Выполнение действий по реагированию с помощью удаленного терминала
После подключения к активу через удаленный терминал вы можете исследовать угрозы и реагировать на них с помощью интерфейса командной строки.
Для выполнения команд используется следующий синтаксис:
<common> <parameter> <argument> [--option=value] [--flag]
Обратите внимание, что флаги --flag представляют собой логические значения. Если флаг указан в команде, для него принимается значение true. Также можно явным образом задать значение true или false. Если флаг в команде не указан, для него принимается значение false. Флаг --case-sensitive является исключением из этого правила, его поведение подробнее описано ниже.
Общие параметры командной строки
| Параметр | Тип | Описание |
|---|---|---|
| help | строка | Открывает онлайн-справку. |
| task-timeout | целое число | Ограничивает время выполнения задачи (в секундах). |
| storage-path | строка | Задает путь к файлам общего доступа для хранения результатов действий по реагированию. |
Параметры действий по реагированию
Вы можете использовать следующие параметры в зависимости от действия по реагированию, которое вы хотите выполнить с активом:
Чтобы удалить файл с устройства, используйте следующие параметры действия реагирования:
| Параметр | Аргументы | Возможные значения | Тип | Описание |
|---|---|---|---|---|
|
| [filePath] |
| строка | MD5-хеш файла. Используется с путем к файлу. Может быть указан с или без SHA256. |
|
| строка | SHA256-хеш файла. Используется с путем к файлу. Может быть указан с или без MD5. Доступно только на устройствах под управлением ОС Windows. | ||
|
| массив перечислений | Условия для невыполнения действия по реагированию. Возможные значения:
Доступно только на устройствах под управлением ОС Windows. | ||
|
| флаг | Выполните рекурсивный поиск, если в параметре | ||
|
| флаг | Указывает, чувствителен ли путь к регистру. Доступно только на устройствах под управлением ОС Windows. Если флаг |
Пример
delete-file "C:/file path.txt" --md5=12345 --case-sensitive --skip=self-defence --skip=sco --skip=kl-signed --skip=kl-by-trusted-app
Чтобы управлять службами на устройстве, используйте следующие параметры действия по реагированию:
| Параметр | Аргументы | Возможные значения | Тип | Описание |
|---|---|---|---|---|
|
| [operationType] Возможные значения:
|
| перечисление | Указывает тип запуска для операции Возможные значения:
Доступно только на устройствах с операционной системой Windows. |
|
| строка | Имя службы. Маски поддерживаются. Доступно только на устройствах с операционной системой Windows. | ||
|
| строка | MD5-хеш файла. Может быть указан с или без SHA256. Доступно только на устройствах с операционной системой Windows. | ||
|
| строка | SHA256-хеш файла. Может быть указан с или без MD5. Доступно только на устройствах с операционной системой Windows. |
Пример
change-service change-startup-type --startup-type=auto --service-name=ServiceName --md5=12345
Чтобы предотвратить распространение угрозы, вы можете поместить зараженный файл на карантин. Для этого используйте следующие параметры действия по реагированию:
| Параметр | Аргументы | Возможные значения | Тип | Описание |
|---|---|---|---|---|
|
| [filePath] |
| перечисление | Инициатор действия по реагированию. Возможные значения:
Доступно только на устройствах с операционной системой Windows. |
|
| массив перечислений | Условия для невыполнения действия по реагированию. Возможные значения:
Доступно только на устройствах с операционной системой Windows. | ||
|
| флаг | Если указан, возвращает устаревшие 64-разрядные идентификаторы карантина вместо идентификаторов GUID. | ||
|
| флаг | Указывает, чувствителен ли путь к регистру. Доступно только на устройствах с операционной системой Windows. Если флаг | ||
|
| флаг | Удаляет файл после помещения на карантин. | ||
|
| строка | MD5-хеш файла. Используется с путем к файлу. Может быть указан с или без SHA256. | ||
|
