Execute o procdump fluxo

. Execute o procdump o flow executa um despejo de processo em um processo especificado e o salva em um arquivo que pode ser visado por analistas de segurança.

Função necessária: sn_si.analyst

Este fluxo é acionado quando processos aprimorados são selecionados e um Execute o procdump A ação de IU foi executada.

Figura 1. Execute o procdump

Os motivos pelos quais o procdump pode falhar incluem:

• Caminho de despejo inválido
• Caminho de compartilhamento de arquivo inválido
• Não é possível obter o nome de domínio totalmente qualificado da máquina Windows em que o procdump está sendo executado
• O nome do processo não foi especificado
• A variável de ambiente PROCDUMP não foi encontrada
• Uma cópia do arquivo de despejo falha ao copiar do caminho de despejo para o caminho de compartilhamento de arquivos

• Execute procdump ação
  Execute procdump é uma ação do powershell que executa o procdump nos processos selecionados, despeja os dados em um arquivo e os publica em um site compartilhado em uma rede interna. Um analista pode exibir um processo listado de proibições, realçado em vermelho em um incidente de segurança e executar uma análise adicional no arquivo.

Tarefas relacionadas

• Criar solicitação de pesquisa para fluxo de trabalho de mudanças de IOC
• Resposta do incidente de segurança- Obter fluxo de estatísticas de rede
• Resposta a incidentes de segurança - Obter fluxo de trabalho de serviços em execução
• Incidente de segurança - Avalie o fluxo de trabalho do resultado da tarefa de resposta