Osquery-Aufgabe ausführen

Prozedur

1. Navigieren Sie in der Trend Vision One Konsole zu Agentic SIEM & XDR → Forensics.
2. Klicken Sie auf den Namen des Arbeitsbereichs, der die Endpunkte enthält, die Sie triagieren möchten.
3. Wählen Sie einen oder mehrere Endpunkte aus der Liste aus. Die ausgewählten Endpunkte müssen alle dasselbe Betriebssystem verwenden.
4. Klicken Sie auf Run osquery.

   Hinweis Sie können diese Antwort auch über das Kontextmenü in XDR Data Explorer, Workbench und Observed Attack Techniques ausführen.

   Das Fenster Run osquery Task wird angezeigt.
5. Konfigurieren Sie die Aufgabe.
   1. Verwenden Sie die Optionsfelder, um entweder eine vorhandene SQL-Abfrage auszuwählen oder eine neue Abfrage einzugeben.
      • Wählen Sie Select a query: Klicken Sie auf Select a query, halten Sie bei einer Abfrage an, um deren Details anzuzeigen, wählen Sie eine Abfrage aus und klicken Sie auf Fortfahren.
        Um eine neue Abfrage zur Auswahlliste hinzuzufügen, gehen Sie zu osquery auf der Response Scripts-Registerkarte des Response Managements. Klicken Sie auf Add query, um das Betriebssystem anzugeben, eine neue Abfrage einzugeben und die Abfragesyntax zu validieren.
      • Wählen Sie Input a query: Geben Sie eine Abfrage ein und klicken Sie auf Validate query.

        Tipp Verwenden Sie Companion, um osquery-Abfragen zu generieren, indem Sie auf Generate osquery Query () klicken.

   2. Geben Sie einen Beschreibung für die Antwort oder das Ereignis an.
   3. Klicken Sie auf Erstellen.
   4. Im Fenster Multi-factor authentication (MFA) required fügen Sie den Bestätigungscode ein und klicken Sie auf Absenden.
      Wenn die Authentifizierung erfolgreich ist, erscheint die Aufgabe im Response ManagementTask List.

      Tipp Für Antwortaufgaben, die über das Kontextmenü in XDR Data Explorer erstellt wurden, klicken Sie auf das View details in Forensics-Symbol () im Response ManagementTask List, um direkt zu Forensics → Query Results zu gelangen.

6. Überwachen Sie den Aufgabenstatus.
   1. Klicken Sie im Arbeitsbereich, der die Endpunkte enthält, die Sie triagieren, auf View Query Results
   2. Wählen Sie osquery.
   3. Lokalisieren Sie die Aufgabe über das Menü Task name.
   4. Zeigen Sie den Aufgabenstatus an.
      • Wird ausgeführt (): Trend Vision One hat den Befehl gesendet und wartet auf eine Antwort.
      • In Warteschlange (): Der Verwaltungsserver hat den Befehl in die Warteschlange gestellt, weil der Agent offline war.
      • Erfolgreich (): Der Befehl wurde erfolgreich ausgeführt.
      • Nicht erfolgreich (): Beim Versuch, den Befehl an den Verwaltungsserver zu senden, ist ein Fehler oder ein Zeitüberschreitung aufgetreten, der Agent ist seit mehr als 24 Stunden offline oder die Befehlsausführung hat die Zeit überschritten.
   5. Wenn die Aufgabe erfolgreich ist, klicken Sie auf das Symbol, um das Fenster Download File zu öffnen, kopieren und speichern Sie das Passwort, und klicken Sie auf Herunterladen, um die Aufgabenarchivdatei zu erhalten.