Chapter 38

Windowsプロセスレポート

twsnmp
twsnmp
2022.07.18に更新

twWinlogセンサーで収集したWindowsマシンで起動したプロセスに関するレポートの説明です。Windowsマシンで誰がどんなプロセスを起動したか調べることができます。セキュリティーの調査に役立つと思います。

Windowsプロセスレポートの表示方法

メニューの「レポート」ー「Windows分析」ー「プロセス」をクリックすれば表示できます。

Windowsプロセスレポート画面

のような感じです。

①プロセスリスト

Windowsマシンで起動・停止したプロセスのリストです。
項目には最後の終了ステータス、コンピュータ、プロセス名、操作アカウント、起動回数、停止回数、操作ボタンがあります。
終了スタータスが0x0は青いアイコン、それ以外は赤いアイコンを表示しています。プロセスが正常終了した場合の終了ステータスが0x0が多いためです。それ以外は異常ということです。

②操作ボタン

<詳細>ボタンと<削除>ボタンがあります。
<詳細>ボタンをクリックすると

のようなダイアログを表示します。ログイン状況の詳細がわかります。
<削除>ボタンをクリックすると

のような確認ダイアログを表示します。<削除>ボタンをクリックすれば削除できます。

③ディスプレイフィルター

リストの内容をコンピュータ名、プロセス名に入力した文字列を含む項目に絞って表示できます。

④<グラフと集計>ボタン

クリックするとグラフと集計のメニューを表示します。

⑤<CSV>ボタン

リストの内容をCSVファイルに保存します。

⑥<EXCEL>ボタン

リストの内容をEXCELファイルに保存します。

⑦<更新>ボタン

リストの内容を最新の情報に更新します。

グラフ分析

コンピュータとプロセス名、操作アカウントとプロセス名、親プロセスとプロセス名の関係を力学モデルまたは円形のグラフで表現します。

のような感じです。

3Dグラフ

コンピュータとプロセス名、操作アカウントとプロセス名、親プロセスとプロセス名の関係を3Dのグラフで表現します。

右上の項目を変更するとグラフの表示に反映されます。

Windowsプロセスレポートを表示するためには

twWinlogセンサーをWindowsマシンにインストールしてsyslogをTWSNMP FCに送信する必要がありまます。