データ分析によるネットワークセキュリティ

5.4

 基本的なフィールド操作：

rwfilter

85

5.4.4

 時間

時間オプションには、

--stime

、

--etime

、

--active-time

がある。このフィールドには時間範囲が

必要であり、SiLKでは以下のフォーマットで記述する。

YYYY/MM/DDTHH:MM:SS-YYYY/MM/DDTHH:MM:SS

Tで日付と時 間を区 切 る点に注 意する。

--stime

と

--etime

フィールドは 指定の時間で 厳密

にフ ィ ルタ す る の で、少 し 直 観 に 反 し て いる か も し れ な い。

--stime=2012/11/08T00:00:00-

2012/11/08T00:02:00

と指定すると、開始時間が2012年 11月8日の真夜中から真夜中2 分過ぎまで

のレコードをフィルタする。真夜中前に開始し、この範囲中にまだ転送中のレコードは該当しない。

特定の期間内に発生したレコードを探すには、

--active-time

フィルタを使う。

5.4.5

 

TCP

オプション

フローはパケットの集合体であり、ほとんどの場合、この集合体は比較的容易に理解できる。例

えば、フローのバイト数は、フローを構成するすべてのパケットのバイト数の合計である。しかし、

TCPフラグはもう少し面倒だ。NetFlow v5では、フローのフラグは構成するパケットのフラグの

ビット論理和である。つまり、フローはフラグがフロー全体に存在するかしないかを示すが、どこ

に存在するかはわからない。FIN の後に、AC