Sonstige Ressourcen

Versionshinweise

Video-Tutorial

Support-Wissensdatenbank
(Anmeldung erforderlich)

Übersicht zu Tanium Interact

Sie verwenden Tanium Interact, um Fragen an verwaltete Endpunkte auszugeben, deren Antworten zu analysieren und basierend auf den Antworten Aktionen an die Endpunkte zu verteilen. Obwohl als Teil der Tanium Core Platform lizenziert, ist Interact ein Tanium-Modul, sodass Sie es getrennt von der Tanium Console und dem Tanium Server aktualisieren können.

Was ist eine Frage?

Eine Tanium-Frage ist eine Anfrage, die Sie vom Tanium Server an verwaltete Endpunkte ausgeben. Eine dynamische Frage ist eine Frage, die Sie über die Funktionen Ask a Question (Frage stellen) oder Question Builder (Fragenersteller) in Interact erstellen und ausgeben. Eine gespeicherte Frage ist ein Konfigurationsobjekt, das es Ihnen ermöglicht, eine Frage erneut auszugeben, ohne sie über diese Funktionen neu erstellen zu müssen.

Die Funktion Ask a Question (Frage stellen) ist auf einem Parser für natürliche Sprachen aufgebaut, der es Ihnen ermöglicht, mit natürlichen Fragen anstatt mit einer speziellen Abfragesprache zu beginnen. Sie müssen keine Fragen als vollständige Sätze oder besonders gut formulierte Anfragen eingeben. Wortformulare haben keine Groß- und Kleinschreibung und können sogar Schreibfehler enthalten. Der Parser interpretiert Ihre Eingabe und schlägt eine Reihe gültiger Abfragen vor, die Sie verwenden können, um die Frage zu formalisieren, die an Tanium Clients gesendet wird. Interact bietet die Funktion Ask a Question (Frage stellen) als Texteingabefeld in der Question Bar (Fragebalken) oben auf der Interact-Homepage der Seite Interact Content (Interact-Inhalt).

Die folgende Abbildung zeigt ein Beispiel dafür, wie die Eingabe natürlicher Sprachen in vorgeschlagene Abfragen analysiert wird. Zuerst gibt der Benutzer das Fragment last logged in user (zuletzt angemeldeter Benutzer) ein und klickt auf Search (Suchen). Als Antwort gibt Interact eine Liste von Abfragen zurück, die in gültiger Syntax ausgeführt wurden.

Abbildung 1:  Parser für natürliche Sprachen

Fragen besitzen eine Get-Klausel, die die abzurufenden Informationen festlegt, und eine Auswahlbedingung, die die Ziel-Endpunkte festlegt. Grundlegende Fragen umfassen Folgendes:

  • Einen oder mehrere Sensornamen [wie Last Logged In User (Zuletzt angemeldeter Benutzer)] in der Get-Klausel
  • From all machines (Von allen Computern) (alle Endpunkte, die den Tanium Client hosten) in der Auswahlbedingung

Zu den erweiterten Fragen gehören Filterklauseln und parametrisierte Sensoren.

Für die Schritte zur Ausgabe von Fragen und Anzeige des Fragenverlaufs siehe Fragen stellen Weitere Informationen zur Fragensyntax finden Sie unter Referenz: Beispielfragen und Referenz: Erweiterte Fragensyntax.

Was ist ein Sensor?

Ein Sensor ist ein Skript, das auf einem Endpunkt ausgeführt wird, um eine Antwort auf eine Tanium-Frage zu berechnen. Der Tanium Server verteilt während der Registrierung des Tanium Client Sensoren an Endpunkte. Sensoren ermöglichen es Ihnen, Fragen zu stellen, die Informationen wie die folgenden sammeln:

  • Hardware- und Softwarebestand und -konfiguration
  • Ausführen von Anwendungen und Prozessen
  • Dateien und Verzeichnisse
  • Netzwerkverbindung

Der Installationsprozess für den Tanium Server importiert automatisch das Standard-Inhaltspaket, das Sensoren für eine Vielzahl häufig gestellter Fragen enthält. Andere Tanium-Lösungen, die Sie importieren, können weitere Sensoren hinzufügen, je nachdem, welche Tanium-Inhaltspakete oder Tanium-Lösungsmodule Sie importieren. Wenn Sie einen benötigten Sensor nicht in den von Tanium bereitgestellten Inhalten finden, können Sie benutzerdefinierte Sensoren erstellen.

Weitere Informationen finden Sie im Benutzerhandbuch für die Tanium Console: Sensoren verwalten.

