利用即時回應調查裝置上的實體

  • 適用於: Microsoft Defender for Endpoint Plan 2

即時回應可讓安全營運團隊透過遠端 Shell 連線立即存取裝置（也稱為機器）。 即時應變讓您能進行深入調查，並立即採取行動，即時控制已識別的威脅。

即時回應旨在強化調查，讓您的安全運營團隊能收集鑑識資料、執行腳本、派遣可疑實體進行分析、修復威脅，並主動搜尋新興威脅。

透過即時回應，分析師可以執行以下所有任務：

  • 執行基本和進階指令，在裝置上進行調查工作。
  • 下載檔案，例如惡意軟體範例和 PowerShell 腳本的結果。
  • 在背景中下載檔案（全新！）
  • 把 PowerShell 腳本或執行檔上傳到函式庫，然後從租戶層級在裝置上執行。
  • 採取或撤銷修復行動。

提示

你可以從 圖書館管理 頁面上傳、查看並管理用於即時回應的檔案。

必要條件

裝置必須運行以下支援的作業系統及其版本之一

支援的作業系統

其他要求

  • 從進階設定頁面啟用即時回應：你需要在 進階功能設定 頁面啟用即時回應功能。

    附註

    只有擁有「管理入口網站設定」權限的管理員和使用者才能啟用即時回應。

  • 請從進階設定頁面 (建議) 啟用伺服器即時回應 。

    附註

    只有擁有「管理入口網站設定」權限的管理員和使用者才能啟用即時回應。

  • 啟用即時回應無簽名腳本執行 (可選) 。

    重要事項

    簽章驗證只適用於 PowerShell 腳本。

    警告

    允許使用未簽署腳本可能會增加你面臨威脅的風險。 如果你必須使用，你需要在 進階功能設定 頁面啟用該設定。

  • 確保你擁有適當的權限：只有已設定適當權限的使用者才能啟動會話。 欲了解更多角色分配資訊，請參閱 建立與管理角色。

    重要事項

    只有擁有「管理安全設定」權限的使用者，才能透過即時回應將檔案上傳到資料庫。 對於只有委派權限的使用者，此按鈕會呈現灰色且無法使用。 你也可以從 圖書館管理 頁面上傳檔案到圖書館，這部分不需要這個權限。

