されるパケットデータ。	TrendMicroDsPacketData = R0VUIC9zP3 ...
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
TrendMicroDsTags	TrendMicroDsTags	Event tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=Suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント名	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=10
なし	Windows、Linux	カテゴリ	カテゴリ	cat=Intrusion Prevention
なし	name	名前	イベント名	name=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities
なし	desc	説明	イベントの説明。侵入防御イベントは、イベント名を説明として使用します。	desc=Sun Java RunTime Environment Multiple Buffer Overflow Vulnerabilities

セキュリティログ監視イベント形式

[CEFログエントリのサンプル:] CEF:0|Trend Micro|Deep Security Agent|<DSA version>|3002795|Microsoft Windows Events|8|cn1=1 cn1Label=Host ID dvchost=hostname cs1Label=LI Description cs1=Multiple Windows Logon Failures fname=Security src=127.0.0.1 duser=(no user) shost=WIN-RM6HM42G65V msg=WinEvtLog Security: AUDIT_FAILURE(4625): Microsoft-Windows-Security-Auditing: (no user): no domain: WIN-RM6HM42G65V: An account failed to log on. Subject: ..

[LEEFログエントリのサンプル:] LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|3003486|cat=Log Inspection name=Mail Server - MDaemon desc=Server Shutdown. sev=3 cn1=37 cn1Label=Host ID dvchost=exch01.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 cs1=Server Shutdown. cs1Label=LI Description fname= shost= msg=

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=113
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
cs1	cs1	Specific Sub-Rule	このイベントをトリガしたセキュリティログ監視のサブルール。	cs1=Multiple Windows audit failure events
cs1Label	cs1Label	LI Description	フィールドcs1の名前ラベル。	cs1Label=LI Description
duser	duser	User Information	(解析可能なユーザ名が存在する場合) ログエントリを記録した対象ユーザの名前。	duser=(no user) duser=NETWORK SERVICE
fname	fname	Target entity	セキュリティログ監視ルールの対象エンティティ。監視対象のログファイルが含まれます。	fname=Application fname=C:\Program Files\CMS\logs\server0.log
msg	msg	詳細	セキュリティログ監視イベントの詳細。検出されたログイベントの詳細な説明が含まれる場合があります。	msg=WinEvtLog: Application: AUDIT_FAILURE(20187): pgEvent: (no user): no domain: SERVER01: Remote login failure for user 'xyz'
shost	shost	Source Hostname	送信元コンピュータのホスト名。	shost=webserver01.corp.com
src	src	Source IP Address	送信元コンピュータのIPアドレス。	src=192.168.1.105 src=10.10.251.231
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
TrendMicroDsTags	TrendMicroDsTags	Events tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=3
なし	Windows、Linux	カテゴリ	カテゴリ	cat=Log Inspection
なし	name	名前	イベント名	name=Mail Server - MDaemon
なし	desc	説明	イベントの説明。	desc=Server Shutdown

Webレピュテーションイベント形式

[LEEFログエントリのサンプル:] LEEF:2.0|Trend Micro|Deep Security Agent|<DSA version>|5000000|cat=Web Reputation name=WebReputation desc=WebReputation sev=6 cn1=3 cn1Label=Host ID dvchost=exch01.example.com TrendMicroDsTenant=Primary TrendMicroDsTenantId=0 request=http://yw.olx5x9ny.org.it/HvuauRH/eighgSS.htm msg=Suspicious

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=1
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
request	request	Request	要求のURL。	request=http://www.example.com/index.php
msg	msg	メッセージ	アクションの種類。値には、Realtime、Scheduled、Manualがあります。	msg=Realtime msg=Scheduled
dvc	dvc	Device address	cn1のIPv4アドレス。送信元がIPv6アドレスまたはホスト名の場合は表示されません(代わりにdvchostを使用します)。	dvc=10.1.144.199
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
TrendMicroDsTags	TrendMicroDsTags	Events tags	Deep Securityイベントタグがイベントに割り当てられている	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
なし	sev	重要度	イベントの重要度。重要度は1が最も低く、10が最も高くなります。	sev=6
なし	Windows、Linux	カテゴリ	カテゴリ	cat=Web Reputation
なし	name	名前	イベント名	name=WebReputation
なし	desc	説明	イベントの説明。Webレピュテーションでは、イベント名が説明として使用されます。	desc=WebReputation

デバイスコントロールイベントの形式

CEFログエントリのサンプル:: CEF:0|Trend Micro|Deep Security Agent|50.0.1063|7000000|Device Control DeviceControl|6|cn1=1 cn1Label=Host ID dvchost=test-hostname TrendMicroDsTenant=tenantName TrendMicroDsTenantId=1 device=deviceName processName=processName1 fileName=/tmp/some_path2 vendor=vendorName serial=aaaa-bbbb-cccc model=modelName computerName=computerName domainName=computerDomain deviceType=0 permission=0

LEEFログエントリのサンプル:: LEEF:2.0|Trend Micro|Deep Security Agent|50.0.1063|7000000|cat=Device Control name=DeviceControl desc=DeviceControl sev=6 cn1=1 cn1Label=Host ID dvchost=test-hostname TrendMicroDsTenant=tenantName TrendMicroDsTenantId=1 device=deviceName processName=processName1 fileName=/tmp/some_path2 vendor=vendorName serial=aaaa-bbbb-cccc model=modelName computerName=computerName domainName=computerDomain deviceType=0 permission=0

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
cn1	cn1	Host Identifier	Agentコンピュータの一意の内部識別子。	cn1=1
cn1Label	cn1Label	Host ID	フィールドcn1の名前ラベル。	cn1Label=Host ID
dvchost	dvchost	Device host name	cn1のホスト名またはIPv6アドレス。送信元がIPv4アドレスの場合は表示されません(代わりにdvcフィールドを使用します)。	dvchost=www.example.com dvchost=2001:db8::5
TrendMicroDsTenant	TrendMicroDsTenant	Tenant name	Deep Securityテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityテナントID	TrendMicroDsTenantId=0
デバイス	デバイス	デバイス名	アクセスされたデバイス。	device=Sandisk_USB
processName	processName	プロセス名	プロセス名。	processName=someProcess.exe
fileName	fileName	ファイル名	アクセスされたファイル名。	fileName=E:\somepath\a.exe
ベンダー	ベンダー	ベンダー名	デバイスのベンダ名。	vendor=sandisk
シリアル	シリアル	シリアル番号	デバイスのシリアル番号。	シリアル= aaa-bbb-ccc
モデル	モデル	モデル	デバイスの製品名。	model=A270_USB
computerName	computerName	コンピュータ名	コンピュータ名。	computerName=Jonh_Computer
domainName	domainName	ドメイン名	ドメイン名。	domainName=CompanyDomain
deviceType	deviceType	デバイスの種類	デバイスの種類はUSB_STORAGE_DEVICE (1) MOBILE_DEVICE (2) です	deviceType=1
許可	許可	権限	アクセスブロックの理由 BLOCK (0) READ_ONLY (2)	権限= 0

注意

CEFのsyslogメッセージの形式

注意

LEEF 2.0のsyslogメッセージの形式

managerで発生するイベント

システムイベントログの形式

Agentで発生するイベント

不正プログラム対策 イベントフォーマット

アプリケーションコントロール イベント形式

ファイアウォールイベントログの形式

変更監視 ログイベント形式

侵入防御 イベントログの形式

セキュリティログ監視 イベント形式