手動收集 Windows 端點的證據

步驟

1. 選擇Agentic SIEM & XDR → Forensics → 「Evidence Archive」。
2. 點選Collect Evidence。
3. 為手動收集配置以下設定。

   設定	說明
   證據類型	要收集的證據類型。
   端點上的存檔位置資訊	證據包在本地端點上的位置資訊。 重要 本地檔案不具加密，並在端點上保留，直到被刪除。這可能允許任何有權訪問檔案系統的人訪問敏感資訊或揭露正在進行的調查的存在。 證據檔案會佔用硬碟空間，這可能會影響端點性能。

4. 點擊 下載 趨勢科技 事件響應工具包。
5. 在您想要收集證據的端點上部署工具包。
6. 執行工具包。
   1. 提取 .zip 壓縮檔的內容。
   2. 以管理員身份執行 TMIRT.ps1。
      如果您無法執行 TMIRT.ps1 命令，以下命令將根據您的作業系統 (OS) 版本和架構直接下載並執行工具包：

      .\TMIRT.exe evidence --config_file .\config.json

7. 將工具包生成的證據包上傳至 Forensics。您可以一次上傳多個文件。每個文件的大小不得超過 4 GB。