Agent Client Collector Security Incident Response

Agent Client Collector Security Incident Response(ACC-SIR) ermöglicht Ihnen die Automatisierung der Datensammlung und Antwortaktionen zur Ergänzung von Security Incidents mithilfe von Agent Client Collector. Diese Funktionalität wird von gemessen Security Operations Security Incident Response(SIR).

Wählen Sie aus einer Liste von Aktionen (Fähigkeiten) aus, die mit dem Basissystem geliefert werden und für Security Incidents ausgeführt werden sollen. Die Agent Client Collector Security Incident ResponseDie Funktionalität verwendet util.command.agent Und Util.osquery.Agent Definitionen überprüfen (ausgeführt von Agent Client CollectorSpoke) zum Ausführen von Befehlen und BS-Abfragen für Security Incidents. Fähigkeiten sind Teil vorhandener System-Subflows in Agent Client Collector Security Incident ResponseIntegrations-App. Sie können auch anwenderdefinierte Befehle und OSquery-sql-Abfragen hinzufügen, um sie für die Security Incidents auszuführen.

Für Details zu den mit installierten Plugins Security Incident Response, Siehe Plugins oder Anwendungen, die mit installiert sind ITOM-Integrität.

• Agent Client Collector Security Incident Response Fähigkeiten
  Agent Client Collector Security Incident Response Fähigkeiten, die mit dem Basissystem geliefert werden, werden auf der Seite „ACC-Fähigkeiten“ aufgelistet (Agent Client Collector-SIR-Integration > ACC-Integration – Fähigkeiten) an. Diese Fähigkeiten werden für Security Incidents ausgeführt, um Informationen zum Incident zu sammeln.
• Führen Sie eine Aktion für einen Security Incident aus
  Führen Sie eine aus Agent Client Collector Security Incident ResponseAktion zum Sammeln weiterer Informationen zu einem Security Incident. Aktionen werden im System als bezeichnet Fähigkeiten , Und werden mit dem Basissystem konfiguriert.
• Erstellen Sie einen Agent Client Collector Security Incident ResponseBefehl
  Definieren Sie einen Befehl oder eine Befehlszeichenfolge, die auf einem Computer ausgeführt werden soll, auf den ein Security Incident verweist. Befehle werden nach Betriebssystem aufgelistet. Beispiel: A PS Befehl auf einem Windows-Betriebssystem ruft den Status aktiver Windows-BS-Prozesse im System ab.
• Führen Sie eine aus Agent Client Collector Security Incident ResponseBefehl
  Führen Sie einen angegebenen Befehl auf einem Computer aus, auf den ein Incident verweist, um Informationen zum CI des Incidents abzurufen. Beispiel: Wenn Sie eine ausführen PS Befehl bei einem Incident ruft der Befehl den Status aktiver Prozesse im System ab. Befehle werden gemäß dem CI-Betriebssystem aufgelistet, das dem Security Incident zugeordnet ist.
• Erstellen Sie einen Agent Client Collector Security Incident ResponseOSQuery
  Definieren Sie eine OSQuery, um Informationen zum CI eines Security Incidents zu sammeln. OSQuery bietet eine SQL-Ebene über BS-Tabellen und ist zusammen mit gebündelt Agent Client CollectorAls Teil des Basissystems.
• Führen Sie eine aus Agent Client Collector Security Incident ResponseOSQuery
  Führen Sie eine OSQuery auf einem Computer aus, auf den ein Incident verweist, um Informationen zum CI jedes Incidents abzurufen. Beispiel: Wenn Sie eine ausführen Wählen Sie * aus System_Info aus Abfrage eines Incidents. Die Abfrage erfasst alle Informationen aus der OSQuery system_infoTabelle.