FireEye Obter recurso de arquivo

As solicitações de aquisição de arquivo instruem um agente de segurança de endpoint a obter um arquivo do endpoint do host. As aquisições de arquivos são usadas para análise estática ou dinâmica de possíveis compromissos ou verificados, bem como para retenção de evidências durante investigações de ameaças internas. Obter recurso de arquivo deve ser criado como um perfil separado.

Antes de Iniciar

Função necessária: administrador

Acionar Obter perfil de arquivo e criar um FireEye HX perfil de capacidade com Obter arquivo capacidade.

Procedimento

1. Navegar até Incidentes de segurança > Mostrar todos os incidentes.
2. Selecione o incidente de segurança que você deseja revisar.
3. Clique Executar perfis de EDRna seção links relacionados.
4. Procure e selecione Obter perfil de arquivo na lista de perfis disponíveis.
5. Forneça o. Nome de arquivo e Caminho do arquivo.
   Nota:

   Insira o nome do arquivo para o qual você deseja adquirir. Especifique um nome de caminho preciso ou outra variável de ambiente do Windows baseada em caminho apropriada. Você deve especificar a letra da unidade ou os nomes do caminho. Endpoints diferentes podem ter mapeamentos de unidade diferentes. Se você especificar explicitamente um nome de pasta, poderá encerrar o caminho com uma barra invertida. No entanto, a barra invertida final não é obrigatória.
6. Clique Enviar.
7. Revise a seção Anotações de trabalho e atividades.
8. Exiba os marcadores e verifique os resultados no Obter arquivo lista relacionada.
   Nota:

   Obter perfil de arquivo agora é acionado manualmente.

   

   Para revisar uma aquisição de arquivo baixada:

   • Abra o arquivo .zip de aquisição de arquivo.
   • Insira a senha necessária para abrir o arquivo. A senha pode ser exibida passando o mouse sobre o link de download em FireEye HX Console. Siga as etapas abaixo para exibir a senha:
     • Faça login no console FireEye HX.
     • Navegar até Aquisições E filtram por tipo de aquisição - Arquivo.
     • Selecione o registro desejado.
       Nota:

       Você poderá ver os detalhes do arquivo adquirido na guia à direita.
     • Passe o mouse sobre Download link disponível na parte superior para obter a senha.
     • Abra e revise os arquivos no arquivo .zip usando qualquer editor de texto ou XML.
       Nota:

       • É recomendável que o arquivo recuperado seja adicionado como observável manualmente, para que possa ser rastreado como uma evidência contra o incidente de segurança. Isso também ajudará a exibir os arquivos no futuro, quando a senha for esquecida ou alterada.
       • O tamanho máximo de arquivo compatível com a ação Obter arquivo é de 1024 MB, e esse valor pode ser configurado alterando com.glide.attachment.max_sizee o tempo limite padrão é de 60 minutos que pode ser configurado no FireEye HX Página Configurações padrão.

         

       • Obter arquivo também pode ser acionado a partir da lista relacionada do item de configuração.