Получение метафайлов NTFS

Задача Получить NTFS-метафайлы получает только поток данных файла по умолчанию. Альтернативные (именованные) потоки данных не поддерживаются.

Чтобы получить метафайлы NTFS:

1. Выберите действие по реагированию NTFS-метафайлы.

   Откроется панель Получить NTFS-метафайлы.

2. В поле Метафайлы установите флажок напротив метафайлов, которые вы хотите получить:
   • $MFT
   • $LogFile
   • $Boot
   • $Secure
   • $Extend/$UsnJrnl
3. В поле Том укажите имя диска, с которого вы хотите получить метафайлы.

   По умолчанию указано значение %SystemDrive%.

4. При необходимости настройте следующие параметры:
   • В раскрывающемся списке Активы выберите устройство, с которого требуется получить метафайлы.

     По умолчанию поле содержит имя устройства, для которого ранее вы установили флажок. Можно выбрать устройство, которое не связано с алертом или инцидентом, но принадлежит тенанту алерта или инцидента либо его дочерним тенантам.

     Выбрать можно только те активы, с которыми можно выполнить действие по реагированию.
     Устройства отображаются следующим образом: устройства, связанные с алертом или инцидентом, помещаются в начало раскрывающегося списка Активы, а затем в алфавитном порядке отображаются устройства, принадлежащие тенанту алерта или инцидента (и его дочерним тенантам).

   • При необходимости в поле Описание напишите описание или комментарий к действию по реагированию.
5. Нажмите на кнопку Получить.

Панель закроется. Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.

В результате действия реагирования NTFS-метафайлы сохраняются в ZIP-архиве.

Просмотр результата действия по реагированию

Вы можете просмотреть и скачать архив одним из следующих способов:

• В главном меню в разделе Файлы или на вкладке Файлы в сведениях алерта или инцидента.
• В главном меню в разделе История реагирований или на вкладке История в сведениях алерта или инцидента.

  После перехода по ссылке в столбце Статус действия откроется окно с выбранной вкладкой Результат. Если действие по реагированию выполнено успешно, отобразится сообщение Успешно и полученные файлы. Иначе отобразится сообщение об ошибке с информацией о причине ошибки.

  Если вы хотите просмотреть Идентификатор запуска и JSON с результатом действия реагирования, перейдите на вкладку Отладка данных.