Live Discover を使用したスイッチデータのクエリ

脅威解析センターの Live Discover を使用して、Sophos Central で管理されている Sophos Switch からデバイスデータをクエリできます。Live Discover では、SQL クエリを使用して、「スイッチ管理」ページのデータよりも詳細なデータを取得できます。たとえば、特定のスイッチに接続されているすべてのデバイスをクエリできます。

Live Discover for Sophos Switch を使用するには、「脅威解析センター > Live Discover」に移動して、「Switch」をクリックします。Live Discover には、Sophos Switch 向けの Data Lake クエリがいくつか組み込まれています。これらのクエリを使用したり、編集したり、新しいクエリを作成したりできます。これらのクエリを編集したり、新しいクエリを作成したりするには、「デザイナーモード」をオンにします。

注

Sophos Switch の新しいクエリを作成する場合は、「ソース」として「Data Lake」を選択します。

Live Discover の使用方法の詳細は、Live Discoverを参照してください。

Data Lake スキーマ

使用可能なテーブルとデータを表示するには、スキーマビューアで Data Lake スキーマを開きます。

スキーマビューアを開くには、次の手順を実行します。

「脅威解析センター > Live Discover」の順に選択して、「Switch」をクリックします。
「デザイナーモード」がオンになっていることを確認します。
「クエリ」セクションでは、次の操作を行うことができます。
- クエリを編集するには、編集するクエリを選択して「編集」をクリックします。
- クエリを作成するには、「新しいクエリの作成」をクリックします。
「SQL」ダイアログの右上隅にある「スキーマ」をクリックします。

スキーマビューアが新しいタブで開きます。
AP6 アクセスポイントの場合は、Data Lake のドロップダウンリストから「NSG Cswitch」を選択します。
nsg_cswitch_data を選択します。

Cswitch フィールド名

次のテーブルに、Data Lake の Cswitch フィールド名を示します。

名前	説明
message_identifier	取り込みパイプラインによって作成される一意の識別子
ingest_date	データが取り込まれた日付
ingestion_timestamp	データが取り込まれたエポック秒
schema_version	Data Lake スキーマのバージョン
record_size	データのサイズ
customer_id	顧客 ID
type_of_data	クライアントやログデータなど、ストリームで送信されるデータ
is_full_set	送信されるデータがフルセットか差分かについて
timestamp	イベントが生成されたタイムスタンプ
device_id	スイッチの固有 ID
device_name	スイッチの名前
device_model	スイッチの機種
device_firmware	スイッチのファームウェアバージョンです。
device_serial_id	スイッチのシリアル番号
client_mac	接続されているデバイスの MAC アドレス
client_ip	接続されているデバイスの IP アドレス
client_hostname	接続デバイスのホスト名
client_event_timestamp	デバイスが接続した際のタイムスタンプ
client_conn_status	デバイスの接続状態
log_id	ログ ID
log_subtype	ログの下位の種類
log_component	ログのコンポーネント
log_message	ログのメッセージ
log_severity	ログの重要度
device_ip	スイッチの IP アドレス。
device_port	クライアントが接続されているスイッチのポート
client_vlan	接続デバイスが割り当てられている VLAN
direct_end_device	デバイスがスイッチに直接接続されているかどうか