YARAルールタスクの実行

手順

1. Trend Vision One コンソールで、 XDR Threat Investigation → Forensicsに移動します。
2. トリアージしたいエンドポイントを持つワークスペースの名前をクリックします。

   注意 このタスクにより、収集されたすべてのエビデンスがワークスペースに自動的に追加されます。

3. リストから1つ以上のエンドポイントを選択してください。選択したエンドポイントはすべて同じオペレーティングシステムを使用する必要があります。
4. [Run YARA Rules]をクリックします。
5. エンドポイントのOSを選択してください。
6. タスクを設定してください。
   1. タスク名を指定します。
   2. ターゲットを指定してください。

      重要 プロセス名を指定しない場合は、Forensicsがすべてのプロセスを検索します。 すべてのプロセスの検索が完了するまでに数分かかることがあります。

   3. YARAルールをForensicsにアップロードしてください。
      • YARAルールを含むテキストファイルをアップロードしてください。
      • YARAルールをテキストエリアに貼り付けます。
   4. [ルールを検証]をクリックして、YARAルールを検証してください。
   5. 対応またはイベントのために[説明]を指定してください。
   6. [作成] をクリックします。
7. タスクのステータスを監視します。
   1. トライアージしているエンドポイントがあるワークスペースで、[クエリ結果を表示]をクリックしてください
   2. [YARA]を選択してください。
   3. [Task name] メニューを使用してタスクを探します。
   4. タスクのステータスを表示します。
      • [進行中] ( ): Trend Vision One がコマンドを送信し、対応を待機しています。
      • [待機中] ( ):エージェントがオフラインであるため、配布管理システムはコマンドをキューに入れました。
      • [成功] ( ): コマンドは正常に実行されました。
      • [失敗]( ): 配布管理システムへのコマンドの送信中にエラーまたはタイムアウトが発生したか、エージェントが24時間以上オフラインになっているか、コマンドの実行がタイムアウトしました。