Sensoren verwalten

Übersicht über Sensoren

Ein Sensor ist ein Skript, das auf einem Endpunkt ausgeführt wird, um eine Antwort auf eine Tanium-Frage zu berechnen. Der Tanium Server verteilt während der Registrierung des Tanium Client Sensoren an Endpunkte. Sensoren ermöglichen es Ihnen, Fragen zu stellen, die Informationen wie die folgenden sammeln:

  • Hardware- und Softwarebestand und -konfiguration
  • Ausführen von Anwendungen und Prozessen
  • Dateien und Verzeichnisse
  • Netzwerkverbindung

Der Installationsprozess für den Tanium Server importiert automatisch das Standard-Inhaltspaket, das Sensoren für eine Vielzahl häufig gestellter Fragen enthält. Andere Tanium-Lösungen, die Sie importieren, können weitere Sensoren hinzufügen, je nachdem, welche Tanium-Inhaltspakete oder Tanium-Lösungsmodule Sie importieren. Wenn Sie einen benötigten Sensor nicht in den von Tanium bereitgestellten Inhalten finden, können Sie benutzerdefinierte Sensoren erstellen.

Eine Sensorkonfiguration beinhaltet Einstellungen, Skriptinhalte und Skriptparameter. Sensoren verwenden branchenübliche Skriptsprachen und keine proprietäre Code-Syntax. Die beste Praxis für Sensoren besteht in der Verwendung der Skripting Engine, die auf der größten Anzahl von verwalteten Endpunkten verfügbar ist. Bei Windows-Endpunkten bietet VBScript typischerweise die umfassendste, sofort nutzbare Abdeckung, da es standardmäßig bei jeder Desktop-Version von Microsoft Windows seit Windows 98 und in jeder Windows Server-Version seit Windows NT 4.0 Option Pack installiert ist. Bei MacOs- und Linux-Endpunkten bietet das Shellscript im Allgemeinen die umfassendste sofort nutzbare Abdeckung. Natürlich können Sie Sensoren entwickeln, die eine andere Skriptsprache verwenden, die das Betriebssystem unterstützt (wie PowerShell auf Windows), solange die zugehörige Scripting Engine bereits auf dem Endpunkt vorhanden ist, oder Sie können die Engine auf den Endpunkten bereitstellen und konfigurieren, die sie nicht installiert haben. Sie können die Konfigurationen der reservierten Sensoren von Tanium nicht bearbeiten: Dies sind die Kernsystemsensoren, die Computername, Aktionsstatus, Computer-ID und Download-Status beinhalten.

Für die Rollenberechtigungen, die zur Verwaltung von Sensoren erforderlich sind, siehe Berechtigungen für die Inhaltsverwaltung.

Sensorkonfigurationen und Laufzeitmetriken anzeigen

So zeigen Sie die Sensor-Konfigurationseinstellungen und Laufzeitmetriken an:

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren).

    Damit Sie die Auswirkungen der Sensoren auf die Endpunktressourcen besser bewerten können, werden oben auf der Seite Sensor Runtime Metrics (Sensor-Laufzeitmetriken) angezeigt. Für jeden Laufzeitschwellenwert geben die Metriken die Anzahl der Sensoren an, die sie überschritten haben, die durchschnittliche Laufzeit für diese Sensoren und die maximale Laufzeit für einen dieser Sensoren. Die Metriken insgesamt zeigen die durchschnittlichen und schnellsten Laufzeiten aller Sensoren an. Für Details und Aufgaben im Zusammenhang mit Laufzeitschwellenwerten und -indikatoren siehe Fragen und Sensorschwellenwerte verwalten.

    Unter den Laufzeitmetriken zeigt das Raster die Konfigurationseinstellungen jedes Sensors an.

