檢視次數:

在指定的端點上運行基於 SQL 的查詢,以支援安全威脅調查和事件回應。

重要
重要
  • 此任務由以下服務支援:
  • Trend Vision One
    • Windows 代理程式
    • Linux 代理程式
  • 此任務使用 osquery 5.7.0。關於 osquery 5.7.0 中使用的 SQL 語法的詳細資訊,請參閱 osquery 文件
Forensics 應用程式中 建立工作區並將端點新增到工作區後,您可以從可能受損的端點收集詳細證據,以便對發生在您網路上的重大事件進行內部調查,這些事件可能需要進一步關注。

步驟

  1. Trend Vision One 主控台中,前往 XDR 安全威脅調查Forensics
  2. 點選具有您想要分類的端點的工作區名稱。
    注意
    注意
    此任務會自動將所有收集到的證據添加到工作區。
  3. 從列表中選擇一個或多個端點。所選端點必須全部使用相同的作業系統。
  4. 點選Run osquery
    注意
    注意
    您也可以從上下文選單中的Trend Vision One搜尋應用程式執行此回應任務。
    Run osquery Task 視窗出現。
  5. 配置任務。
    1. 使用單選按鈕來選擇現有的 SQL 查詢或輸入新的查詢。
      • 選擇Select a query:點選Select a query,選擇一個現有的查詢,然後點選繼續
        要將新查詢新增到選擇清單,請前往 osqueryResponse Scripts 標籤頁。點選 Add query 以選擇作業系統,輸入新查詢,並驗證查詢語法。
      • 選擇Input a query:輸入查詢並點選Validate query
        秘訣
        秘訣
        使用 Companion 來生成 osquery 查詢,點擊 Generate osquery Query (companion_icon=ebfb1301-169d-4687-b329-7c6b4e235192.png)。
    2. 為回應或事件指定Description
    3. 點選Create
    4. Multi-factor authentication (MFA) required視窗中,貼上驗證碼並點選Submit
      如果驗證成功,任務將顯示在Response ManagementTask List
  6. 監控任務狀態。
    1. 在具有您正在檢查的端點的工作區中,點選View Query Results
    2. 選擇osquery
    3. 使用Task name選單找到任務。
    4. 查看任務狀態。
      • In progress (in_progress=GUID-A55897DB-3DEA-4F5C-B7F9-70B3D7FB9EDE=1=zh-tw=Low.jpg): Trend Vision One 已發送命令,正在等待回應。
      • Queued (queued=GUID-65C0DF81-E50D-4D51-9602-2E9B7A0E5F14=1=zh-tw=Low.jpg): 管理伺服器將命令排隊,因為代理程式離線。
      • Successful (successful=GUID-1E31AD86-DE2E-48B5-85F7-7C78A3E8BB11=1=zh-tw=Low.jpg): 命令已成功執行。
      • Unsuccessful (error=5cc21722-7ceb-480c-b9c2-a47d420cf1cc.jpg): 嘗試將命令發送到管理伺服器時發生錯誤或超時,代理程式已離線超過 24 小時,或命令執行超時。
    5. 如果任務成功,點選download_icon=5c7476c2-cf15-4572-b7cd-5fc67a57d22f.png圖示以開啟Download File視窗,複製並保留密碼,然後點選Download以獲取任務存檔文件。