Execute procdump fluxo

. Execute procdump o flow executa um despejo de processo em um processo especificado e o salva em um arquivo que pode ser visado por analistas de segurança.

Função necessária: sn_si.analista

Este fluxo é acionado quando processos aprimorados são selecionados e um Execute procdump A ação de IU foi executada.

Figura 1. Execute procdump

Os motivos pelos quais o procdump pode falhar incluem:

• Caminho de despejo inválido
• Caminho de compartilhamento de arquivo inválido
• Não é possível buscar o nome de domin totalmente qualificado da máquina Windows em que o procdump está sendo executado
• O nome do processo não foi especificado
• A variável de ambiente PROCDUMP não foi encontrada
• Uma cópia do arquivo de despejo não é copiada do caminho de despejo para o caminho de compartilhamento de arquivos

• Execute procdump ação
  Execute procdump é uma ação do powershell que executa o procdump nos processos selecionados, despeja os dados em um arquivo e os publica em um site compartilhado em uma rede interna. Um analista pode exibir um processo listado de negação, destacado em vermelho em um incidente de segurança, e executar uma análise adicional no arquivo.

Tarefas relacionadas

• Criar solicitação de pesquisa para fluxo de trabalho de mudanças de IOC
• Resposta a incidentes de segurança - Obter fluxo de estatísticas de rede
• Resposta a incidentes de segurança - Obter fluxo de trabalho de serviços em execução
• Incidente de segurança - Avalie o fluxo de trabalho do resultado da tarefa de resposta