  2. (Optional) Verwenden Sie das Textfeld über dem Raster, um nach Sensorname zu filtern, oder nutzen Sie die Optionen Filter Results (Ergebnisse filtern), um nach Runtime (Laufzeit)-Schwellenwerten, Content Set (Inhaltsset), Category (Kategorie) (wie z. B. Modul, Tags oder SQL) und Benutzer (Modified by (Geändert von)) zu filtern. Sie können auch auf Sensor Runtime Metrics (Sensor-Laufzeitmetriken) klicken, um das Raster basierend auf Sensoren zu filtern, die die Laufzeitschwellenwerte High (Hoch), Medium (Mittel) oder Low (Niedrig) überschritten haben.

Einen Sensor bearbeiten

Als bewährtes Verfahren bearbeiten Sie keine vordefinierten Sensoren, die über Inhaltspakete von Tanium importiert wurden. Einzelheiten finden Sie unter Tipp 4: Beschränken Sie die Anpassung auf Tanium-Inhalte. Wenden Sie sich an Ihren technischen Account Manager (TAM), wenn das Bearbeiten der von Tanium bereitgestellten Sensoren erforderlich ist. Alternativ können Sie von Tanium bereitgestellte Sensoren klonen (siehe Einen Sensor klonen) und die Kopien bearbeiten. Sie können auch benutzerdefinierte Sensoren bearbeiten, die Sie von Grund auf erstellt haben. So bearbeiten Sie einen Sensor:

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren).
  2. Verwenden Sie die Funktionen für Suche und Spaltensortierung, um den Sensor zu finden, den Sie bearbeiten möchten.
  3. Wählen Sie die Sensorzeile aus, klicken Sie auf Edit (Bearbeiten) und konfigurieren Sie die Einstellungen wie in Tabelle 1 beschrieben.
  4. Speichern Sie Ihre Änderungen.

Sensoren zwischen Inhaltssets verschieben

Sie können nach Bedarf Sensoren zwischen Inhaltssets verschieben, um Änderungen an der Konfiguration der rollenbasierten Zugriffskontrolle (RBAC) in Ihrer Tanium-Bereitstellung vorzunehmen. Sie möchten beispielsweise vielleicht bestimmte Sensoren in ein Inhaltsset verschieben, auf das nur Benutzer mit hohen Privilegien zugreifen können.

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren).
  2. Verwenden Sie die Funktionen für Suche und Spaltensortierung, um den Sensor zu finden, den Sie verschieben möchten.
  3. Wählen Sie die Sensorzeile und dann Move to Content Set (Zu Inhaltsset verschieben) > <content_set_name> aus.

Einen Sensor klonen

Klonen ist nützlich, wenn Sie:

  • Eine modifizierte Version eines vordefinierten Sensors aus einem Inhaltspaket von Tanium erstellen. Verändern Sie den originalen Tanium-Sensor am besten nicht.
  • Erstellen Sie einen neuen Sensor mit Einstellungen, die nur geringfügig von einem vorhandenen Sensor abweichen; dies ist oft einfacher, als einen neuen Sensor von Grund auf zu erstellen.

Führen Sie die folgenden Schritte aus, um einen Sensor zu klonen:

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren).
  2. Verwenden Sie die Funktionen für Suche und Spaltensortierung, um den Sensor zu finden, den Sie klonen möchten.
  3. Wählen Sie die Sensorzeile aus, klicken Sie auf Clone (Klonen), und konfigurieren Sie die Einstellungen wie in Tabelle 1 beschrieben.
  4. Speichern Sie Ihre Änderungen.

Einen Sensor erstellen

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren).
  2. Klicken Sie auf New Sensor (Neuer Sensor) und vervollständigen Sie die Konfiguration wie in Tabelle 1 beschrieben.
  3. Speichern Sie die Konfiguration.
Tabelle 1:   Richtlinien zur Sensorkonfiguration
Settings Richtlinien
"name": Geben Sie einen Konfigurationsnamen an. Der Name wird in Sensorlisten in der Tanium Console angezeigt. Beachten Sie das bestehende Namensschema, damit Sie und andere Administratoren es leicht finden können. Verwenden Sie kein Unterstrich-Zeichen (_), dieses ist ein Trennzeichen für Sensor-Unterspalten. Wenn der Sensorname einen Unterstrich aufweist, können Sensor-Quellpakete den Sensor nicht als Sensorvariable verwenden.