    根據你被賦予的角色，你可以執行基本或進階的即時回應指令。 使用者權限由 RBAC 自訂角色控制。

即時回應儀表板概述

當你在裝置上啟動即時回應會話時，儀表板會打開。 儀表板提供有關會話的資訊。 例如：

  • 會議的創始人
  • 遊戲開始時
  • 會期長度

儀表板也可讓您存取該工作階段的動作。 例如：

  • 中斷工作階段的連線
  • 上傳檔案至函式庫
  • 命令主控台
  • 指令日誌

在裝置上啟動即時回應會話

請執行以下步驟，在裝置上啟動即時回應會話。

附註

從裝置頁面發起的即時回應動作，在 MachineActions API 中無法取得。

  1. 登入 Microsoft Defender 入口網站。

  2. 進入 端點>裝置清單 ，選擇要調查的裝置。 裝置頁面打開。

  3. 選擇「 啟動即時回應會話」啟動即時回應會話。 畫面會顯示指揮控制台。 請稍候，工作階段正在連接到裝置。

  4. 使用內建指令進行調查工作。 欲了解更多資訊，請參閱 即時回應指令。

  5. 完成調查後，選擇 斷開連線會話，然後選擇 確認。

即時回應指令

根據你被賦予的角色，你可以執行基本或進階的即時回應指令。 使用者權限由 RBAC 自訂角色控制。 欲了解更多角色分配資訊，請參閱 建立與管理角色。

附註

即時回應是一個基於雲端的互動殼殼，因此特定的指令回應時間可能會因網路品質及終端使用者與目標裝置間的系統負載而有所不同。

基本指令

以下指令適用於被賦予執行 基本 即時回應指令能力的使用者角色。 欲了解更多角色分配資訊，請參閱 建立與管理角色。

命令 描述 Windows 與 Windows Server macOS Linux
cd 更改目前的目錄。 Y Y Y
cls 清除了主控台畫面。 Y Y Y
connect 會對裝置發起即時回應會話。 Y Y Y
connections 顯示所有活躍連線。 Y N N
dir 顯示目錄中檔案和子目錄的清單。 Y Y Y
drivers 顯示裝置上所有已安裝的驅動程式。 Y N N
fg <command ID> 將指定的作業移至前景，使其成為目前的作業。 fg 採用可從 jobs 取得的 command ID，而不是 PID。 Y Y Y
fileinfo 取得檔案資訊。 Y Y Y
findfile 透過裝置上的名稱定位檔案。 Y Y Y
getfile <file_path> 下載檔案。 Y Y Y
help 提供即時回應命令的說明資訊。 Y Y Y
jobs 顯示目前執行的工作、ID（身份識別碼）和狀態。 Y Y Y
persistence 顯示裝置上所有已知的持久化方法。 Y N N
processes 顯示裝置上所有正在運行的程序。 Y Y Y
registry 顯示登錄檔數值。 Y N N
scheduledtasks 顯示裝置上所有排程任務。 Y N N
services 顯示裝置上的所有服務。 Y N N
startupfolders 顯示裝置上的啟動資料夾中所有已知的檔案。 Y N N
status 顯示特定指令的狀態與輸出。 Y Y Y
trace 將終端機的記錄模式設為除錯。 Y Y Y

進階指令

以下指令適用於被賦予執行 進階 即時回應指令能力的使用者角色。 欲了解更多角色分配資訊，請參閱 建立與管理角色。

命令 描述 Windows 與 Windows Server macOS Linux
analyze 利用各種罪證機制分析該實體以達成結論。 Y N N
collect 從裝置收集鑑識套件。 N Y Y
isolate 將裝置與網路斷開，同時保留與 Defender for Endpoint 服務的連線。 N Y N
release 解除裝置的網路隔離。 N Y N
run 從裝置上的函式庫執行 PowerShell 腳本。 Y Y Y
library 列出已上傳至即時回應函式庫的檔案。 您也可以從 圖書館管理 頁面查看和管理這些檔案。 Y Y Y
putfile 它會把資料庫的檔案放到裝置上。 Files 會儲存在工作資料夾，裝置重啟時預設會被刪除。 Y Y Y
remediate 對裝置上的實體進行補救。 整治行動依實體類型而異：
  • 檔案：刪除
  • 流程：停止，刪除影像檔
  • 服務：停止，刪除影像檔
  • 登錄檔條目：刪除
  • 排程任務：移除
  • 啟動資料夾項目：刪除檔案

此命令有一個前置命令。 你可以將這個 -auto 指令與 remediate 一起使用，自動執行前置指令。		 Y Y Y
scan 執行快速防毒掃描，協助識別並修復惡意軟體。 N Y Y
undo 恢復已修復的實體。 Y N N

附註

即時回應指令適用 putfile 以下檔案大小限制：

  • Windows：300 MB
  • 其他平台：10 MB

使用即時回應指令

你在主控台中可以使用的指令遵循與 Windows 指令相似的原則。

進階的即時回應指令提供更強大的行動，讓你能執行更強大的行動，例如下載與上傳檔案、在裝置上執行腳本，以及對實體採取修復行動。

提示

你可以從 圖書館管理 頁面上傳、查看並管理用於即時回應的檔案。

從裝置取得檔案

當你想從調查的裝置取得檔案時，可以使用這個 getfile 指令。 這樣你就能從裝置中儲存檔案以便進一步調查。

附註

以下檔案大小限制適用：

  • getfile 限制：3 GB
  • fileinfo 限制：30 GB
  • library 限制：250 MB
  • library 美國政府雲端環境的限制：5 MB（預設）。 若要申請提高額度，請開立支援工單。

在背景下載檔案

為了讓您的安全運營團隊能持續調查受影響的裝置，現在可以在背景下載檔案。

  • 要在背景下載檔案，在即時回應指令主控台輸入 getfile <file_path> &。
  • 如果你正在等待檔案下載，可以用 Ctrl + Z 將它移到背景。
  • 要將檔案下載移到前景，請在即時回應指令主控台輸入 fg <command_id>。

範例如下：

命令 功能
getfile "C:\windows\some_file.exe" & 開始在背景下載一個名為 some_file.exe 的檔案。
fg 1234 讓命令識別碼為 1234 的下載回到前景。