| строка | SHA256-хеш файла. Используется с путем к файлу. Может быть указан с или без MD5. |
Пример
quarantine-file C:/filePath --originator=edr-user --skip=self-defence --skip=sco --skip=kl-signed --skip=kl-by-trusted-app
Чтобы удалить зараженный файл из директории карантина на устройстве, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| строка | Идентификатор файла на карантине. |
|
| целое число | Идентификатор устаревшего карантина. |
Пример
delete-quarantined-file --file-id=453C4D2A-1B45-49C9-A954-1C086E4347F0
Восстановить файл из карантина
Если у вас есть основания полагать, что файл в карантине безопасен, вы можете восстановить файл на устройстве. Для этого используйте следующие параметры Действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| строка | Идентификатор файла на карантине. |
|
| целое число | Идентификатор устаревшего карантина. | |
|
| флаг | Заменяет существующий файл. | |
|
| флаг | Удаляет файл из карантина после восстановления. | |
|
| строка | Указывает путь назначения, используемый для восстановления объекта из резервной копии. Если путь не указан, объект восстанавливается по исходному пути. | |
|
| строка | Задает резервный путь к точке назначения. Используется только в случае сбоя восстановления к первоначальному пути, поскольку путь не существует или доступ запрещен. |
Пример
restore-quarantined-file --file-id=453C4D2A-1B45-49C9-A954-1C086E4347F0 --replace --fallback-destination="C:/path"
Файл на карантине, находящийся на устройстве, можно получить из карантина для дальнейшего анализа. Чтобы получить файл из карантина, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| строка | Идентификатор файла на карантине. |
|
| целое число | Идентификатор устаревшего карантина. | |
|
| целое число | Индекс потока файла для получения. Доступно только на устройствах с операционной системой Windows. |
После завершения действия по реагированию полученный файл отобразится в Консоли OSMP в разделе Файлы.
Пример
get-quarantined-file --file-id=453C4D2A-1B45-49C9-A954-1C086E4347F0 --stream-index=0
Чтобы завершить процессы на устройстве, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| строка | Путь к исполняемому процессу. |
|
| целое число | Идентификатор системного процесса. | |
|
| целое число | Идентификатор процесса. Доступно только на устройствах с операционной системой Windows. | |
|
| строка | MD5-хеш файла. Используется с путем к файлу. Может быть указан с или без SHA256. | |
|
| строка | SHA256-хеш файла. Используется с путем к файлу. Может быть указан с или без MD5. | |
|
| флаг | Указывает, чувствителен ли путь к регистру. Если флаг | |
|
| флаг | Раскрывает переменные окружения в путях. Доступно только на устройствах с операционной системой Windows. | |
|
| массив перечислений | Условия для невыполнения действия по реагированию. Возможные значения:
Доступно только на устройствах с операционной системой Windows. | |
|
| integer | Максимальное количество попыток завершения процесса. Если значение не указано, количество попыток не ограничено. Доступно только на устройствах с операционной системой Windows. |
Пример
terminate-process --pid=1234 --limit=100
Чтобы получить файл с устройства, используйте следующие параметры действия реагирования:
| Параметр | Аргументы | Возможные значения | Тип | Описание |
|---|---|---|---|---|
|
| [filePath] |
| строка | MD5-хеш файла. Используется с путем к файлу. Может быть указан с или без SHA256. |
|
| строка | SHA256-хеш файла. Используется с путем к файлу. Может быть указан с или без MD5. | ||
|
| целое число | Максимальный размер файла в байтах. Действие по реагированию не выполняется, если файл превышает этот размер. По умолчанию размер не ограничен. | ||
|
| флаг | Указывает, чувствителен ли путь к регистру. Доступно только на устройствах с операционной системой Windows. Если флаг |
После завершения действия по реагированию файл будет сохранен в защищенный паролем ZIP-архив. Пароль для файла архива – infected.
