執行 osquery 任務

步驟

1. 在 Trend Vision One 主控台中，前往 XDR 安全威脅調查 → Forensics。
2. 點選具有您想要分類的端點的工作區名稱。
3. 從列表中選擇一個或多個端點。所選端點必須全部使用相同的作業系統。
4. 點選Run osquery。

   注意 您也可以在搜尋應用程式、工作台和觀察到的攻擊技術中的上下文選單執行此回應。

   Run osquery Task 視窗出現。
5. 配置任務。
   1. 使用單選按鈕來選擇現有的 SQL 查詢或輸入新的查詢。
      • 選擇Select a query：點擊Select a query，暫停在查詢上以查看其詳細信息，選擇一個查詢，然後點擊繼續。
        要將新查詢添加到選擇列表中，請前往 osquery 的 Response Scripts 標籤下的回應管理。點擊 Add query 以指定作業系統，輸入新查詢並驗證查詢語法。
      • 選擇Input a query：輸入查詢並點選Validate query。

        秘訣 使用 Companion 來生成 osquery 查詢，點擊 Generate osquery Query ()。

   2. 為回應或事件指定Description。
   3. 點選Create。
   4. 在Multi-factor authentication (MFA) required視窗中，貼上驗證碼並點選Submit。
      如果驗證成功，任務將顯示在Response ManagementTask List中。

      秘訣 對於在搜尋應用程式的 上下文選單 中創建的回應任務，請在 Response ManagementTask List 中點擊 View details in Forensics 圖示 () 以直接前往 Forensics → Query Results。

6. 監控任務狀態。
   1. 在具有您正在檢查的端點的工作區中，點選View Query Results
   2. 選擇osquery。
   3. 使用Task name選單找到任務。
   4. 查看任務狀態。
      • In progress (): Trend Vision One 已發送命令，正在等待回應。
      • Queued (): 管理伺服器將命令排隊，因為代理程式離線。
      • Successful (): 命令已成功執行。
      • Unsuccessful (): 嘗試將命令發送到管理伺服器時發生錯誤或超時，代理程式已離線超過 24 小時，或命令執行超時。
   5. 如果任務成功，點選圖示以開啟Download File視窗，複製並保留密碼，然後點選Download以獲取任務存檔文件。