把檔案放進函式庫

Live Response 有一個可供您存放檔案的資料庫。 函式庫儲存檔案 (，例如腳本) ，可在租戶層級的即時回應會話中執行。

即時回應允許執行 PowerShell 與 Bash 腳本;不過，你必須先將腳本檔案上傳到函式庫，才能執行腳本。

你可以維護一系列 PowerShell 和 Bash 腳本，並在即時回應會話中執行於裝置上。

在函式庫中上傳檔案

你可以從即時回應會話主控台或從 圖書館管理 頁面上傳檔案到圖書館。

從即時回應會話主控台上傳檔案到函式庫：

附註

對於可上傳到圖書館的角色有限制。 使用英數字元和一些符號（具體來說，是 -、_ 或 .）。

  1. 選擇 「上傳檔案到圖書館」。

  2. 選擇 瀏覽 並選擇檔案。

  3. 請提供簡短的描述。

  4. 請指定是否要覆寫同名檔案。

  5. 如果您想知道指令碼需要哪些參數，請選取「指令碼參數」核取方塊。 在文字欄位輸入範例和描述。

  6. 選取 確認。

  7. (可選) 要驗證檔案已上傳到函式庫，請執行指令 library 或檢查 函式庫管理 頁面。

取消指令

警告

按 CTRL + C 只會在 Microsoft Defender 入口網站取消該指令。 它不會停止代理端的指令。 像「remediate」這類變更操作即使指令被取消，仍可繼續執行。

要在會話中取消入口網站中的指令，請按 CTRL + C。

執行腳本

在執行 PowerShell/Bash 腳本之前，你必須先把它上傳到函式庫。

你可以從即時回應會話主控台或圖書館 管理 頁面上傳腳本到圖書館。

如果你打算在工作階段使用未簽署的 PowerShell 腳本，你需要在 進階功能設定 頁面啟用該設定。

警告

允許使用未簽署腳本可能會增加你面臨威脅的風險。

將腳本上傳到函式庫後，使用 run 指令執行腳本。

套用指令參數

請使用以下方法來檢視並套用指令參數。

  • 要查看特定指令的語法和可用參數，請使用內建的說明指令：

    help <command name>

  • 在對指令套用參數時，請注意參數是根據固定順序處理的。 以下範例展示了呼叫帶有位置參數指令的基本語法：

    <command name> param1 param2

  • 在指定固定順序外的參數時，請先用連字號標明參數名稱，再提供值。 以下範例展示了命名參數的使用情況：

    <command name> -param2_name param2

  • 使用包含前置指令的指令時，可以使用旗標。 以下範例說明如何依路徑鎖定檔案並自動執行前置指令：

    <command name> -type file -id <file path> -auto

    或者，要自動修復偵測到的檔案，請執行：

    remediate file <file path> -auto

支援的輸出類型

即時回應支援表格與 JSON 格式的輸出類型。 每個指令都有預設的輸出行為。 您可以使用以下指令修改輸出格式：

  • -output json
  • -output table

附註

由於空間有限，以表格格式顯示時，欄位會較少。 要在輸出中看到更多細節，可以使用 JSON 輸出指令，這樣就能顯示更多細節。

支援的輸出管線

即時回應支援將輸出透過管線傳送至 CLI 與檔案。 CLI 是預設的輸出行為。 你可以使用下列命令將輸出重新導向到檔案：[command] > [filename].txt。

例如，若要將程序清單儲存為文字檔，而非顯示在螢幕上，請如圖重定向輸出：

processes > output.txt

查看指令日誌

選擇 「指令日誌 」標籤，查看該裝置在會話中使用的指令。 每個指令都會被完整追蹤，例如：

  • ID
  • 命令列
  • 持續時間
  • 狀態與輸入或輸出側邊欄

限制

以下限制適用於即時回應會話與指令。

  • 即時回應會議一次限制為50場即時回應。

  • 即時回應工作階段的閒置逾時值為 30 分鐘。

  • 個別即時回應指令的時間限制為 10 分鐘，唯獨 getfile、 findfile、 run和 的限制為 30 分鐘。

  • 使用者最多可啟動五個並行會話。

  • 裝置一次只能在一個工作階段中。

  • 以下檔案大小限制適用：

    • getfile 限制：3 GB
    • fileinfo 限制：30 GB
    • library 限制：250 MB

    附註

    getfile 操作的成功完成取決於檔案大小與可用的網路吞吐量。
    在低頻寬環境中，即使檔案大小在支援的大小限制內，檔案傳輸也可能無法在達到指令逾時之前完成。
    如有需要，將大型檔案拆分成較小部分並分別下載。

相關文章

更多範例請參見以下文章。

  • 上次更新時間：