適用対象: Advanced Threat Analytics バージョン 1.9
ATA ヘルス センターでは、正常性アラートを生成することで、ATA のデプロイに問題が発生した場合に通知できます。
この記事では、各コンポーネントのすべての正常性アラートについて説明し、原因と問題を解決するために必要な手順を示します。
ATA センターの問題
中央のディスク領域が不足しています
| アラート: |
説明 |
Resolution |
重大度 |
| ATA データベースの格納に使用される ATA センター コンピューター ドライブの空き領域が少なくなっています。 |
つまり、ハード ドライブの空き領域が 200 GB 未満であるか、空き領域が 20% 未満のいずれか小さい方であることを意味します。 ドライブの空き領域が不足していることを ATA が認識すると、データベースから古いデータの削除が開始されます。 検出エンジンのデータがまだ必要なため、古いデータを削除できない場合は、このアラートを受け取ります。 このアラートを受信すると、ATA は新しいアクティビティの追跡を停止します。 |
ドライブのサイズを大きくするか、そのドライブから空き領域を増やします。 |
高 |
メールの送信に失敗しました
| アラート: |
説明 |
Resolution |
重大度 |
| ATA 指定されたメール サーバーに電子メール通知を送信できませんでした。 |
ATA から電子メール メッセージは送信されません。 |
SMTP サーバーの構成を確認します。 |
低 |
設備の負荷超過
| アラート: |
説明 |
Resolution |
重大度 |
| ATA センターでは、ATA ゲートウェイから転送されるデータの量を処理できません。 |
ATA センターは、新しいネットワーク トラフィックとイベントの分析を停止します。 これは、この正常性アラートがアクティブな間、検出とプロファイルの精度が低下することを意味します。 |
ATA センターに十分なリソースが用意されていることを確認します。 詳細については、 ATA 容量計画を参照してください。 パフォーマンス カウンターを使用した ATA の トラブルシューティングを使用して、ATA センターのパフォーマンスを調査します。 |
高 |
Syslog を使用して SIEM サーバーに接続できない
| アラート: |
説明 |
Resolution |
重大度 |
| ATA は、指定された SIEM にイベントを送信できませんでした。 |
これは、ATA センターが疑わしいアクティビティと正常性アラートを SIEM に送信できないことを意味します。 |
Syslog サーバーの設定が正しく構成されていることを確認します。 |
低 |
センター証明書の有効期限が近づいています
| アラート: |
説明 |
Resolution |
重大度 |
| ATA センター証明書の有効期限は 3 週間以内です。 |
証明書の有効期限が切れると、ATA ゲートウェイから ATA センターへの接続が失敗します。 ATA センター プロセスがクラッシュし、すべての ATA 機能が停止します。 |
ATA センター証明書を置き換える |
Medium |
ATA センター証明書の有効期限が切れています
| アラート: |
説明 |
Resolution |
重大度 |
| ATA センター証明書の有効期限が切れています。 |
証明書の有効期限が切れると、ATA ゲートウェイから ATA センターへの接続が失敗します。 ATA センター プロセスがクラッシュし、すべての ATA 機能が停止します。 |
ATA センターを再デプロイする |
高 |
ATA ゲートウェイに関する問題
間もなく期限切れになる読み取り専用ユーザー パスワード
| アラート: |
説明 |
Resolution |
重大度 |
| Active Directory に対するエンティティの解決を実行するために使用される読み取り専用ユーザー パスワードは、30 日以内に有効期限が切れようとしています。 |
このユーザーのパスワードの有効期限が切れると、すべての ATA ゲートウェイの実行が停止し、新しいデータは収集されません。 |
ドメイン接続パスワードを変更 し、ATA コンソールでパスワードを更新します。 |
Medium |
読み取り専用ユーザー パスワードの有効期限が切れている
| アラート: |
説明 |
Resolution |
重大度 |
| ディレクトリ データの取得に使用される読み取り専用ユーザー パスワードの有効期限が切れています。 |
すべての ATA ゲートウェイは実行を停止し (または間もなく実行を停止します)、新しいデータは収集されません。 |
ドメイン接続パスワードを変更 し、ATA コンソールでパスワードを更新します。 |
高 |
ゲートウェイ証明書の有効期限が切れようとしています
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイ証明書の有効期限は 3 週間以内です。 |
特定の ATA ゲートウェイから ATA センターへの接続が失敗します。 その ATA ゲートウェイからのデータは送信されません。 |
ATA ゲートウェイ証明書は自動的に更新されている必要があります。 ATA ゲートウェイと ATA センターのログを読み、証明書が自動的に更新されなかった理由を理解します。 |
Medium |
ゲートウェイ証明書の有効期限が切れている
ドメイン シンクロナイザーが割り当てられない
| アラート: |
説明 |
Resolution |
重大度 |
| ドメイン シンクロナイザーは、どの ATA ゲートウェイにも割り当てされていません。 これは、ドメイン シンクロナイザー候補として構成された ATA ゲートウェイがない場合に発生する可能性があります。 |
ドメインが同期されていない場合、エンティティに変更を加えると、ATA のエンティティ情報が古くなったり、見つからないりする可能性がありますが、検出には影響しません。 |
少なくとも 1 つの ATA ゲートウェイが ドメイン シンクロナイザーとして設定されていることを確認します。 |
低 |
ゲートウェイ上のキャプチャ ネットワーク アダプターのすべて/一部は使用できません
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイで選択されているキャプチャ ネットワーク アダプターのすべて/一部が無効または切断されています。 |
一部またはすべてのドメイン コントローラーのネットワーク トラフィックは、ATA ゲートウェイによってキャプチャされなくなりました。 これは、それらのドメイン コントローラーに関連する疑わしいアクティビティを検出する機能に影響します。 |
ATA ゲートウェイで選択したこれらのキャプチャ ネットワーク アダプターが有効になっており、接続されていることを確認します。 |
Medium |
