Поделиться через

Сбор журналов поддержки в Microsoft Defender для конечной точки с помощью динамического ответа

  • Статья

Область применения:

Хотите попробовать Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

При обращении в службу поддержки может потребоваться предоставить выходной пакет средства Microsoft Defender для конечной точки клиентского анализатора.

В этой статье содержатся инструкции по запуску средства с помощью Live Response на компьютерах с Windows и Linux.

Windows

  1. Скачайте и извлеките необходимые скрипты, доступные в подкаталоге Сервис клиентского анализатора Microsoft Defender для конечной точки.

    Например, чтобы получить базовые журналы работоспособности датчиков и устройств, извлеките ..\Tools\MDELiveAnalyzer.ps1.

  2. Инициируйте сеанс динамического реагирования на компьютере, который необходимо исследовать.

  3. Выберите Отправить файл в библиотеку.

    Файл отправки

  4. Выберите Выбрать файл.

    Кнопка выбора файла-1

  5. Выберите скачанный файл с именем MDELiveAnalyzer.ps1, а затем выберите Подтвердить.

    Кнопка выбора файла-2

    Повторите этот шаг для MDEClientAnalyzerPreview.zip файла.

  6. Оставаясь в сеансе LiveResponse, используйте следующие команды, чтобы запустить анализатор и собрать полученный файл.

    Putfile MDEClientAnalyzerPreview.zip
Run MDELiveAnalyzer.ps1
GetFile "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Downloads\MDECA\MDEClientAnalyzerResult.zip"

    Изображение команд.

Дополнительные сведения

Linux

Средство анализатора клиента XMDE можно скачать в виде двоичного пакета или пакета Python , который можно извлечь и выполнить на компьютерах Linux. Обе версии анализатора клиента XMDE могут выполняться во время сеанса динамического ответа.

Предварительные условия

  • Для установки unzip требуется пакет.

  • Для выполнения acl требуется пакет.

Важно!

Окно использует невидимые символы возврата каретки и канала строки для представления конца одной строки и начала новой строки в файле, но системы Linux используют только невидимый символ канала строки в конце строк файла. При использовании следующих скриптов эта разница может привести к ошибкам и сбоям выполняемых скриптов. Потенциальное решение заключается в использовании подсистема Windows для Linux и dos2unix пакета для переформатировать скрипт так, чтобы он соответствовал стандарту формата Unix и Linux.

Установка клиентского анализатора XMDE

Обе версии анализатора клиента XMDE, двоичный и Python, автономный пакет, который необходимо скачать и извлечь перед выполнением, и полный набор шагов для этого процесса можно найти:

Из-за ограниченного количества команд, доступных в Live Response, шаги, описанные в скрипте bash, должны выполняться в скрипте bash, и, разделив часть этих команд, можно запустить сценарий установки один раз, а сценарий выполнения несколько раз.

Важно!

В примерах скриптов предполагается, что компьютер имеет прямой доступ к Интернету и может получить анализатор клиента XMDE от корпорации Майкрософт. Если компьютер не имеет прямого доступа к Интернету, необходимо обновить сценарии установки, чтобы получить анализатор клиента XMDE из расположения, к котором компьютеры могут получить доступ.

Скрипт установки двоичного анализатора клиента

Следующий скрипт выполняет первые шесть шагов для запуска двоичной версии клиентского анализатора. После завершения двоичный файл клиентского анализатора XMDE будет доступен из /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer каталога.

  1. Создайте bash-файл InstallXMDEClientAnalyzer.sh и вставьте в него следующее содержимое.

    #! /usr/bin/bash

echo "Starting Client Analyzer Script. Running As:"
whoami

echo "Getting XMDEClientAnalyzerBinary"
wget --quiet -O /tmp/XMDEClientAnalyzerBinary.zip https://go.microsoft.com/fwlink/?linkid=2297517
echo '9D0552DBBD1693D2E2ED55F36147019CFECFDC009E76BAC4186CF03CD691B469 /tmp/XMDEClientAnalyzerBinary.zip' | sha256sum -c

echo "Unzipping XMDEClientAnalyzerBinary.zip"
unzip -q /tmp/XMDEClientAnalyzerBinary.zip -d /tmp/XMDEClientAnalyzerBinary

echo "Unzipping SupportToolLinuxBinary.zip"
unzip -q /tmp/XMDEClientAnalyzerBinary/SupportToolLinuxBinary.zip -d /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer

echo "MDESupportTool installed at /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"

Скрипт установки клиентского анализатора Python

Следующий скрипт выполняет первые шесть шагов для запуска версии Python клиентского анализатора. После завершения скрипты Python клиентского анализатора XMDE будут доступны из /tmp/XMDEClientAnalyzer каталога.