Wichtig: Wenn Sie den Sensornamen ändern, stellen Sie sicher, dass Sie den Inhalt, der darauf verweist, neu konfigurieren. Sie müssen den Sensornamen beispielsweise in allen gespeicherten Fragen aktualisieren, die mit dem vorherigen Namen konfiguriert sind.

Description Geben Sie eine Beschreibung ein. Fügen Sie Beispiele für formatierte Ergebnisse bei. Die Beschreibung erscheint auf der Seite Sensors (Sensoren) und im Dialog Browse Sensors (Sensoren durchsuchen) des Question Builder (Fragensteller).
Inhaltsset Weisen Sie es einem Inhaltsset zu. Die Liste wird mit allen Inhaltssets ausgefüllt, für die Sie die Berechtigung zum Schreiben des Sensors haben.
Category Geben Sie eine der Kategorien an, die auf der Seite Sensors (Sensoren) und im Dialog Browse Sensors (Sensoren durchsuchen) des Question Builder (Fragensteller) erscheint.
Result Type Das Raster Question Results (Fragenergebnisse) behandelt Werte, die der Sensor als Art von Daten zurückgibt, die Sie angeben:
  • Datum/Uhrzeit (RFC822)
  • Datum/Uhrzeit (WMI)
  • Dateigröße
  • Integer
  • IP Address
  • Numerisch
  • Text
  • Dauer
  • Version
Max Age Geben Sie die maximale Zeitspanne ein, für die der Tanium Client ein zwischengespeichertes Ergebnis für diesen Sensor verwenden kann, wenn er Fragen beantwortet, die den Sensor verwenden. Zum Beispiel beträgt das maximale Datenalter für den Sensor File Size (Dateigröße) standardmäßig 15 Minuten. Wenn ein Tanium Client eine Frage empfängt, die den Sensor File Size (Dateigröße) ausführt, wird das Ergebnis zwischengespeichert. Wenn der Tanium Client in den nächsten 15 Minuten eine Frage empfängt, die den Sensor File Size (Dateigröße) enthält, antwortet er mit der zwischengespeicherten Antwort. Nach 15 Minuten, wenn der Tanium Client eine Frage empfängt, die den Sensor File Size (Dateigröße) enthält, führt er das Sensorskript erneut aus, um eine neue Antwort zu berechnen.

Verwenden Sie ein kürzeres Alter für Sensoren, die häufig sich ändernde Werte liefern, wie z. B. Sensoren für Status und Nutzung. Verwenden Sie ein längeres Alter für Werte, die sich nicht häufig ändern, wie z. B. der Gehäusetyp oder die Active Directory Domain-Mitgliedschaft.

Max Strings (Max. Zeichenketten) Wenn Sie die Auswirkungen reduzieren möchten, die Fragenergebnisse auf den Festplattenspeicherplatz des Tanium Servers haben, wählen Sie Enable (Aktivieren) aus, und geben Sie die maximale Anzahl der Antwort-Zeichenketten ein, die der Server für diesen Sensor speichert, bevor er die ältesten Zeichenketten entfernt. Der Server schließt die Anzahl der Zeichenketten für temporäre Sensoren mit ein, wenn er die Anzahl der Zeichenketten für deren Quellsensoren berechnet. Der Standardwert ist 0, was für keine Begrenzung steht. Das Zeichenkettenalter basiert auf dem Zeitpunkt, an dem der Tanium Server die Zeichenkette zuletzt verwendet oder von Tanium Clients empfangen hat.

Wichtig: Bei der Begrenzung des Zeichenkettenwachstums ist es ein bewährtes Verfahren, Max Strings Age (Max. Zeichenkettenalter) statt Max Strings (Max. Zeichenketten) festzulegen (siehe Wachstum von Sensor-Zeichenketten verwalten). In Extremfällen, die eine Begrenzung der Zeichenketten-Anzahl für einzelne Sensoren erfordern können, wenden Sie sich an Ihren technischen Account Manager, bevor Sie die Einstellung Max Strings (Max. Zeichenketten) festlegen.

