エビデンスの収集タスク

ビュー:

脅威の調査とインシデント対応をサポートするエビデンスを収集します。

このタスクは、次のサービスでサポートされています。

Trend Vision One
- Linuxエージェント
- Windowsエージェント

ワークスペースを作成し、エンドポイントをワークスペースに追加した後、Forensicsで、ネットワーク上で発生した重大なインシデントの内部調査のために、潜在的に侵害されたエンドポイントから詳細なエビデンスを収集することができます。

重要

エビデンス収集には、対象エンドポイントでXDR Endpoint Sensorを有効にする必要があります。
エビデンスアーカイブは、SANS InstitutesおよびCyLRツールと同じフォルダ構造を使用します。

このタスクは収集されたすべてのエビデンスをワークスペースに自動的に追加します。

手順

Trend Vision One コンソールで、 Agentic SIEM & XDR → Forensicsに移動します。
トリアージしたいエンドポイントを持つワークスペースの名前をクリックします。
目的のエンドポイントからエビデンスを収集します。
1. 1つ以上のエンドポイントを選択します。
2. [エビデンスを収集]をクリックします。
3. 収集したいエビデンスの種類を指定してください。
4. 対応またはイベントのために[説明]を指定してください。
5. [作成] をクリックします。
  
  Trend Vision One によってタスクが作成され、現在のタスクステータスが [Response Management]に表示されます。
タスクのステータスを監視します。
1. [Workflow and Automation] → Response Management に移動します。
2. [検索]を使用するか、[処理]から[エビデンスを収集]を選択してタスクを見つけてください。
3. タスクのステータスを表示します。
  - [In progress] (): Trend Vision Oneがコマンドを送信し、対応を待っています。
  - [処理待ち] (): エージェントがオフラインのため、管理サーバはコマンドをキューに入れました。
  - [成功] (): コマンドは正常に実行されました。
  - [失敗] (): 管理サーバへのコマンド送信中にエラーまたはタイムアウトが発生しました。エージェントが24時間以上オフラインであるか、コマンドの実行がタイムアウトしました。