Linux エンドポイントの手動エビデンス収集

手順

1. Trend Vision One コンソールで、XDR Threat Investigation → Forensics → [パッケージ] に移動します。
2. [エビデンスを収集] をクリックします。
3. 手動収集のために次の設定を構成します。

   設定	説明
   エビデンスの種類	収集するエビデンスの種類。 注意 Linux エンドポイントには、次の情報が必要です: 基本情報 プロセス情報 サービス情報 ネットワーク情報 アカウント情報 ユーザーアクティビティ
   エンドポイント上のアーカイブの場所	ローカルエンドポイント上のエビデンスパッケージの場所。 重要 ローカルアーカイブには暗号化がなく、削除されるまでエンドポイントに残ります。これにより、ファイルシステムにアクセスできる人が機密情報にアクセスしたり、進行中の調査の存在を明らかにしたりする可能性があります。 エビデンスアーカイブはハードドライブのスペースを占有し、エンドポイントのパフォーマンスに影響を与える可能性があります。

4. [Download TMIRT] () をクリックして、トレンドマイクロ Incident Response Toolkit をダウンロードします。
5. エビデンスを収集するエンドポイントにツールキットを展開します。
6. ツールキットを実行します。
   1. zipアーカイブの内容を抽出します。
   2. rootユーザーとしてTMIRT.shを実行します。
7. （オプション）スクリプトを実行する権限が不足している場合は、次のコマンドを実行してください。
   1. エンドポイントOSアーキテクチャを発見するには、uname -m コマンドを実行します。

      重要 AArch64またはARM64アーキテクチャの場合、TMIRT-arm64.tgzツールキットを使用してください。 i386またはi686アーキテクチャの場合、TMIRT-x86.tgzツールキットを使用してください。 AMD64またはx86_64アーキテクチャの場合、TMIRT-x64.tgzツールキットを使用してください。

   2. TGZファイルからツールキットを抽出するには、OSアーキテクチャに基づいて正しいTMIRTバージョンを使用して./tar -xfコマンドを実行します。
   3. エビデンスの収集を開始するには、./TMIRT エビデンス --config_file ./config.json を実行してください。
8. ツールキットが生成するエビデンスパッケージをForensicsアプリにアップロードしてください。

   ヒント 各ファイルのサイズは4GB以下である必要があります。