Пример
get-file C:/file --md5=1234567890 --max-size=1000 --case-sensitive
Чтобы включить сетевую изоляцию для устройства, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| целое число | Продолжительность сетевой изоляции. После истечения срока действия изоляция автоматически выключается. По умолчанию продолжительность изоляции не ограничена. |
|
| флаг | Раскрывает переменные окружения в путях. Доступно только на устройствах с операционной системой Windows. | |
|
| флаг | Выключает уведомление пользователя об операции сетевой изоляции. Доступно только на устройствах с операционной системой Windows. | |
|
|
| Правило исключения сети. Этот параметр использовать отдельно невозможно. Чтобы настроить исключения, укажите один или несколько дочерних параметров:
| |
|
| string | Задает необязательный процесс приема или передачи. Значение должно быть полным путем к исполняемому файлу. Маски не поддерживаются. Переменные среды поддерживаются только в Windows. Доступно только на устройствах с операционной системой Windows. | |
|
| перечисление | Задает направление подключения для протоколов на основе подключения (например, TCP) или направление пакета для протоколов на основе датаграмм (например, UDP). Если не указано иное, используются оба направления. Возможные значения:
| |
|
| строка | Удаленный IPv4-адрес в формате xxx.xxx.xxx.xxx. Поддерживаются префиксы подсети. Если не указан IPv4-адрес или IPv6-адрес, будет сопоставлен любой IP-адрес. | |
|
| строка | Удаленный IPv6-адрес в формате xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx. Поддерживаются префиксы подсети. Если не указан IPv4-адрес или IPv6-адрес, будет сопоставлен любой IP-адрес. Доступно только на устройствах с операционной системой Windows. | |
|
| целое число | Нижняя граница диапазона локальных портов. Если не граница указана, будет сопоставлен любой порт. Если порт не применим к пакетному протоколу, правило неактивно. | |
|
| целое число | Верхняя граница диапазона локальных портов. Если не граница указана, будет сопоставлен любой порт. Если порт не применим к пакетному протоколу, правило неактивно. | |
|
| целое число | Нижняя граница диапазона удаленных портов. Если не граница указана, будет сопоставлен любой порт. Если порт не применим к пакетному протоколу, правило неактивно. | |
|
| целое число | Верхняя граница диапазона удаленных портов. Если не граница указана, будет сопоставлен любой порт. Если порт не применим к пакетному протоколу, правило неактивно. | |
|
| целое число | Идентификатор протокола IANA, например TCP = 6. Если не граница указана, будет сопоставлен любой протокол. |
Пример
start-network-isolation --timeout=300 exclude --process="C:/process.exe" exclude --local-port-from=1 --local-port-to=10 --direction=inbound --no-notifyuser
Чтобы выключить сетевую изоляцию для устройства, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|
|
| флаг | Выключить сетевую изоляцию для устройства. По умолчанию пользователь получает уведомление, если сетевая изоляция выключена. Если указан параметр Параметр |
Пример
stop-network-isolation --no-notify-user
Получить данные для расследования
Получение списка файлов
Чтобы получить список файлов и папок, хранящихся на диске, используйте следующие параметры действия реагирования.
