Live Discover

透過 Live Discover，您可檢查 Sophos Central 管理的裝置、尋找威脅跡象或評估合規性。

您可以使用 Live Discover 查詢搜尋其他 Sophos 功能未偵測到的具有威脅跡象的裝置。例如：

• 對登錄的異常變更。
• 失敗的驗證。
• 運行的進程極少運行。

如果 Sophos Central 在其他地方發現威脅，或者使用者報告了其裝置上的可疑行爲，則您也可以搜尋裝置以查找可疑威脅或已知威脅的跡象。

您也可以檢查每個裝置的合規性。例如，您可以搜尋具有不安全設定的過期軟體或瀏覽器。

本頁說明如何使用 Live Discover。您也可以透過完成 Sophos XDR 訓練來瞭解它。

您可以使用 Sophos 社群共用查詢或調整查詢。請參閱 Live Discover 查詢論壇。

您可以按如下方式取得支援：

• 如果 Sophos 預定義查詢不起作用，Sophos 支援人員可以幫助確保資料從裝置上載到 Sophos Data Lake。
• 如果您需要有關自訂查詢的說明，請參閱 Live Discover 查詢論壇，或聯絡 Sophos 專業服務。

查詢的運作方式

我們提供了一系列查詢，供您用於檢查裝置。您可以依原樣使用它們，也可以編輯它們（您需要熟悉 osquery 或 SQL）。您也可建立查詢。

您可以執行查詢，從不同來源取得資訊：

• 端點查詢從目前連線的裝置獲取最新資訊。
• Data Lake 查詢可從裝置定期向其上傳資料的 Data Lake 取得資訊。

若要開始使用，請檢查您是否可以從您要查詢的資源處取得資料。若要瞭解如何從裝置處取得資料，請遵循下列指示。

然後按照後面幾節中的說明設定和運執行查詢。

從裝置獲取資料

如果要使用Data Lake查詢，請確保您的裝置可以將資料上傳到Data Lake。

預設情況下，執行端點 保護或伺服器保護的裝置會啟用Data Lake上傳功能。若要檢查此設置，請按以下步驟操作：

1. 前往「我的產品」 > “端點”（或伺服器）。
2. 按一下原則。
3. 點選資料收集和調查原則。
4. 請確保已啟用“上傳至Data Lake”功能。

您可以從Sophos Mobile 上傳資料。請參見 啟用Sophos Mobile的上傳功能。

您也可以上傳來自其他Sophos產品或第三方安全產品的資料。為此，需要將它們與Sophos Central整合。有關您可以整合的產品列表，請參閱產品。

選取查詢

若要選取預先準備好的查詢，請執行以下操作：

1. 轉至 威脅分析中心 並按一下 Live Discover。

2. 在 Live Discover 中，開啟查询部分（如果尚未開啟）。

   設計工具模式可讓您編輯或建立查詢。如果您使用我們預先準備好的查詢，則不需要開啟。

   

3. 預設情況下，您會看到 所有查詢 索引標籤。如果您願意，可以選擇您想要查詢類型的選項索引標籤。

   • 端點查詢。這些查詢從已連接的端點取得最新資料。
   • Data Lake 查詢。這些查詢從Data Lake取得數據，端點會定期將資料上傳到資料湖。

   您會看到可用的 類別。

   

4. 選擇您要使用的類別。這會顯示該類別中的查詢清單。

   系統影響會基於最近使用情況指示查詢對裝置效能的影響。

   

5. 如果您要精簡清單，請篩選或搜尋查詢。

6. 按一下您要執行的查詢。這將顯示查詢的詳細資料，包括支援的作業系統和效能資料。

7. （可選）如果您選擇了Data Lake查詢，請按一下箭頭以開啟「選擇時段」 ，然後選擇要查詢的時間段。預設值為過去 7 天。

   此選項並非排程。它用於指定查詢執行的過往資料量，而非執行的頻率。您可以使用此選項來避免產生過多資料。

   注意

   查詢只能運行在 30 天或更短的時間段內。若要查詢更長時間段的數據，請建立多個查詢。例如，對於 90 天，分別建立過去 0-30 天、31-60 天和 61-90 天的查詢。

   有些查詢（包括端點查詢）還允許您在其變數中指定時間段。例如，對事件日誌執行查詢。

   

如果選擇了端點查詢，請選擇要查詢的裝置。

如果選擇了 Data Lake 查詢，就可準備執行或排程查詢。請參閱「執行查詢」。

選取要查詢的裝置

如果選取了端點查詢，請選取要查詢的裝置。

如果選擇了 Data Lake 查詢，則始終包括所有裝置。跳過此部分。

1. 在 Live Discover 中，請開啟 裝置選擇器。

   可用裝置 將顯示由 Sophos Central 管理的所有電腦和伺服器。

   

2. 在 可用裝置 下，篩選顯示的裝置。例如，您可能想要查詢具有特定作業系統的裝置。按一下 应用。

   您不需要輸入完全相符的項目，而且篩選器不區分大小寫。

   

3. 選取要查詢的裝置，然後按一下 更新所選裝置清單。

   這會將裝置新增到 選取的裝置 索引標籤上的清單中，您可以在該清單中輕鬆管理這些裝置。

   

4. 可選：如果要進一步精簡清單，您可以篩選選定的裝置或取消選取裝置。若要執行此操作，按一下 選取的裝置，並依照以下步驟操作。

   • 按一下 顯示篩選器。篩選選定裝置。
   • 取消選取裝置，然後按一下 更新所選裝置清單。

執行查詢

完成查詢設定之後，即可執行查詢。

您最多可以在裝置上同時執行四個查詢。

若要執行查詢，請執行以下操作。

1. 在頁面 Live Discover 底部，按一下 執行查詢。

   

2. 如果您之前沒有執行查詢，會出現訊息，建議您在一台裝置上執行查詢以進行測試。返回以編輯選定的裝置，或按一下 執行查詢 以繼續。

   

3. 當查詢停止執行時，您會看到查詢結果面板。其顯示：

   • 每台裝置找到的項目。
   • 您可以根據結果中的項目建立新的查詢或動作。按一下省略符號圖示查看選項。
   • 裝置遙測（結果下方）。這是查詢速度及其產生多少資料的相關資訊。請參閱 “Live Discover 遙測“。

   

   您將看到進程的 Sophos PID。這是唯一的進程 ID。我們絕不會重複使用它，因此基於它的查詢不會獲得較舊進程的不想要結果。

您可以排程某些查詢以在設定的時間執行（僅限 Data Lake 查詢）。請參見 排定的查詢。

若要進一步分析，您可以根據結果執行查詢。請參閱“使用樞紐分析查詢、豐富內容和動作“。

使用樞紐分析查詢、豐富內容和動作

您可以使用查詢結果作為針對潛在威脅的其他查詢的基礎。

在結果表中，某些項目旁邊會顯示省略符號圖示。

按一下圖示查看可用的動作：

• 查询。這些「樞紐分析查詢」可讓您根據選取的項目快速執行新的查詢。有關如何使用它們的範例，請參見"樞紐分析查詢"。
• 擴充。這些開放式網站（如 VirusTotal）可查找您發現的潛在威脅。如果 SophosLabs Intelix 報告可用，它們也可以打開這些報告。請參見 Intelix 報告。
• 動作。這些功能可提供進一步的偵測或補救。例如，您可以提出威脅圖表來深入分析事件，或啟動 Live Response 來存取及調查電腦。

您可以自訂某些樞紐分析設定。請參見 擴充。