osqueryタスクの実行

手順

1. Trend Vision One コンソールで、 XDR Threat Investigation → Forensicsに移動します。
2. トリアージしたいエンドポイントを持つワークスペースの名前をクリックします。

   注意 このタスクにより、収集されたすべてのエビデンスがワークスペースに自動的に追加されます。

3. リストから1つ以上のエンドポイントを選択してください。選択したエンドポイントはすべて同じオペレーティングシステムを使用する必要があります。
4. [osqueryを実行]をクリックします。

   注意 この対応タスクは、Trend Vision One Searchアプリのコンテキストメニューからも実行できます。

   [Run osquery Task] ウィンドウが表示されます。
5. タスクを設定してください。
   1. ラジオボタンを使用して、既存のSQLクエリを選択するか、新しいクエリを入力してください。
      • [Select a query] を選択: [Select a query] をクリックし、既存のクエリを選択して、[続行] をクリックします。
        新しいクエリを選択リストに追加するには、Response Managementの[Response Scripts]タブの[osquery]に移動します。[Add query]をクリックしてOSを選択し、新しいクエリを入力してクエリの構文を検証します。
      • [Input a query]を選択: クエリを入力して、[Validate query]をクリックします。

        ヒント Companion を使用して、[Generate osquery Query] () をクリックして osquery クエリを生成します。

   2. 対応またはイベントのために[説明]を指定してください。
   3. [作成] をクリックします。
   4. [Multi-factor authentication (MFA) required] ウィンドウで、確認コードを貼り付けて [送信] をクリックします。
      認証が成功すると、タスクは[Response Management][タスクリスト]に表示されます。

      ヒント Searchアプリのコンテキストメニューから作成された対応タスクについては、[Response Management][タスクリスト]の[View details in Forensics]アイコン () をクリックして、[フォレンジック] → [Query Results]に直接移動します。

6. タスクのステータスを監視します。
   1. トライアージしているエンドポイントがあるワークスペースで、[クエリ結果を表示]をクリックしてください
   2. [osquery]を選択してください。
   3. [Task name] メニューを使用してタスクを探します。
   4. タスクのステータスを表示します。
      • [進行中] ( ): Trend Vision One がコマンドを送信し、対応を待機しています。
      • [待機中] ( ):エージェントがオフラインであるため、配布管理システムはコマンドをキューに入れました。
      • [成功] ( ): コマンドは正常に実行されました。
      • [失敗]( ): 配布管理システムへのコマンドの送信中にエラーまたはタイムアウトが発生したか、エージェントが24時間以上オフラインになっているか、コマンドの実行がタイムアウトしました。
   5. タスクが成功した場合、 アイコンをクリックして [ファイルをダウンロード] ウィンドウを開き、パスワードをコピーして保持し、[ダウンロード] をクリックしてタスクアーカイブファイルを取得します。