Zählfrage und Nicht-Zählfrage

Eine Zählfrage ist eine Frage, die Ergebnisse zurückgibt, in denen es möglich ist, dass eine bestimmte Antwortzeichenkette für mehrere Endpunkte identisch ist. Das Raster Question Results (Fragenergebnisse) enthält die Spalte Count (Anzahl), die anzeigt, wie viele Endpunkte eine gemeinsame Antwort zurückgegeben haben. Eine Zählfrage kann nur einen Sensor haben. Get Tanium Client Logging Level from all machines (Protokollierungsstufe des Tanium Clients von allen Computern abrufen) ist ein Beispiel für eine Zählfrage mit einem Sensor, der den Wert der Einstellung LogVerbosityLevel (ProtokollAusführlichkeitsStufe) zurückgibt. Wenn ein Endpunkt dazu aufgefordert wird, seine Antwort zur Antwortnachricht hinzuzufügen, erhöht er die Anzahl der Antworten, die mit seinem Wert übereinstimmen. Der Tanium Server behält eine Tabelle mit Antwortzeichenketten. In vielen Fällen, wie z. B. der Protokollierungsstufe, geben viele Endpunkte nur einige allgemeine Antworten zurück, sodass die Frage einen relativ geringen Platzbedarf auf dem Tanium Server hat.

Abbildung 2:  Zählfrage

Eine Nicht-Zählfrage enthält Sensoren, die von jedem Endpunkt eine eindeutige Antwort-Zeichenkette zurückgeben. Zum Beispiel gibt Tanium Client-IP-Adresse von allen Maschinen abrufen IP-Adressen zurück, die eindeutig sind. Wenn ein Tanium Client aufgefordert wird, seine Antwort zur Antwortnachricht hinzuzufügen, fügt er eine neue Zeichenkette hinzu. Auf dem Tanium Server kann die Datenmenge für eine Nicht-Zählfrage groß sein.

Abbildung 3:  Nicht-Zählfrage

Um eine Frage mit dem Question Builder (Fragenerstellers) zu erstellen, haben Sie die Möglichkeit, eine Zählfrage in eine Nicht-Zählfrage zu konvertieren, und zwar in Fällen, in denen eine Zählfrage die Antwort zu viele Ergebnisse zurückgibt.

Fragen mit mehreren Sensoren

Wenn Sie eine Frage erstellen, verwenden Sie den AND-Operator in der Get-Klausel, um mehrere Sensoren anzugeben. Die Seite Question Results (Fragenergebnisse) gruppiert Ergebnisse nach dem ersten Sensor, dann nach dem nächsten Sensor und so weiter, wie das folgende Beispiel veranschaulicht.

Abbildung 4:  Frage mit mehreren Sensoren

Fragen mit parametrisierten Sensoren

Ein parameterized sensor (parametrisierter Sensor) verwendet einen Wert, den Sie beim Eingeben der Frage in die Question Bar (Fragebalken) oder in den Question Builder (Fragenersteller) angeben. Das folgende Beispiel zeigt den Sensor File exists (Datei vorhanden). Die Tanium Console fordert Sie auf, einen Dateipfad und Dateinamen anzugeben.

Abbildung 5:  Parametrisierter Sensor File exists (Datei vorhanden)

Ein weiteres Beispiel ist der Sensor für High CPU Processes (Prozesse mit hoher Auslastung der Zentraleinheit) (Central Processing Unit, CPU). Sie können einen Parameter angeben, der die Anzahl der CPU-Prozesse darstellt, die von jedem Gerät zurückgegeben werden sollen. Beispielsweise möchten Sie vielleicht die Top-5-Prozesse mit der höchsten CPU-Auslastung abfragen. Die Frage hat die folgende Syntax:

Prozesse mit hoher CPU-Auslastung[5] von allen Maschinen abrufen

Bei Sensoren mit mehreren Parametern können Sie eine durch ein Komma getrennte, geordnete Liste angeben. Um beispielsweise die ersten 10 Zeilen aus dem Aktionsprotokoll für die Aktion mit der ID 1 anzuzeigen, geben Sie eine Parameterliste wie folgt an:

Tanium-Aktionsprotokoll [1,10]von allen Maschinen abrufen

Fragen mit Filtern

Sie können Filter verwenden, um Fragen zu erstellen, die weniger Endpunkte als all Machines (alle Computer) anvisieren. Die folgende erweiterte Frage visiert beispielsweise Endpunkte an, die über einen bestimmten Prozessnamen oder Wert verfügen.

