Invoque um despejo de processo para um processo aprimorado no Windows

Um analista de segurança pode executar um despejo de processo em um processo específico, despejá-lo em um arquivo e publicá-lo em um site compartilhado em uma rede interna. Um analista pode exibir um processo listado de proibições, realçado em vermelho em um incidente de segurança e executar uma análise adicional.

Antes de Iniciar

Os seguintes itens são necessários:

• Um cliente que executa o Windows Vista ou superior ou um servidor que executa o Windows Server 2008 ou superior.
• O utilitário de linha de comando ProcDmp instalado, com uma variável de ambiente do sistema que aponta para o caminho do arquivo executável procdump. O nome da variável deve ser PROCDUMP. Este nome é usado em um script powershell.

Função necessária: sn_si.analyst

Procedimento

1. Navegue até o incidente de segurança com o processo aprimorado no qual você deseja invocar um procdump clicando em Tudo > Incidente de segurança > Mostrar incidentes em abertoe abra um incidente de segurança.
2. Clique em Dados de aprimoramento guia.
3. Clique em Recuperar processos em execução registro de aprimoramento.
4. Marque as caixas de seleção dos processos em execução para os quais você deseja executar um procdump, clique na lista suspensa Ações nas linhas selecionadas na parte inferior da lista e clique em Execute Procdump .
   Um Fluxo de trabalho de prodump iniciado para o processo selecionado a mensagem aparece na parte superior da lista e Resposta do incidente de segurança - Executar procdump o fluxo de trabalho é executado.