Trend Vision OneのExtended Detection and Response (XDR) ファイルコレクション

ビュー:

ファイル収集を使用すると、Trend Vision OneのExtended Detection and Response (XDR) インタフェースからオブジェクトを直接収集できます。

エージェントとリレーをプロキシ経由でプライマリセキュリティ更新ソースに接続する場合、ファイル収集は自動的に同じプロキシの設定を使用します。

要件

エージェントをインストールバージョン20.0.0-2204以降のWindowsまたはLinux用
Trend Micro Vision One拡張検出と対応 (XDR) に登録
セキュリティイベントをTrend Micro Vision One拡張検出と対応 (XDR) に転送
アクティビティ監視を有効にする

Workload Securityは、IoTメカニズムを使用してメッセージやイベントをTrend Vision Oneに送信します。環境内で許可されるURLを制限する必要がある場合は、ファイアウォールを構成してWorkload Security URLsテーブルのEvent Channel - XDR Activity Monitoring FQDNを含めてください。

ファイル収集を使用してオブジェクトを収集する

ファイル収集を使用してオブジェクトを収集するには

ファイル収集の開始

収集するオブジェクトを特定したら、次のいずれかからファイル収集を開始できます。

手順

Trend Vision One検索アプリから:
1. [アプリイベントの検索] で次のいずれかを右クリックします。
  - processFilePath
  - objectFilePath
  - parentFilePath
2. [ファイルの収集を選択します。
  
  [ファイル収集タスク] 画面が表示されます。
Trend Vision Oneのワークベンチから ([XDR]の下):
1. 収集したいオブジェクトのファイルアイコンを右クリックし、[ファイルを収集]を選択します。
  
  [ファイル収集タスク] 画面が表示されます。

ファイルコレクションタスクの作成

手順

[ファイル収集タスク] ウィンドウで、タスクのチェックボックスをオンにします。
必要に応じて、応答またはイベントの説明を入力します。
[Create]を選択します。

セキュリティエージェントがタスクの作成を開始します。

通常、セキュリティエージェントは20分以内にファイル収集タスクを作成します。セキュリティエージェントがオフラインの場合、タスクはセキュリティエージェントがオンラインになるまでキューに入れられます。

タスクステータスの監視

[Response Management]タブからタスクを監視できます。

タスクのステータスは次のとおりです。

処理中: Trend Vision Oneは管理サーバにコマンドを送信し、応答を待っています。
キューに追加: サーバはリクエストの量が多いか、セキュリティエージェントがオフラインのため、コマンドをキューに追加しました。
成功: 管理サーバはコマンドを正常に受信しました。
失敗: 管理サーバーにコマンドを送信しようとした際にエラーまたはタイムアウトが発生しました。

サンプルファイルをダウンロードする

警告

サンプルをダウンロードすると、エンドポイントに損害を与える可能性があります。サンプルファイルは、パスワードで保護されたZIPVision Oneに自動的に保存されます。続行する前に、必要な予防措置を講じてください。

手順

[Response Management]タブで、メニューから[ファイルの収集]を選択し、を選択します。
ダイアログで、[Download] を選択します。
[Download File] ウィンドウで、アーカイブされたサンプルのパスワードを記録します。
[Download] を選択してファイルをダウンロードします。

一般的な問題のトラブルシューティング

ファイル収集に関する一般的な問題のトラブルシューティングを行うには、 Workload Securityコンソールで次の設定を確認します。

Trend Vision Oneの設定

[Trend Vision One (XDR)]タブ ([管理] → [システム設定] → [Trend Vision One (XDR)]) で、以下を確認してください:

登録ステータスは [登録済み] です。
セキュリティイベントをTrend Vision Oneに転送するが選択されています。

file-collection-XDR-and-log-forwarding=d7c2b04c-2236-44d4-b035-ad509cb64bb7.png

コンピュータのセキュリティモジュールの設定

使用しているコンピュータの [アクティビティ監視] タブ ([Computers] → [ (右またはダブルクリック) Details] → [ アクティビティ監視] → [ 一般]) で、[Configuration] が [On] または [Inherited (On)] に設定されていることを確認します。

file-collection-activitymonitoring=89219034-d878-4bfd-a5ce-dcd28a1cde4b.png

ヒント

また、コンピュータに割り当てられたポリシーで有効にすることで、コンピュータの [アクティビティ監視] を有効にすることもできます。 [ポリシー] タブで、アクティビティ監視を有効にするポリシーをダブルクリックします。 [アクティビティ監視] → [ 一般]の順に選択し、アクティビティ監視 State が On に設定されていることを確認します。

要件および一般的な問題のトラブルシューティングのセクションを確認しても問題が解決しない場合は、サポートに連絡してください。