一部のドメイン コントローラーはゲートウェイから到達できません
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイには、構成されているドメイン コントローラーの一部への接続の問題が原因で機能が制限されています。 |
一部のドメイン コントローラーを ATA ゲートウェイで照会できない場合、ハッシュ検出のパスの精度が低下する可能性があります。 |
ドメイン コントローラーが稼働していること、およびこの ATA ゲートウェイがそれらに対する LDAP 接続を開くことができることを確認します。 |
Medium |
ゲートウェイによってすべてのドメイン コントローラーに到達できない
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイは現在、構成されているすべてのドメイン コントローラーへの接続の問題によりオフラインになっています。 |
これは、この ATA ゲートウェイによって監視されるドメイン コントローラーに関連する疑わしいアクティビティを検出する ATA の機能に影響します。 |
ドメイン コントローラーが稼働していること、およびこの ATA ゲートウェイがそれらに対する LDAP 接続を開くことができることを確認します。 |
Medium |
ゲートウェイの通信が停止しました
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイからの通信がありません。 このアラートの既定の期間は 5 分です。 |
ATA ゲートウェイのネットワーク アダプターによってネットワーク トラフィックがキャプチャされなくなりました。 これは、ネットワーク トラフィックが ATA センターに到達できないため、疑わしいアクティビティを検出する ATA の機能に影響します。 |
ATA ゲートウェイと ATA センター サービス間の通信に使用されるポートが、ルーターまたはファイアウォールによってブロックされていないことを確認します。 |
Medium |
ドメイン コントローラーから受信したトラフィックがない
| アラート: |
説明 |
Resolution |
重大度 |
| この ATA ゲートウェイ経由でドメイン コントローラーからトラフィックを受信できませんでした。 |
これは、ドメイン コントローラーから ATA ゲートウェイへのポート ミラーリングがまだ構成されていないか、動作していないことを示している可能性があります。 |
ポート ミラーリングがネットワーク デバイスで正しく構成されていることを確認します。
ATA ゲートウェイ キャプチャ NIC で、[詳細設定] で次の機能を無効にします。
受信セグメント合体 (IPv4)
受信セグメント結合 (IPv6) |
Medium |
転送されたイベントの一部が分析されていない
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイは、処理できるよりも多くのイベントを受信しています。 |
一部の転送イベントは分析されていません。これは、この ATA ゲートウェイによって監視されているドメイン コントローラーから発生した疑わしいアクティビティを検出する機能に影響する可能性があります。 |
必要なイベントのみが ATA ゲートウェイに転送されることを確認するか、一部のイベントを別の ATA ゲートウェイに転送してみてください。 |
Medium |
一部のネットワーク トラフィックが分析されていない
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイは、処理できるよりも多くのネットワーク トラフィックを受信しています。 |
一部のネットワーク トラフィックは分析されていません。これは、この ATA ゲートウェイによって監視されているドメイン コントローラーから発生した疑わしいアクティビティを検出する機能に影響する可能性があります。 |
必要に応じて 、プロセッサとメモリを追加 することを検討してください。 スタンドアロン ATA ゲートウェイの場合は、監視するドメイン コントローラーの数を減らします。
これは、VMware 仮想マシンでドメイン コントローラーを使用している場合にも発生する可能性があります。 これらのアラートを回避するには、仮想マシンで次の設定が 0 または無効に設定されていることを確認できます。
- TsoEnable
- LargeSendOffload(IPv4)
- IPv4 SRC オフロード
また、IPv4 Giant SRC オフロードを無効にすることを検討してください。 詳細については、VMware のドキュメントを参照してください。 |
Medium |
ゲートウェイのバージョンが古い
| アラート: |
説明 |
Resolution |
重大度 |
| ATA センターは、ATA ゲートウェイにインストールされているバージョンよりも新しいバージョンです。 これにより、ATA ゲートウェイが期待どおりに機能しなくなります。 |
これは、この ATA ゲートウェイによって監視されているドメイン コントローラーから発生した疑わしいアクティビティを検出する機能に影響する可能性があります。 |
ATA コンソールで自動更新を有効にするか、ATA コンソールで利用可能な最新の ATA ゲートウェイ パッケージをダウンロードして、ATA ゲートウェイを最新バージョンに自動的に 更新 します。 |
高 |
ゲートウェイ サービスの開始に失敗しました
| アラート: |
説明 |
Resolution |
重大度 |
| ATA ゲートウェイ サービスを少なくとも 30 分間開始できませんでした。 |
これは、この ATA ゲートウェイによって監視されているドメイン コントローラーから発生した疑わしいアクティビティを検出する機能に影響する可能性があります。 |
ATA ゲートウェイ のログを監視して 、ATA ゲートウェイ サービスの障害の根本原因を把握します。 |
高 |
ライトウェイト ゲートウェイ
Lightweight Gateway がメモリ リソースの制限に達しました
| アラート: |
説明 |
Resolution |
重大度 |
| ライトウェイト ATA ゲートウェイはそれ自体を停止し、メモリ不足状態からドメイン コントローラーを保護するために自動的に再起動します。 |
Lightweight ATA ゲートウェイでは、ドメイン コントローラーでリソースの制限が発生しないように、それ自体にメモリ制限が適用されます。 これは、ドメイン コントローラーのメモリ使用量が多い場合に発生します。 このドメイン コントローラーからのデータは、部分的にのみ監視されます。 |
ドメイン コントローラーのメモリ (RAM) の量を増やすか、このサイトにドメイン コントローラーを追加して、このドメイン コントローラーの負荷をより適切に分散します。 |
Medium |
こちらもご覧ください