Trend Vision One XDR統合リモートシェルを使用すると、XDRインターフェースから直接コマンドを実行できます。
エージェントとリレーをプロキシ経由で主要なセキュリティ更新ソースに接続する場合、リモートシェルは自動的に同じプロキシの設定を使用します。
リモートシェルは、LinuxおよびWindowsの場合、バージョン20.0.0-2009以降のエージェント、macOSの場合、バージョン20.0.0-173以降のエージェントで利用可能です。詳細については、サポートされているコマンドの表を参照してください。
要件
- エージェントをインストールするには、WindowsまたはLinuxの場合はバージョン20.0.0-2009以降、macOSの場合はバージョン20.0.0-173以降を使用してください。
- Trend Vision One拡張検出と対応 (XDR) に登録する
- セキュリティイベントをTrend Vision One拡張検出と対応 (XDR) に転送
- アクティビティ監視を有効にする
Workload Securityは、IoTメカニズムを使用してメッセージやイベントをXDRに送信します。環境内で許可されるURLを制限する必要がある場合は、ファイアウォールを構成してWorkload Security URLsテーブルのEvent Channel - XDR Activity Monitoring FQDNを含めてください。
リモートシェルセッションを開始する
リモートシェルセッションは、次のいずれかから開始できます。
-
Trend Vision One検索アプリから:
: Search Appイベントで[endpointHostName]フィールドを右クリックし、[Start Remote Shell Session]を選択します。
-
Trend Vision Oneのワークベンチから ([XDR]
の下):サーバアイコンを右クリックして、[リモートシェルセッションの開始]を選択します。
サポートされるコマンド
新しいバージョンのエージェントでは、同じプラットフォーム上の以前のエージェントリリースでリストされたコマンドがサポートされることに注意してください。
|
DSAバージョン
|
プラットフォーム
|
コマンド
|
説明
|
コマンド
|
例
|
||
|
20.0.0-5512+
|
Windows
|
20.0.0-182+
|
Trend Vision Oneコンソールから、暗号化されたアーカイブとして利用可能なプロセスメモリダンプを作成します。
|
memdump [--ma] [--mm] --pid <pid> --ma: Creates a full process memory dump. --mm: Create a mini process memory dump. --pid: Required parameter to specify process ID <pid>
|
memdump --mm --pid 1234 |
||
|
20.0.0-182+
|
20.0.0-173+
|
20.0.0-182+
|
Trend Vision Oneコンソールから、暗号化されたアーカイブとして利用可能なプロセスメモリダンプを作成します。
|
memdump --pid <pid> |
memdump --pid 1234 |
||
|
cp
|
cp
|
cp <source object> <destination object> [--force] |
|
||||
|
get
|
特定のファイルを収集してTrend Vision Oneにアップロード (最大ファイルサイズ: 128MB)
|
get <file_location_and_extension> |
|
||||
|
mkdir
|
mkdir
|
mkdir <path> |
|
||||
|
mv
|
mv
|
mv <source_object> <destination_object> [--force] |
|
||||
|
rm
|
rm
|
rm <source_object> [--force] |
|
||||
|
run
|
run
|
run <script_name_and_extension> [arguments] |
run demo.sh 1 "22 33" 44 |
||||
|
zip
|
zip
|
zip <source_object1> [<source_object2...> <source_objectn>] [--password <password>] [--force] |
|
||||
|
kill
|
kill
|
kill <PID> |
kill 1234 |
||||
|
ユーザ情報
|
ユーザ情報
|
user info <username> |
user info john_doe |
||||
|
20.0.0-173+
|
20.0.0-173+
|
Windows、Linux
|
macOS
|
netstat |
netstat |
||
|
Windows、Linux
|
cat
|
cat <file_location_and_extension>
|
|
||||
|
cd
|
cd
|
cd <path> |
cd /Users |
||||
|
クリア
|
画面のクリア
|
clear |
clear |
||||
|
env
|
環境変数を表示する
|
env |
env |
||||
|
ls
|
ls
|
ls <path> |
|
||||
|
ps
|
実行プロセス情報のリスト表示
|
ps |
ps |
||||
|
pwd
|
現在のディレクトリを表示する
|
pwd |
pwd |
||||
|
サービスリスト
|
リストサービス情報
|
service list |
service list |
||||
|
ユーザリスト
|
ローカルユーザアカウントのリスト表示
|
user list |
user list |
||||
|
ipconfig
|
ipconfig
|
ipconfig |
ipconfig |
||||
|
fileinfo
|
fileinfo
|
file info <file_location_and_extension>
|
|
||||
|
systeminfo
|
systeminfo
|
ipconfig |
ipconfig |
||||
|
ヘルプ
|
ヘルプ情報を表示する
|
help |
help |
||||
|
20.0.0-2204+
|
20.0.0.2009+
|
Windows、Linux
|
netstat
|
netstat |
netstat |
||
|
ipconfig
|
ipconfig
|
ipconfig |
ipconfig |
||||
|
fileinfo
|
fileinfo
|
file info <file_location_and_extension>
|
|
||||
|
systeminfo
|
systeminfo
|
ipconfig |
ipconfig |
||||
|
scheduletasks
|
scheduletasks
|
scheduletasks |
scheduletasks |
||||
|
Windows
|
Windows
|
regクエリ
|
reg query <key> [--value=<value_name>] |
|
|||
|
Linux
|
Linux
|
bashhistory
|
bashhistory |
bashhistory |
|||
|
!!20.0.0.2009+!!
|
20.0.0.2009+
|
Windows、Linux
|
cat
|
cat <file_location_and_extension>
|
|
||
|
cd
|
cd
|
cd <path>
|
cd C:\ |
||||
|
クリア
|
画面のクリア
|
clear |
clear |
||||
|
env
|
環境変数を表示する
|
env |
env |
||||
|
グループリスト
|
ローカルグループ情報のリスト表示
|
group list |
group list |
||||
|
ヘルプ
|
ヘルプ情報を表示する
|
help |
help |
||||
|
ls
|
ls
|
ls <path>
|
|
||||
|
ps
|
実行プロセス情報のリスト表示
|
ps |
ps |
||||
|
pwd
|
現在のディレクトリを表示する
|
pwd |
pwd |
||||
|
サービスリスト
|
リストサービス情報
|
service list |
service list |
||||
|
ユーザリスト
|
ローカルユーザアカウントのリスト表示
|
user list |
user list |
||||
|
listenports
|
リスト待機ポートのリスト
|
listenports |
listenports |
一般的な問題のトラブルシューティング
リモートシェルの一般的な問題をトラブルシューティングするには、 Workload Security コンソールで次の設定を確認してください。
Trend Vision One (XDR) の設定
[Trend Vision One (XDR)] タブ () で、次のことを確認してください:
- 登録ステータスは [登録済み] です。
- セキュリティイベントをTrend Vision Oneに転送するが選択されています。
登録状況が未登録の場合は、Trend Vision One (XDR) に登録する必要があります。
コンピュータのセキュリティモジュールの設定
使用しているコンピュータの [アクティビティ監視] タブ () で、[Configuration] が [On] または [Inherited (On)] に設定されていることを確認します。
また、コンピュータに割り当てられたポリシーで有効にすることで、コンピュータの [アクティビティ監視] を有効にすることもできます。 [ポリシー] タブで、アクティビティ監視を有効にするポリシーをダブルクリックします。 の順に選択し、アクティビティ監視 State が On に設定されていることを確認します。