Max Strings Age (Max. Zeichenkettenalter) Wenn Sie die Auswirkungen reduzieren möchten, die Fragenergebnisse auf den Festplattenspeicherplatz des Tanium Servers haben, wählen Sie Enable (Aktivieren) aus, und geben Sie das maximale Alter an, das Antwort-Zeichenketten erreichen dürfen, bevor der Server sie löscht. Die Standardeinstellung ist eine Woche. Das Zeichenkettenalter basiert auf der Anzahl an Minuten, seit der Tanium Server die Zeichenkette zuletzt verwendet oder von Tanium Clients empfangen hat. Einzelheiten finden Sie unter Wachstum von Sensor-Zeichenketten verwalten.
Ignore case in result values Gruppen- und Zählerergebniswerte unabhängig von Unterschieden in Großbuchstaben und Kleinbuchstaben.
Hide this sensor from sensor lists and parse results Wählen Sie diese Option, wenn Sie Sensorlisten über die Benutzerschnittstelle hinweg anzeigen möchten, um das Objekt auszuschließen.
Split into multiple columns using delimiter (Nur Multispaltensensoren) Wenn das Sensorskript mehrere Ergebnisse zurückgibt, zeigen Sie diese in mehreren Spalten im Raster Question Results (Fragenergebnisse) an. Geben Sie das Trennzeichen an, das verwendet wird, um die Ergebniswerte im Skript zu trennen. Geben Sie Spaltennamen und entsprechende Ergebnistypen ein und ordnen Sie sie in der Reihenfolge an, die Sie im Ergebnisraster anzeigen möchten. Wählen Sie die Option Hide (Ausblenden), um die Spalte aus der Standardansicht des Ergebnisrasters auszublenden. Die folgende Abbildung zeigt die Einstellungen für den Sensor Running Applications (Laufende Anwendungen).

Mehrspalten-Sensoreinstellungen

Hinweis: Beim Erstellen von Fragen, die Mehrspalten-Sensoren filtern, funktioniert eine Einzelspaltenfilterung nur, wenn die Sensordefinition Spaltentrennzeichen mit einem einzelnen Zeichen spezifiziert (z. B. |), und nicht mit mehreren Zeichen (z. B. |:).

