Windows エンドポイントの手動エビデンス収集

手順

1. Trend Vision One コンソールで、XDR Threat Investigation → Forensics → [パッケージ] に移動します。
2. [エビデンスを収集] をクリックします。
3. 手動収集のために次の設定を構成します。

   設定	説明
   エビデンスの種類	収集するエビデンスの種類。 注意 Windows エンドポイントには、基本情報が必要です。
   エンドポイント上のアーカイブの場所	ローカルエンドポイント上のエビデンスパッケージの場所。 重要 ローカルアーカイブには暗号化がなく、削除されるまでエンドポイントに残ります。これにより、ファイルシステムにアクセスできる人が機密情報にアクセスしたり、進行中の調査の存在を明らかにしたりする可能性があります。 エビデンスアーカイブはハードドライブのスペースを占有し、エンドポイントのパフォーマンスに影響を与える可能性があります。

4. [Download TMIRT] () をクリックして、トレンドマイクロ Incident Response Toolkit をダウンロードします。
5. エビデンスを収集するエンドポイントにツールキットを展開します。
6. ツールキットを実行します。
   1. zipアーカイブの内容を解凍します。
   2. 管理者としてTMIRT.ps1を実行します。

      重要 TMIRT.ps1 コマンドを実行できない場合、次のコマンドはお使いのOSバージョンとアーキテクチャに基づいてツールキットを直接ダウンロードして実行します: .\TMIRT.exe エビデンス --config_file .\config.json

7. ツールキットが生成するエビデンスパッケージをForensicsアプリにアップロードしてください。

   ヒント 各ファイルのサイズは4GB以下である必要があります。