手動收集 Windows 端點的證據

步驟

1. 在 Trend Vision One 主控台中，前往 XDR 安全威脅調查 → Forensics → Packages。
2. 點選Collect Evidence。
3. 為手動收集配置以下設定。

   設定	說明
   證據類型	收集的證據類型。 注意 對於 Windows 端點，需要基本資訊。
   端點上的存檔位置資訊	證據包在本地端點上的位置資訊。 重要 本地存檔沒有加密，並且會保留在端點上直到被刪除。這可能會允許任何有檔案系統存取權限的人訪問敏感信息，或揭示正在進行的調查。 證據檔案會佔用硬碟空間，並可能影響端點效能。

4. 點選Download TMIRT () 以下載趨勢科技事件回應工具包。
5. 將工具包部署到您想要收集證據的端點上。
6. 執行工具包。
   1. 提取壓縮檔案的內容。
   2. 以管理員身份執行 TMIRT.ps1。

      重要 如果您無法執行 TMIRT.ps1 命令，以下命令將根據您的作業系統版本和架構直接下載並執行工具包： .\TMIRT.exe evidence --config_file .\config.json

7. 將工具包生成的證據包上傳到Forensics應用程式。

   秘訣 您可以一次上傳多個檔案。每個檔案不得超過 4 GB。