Abbildung 6:  Fragenfilter

Die linke Seite (Get-Klausel) ist eine vollständige und gültige Abfrage; die rechte Seite enthält einen Filter: den Ausdruck from all machines with (von allen Computern mit).  Filter in der Auswahlbedingung sind der erste Teil einer Frage, die ein Endpunkt verarbeitet. Wenn die Endpunktdaten nicht mit dem Filter übereinstimmen, verarbeitet der Endpunkt die Frage nicht weiter. Wenn die Frage mehrere Filter enthält, wertet der Endpunkt jeden Filter aus. Der Filterausdruck muss zu einem Booleschen True (Wahr) oder False (Falsch) ausgewertet werden. Zum Beispiel wird der Ausdruck bei laufenden Prozessen ist das Erkunden enthalten als wahr ausgewertet, wenn die angegebene Zeichenkette mit der Ergebniszeichenkette übereinstimmt oder als falsch, wenn dies nicht der Fall ist. Wenn ein Filter als True (Wahr) ausgewertet wird, führt der Endpunkt die Sensoren auf der linken Seite der Frage aus und gibt die Ergebnisse zurück.

Ein parametrisierter Sensor wie File Exists[] (Datei vorhanden[]) gibt die Zeichenkette File exists: Filename (Datei vorhanden: Dateiname) oder File does not exist (Datei nicht vorhanden) zurück, daher müssen Sie darauf achten, wie Sie den Sensor in einen Filterausdruck eingeben.

Abbildung 7:  Beispiel: Frage mit parametrisiertem Sensor

Der Filterausdruck with File Exists (bei Datei vorhanden)["C:\Program Files\PuTTY\putty.exe"] enthält "Exists" (Vorhanden) wird als True (Wahr) ausgewertet, wenn das Ergebnis lautet: File Exists: (Datei vorhanden:) C:\Program Files\PuTTY\putty.exe, und als False (Falsch), wenn das Ergebnis File does not exist (Datei nicht vorhanden) lautet, also können Sie ihn verwenden, um den Antwortsatz zu filtern.

Abbildung 8:  Beispiel: Filter mit parametrisiertem Sensor

Filterausdrücke können Zeichenketten oder regulären Ausdrücke entsprechen. Die folgende Tabelle beschreibt die unterstützten Filteroperatoren, wie sie beim Verwenden des Fragenerstellers erscheinen. Die Tabelle beschreibt auch, wie einige Operatoren normalisiert werden, nachdem Sie sie aus dem Fragenersteller geladen oder die Ausdrücke in den Fragebalken eingeben haben.

Tabelle 1:   Filteroperatoren
Filteroperator Nutzung
enthält Der Sensorwert enthält die angegebene Zeichenkette.

Beispiel: laufende Prozesse enthalten Explore (Erkunden)

enthalten nicht Der Sensorwert enthält nicht die angegebene Zeichenkette.
beginnt mit Der Sensorwert beginnt mit der angegebenen Zeichenkette.

Beispiel: beginnt mit Explore (Erkunden)

beginnt nicht mit Sensorwert beginnt nicht mit der angegebenen Zeichenkette.
endet mit Der Sensorwert endet mit der angegebenen Zeichenkette.

Beispiel: endet mit „explore.exe“

endet nicht mit Der Sensorwert endet nicht mit der angegebenen Zeichenkette.
stimmt überein Der Sensorwert stimmt mit dem angegebenen regulären Ausdruck (in Boost-Syntax) überein.
stimmt nicht überein Der Sensorwert stimmt nicht mit dem angegebenen regulären Ausdruck überein.
in Der Sensorwert stimmt mit einer der angegebenen Zeichenketten überein. Verwenden Sie Kommas ohne Leerzeichen, um die Zeichenketten zu trennen. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken den Operator ist gleich und oder anstelle von in.

Beispiel: Der Filter in „10.10.10.10,10.10.10.11“ im Fragenersteller wird zu IP-Adresse entspricht 10.10.10.10 oder IP-Adresse gleich 10.10.10.11, wenn Sie die Frage laden.

entspricht Der Sensorwert entspricht dem angegebenen Wert oder der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken den Operator ist gleich anstelle von entspricht.
ist nicht gleich Der Sensorwert entspricht nicht dem angegebenen Wert oder der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken den Operator ist nicht gleich anstelle von entspricht nicht.
kleiner als Der Sensorwert ist kleiner als der angegebene Wert. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken ein Symbol (<) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] <12

ist kleiner als oder gleich Der Sensorwert ist kleiner als oder gleich der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken Symbole (<=) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] <= 12

ist größer als Der Sensorwert ist größer als der angegebene Wert. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken ein Symbol (>) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] >12

ist größer als oder gleich Der Sensorwert ist größer als oder gleich der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken Symbole (>=) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] >= 12

Siehe Referenz: Erweiterte Fragensyntax für Beispiele komplexer Filterausdrücke, einschließlich Fragen mit mehrspaltigen Sensoren.