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| флаг | Указывает, чувствителен ли путь к регистру. Доступно только на устройствах с операционной системой Windows. Если флаг |
|
| флаг | Указывает, включены ли Дополнительные потоки данных в отчет. Доступно только на устройствах с операционной системой Windows. | |
|
| целое число | Максимальная глубина поиска. 0 означает неограниченную глубину. 1 выполняет поиск только в указанной директории. Доступно только на устройствах с операционной системой Windows. | |
|
| целое число | Максимальное число файлов или Дополнительных потоков данных для поиска. Поиск останавливается при достижении ограничения. Доступно только на устройствах с операционной системой Windows. | |
|
| массив строк | Директории для включения в проверку. Пути к директориям могут содержать переменные среды (например, %TMP% или% TEMP%). Если пути не указаны, включаются все локальные директории. Доступно только на устройствах с операционной системой Windows. | |
|
| массив строк | Директории, которые нужно добавить в исключения из проверки. Пути к директориям могут содержать переменные среды (например, %TMP% или% TEMP%). Доступно только на устройствах с операционной системой Windows. | |
|
| массив строк | Маски имен файлов для поиска (например, *.ps1). Если маски не указаны, будут включены все файлы. Доступно только на устройствах с операционной системой Windows. | |
|
| массив строк | Маски имен файлов, которые нужно исключить из поиска (например, *.ps1). Если маска не указана и указано значение Доступно только на устройствах с операционной системой Windows. |
Пример
get-forensic files --max-depth=3 --max-files=1000 --include-dir="C:/include1" --include-dir=D:/include2
Получение списка процессов
Чтобы получить список процессов, запущенных на устройстве, выполните следующую команду:
get-forensic processes
Получение списка точек автозапуска
Чтобы получить список точек автозапуска, выполните следующую команду:
get-forensic autoruns
Получение дампа памяти процесса
Чтобы получить дамп памяти процесса, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| целое число | Идентификатор системного процесса. |
|
| целое число | Уникальный идентификатор процесса. Доступно только на устройствах с операционной системой Windows. | |
|
| строка | MD5-хеш файла. Используется с путем к файлу. Доступно только на устройствах с операционной системой Windows. | |
|
| строка | SHA256-хеш файла. Используется с путем к файлу. Доступно только на устройствах с операционной системой Windows. |
Пример
get-forensic process-dump --pid=123 --md5=abcdef123456
Получение файла дампа
Чтобы получить файл дампа, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| флаг | Указывает, чувствителен ли путь к регистру. По умолчанию зависит от файловой системы. Доступно только на устройствах с операционной системой Windows. Если флаг |
|
| array of string | Полные пути файлов дампов. Поддерживаются общие файлы и файлы метаданных (например, $Mft, $Boot). Маски не поддерживаются. | |
|
| флаг | Указывает, включены ли Дополнительные потоки данных в отчет. Доступно только на устройствах с операционной системой Windows. | |
|
| строка | SHA256-хеш файла. Используется с путем к файлу. Доступно только на устройствах с операционной системой Windows. |
Пример
get-forensic files-dump --path="C:/path1"--path="D:/path2" --with-data-streams
Получение ключа реестра
Чтобы получить ключ реестра, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| array of string | Полные пути ключей реестра для создания файла дампа. Маски не поддерживаются. |
Пример
get-forensic registry-dump --path="C:/path1" --path="D:/path2"
Получение информации о системе
Чтобы получить информацию о системе устройства, выполните следующую команду:
get-forensic system-info
Доступно только на устройствах с операционной системой Windows.
Получение переменных среды
Чтобы получить переменные среды, выполните следующую команду:
get-forensic environment-variables
Получение дампа памяти
Чтобы получить дамп памяти, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| флаг | Указывает, сжимается ли дамп с помощью gzip с быстрым уровнем сжатия. Доступно только на устройствах с операционной системой Windows. |
|
| integer | Задает размер сегментов дампа в байтах. Дамп разбивается на сегменты указанного размера. Если значение равно 0 или не указано, дамп не разбивается. Доступно только на устройствах с операционной системой Windows. |
Пример
get-forensic memory-dump --compress --segment-size=1000
Получение образа диска
Чтобы получить образ диска, используйте следующие параметры действия по реагированию:
| Параметр | Возможные значения | Тип | Описание |
|---|---|---|---|
|
|
| строка | Имя логического диска в формате, зависящем от операционной системы (например, C:, D:, E: в Windows). Доступно только на устройствах с операционной системой Windows. |
|
| строка | Имя физического диска в формате, зависящем от операционной системы (например, \\.\PHYSICALDRIVE0 в Windows). Доступно только на устройствах с операционной системой Windows. | |
|
| флаг | Указывает, сжимается ли дамп с помощью gzip с быстрым уровнем сжатия. Доступно только на устройствах с операционной системой Windows. | |
|
| integer | Задает размер сегментов дампа в байтах. Дамп разбивается на сегменты указанного размера. Если значение равно 0 или не указано, дамп не разбивается. Доступно только на устройствах с операционной системой Windows. |
Пример
get-forensic disk-dump --logical="C:" --segment-size=1000 --compress