Skript Für jede Zielplattform:
  1. Klicken Sie auf +, um eine Zielplattform hinzuzufügen.
  2. Stellen Sie den Query Type (Abfragetyp) auf die gewünschten Scripting Engine ein.
  3. Fügen Sie den Skripttext ein.
Parametereingaben (Nur parametrisierte Sensoren) Klicken Sie auf + und anschließend auf Add Parameter (Parameter hinzufügen), um einen Parameter zu konfigurieren. Optionen umfassen:
  • Kontrollkästchen – Der Benutzer aktiviert eine Einstellung, indem er ein Kästchen aktiviert. In die Variable wird 0 oder 1 eingegeben. Gibt 1 zurück, wenn aktiviert und 0, wenn nicht aktiviert.
  • Datum, Datum/Uhrzeit, Datum – Zeitspanne – Der Benutzer wählt ein Datum und eine Uhrzeit oder eine Zeitspanne aus. Das Datum/Uhrzeit-Format wird in Millisekunden angegeben. Für einen Bereich gibt der Benutzer zwei Datumsangaben an, die durch ein Pipe-Zeichen getrennt sind.
  • Dropdown-Liste – Der Benutzer wählt nur eine Option aus einer Liste aus.
  • Liste – Der Benutzer wählt einen oder mehrere Werte aus. Mehrere Werte werden durch ein Pipe-Zeichen getrennt.
  • Numerisch – Der Benutzer gibt eine Zahl ein. Die Eingabe kann mit Minimal- und Maximalwerten gesteuert werden. Sie können eine Schrittgröße angeben, um zu verlangen, dass die Eingabe durch den angegebenen Wert teilbar ist. Snap Zeitabstand ist der Betrag, um den eine Zahl durch Drücken der Aufwärts- bzw. Abwärts-Taste erhöht oder verringert wird. Der Wert für Schrittgröße sollte ein Vielfaches des Wertes für Snap Zeitabstand sein, es sei denn, der Snap Zeitabstand ist 0. Die vom Benutzer gewählte Zahl wird in die Variable eingegeben.
  • Numerisches Intervall – Der Benutzer wählt eine Zahl und ein Element aus einer Liste aus. Das Listenelement hat einen numerischen Wert. Der in die Variable eingegebene Wert ist das Ergebnis der Multiplikation. Wenn ein Benutzer beispielsweise eine 2 und „Hoch“ wählt (wobei hoch ein Wert von 3 bedeutet), lautet der Wert in der Variablen 6.
  • Plugin – Nicht für die Verwendung durch die meisten Benutzer bestimmt. Kontaktieren Sie Ihren technischen Account Manager für weitere Informationen über die Verwendung.
  • Trennzeichen – Ein Trennzeichen ist eine grafische Methode, um Abschnitte im Benutzereingabeformular zu trennen.
  • Textbereich – Der Benutzer gibt eine große Menge an Text ein. Der Text wird in die Variable eingegeben.
  • Texteingabe – Der Benutzer gibt Texteingaben ein. Zulässige Einträge können mit regulären Ausdrücken gesteuert werden. Die Benutzereingabe wird in die Variable eingegeben.
  • Zeit – Der Benutzer wählt eine Uhrzeit aus einer Dropdown-Liste aus. Die Eingabe kann Einschränkungen unterliegen.
Sensor Preview Wählen Sie eine Computergruppe aus, oder klicken Sie auf Add (Hinzufügen), um eine zu erstellen, und klicken Sie anschließend auf Preview (Vorschau), um Testergebnisse für den Sensor anzuzeigen.

Eine Sensorkonfiguration importieren oder exportieren

Als beste Praxis entwickeln und testen Sie Inhalte in Ihrer Laborumgebung, bevor Sie sie an Ihre Produktionsserver verteilen. Die Import- und Exportfunktionen der Tanium Console unterstützen diese Praxis.

Spezifische Sensoren exportieren

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren).
  2. Wählen Sie einen oder mehrere Sensoren aus, und klicken Sie auf Exportieren in der Symbolleiste über der Tabellenüberschrift.
  3. Geben Sie einen File Name (Dateinamen) ein oder akzeptieren Sie den Standard, und klicken Sie dann auf OK. Der Tanium Server exportiert die Inhaltsdatei in den Ordner Downloads auf dem System, das Sie verwenden, um auf die Tanium Console zuzugreifen.

Die vollständige Sensorkonfiguration exportieren

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren), und klicken Sie auf Export All (Alle exportieren) in der Tabellenüberschrift.

    Alternativ oder wenn Sie andere Konfigurationsobjekte zusätzlich zu Sensoren exportieren möchten, gehen Sie zu einer beliebigen Seite unter Content (Inhalt) oder Permissions (Berechtigungen), klicken Sie auf Export Content (Inhalt exportieren) oben rechts in der Tanium Console, wählen Sie Sensors (Sensoren) und alle sonstigen Objekttypen aus, wählen Sie dann das Export Format (Exportformat) (JSON oder XML)aus, und klicken Sie auf Export (Exportieren).

  2. Geben Sie einen File Name (Dateinamen) ein oder akzeptieren Sie den Standard, und klicken Sie dann auf OK. Der Tanium Server exportiert die Inhaltsdatei in den Ordner Downloads auf dem System, das Sie verwenden, um auf die Tanium Console zuzugreifen.

Eine Sensorkonfiguration importieren

Sie können Dateien importieren, die im JSON- oder XML-Format vorliegen.