  1. Создайте bash-файл InstallXMDEClientAnalyzer.sh и вставьте в него следующее содержимое.

    #! /usr/bin/bash

echo "Starting Client Analyzer Install Script. Running As:"
whoami

echo "Getting XMDEClientAnalyzer.zip"
wget --quiet -O XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer 
echo '36C2B13AE657456119F3DC2A898FD9D354499A33F65015670CE2CD8A937F3C66 XMDEClientAnalyzer.zip' | sha256sum -c  

echo "Unzipping XMDEClientAnalyzer.zip"
unzip -q XMDEClientAnalyzer.zip -d /tmp/XMDEClientAnalyzer  

echo "Setting execute permissions on mde_support_tool.sh script"
cd /tmp/XMDEClientAnalyzer 
chmod a+x mde_support_tool.sh  

echo "Performing final support tool setup"
./mde_support_tool.sh

Запуск скриптов установки клиентского анализатора

  1. Инициируйте сеанс динамического реагирования на компьютере, который необходимо исследовать.

  2. Выберите Отправить файл в библиотеку.

  3. Выберите Выбрать файл.

  4. Выберите скачанный файл с именем InstallXMDEClientAnalyzer.sh, а затем нажмите кнопку Подтвердить.

  5. Оставаясь в сеансе LiveResponse, используйте следующие команды, чтобы установить анализатор:

    run InstallXMDEClientAnalyzer.sh

Запуск клиентского анализатора XMDE

Live Response не поддерживает запуск клиентского анализатора XMDE или Python напрямую, поэтому требуется скрипт выполнения.

Важно!

В следующих сценариях предполагается, что анализатор клиента XMDE был установлен в том же расположении, что и упомянутые выше скрипты. Если ваша организация решила установить скрипты в другом расположении, то следующие скрипты необходимо обновить в соответствии с выбранным расположением установки вашей организации.

Выполнение скрипта двоичного клиентского анализатора

Двоичный анализатор клиента принимает параметры командной строки для выполнения различных аналитических тестов. Чтобы предоставить аналогичные возможности во время динамического $@ ответа, скрипт выполнения использует переменную bash для передачи всех входных параметров, предоставленных скрипту, в анализатор клиента XMDE.

  1. Создайте bash-файл MDESupportTool.sh и вставьте в него следующее содержимое.

    #! /usr/bin/bash

echo "cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer

echo "Running MDESupportTool"
./MDESupportTool $@

Запуск скрипта клиентского анализатора Python

Клиентский анализатор Python принимает параметры командной строки для выполнения различных аналитических тестов. Чтобы предоставить аналогичные возможности во время динамического $@ ответа, скрипт выполнения использует переменную bash для передачи всех входных параметров, предоставленных скрипту, в анализатор клиента XMDE.

  1. Создайте bash-файл MDESupportTool.sh и вставьте в него следующее содержимое.

    #! /usr/bin/bash  

echo "cd /tmp/XMDEClientAnalyzer"
cd /tmp/XMDEClientAnalyzer 

echo "Running mde_support_tool"
./mde_support_tool.sh $@

Выполнение скрипта клиентского анализатора

Примечание.

Если у вас есть активный сеанс динамического ответа, можно пропустить шаг 1.

  1. Инициируйте сеанс динамического реагирования на компьютере, который необходимо исследовать.

  2. Выберите Отправить файл в библиотеку.

  3. Выберите Выбрать файл.

  4. Выберите скачанный файл с именем MDESupportTool.sh, а затем нажмите кнопку Подтвердить.

  5. Еще в сеансе динамического ответа используйте следующие команды, чтобы запустить анализатор и собрать результирующий файл.

    run MDESupportTool.sh -parameters "--bypass-disclaimer -d"
GetFile "/tmp/your_archive_file_name_here.zip"

См. также

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender для конечной точки Техническое сообщество.