Chapter 29

IPアドレスレポート

twsnmp
twsnmp
2022.07.17に更新

TWSNMP FCのIPアドレスレポートについての説明です。TWSNMP FCはARP Watch、NetFlow、twpcapセンサーなどのsyslogからIPアドレスを見つけてサポートを作成します。管理対象のネットワークの通信で使われているIPアドレスのリストです。IPv6のアドレスはIPFIXかtwpcapでしか検知できません。IPv6アドレスを検知できるようにすると以外なほど沢山でてきて驚くと思います。

IPアドレスレポートの表示方法

メニューの「レポート」ー「NetFlow分析」ー「IPアドレス」をクリックすると表示できます。

IPアドレスレポート画面

のような感じです。

①IPアドレスリスト

TWSNMP FCで見つけたIPアドレスのリストです。信用スコア、IPアドレス、名前(ホスト名か登録名)、国、MACアドレス、ベンダー、初回検知日時、最終検知日時、操作ボタンがあります。国はIPアドレスから位置情報が取得できる場合に表示されます。MACアドレス、ベンダーはMACアドレスがわかる場合に表示されます。MACアドレスは、ARPテーブルやtwpcapのログから取得する方法とIPv6アドレスにMACアドレスが含まれる場合に取得できます。

②操作ボタン

左から<マップ>ボタン、<IPアドレス分析>ボタン、<MACアドレス分析>ボタン、<詳細>ボタン、<削除>ボタンです。
<マップ>ボタンはIPアドレスが管理マップに登録されているノードの場合に表示されます。
<IPアドレス分析><MACアドレス分析>ボタンをクリックするとアドレス分析で選択したIPアドレスまたはMACアドレスの調査を行います。
<詳細>ボタンをクリックするとIPアドレスに関する詳細情報を表示します。
<削除>ボタンをクリックすると

の確認ダイアログを表示します。<削除>をクリックするとレポートから削除できます。

③ディスプレーフィルター

リストの内容をIPアドレス、名前、国、MACアドレス、ベンダーに入力した文字列を含むものでフィルター表示します。<条件を反転>をオンにすると入力した文字列を含まないものになります。IPアドレスに:を入力すれば、IPv6だけになります。この状態で<条件を判定>をオンにすればIPv4だけになります。

④グラフと集計

グラフと集計のメニューを表示します。

⑤<CSV>ボタン

IPアドレスリストの内容をCSVファイルに保存します。

⑥<EXCEL>ボタン

IPアドレスリストの内容をEXCELファイルに保存します。

⑦<再計算>ボタン

クリックすると

のような確認のダイアログを表示します。<実行>ボタンをクリックすると信用スコアを再計算します。信用スコアは数分毎に計算していますが、計算を早めるためのボタンです。

⑧<更新>ボタン

IPアドレスリストの内容を最新の情報に更新します。

IPアドレス詳細画面

のような感じです。IPアドレス、MACアドレス欄にはコピーボタンがあります。アドレスをクリップボードにコピーできます。
<マップに追加>ボタンをクリックすると

のノード編集のダイアログを表示します。設定を入力して<保存>をクリックすればマップに管理対象ノードとして追加できます。
<削除>ボタンはIPアドレスを削除するためのものです。

メーカー別集計

グラフと集計の<メーカー別>ボタンをクリックすると

のようにメーカー別に集計したグラフを表示します。

IP位置

グラフと集計の<IP位置>ボタンをクリックすると

のようにIPアドレスから位置情報が取得できるものを世界地図上に表示します。

国別

グラフと集計の<国別>ボタンをクリックすると

のようにIPアドレスから位置情報がわかるものを国別に集計したグラフを表示します。

IPアドレスレポートを表示するためには?

IPアドレスレポートの情報はARP Watch,NetFlow,IPFIX,twpcapセンサーのデータが必要です。NetFlowのデータはNetFlowに対応したネットワーク機器(Firewall/SW-HUBなど)かLinuxにsoftflowdをインストールしてNetFlowのデータを送信する方法もあります。

https://hub.docker.com/r/twsnmp/softflowd
が便利です。

ARP Watchはマップ設定でオンにできます。
twpcapセンサーに関してもは別の記事で書きます。

レポートの設定

IPアドレスレポートの信用スコアやレポートに表示するIPアドレスに関してはレポート設定画面で設定できます。
特に、

MACアドレスが不明のIPもレポートに含める

をオンにするとIPアドレスレポートに沢山登録されるようになると思います。