オンデマンドでワークロードのフォレンジックバックアップを実行

EDRでは、攻撃に関する調査の一環として、監査やさらなる調査のためにオンデマンドでフォレンジックバックアップを実行できます。

フォレンジックバックアップを実行するには

サイバーキルチェーンで、フォレンジックバックアップを実行したいワークロードのノードをクリックします。
表示されたサイドバーで、[対応操作] タブをクリックします。
[調査] セクションで、[フォレンジックバックアップ] をクリックします。
（オプション）[バックアップ名] フィールドで、編集アイコンをクリックしてバックアップ名を編集します。
[フォレンジックオプション] フィールドで、表示されたリンクをクリックします。表示されたフォレンジックオプションダイアログで、以下のいずれかを選択します:
- Rawメモリダンプを収集
- カーネルメモリダンプを収集
また、[動作中のプロセスのスナップショット] チェックボックスを選択すると、バックアップを開始した瞬間に実行中のプロセスの情報を追加できます。この情報は、バックアップイメージに保存されます。
[保存] をクリックして、フォレンジックオプションダイアログを閉じます。
[バックアップ先] フィールドで、表示されたリンクをクリックし、バックアップのロケーションを定義します。
（オプション）暗号化を有効にするには [暗号化] オプションをクリックしてください。表示されたダイアログで、暗号化バックアップのパスワードを入力し、関連する暗号化アルゴリズムを選択します。
コメントを追加します。
このコメントは、[アクションの履歴]タブ（特定のノードの場合）または[インシデントアクティビティ]タブ（インシデント全体の場合）に表示され、後でインシデントを再確認したときに、なぜそのアクションを実行したのかをあなたや同僚が思い出すのに役立ちます。
[実行] をクリックします。
フォレンジックバックアップが開始されます。このアクションは、[アクションの履歴]タブ（特定のノードの場合）および[インシデントアクティビティ]タブ（インシデント全体の場合）でも確認できます。詳細については、インシデントを軽減するために実行される操作を理解するを参照してください。