Incident-уудыг судлах (Investigating Incidents) — 4-р хэсэг: Notes clipboard (Тэмдэглэлийн самбар)

← Үндсэн хуудас

Notes clipboard

Notes clipboard нь өөрчлөлт, incident-ийн эзэмшигчийг хянахын тулд incident-д тэмдэглэл нэмэх хялбар арга юм.

Тэмдэглэлүүдийг харах

Байгаа тэмдэглэлүүдийн жагсаалтыг харахын тулд Status bar-ын баруун талд байгаа Notes товчийг дарна:

Тэмдэглэл нэмэх

Тэмдэглэл нэмэхийн тулд дараах алхмуудыг дагана:

1. 1
   Clipboard-ын зүүн доод хэсэгт байгаа Add note товчийг дарна.
2. 2
   Тэмдэглэлийн мэдээллийг бөглөнө.

   Тэмдэглэл

   Тэмдэглэл бүр 50,000 хүртэлх тэмдэгт агуулж болно.

3. 3
   Save товчийг сонгоно.

   Тэмдэглэл

   Олон incident дээр нэг дор (bulk) үйлдэл хийсэн тохиолдолд бүх incident-д зориулж нэг тэмдэглэл нэмэгдэнэ.

Тэмдэглэл засах

Тэмдэглэлийг засахын тулд дараах алхмуудыг дагана:

1. 1
   Засахыг хүссэн тэмдэглэлийнхээ баруун талд байгаа Menu товчийг сонгоно.
2. 2
   Edit товчийг сонгоно.
3. 3
   Шаардлагатай өөрчлөлтөө хийнэ.

   Тэмдэглэл

   Тэмдэглэл бүр 50,000 хүртэлх тэмдэгт агуулж болно.

4. 4
   Save товчийг сонгоно.

Тэмдэглэл устгах

Тэмдэглэлийг устгахын тулд дараах алхмуудыг дагана:

1. 1
   Устгахыг хүссэн тэмдэглэлийнхээ баруун талд байгаа Menu товчийг сонгоно.
2. 2
   Delete товчийг сонгоно.

   Тэмдэглэл

   Энэ сонголт зөвхөн өөрийн тэмдэглэлд ашиглагдана.

3. 3
   Delete товчийг дахин сонгоно.

History Clipboard

History самбар нь incident-ийн түүхийг хялбар хянах боломж олгоно. Дараах үйл явдлууд бүртгэгдэнэ:

• Status changed (төлөв өөрчлөгдсөн)
• Assigned or reassigned incident (incident оноосон эсвэл дахин оноосон)
• Incident priority set or changed (priority тогтоосон эсвэл өөрчилсөн)
• Incident note added, edited, or deleted (тэмдэглэл нэмсэн, зассан эсвэл устгасан)
• Created incident (incident үүсгэсэн)
• Updated incident (incident шинэчилсэн)

Жагсаалт цаг хугацааны дарааллаар, хамгийн шинэ нь доор, хамгийн хуучин нь дээр байхаар харагдана:

Үйл явдал бүр дараах мэдээллийг агуулна:

• Үйл явдлын төрөл
• Үйл явдлын тайлбар
• Үйл явдал болсон огноо, цаг

Remote Connection

Урьдчилсан нөхцөл

Endpoint-тэй remote connection-оор terminal сесс эхлүүлэхийн тулд дараах зүйлсийг хангасан байх ёстой:

• Endpoint дээр суулгасан Bitdefender агентын хувилбар Remote Connection боломжийг дэмждэг байх;
• Endpoint асаалттай, онлайн байх;
• Endpoint нь Windows үйлдлийн системтэй байх;
• GravityZone endpoint-тэй холбогдож чадах;
• Таны GravityZone данс зорилтот endpoint дээр manage (удирдах) эрхтэй байх.

Remote connection эхлүүлэх

Endpoint руу remote connection-оор холбогдохын тулд дараах алхмуудыг дагана:

1. 1
   Incidents хуудас руу орно.
2. 2
   Шинжлэхийг хүссэн endpoint incident дээр дарна.
3. 3
   Түүний graph дээр холбогдох endpoint-ийн node дээр дарна.

   Баруун талд дэлгэрэнгүй мэдээллийн самбар гарна.

4. 4
   Дэлгэрэнгүй мэдээллийн самбар дахь Remote Connection товчийг дарна.

   Remote connection цонх гарна.

5. 5
   Одоогийн incident-д холбогдсон endpoint дээр шууд шинжилгээ хийж, арга хэмжээ авахын тулд remote connection эхлүүлэх Connect to Host дээр дарна.
6. 6
   Terminal-д endpoint-ийн үйлдлийн систем дээр хэд хэдэн өөрчилсөн (custom) shell командыг шууд ажиллуулж, аюулыг тэр дор нь арилгах эсвэл цаашдын шинжилгээнд зориулж өгөгдөл цуглуулж болно.

Remote connection үүсгэх:

1. 1
   Connect to Host товчийг дарж live session эхлүүлнэ.

   Холболтын төлөв endpoint-ийн нэрийн хажууд харагдана.

   • Холболт амжилтгүй болбол terminal цонхонд алдааны мессеж харагдана.

   Тэмдэглэл

   Нэг endpoint-тэй зэрэг дээд тал нь таван terminal session нээж болно.

2. 2
   Холбогдсоны дараа terminal нь боломжит командууд болон тэдгээрийн тайлбарын жагсаалтыг харуулна.

   Terminal цонхонд хүссэн командаа бичээд Enter дарна.

   Тэмдэглэл

   Командын талаар дэлгэрэнгүй мэдэхийн тулд help-ийн ард командын нэрийг бичнэ (жишээ нь help ps).

