YARAルールタスクの実行

手順

1. Trend Vision One コンソールで、 XDR Threat Investigation → Forensicsに移動します。
2. トリアージしたいエンドポイントを持つワークスペースの名前をクリックします。

   注意 このタスクにより、収集されたすべてのエビデンスがワークスペースに自動的に追加されます。

3. リストから1つ以上のエンドポイントを選択してください。選択したエンドポイントはすべて同じオペレーティングシステムを使用する必要があります。
4. [Run YARA Rules]をクリックします。

   注意 この対応タスクは、Trend Vision One Searchアプリのコンテキストメニューからも実行できます。

   [Run YARA Rules Task] ウィンドウが表示されます。
5. タスクを設定してください。
   1. ラジオボタンを使用して、既存のYARAルールを選択するか、新しいルールをアップロードしてください。
      • [Select rules]を選択: [Select YARA rules]をクリックし、既存のルールを選択して、[続行]をクリックします。
        新しいYARAルールを選択リストに追加するには、Response Managementの[Response Scripts]タブで[YARA Rules]に移動します。[Add YARA rules]をクリックしてファイルをアップロードし、ルールの構文を検証します。
      • [Upload rules] を選択: [ファイルをアップロード] をクリックし、250 KB 未満の TXT ファイルを選択します。

        ヒント Companion を使用して、[Generate YARA Rules] () をクリックして YARA ルールを生成します。

   2. [プロセス] または [ファイル] をターゲットタイプとして選択し、関連する設定を指定してください
      • [プロセス] ターゲットの場合、[プロセス名] を指定してください
      • [ファイル] ターゲットの場合、[File location] を指定し、[ファイルサイズ] を選択し、[Scan setting] を選択します

      重要 プロセス名を指定しない場合、Forensicsはすべてのプロセスをスキャンします。すべてのプロセスをスキャンするには、数分かかることがあります。 [Scan all files and subfolders] を [Scan setting] として選択すると、パフォーマンスの問題が発生する可能性があります。

   3. [Validate YARA rules] をクリックして YARA ルールを検証してください。
   4. 対応またはイベントのために[説明]を指定してください。
   5. [作成] をクリックします。
   6. [Multi-factor authentication (MFA) required] ウィンドウに検証コードを貼り付け、[送信] をクリックします。
      認証が成功すると、タスクは[Response Management][タスクリスト]に表示されます。
6. タスクのステータスを監視します。
   1. トライアージしているエンドポイントがあるワークスペースで、[クエリ結果を表示]をクリックしてください
   2. [YARA]を選択してください。
   3. [Task name] メニューを使用してタスクを探します。
   4. タスクのステータスを表示します。
      • [進行中] ( ): Trend Vision One がコマンドを送信し、対応を待機しています。
      • [待機中] ( ):エージェントがオフラインであるため、配布管理システムはコマンドをキューに入れました。
      • [成功] ( ): コマンドは正常に実行されました。
      • [失敗]( ): 配布管理システムへのコマンドの送信中にエラーまたはタイムアウトが発生したか、エージェントが24時間以上オフラインになっているか、コマンドの実行がタイムアウトしました。
   5. タスクが成功した場合、 アイコンをクリックして [ファイルをダウンロード] ウィンドウを開き、パスワードをコピーして保持し、[ダウンロード] をクリックしてタスクアーカイブファイルを取得します。