›

端点响应操作

编辑

端点响应操作

编辑

响应控制台允许您使用类似终端的界面对端点执行响应操作。您可以输入操作命令并获得对其的近乎即时的反馈。操作也会记录在端点的响应操作历史记录中以供参考。

所有端点平台（Linux、macOS 和 Windows）都支持响应操作。

从 Elastic Security 中的以下任何位置启动响应控制台

端点页面 → 操作菜单 (…) → 响应
端点详细信息弹出窗口 → 采取操作 → 响应
警报详细信息弹出窗口 → 采取操作 → 响应
主机详细信息页面 → 响应

要在端点上执行操作，请在控制台底部的输入区域中输入响应操作命令，然后按回车。操作的输出将显示在控制台中。

如果主机不可用，则挂起的操作将在主机上线后执行。挂起的操作将在两周后过期，并且可以在响应操作历史记录中跟踪。

某些响应操作可能需要几秒钟才能完成。输入一个命令后，您可以在前一个操作运行时立即输入另一个命令。

响应控制台中的活动是持久性的，因此您可以从页面导航离开，并且您提交的任何挂起操作都将继续运行。要确认操作已完成，请返回响应控制台以查看控制台输出或检查响应操作历史记录。

提交响应操作后，您将无法取消它，即使操作对于脱机主机处于挂起状态。

响应操作命令

编辑

以下响应操作命令在响应控制台中可用。

`isolate`

编辑

隔离主机，阻止与网络上其他主机的通信。

所需权限：主机隔离

示例：isolate --comment "隔离与检测警报相关的主机"

`release`

编辑

释放隔离的主机，使其能够再次与网络通信。

所需权限：主机隔离

示例：release --comment "释放主机，一切正常"

`status`

编辑

显示有关主机状态的信息，包括：Elastic Agent 状态和版本、Elastic Defend 集成的策略状态以及主机上次活动时间。

`processes`

编辑

显示主机上运行的所有进程的列表。此操作可能需要一分钟左右才能完成。

所需权限：进程操作

使用此命令获取当前 PID 或实体 ID 值，这些值对于其他响应操作（如 kill-process 和 suspend-process）是必需的。

实体 ID 可能比 PID 更可靠，因为实体 ID 是主机上的唯一值，而 PID 值可以由操作系统重复使用。

在第三方保护的主机上运行此命令可能会以不同的格式返回进程列表。有关更多信息，请参阅第三方响应操作。

`kill-process`

编辑

终止进程。您必须包含以下参数之一来识别要终止的进程

--pid：表示要终止的进程的进程 ID (PID)。
--entityId：表示要终止的进程的实体 ID。

所需权限：进程操作

示例：kill-process --pid 123 --comment "终止可疑进程"

对于 SentinelOne 注册的主机，您必须使用参数 --processName 来识别要终止的进程。--pid 和 --entityId 不受支持。

示例：kill-process --processName cat --comment "终止可疑进程"

`suspend-process`

编辑

挂起进程。您必须包含以下参数之一来识别要挂起的进程

--pid：表示要挂起的进程的进程 ID (PID)。
--entityId：表示要挂起的进程的实体 ID。

所需权限：进程操作

示例：suspend-process --pid 123 --comment "挂起可疑进程"

`get-file`

编辑

从主机检索文件。文件下载到受密码保护的 .zip 存档中，以防止文件运行。使用密码 elastic 在安全环境中打开 .zip。

从第三方保护的主机检索的文件需要不同的密码。有关您系统的密码，请参阅第三方响应操作。

您必须包含以下参数来指定文件在主机上的位置

--path：文件的完整路径（包括文件名）。

所需权限：文件操作

示例：get-file --path "/full/path/to/file.txt" --comment "可能的恶意软件"

您可以使用Osquery 管理器集成查询主机的操作系统并深入了解其文件和目录，然后使用 get-file 检索特定文件。

当 Elastic Defend 由于恶意软件防护阻止文件活动时，文件将在主机上被隔离，并创建恶意软件防护警报。要使用 get-file 检索此文件，请从警报的隔离文件路径字段 (file.Ext.quarantine_path) 复制路径，该字段显示在警报详细信息弹出窗口中的突出显示的字段下。然后将该值粘贴到 --path 参数中。

`execute`

编辑

在主机上运行 shell 命令。命令的输出和任何错误都显示在响应控制台中，最多 2000 个字符。完整的输出（stdout 和 stderr）也会保存到可下载的 .zip 存档中（密码：elastic）。使用以下参数

--command：（必需）要在主机上运行的 shell 命令。该命令必须受 Linux 和 macOS 主机的 bash 以及 Windows 的 cmd.exe 支持。
- 值中的多个连续短划线必须转义；单个短划线不需要转义。例如，要表示名为 /opt/directory--name 的目录，请使用以下内容：/opt/directory\-\-name。
- 您可以使用引号而不进行转义。例如
  execute --command "cd "C:\Program Files\directory""
--timeout：（可选）主机应等待命令完成多长时间。使用 h 表示小时，m 表示分钟，s 表示秒（例如，2s 是两秒）。如果未指定超时，则默认为四小时。