トレーニング・セッション

このトレーニングでは、ライブ環境のデータ主導のレビューを行います。ExtraHopが環境内の何を監視しているかやメトリックの意味について説明し、イベントとプロトコル・データ間の相関関係を確認して、考えられる影響と原因に関する洞察について議論します。

このセッションでは、使用環境に関連する1つのプロトコルについて詳細に調べ、異なるピボット（アプリとグループ）でメトリックを表示します。ExtraHopが収集するメトリックにはどのようなものがあるかと、使用環境のコンテキストでそれぞれのメトリックがどのような意味を持つのかを確認します。メトリック間の相関関係についてと、データに基づく問題の診断や改善の機会の特定方法について議論します。プロトコルに対する異なるビュー（グループとアプリケーション・コンテナ）でピボットし、ダッシュボードを作成して、環境内でのそのプロトコルの状態とパフォーマンスを最適な方法で可視化する方法を確認します。

ダッシュボードは、リアルタイムのデータと履歴データの両方を表示する、完全にカスタマイズ可能なHTMLページです。このセッションでは、ダッシュボードを使用する理由や、組み込むデータを決定する方法、ExtraHopのUIおよびメトリック・カタログでデータを見つける方法について取り上げます。基本的なダッシュボードを構築し、さまざまなグラフ・タイプを確認するとともに、効果的なダッシュボードの作成に役立つ要素のデモを行います。グラフ・タイプの確認では、それぞれのグラフ・タイプをどのような場合に使用するかについても議論します。データの編成・表示の複数の方法と、対象者にとってグラフを有意義なものにするためのコンテキストの提供方法のデモを行います。アプリケーションの複数の階層間の通信を可視化する多層型ダッシュボードの概念のデモも行います。

ExtraHopはネットワーク上のデバイスを自動的に検出し、分類します。このセッションでは、ExtraHopのデフォルトのデバイス検出プロセスと、デバイスに関連するプロパティについて説明します。デバイスの通信先のピアや、使用されているプロトコルについて、またデバイスがクライアントまたはサーバとして機能する場合や、デバイスのアクティビティが正常なものかどうかについて調べます。L2～L7のメトリックやグラフを解釈することによって、デバイスに問題があるかどうかや、問題がアプリケーションに起因するものかネットワークに起因するものかを判断する方法のデモを行います。役割またはL7プロトコルに基づいてExtraHopが作成するデフォルトのデバイス・グループを確認し、その後、特定のビジネス・アプリケーションをサポートするデバイスなどに範囲を絞って、このようなデバイスのカスタム・デバイス・グループを作成します。さらに、デバイスのプロパティの変更、カスタム・デバイスやリモート・ネットワークの作成など、デバイスのカスタマイズについても議論するとともに、デバイスの制限やホワイトリストについて説明します。

アラートは、対象のイベントが発生したときに、さまざまな受信者ソースに送信されるように設定できる通知です。このセッションでは、さまざまなアラート・タイプ、設定可能なアラート発行条件、アラートが発行されたかどうかを判別する方法について議論します。監視したい環境内の状態に基づく基本的なしきい値アラートを作成し、電子メールでの送信や、SNMPやsyslogを使った他のソースとの統合の方法を確認します。その後、トレンド・アラートとそのユースケースに注目し、複数の条件の設定方法と、トレンドの使用状況およびパフォーマンスの監視方法のデモを行います。

レコードは、トランザクション、メッセージ、ネットワーク・フローに関する構造化された情報です。このトレーニングでは、レコードへのアクセスとレコードの検索について包括的にレビューします。レコードの表示、レコード・タイプの変更、情報の並べ替えとグループ化、ビューの切り替えの方法のデモを行います。ビジュアル・クエリ言語を活用して、範囲の設定と結果のフィルタ処理を容易に行う方法を示します。

レコード形式は、レコード・クエリを実行したときに、保存されているレコードを形式設定されたテーブル（またはテーブル・ビュー）で表示するためのスキーマです。このセッションでは、フローおよびL7のレコードがどのように設定されるか説明し、標準のレコード・タイプで使用される形式を確認します。カスタム・レコードとカスタム形式の作成方法について説明します。