3. 3
   Команд амжилттай болсон үед terminal командын гаралтыг харуулна.

   • Endpoint командыг гүйцэтгэж дуусгаж чадахгүй бол тэр команд цуцлагдана.
4. 4
   Холболтыг дуусгахын тулд End Session товчийг дарна.

   Terminal session идэвхгүй таван минут болбол автоматаар дуусна.

   Холбогдсон байхдаа Remote Connection табаас гарвал terminal session мөн дуусна.

Terminal Session Commands

EDR terminal session-ы командууд нь платформоос хамаарахгүй, нийтлэг синтакстай, тусгайлан бүтээсэн shell команд юм. Terminal session-оор endpoint дээр ашиглаж болох командуудын жагсаалтыг доор үзүүлэв:

• Тайлбар: Зорилтот endpoint дээр ажиллаж буй process-уудын талаарх мэдээллийг (process ID (PID), нэр, зам, санах ойн хэрэглээ гэх мэт) харуулна.
• Синтакс: ps
• Алиас: tasklist
• Параметр: -
• Тайлбар: Ажиллаж буй process эсвэл аппликейшнийг PID-ээр нь зогсооно.

  PID-г авахын тулд ps/tasklist командыг ашиглана.

• Синтакс: kill [PID]
• Алиас: -
• Параметр: [PID] - зорилтот endpoint дээрх process-ийн ID.
• Тайлбар: Заасан директорын бүх файл, хавтасны талаарх мэдээллийг (нэр, төрөл, хэмжээ, өөрчилсөн огноо) харуулна.

  Замыг зааж өгөхөд wildcard ашиглаж болно.

  Жишээ нь:

  C:\Users\admin\Desktop\s* (Desktop хавтасны "s"-ээр эхэлсэн бүх агуулга)

  C:\Users\publ?? (заасан замын сүүлийн хоёр үсэг нь дурын байх бүх агуулгыг жагсаана)

• Синтакс: ls [Path]
• Алиас: dir
• Параметр: [Path] - зорилтот endpoint дээрх файл эсвэл хавтасны зам.
• Тайлбар: Зорилтот endpoint дээр заасан замаас файл, хавтсыг устгана.
• Синтакс: rm [Path]
• Алиас: del / delete
• Параметр: [Path] - зорилтот endpoint дээрх файл эсвэл хавтасны зам.
• Тайлбар: Заасан registry key замын бүх мэдээллийг (нэр, төрөл, утга) буцаана.
• Синтакс: reg query [keypath] [/k] [keyname] [/v] [valuename]
• Алиас: -
• Параметр:
  • keypath - заасан замаас registry key-үүдийн бүх мэдээллийг буцаана.
  • /k [keyname] - registry key-ийн үр дүнг тодорхой key нэрээр шүүнэ.

    Илүү өргөн хүрээний нэрийг шүүхийн тулд wildcard (*, ?) ашиглаж болно.

  • /v [valuename] - registry value-г тодорхой value нэрээр шүүнэ.

    Илүү өргөн хүрээний нэрийг шүүхийн тулд value нэрэнд wildcard (*, ?) ашиглаж болно.

• Тайлбар: Шинэ registry key эсвэл value нэмнэ. Registry value өмнө нь байгаа бол дарж бичнэ.

  Registry мэдээллийг дарж бичихдээ тодорхойлсон бүх параметрийг заавал зааж өгнө.

• Синтакс: reg add [keyname] [/v] [valuename] [/t] [datatype] [/d] [data]
• Алиас: -
• Параметр:
  • keyname - registry key-ийн нэр.
  • /v [valuename] - registry value-ийн нэр.

    Мөн ядаж /d [data] параметрийг нэмэх шаардлагатай.

  • /t [datatype] - registry value-ийн өгөгдлийн төрөл.

    Дараах өгөгдлийн төрлүүдийн аль нэгийг нэмж болно: REG_SZ, REG_MULTI_SZ, REG_DWORD, REG_BINARY, REG_DWORD_LITTLE_ENDIAN, REG_LINK, REG_FULL_RESOURCE_DESCRIPTOR, REG_EXPAND_SZ

    • Заагаагүй үед REG_SZ төрөл өгөгдмөлөөр оноогдоно.
    • Төрлийг REG_BINARY гэж тохируулсан үед registry өгөгдлийг hex утга гэж тайлбарлана.
• Тайлбар: Registry key эсвэл түүний value-г устгана.
• Синтакс:

  reg delete [keyname] [/v] [valuename]

  reg delete [keyname] [/va]

• Алиас: -
• Параметр:
  • /k [keyname] - registry key болон түүний бүх value-г устгана.
  • /v [valuename] - заасан registry value-г устгана.
  • /va - заасан registry key-ийн бүх value-г устгана.
• Тайлбар: Ажлын директорыг заасан зам руу өөрчилнө.

  Энэ команд нь параметрээр зорилтот endpoint дээрх drive эсвэл хавтасны замыг шаардана.

• Синтакс: cd[Path]
• Алиас: -
• Параметр: [Path] - зорилтот endpoint дээрх файл эсвэл хавтасны зам.
• Тайлбар: Параметргүй үед help команд нь боломжит бүх командыг товч тайлбарын хамт жагсаана.

  help-ийн ард параметр оруулбал тэр командын бүрэн синтакс, товч тайлбар, хэрэглээний жишээг харуулна.

• Синтакс: help [command]
• Алиас: -
• Параметр: командын нэр (жишээ нь: cd, kill, ls, ps)
• Тайлбар: Terminal цонхыг цэвэрлэж, одоогийн ажлын хавтастай prompt-ыг харуулна.
• Синтакс: clear
• Алиас: cls
• Параметр: -