Fragenablauf

Wenn Sie eine dynamische oder gespeicherte Frage ausgeben, weist der Tanium Server der Frage eine Frage-ID zu. Die Frage-ID wird im URL-Feld Ihres Webbrowsers angezeigt. Nach 10 Minuten verfällt die Frage-ID und ihre URL wird ungültig. Das bedeutet, dass Sie die Seite nur innerhalb dieses 10-Minuten-Zeitraums aktualisieren oder den Link freigeben können.

Abbildung 9:  Frage-ID

Wenn Sie nach 10 Minuten die URL aufrufen, zeigt Interact die Meldung Question Expired (Frage abgelaufen) an und gibt Ihnen die Möglichkeit, den Fragetext in die Question Bar (Fragebalken) zu kopieren, sodass Sie ihn neu ausgeben können.

Abbildung 10:  Nachricht Question Expired (Frage abgelaufen)

Gespeicherte Fragen

Gespeicherte Fragen sind Fragen, die Sie erneut ausgeben können, ohne sie in der Question Bar (Fragebalken) von Interact neu erstellen zu müssen. Es handelt sich um Konfigurationsobjekte, für die Sie Neuausgabe-Intervalle, Zugriffsberechtigungen, zugehörige Aktionen und andere Einstellungen festlegen können. Sie können gespeicherte Fragen manuell oder basierend auf einem Zeitplan ausgeben. Sie können gespeicherte Fragen auch über Tanium-Module oder über benutzerdefinierte Anwendungen ausgeben, die die Tanium-XML-API verwenden. Sie können beispielsweise Tanium™ Connect verwenden, um eine gespeicherte Frage periodisch auszugeben und die Ergebnisse an einen externen Server zu senden. Sie erstellen gespeicherte Fragen, indem Sie eine dynamische Frage über die Question Bar (Fragebalken) ausgeben und sie speichern. Tanium-Module und Inhaltspakete, die Sie importieren, enthalten ebenfalls vordefinierte gespeicherte Fragen. Das Interact-Modul organisiert gespeicherte Fragen in Übersichtsseiten und Übersichtsseiten in Kategorien. Jede Kategorie, Übersichtsseite und gespeicherte Frage ist einem Inhaltsset zugewiesen.

Dashboard

Eine Übersichtsseite ist eine Gruppe von gespeicherten Fragen, die in Bezug auf die Informationen, die sie von Endpunkten abrufen, miteinander verwandt sind. Beispiel: Die vordefinierte Übersichtsseite Hardware Inventory (Hardware-Bestand) enthält Fragen, die CPU-, Festplatten-, Speicher- und BIOS-Informationen abrufen. Sie können alle Fragen in einer Übersichtsseite gleichzeitig ausgeben.

Category

Eine Kategorie ist eine Gruppe aus Übersichtsseiten. Sie dient als Schirmbegriff für Fragen, die Sie für einen bestimmten Zweck verwenden. Beispielsweise umfasst die Kategorie Security (Sicherheit) die Übersichtsseiten Data Leakage (Datenlecks), Wireless Network Security (Drahtlosnetzwerksicherheit) und USB Device Security (USB-Gerätesicherheit), die alle sicherheitsbezogenen Fragen enthalten.

Inhaltsset

Ein content set (Inhaltsset) ist eine Gruppe aus gespeicherten Fragen, Übersichtsseiten, Kategorien und anderen Inhalten, auf die Sie Benutzerrollenberechtigungen anwenden, um den Zugriff zu steuern. Tanium enthält im Standard-Inhaltspaket und in den Tanium-Modulen mehrere vordefinierte Inhaltssets. Sie können auch benutzerdefinierte Inhaltssets erstellen. Einzelheiten und verwandte Aufgaben finden Sie unter Verwalten von Inhaltssets.

Fragenergebnisse

Nachdem Sie Tanium Interact verwendet haben, um eine dynamische Frage auszugeben, öffnet sich die Seite Question Results (Fragenergebnisse) und zeigt ein Raster mit den Antworten (Ergebnissen) von Endpunkten an. Die Seite erleichtert die Analyse der Ergebnisse, indem sie Anzeigeoptionen wie Live-Aktualisierungen, Filter und Diagramme bereitstellt. Einzelheiten und zugehörige Verfahren finden Sie unter Verwalten von Fragenergebnissen.

Actions

Nachdem Sie Tanium Interact verwendet haben, um eine Frage auszugeben, die Fragenergebnisse zu analysieren und zu bestimmen, welche Endpunkte administrative Aktionen erfordern, können Sie ein Paket an diese Endpunkte verteilen, sodass der Tanium Client die zugehörige Aktion ausführen kann. Für das Verfahren hierzu siehe Bereitstellen von Aktionen.