アプリケーション・インスペクション・トリガは、ExtraHopプラットフォームの主要な拡張手段です。このセッションでは、トリガの計画と作成の基礎について取り上げます。どのような場合にトリガを作成するかと、トリガ・リソースの表示方法、基本的なトリガの作成方法について議論します。このトリガをベースに、アプリケーション・コンテナの構築、トリガへの複数の条件やイベントの追加、トリガのパフォーマンスの最適化の方法を説明します。また、パケット・キャプチャの生成、EXAレコードの設定、オープン・データ・ストリーム（ODS）を使用したサードパーティ・システムとの統合の方法についても議論します。

このセッションは、お客様が再確認したい特定のトピックや、より深く、より明確に理解したい分野に基づいて、お客様主導で実施されるセッションです。

［Overview］ぺージでは、ネットワーク上の不審なアクティビティの範囲の評価、プロトコルのアクティビティとデバイスの接続の確認、ネットワーク上のインバウンドおよびアウトバウンド・トラフィックの調査をすばやく行えます。このトレーニング・セッションでは、環境内で発生したセキュリティ検知の概要レベルの可視性に注目します。この概要から、どの検知またはデバイスを最初に調査すべきか判断できるとともに、業界全体のセキュリティ・イベントにおける関連する脅威の説明を確認できます。ネットワークのパフォーマンスの弱点や問題点、または不審なアクティビティを示す可能性がある、ネットワークの状態とセキュリティ・ハイジーンの一般的なメトリックを調べます。アクティブ・デバイスの総数、使用されている共通プロトコル、外部エンドポイントとの接続によるトラフィックのネットワーク侵入・退出を確認します。

異常な行動が特定されると、ExtraHopのシステムは検知を生成し、利用可能なデータと調査のオプションを表示します。このセッションでは、セキュリティと運用での検知を例に、検知の原因、検知カテゴリとリスク・スコア、検知の発生日時、被害側および加害側として関与しているものなど、検知カード内の一般的な要素について議論します。さらに、検知の詳細ページで提供される、検知の理解、検証、調査に役立つデータ・タイプ（関連する検知、アクティビティ・マップ、比較行動、調査データおよびリンク）についても確認します。

検知のチューニングによって、ネットワークでどの検知を表示または生成するかをより適切に制御することができます。このセッションでは、行動の調査が完了した後に、特定の被害側、加害側、またはその両方に基づいて検知を非表示にする検知ルールの作成のユースケースと前提条件に注目します。検知ルールの管理方法と非表示の検知の表示方法について議論します。設定項目やカスタム・パラメータ（ネットワークの地域、信頼できるドメイン、承認されたDNSおよびHTTP通信など）を使用した、生成する検知の詳細な範囲設定や精緻化について確認します。さらに、検知調査ワークフローの一部としての確認機能の使用について説明します（注：このセッションでは、完全な書き込み権限が必要です）。

ExtraHop REST APIにより、ExtraHopシステムでの管理タスクや設定タスクを自動化することができます。このセッションではまず、APIアクセス権限およびキー生成の設定と、Cross-Origin Resource Sharing（CORS）に注目します。WebベースのツールであるREST API Explorerについて紹介し、このツールを使用してリソース、メソッド、パラメータ、プロパティ、エラー・コードを表示します。オブジェクトIDの検出とツールからの直接的な操作のデモを行います。Python、cURL、Rubyの利用可能なコード・サンプルを確認します。

［System Health］ページには、システムが正常に動作しているかどうかを確認できる多数のグラフがあります。これらのグラフを使用して、問題のトラブルシューティングや、パフォーマンスに影響を及ぼしている領域の評価を行えます。取り込み速度に関するデータとデバイス数の観測について議論し、トリガの負荷と例外を監視し、オープン・データ・ストリームとレコードストアの送信を追跡し、履歴遡及の概算と最適でないフィードを示す指標を確認します。管理ページにあるシステムの状態に関する機能を確認し、システムの状態データでアラートを生成する方法と、カスタム・ダッシュボードで関心のある特定のメトリックを監視する方法のデモを行います（注：このトレーニングの一部では、システム管理者の権限が必要です）。