ファイル収集を使用すると、Trend Vision OneのExtended Detection and Response (XDR) インタフェースからオブジェクトを直接収集できます。
エージェントとリレーをプロキシ経由でプライマリセキュリティ更新ソースに接続する場合、ファイル収集は自動的に同じプロキシの設定を使用します。
要件 
- エージェントをインストールバージョン20.0.0-2204以降のWindowsまたはLinux用
- Trend Micro Vision One拡張検出と対応 (XDR) に登録
- セキュリティイベントをTrend Micro Vision One拡張検出と対応 (XDR) に転送
- アクティビティ監視を有効にする
Workload Securityは、IoTメカニズムを使用してメッセージやイベントをTrend Vision Oneに送信します。環境内で許可されるURLを制限する必要がある場合は、ファイアウォールを構成してWorkload Security URLsテーブルのEvent Channel - XDR Activity Monitoring FQDNを含めてください。
ファイル収集を使用してオブジェクトを収集する
ファイル収集を使用してオブジェクトを収集するには
ファイル収集の開始
収集するオブジェクトを特定したら、次のいずれかからファイル収集を開始できます。
手順
- Trend Vision One検索アプリ
から:- [アプリイベントの検索] で次のいずれかを右クリックします。
- processFilePath
- objectFilePath
- parentFilePath
- [ファイルを収集]を選択します。
[ファイルの収集タスク]ウィンドウが表示されます。 - [アプリイベントの検索] で次のいずれかを右クリックします。
- Trend Vision One Workbench ([XDR]
の下):- 収集したいオブジェクトのファイルアイコン
を右クリックし、[ファイルを収集]を選択します。
[ファイルの収集タスク]ウィンドウが表示されます。 - 収集したいオブジェクトのファイルアイコン
ファイルコレクションタスクの作成
手順
- [ファイルの収集タスク]ウィンドウから、タスクのチェックボックスを選択します。
- 必要に応じて、応答またはイベントの説明を入力します。
- [作成]を選択します。
セキュリティエージェントがタスクの作成を開始します。
通常、セキュリティエージェントは20分以内にファイル収集タスクを作成します。セキュリティエージェントがオフラインの場合、タスクはセキュリティエージェントがオンラインになるまでキューに入れられます。
タスクステータスの監視
[Response Management]タブからタスクをモニタできます。
タスクのステータスは次のとおりです。
処理中: Trend Vision Oneは管理サーバにコマンドを送信し、対応を待っています。
キューに追加: サーバはリクエストの高負荷またはセキュリティエージェントがオフラインのため、コマンドをキューに追加しました。
成功: 管理サーバがコマンドを正常に受信しました。
失敗: コマンドを管理サーバに送信しようとした際にエラーまたはタイムアウトが発生しました。
サンプルファイルをダウンロードする
 |
警告サンプルをダウンロードすると、エンドポイントに損害を与える可能性があります。サンプルファイルは、パスワードで保護されたZIPVision Oneに自動的に保存されます。続行する前に、必要な予防措置を講じてください。
|
手順
- [Response Management]タブで、メニューから[ファイルを収集]を選択し、
をダウンロードします。
- ダイアログで[ダウンロード]を選択してください。
- [ファイルをダウンロード]ウィンドウで、アーカイブされたサンプルのパスワードを記録してください。
- ファイルをダウンロードするには[ダウンロード]を選択してください。
一般的な問題のトラブルシューティング
ファイル収集に関する一般的な問題のトラブルシューティングを行うには、 Workload Securityコンソールで次の設定を確認します。
Trend Vision Oneの設定
[Trend Vision One (XDR)]タブ () で、次のことを確認してください:
- 登録ステータスは [登録済み] です。
- セキュリティイベントをTrend Vision Oneに転送するが選択されています。
コンピュータのセキュリティモジュールの設定
コンピュータの[アクティビティ監視]タブで、()、設定がオンまたは継承 (オン) に設定されていることを確認してください。
コンピューターに対しても、割り当てられたポリシーで有効にすることで[アクティビティ監視]を有効にできます。[ポリシー]タブから、アクティビティモニタリングを有効にしたいポリシーをダブルクリックします。に移動し、アクティビティモニタリングの状態がオンに設定されていることを確認してください。