取證快照

法證快照捕捉裝置上的最近活動。

當我們偵測到威脅時，會在裝置上自動建立快照，並用以建立威脅圖，顯示攻擊是如何發展的。

您也可以根據需求建立法證快照，進行自己的分析。

該頁面將引導您如何進行以下操作：

• 建立鑑識快照。
• 建立鑑識快照。
• 為取證快照設定時期。

您還可以執行以下動作：

• 轉換快照以便進行分析。請參閱 轉換取證快照。
• 將取證快照上傳至 AWS SW3 桶請參閱 將取證快照上傳至 AWS S3 桶。

已建立取證快照

您可以從Sophos Central中的設備詳細信息或從威脅圖中創建法證快照。

從裝置詳細資訊建立快照

從設備詳細資訊中建立快照，請按照以下步驟進行：

1. 在 Sophos Central 中，移至 我的環境 > 電腦與伺服器。
2. 請點擊您要生成快照的裝置名稱。
3. 在裝置詳細資料頁面的摘要標籤上，點擊更多操作，並選擇建立法證快照。
4. 在 建立鑑識快照 中，點擊 立即建立。

預設情況下，在%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\中建立快照。

或者，您可以將快照上傳至 S3 存儲桶。請參閱 將取證快照上傳至 AWS S3 桶。

您必須將快照轉換為一種能讓您進行分析的格式。請參閱 轉換取證快照。

從威脅圖表中建立快照

要從威脅圖表創建快照，請按照以下步驟操作：

1. 在 Sophos Central 中，移至威脅分析中心 > 威脅圖表。
2. 選擇與您想要生成快照的設備相關的偵測到的威脅。
3. 在威脅圖中，請點擊位於檔案表格下方的建立鑑識快照。

預設情況下，快照會在%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\中建立。

或者，您可以將快照上傳到 S3 存儲桶。請參閱 將取證快照上傳至 AWS S3 桶。

您必須將您的快照轉換為可供分析的格式。請參閱 轉換取證快照。

建立鑑識快照。

您可以在設備上訪問取證快照。

預設情況下，您建立的快照位於%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Forensic Snapshots\中。

我們自動基於偵測所建立的快照位於%PROGRAMDATA%\Sophos\Endpoint Defense\Data\Saved Data\中。

為取證快照設定時期

預設情況下，快照包含前兩週的資料。

您可以更改時間範圍，或選擇包括所有可用數據，如下所示：

1. 按一下「一般設定」圖示。
2. 在通用下，點擊取證快照。
3. 在 設定法醫快照的時間範圍 中，選擇一個時間範圍或 所有日誌資料。

將取證快照上傳至 AWS S3 桶

開啟 將取證快照上傳至 AWS S3 桶。這使您可以輕鬆存取中心位置的快照，而不用前往每台電腦。

有關如何設定 AWS S3 貯體以便上傳快照的完整詳細資料，請參見 將取證快照上傳至 AWS S3 桶。