  1. Signieren Sie die Inhaltsdatei digital und stellen Sie sicher, dass ein öffentlicher Schlüssel vorhanden ist, um die Signatur zu validieren, wie unter Authentifizieren von Inhaltsdateien beschrieben.
  2. Gehen Sie zur Seite Content (Inhalt) oder Permissions (Berechtigungen), und klicken Sie auf Import Content (Aus Inhalt importieren) rechts oben auf der Seite.
  3. Klicken Sie auf Choose File (Datei auswählen), suchen Sie die Konfigurationsdatei, und klicken Sie auf Open (Öffnen).
  4. Klicken Sie auf Import (Importieren). Wenn Objektnamen in der Datei identisch sind wie bei bestehenden Objekten, stellt die Tanium Console die Konflikte fest und bietet Lösungsoptionen für jeden einzelnen.
  5. Wählen Sie Lösungen für mögliche Konflikte aus. Anleitungen finden Sie unter Conflicts (Konflikte) und Best Practices (Beste Praktiken), oder wenden Sie sich an Ihren technischen Account Manager.
  6. Klicken Sie noch einmal auf Import (Importieren) und dann auf Close (Schließen), wenn der Import abgeschlossen ist.

Sensorquarantänen verwalten

Tanium Client 7.2 oder höher unterstützt Sensorquarantänen, die, wenn sie durchgesetzt werden, verhindern, dass ein Sensor für die aktuelle Frage oder Aktion ausgeführt wird, wenn dieser Sensor während einer vorherigen Frage oder Aktion die Laufzeitgrenze überschritten hat. Die Durchsetzung von Quarantänen ist hilfreich dabei, die Auswirkungen auf Endpunkt-Ressourcen wie CPU-Auslastung zu begrenzen, wenn Fragen und Aktionen übermäßig lang laufende Sensoren verwenden. Der nicht konfigurierbare Zeitablauf ist auf eine Minute eingestellt. Standardmäßig werden Quarantänen nicht durchgesetzt: Nachdem ein Sensor den Zeitablauf überschreitet und seine Ausführung beendet wird, befindet sich der Sensor im Quarantäne-Status, wird aber für zukünftige Fragen oder Aktionen weiterhin ausgeführt, bis er abgeschlossen ist oder den Zeitablauf überschreitet. In diesem Fall verwendet der Tanium Client den Quarantäne-Status nur, um aufzuzeichnen, dass der Sensor den Zeitablauf überschritten hat. Unabhängig davon, ob Sie die Durchsetzung aktivieren, stoppt der Tanium Client jeden Sensor in dem Moment, in dem er den Zeitablauf überschreitet. Sie können die Quarantäne-Durchsetzung für alle Clients über eine globale Einstellung aktivieren oder deaktivieren. Clients agieren jedoch bei der Versetzung von Sensoren in den Quarantäne-Status und bei der Durchsetzung von Quarantänen unabhängig, sodass ein Sensor möglicherweise auf einigen Computern in Quarantäne versetzt wird und auf anderen nicht.

Wenn ein Tanium Client einen Sensor in Quarantäne versetzt, zeigt die Tanium Console die folgende Meldung im Raster Question Results (Fragenergebnisse) an: TSE-Error: Sensor evaluation timed out (TSE-Fehler: Zeitüberschreitung bei Sensorauswertung). Wenn Sie eine Frage ausgeben, die einen bereits in Quarantäne versetzten Sensor verwendet, und die Durchsetzung aktiviert ist, zeigt das Raster Question Results (Fragenergebnisse) Folgendes an: TSE-Error: The sensor is quarantined (TSE-Fehler: Der Sensor befindet sich in Quarantäne). Der Tanium Client fügt Einträge zu den Client-Protokollen und Sensor-Verlaufsprotokollen hinzu, wenn er einen Sensor in Quarantäne versetzt oder einen bereits in Quarantäne versetzten Sensor an der Ausführung hindert.

Wenn temporäre Sensoren den einminütigen Zeitablauf überschreiten, versetzt der Tanium Client den Original-Sensor sowie alle aktuellen und zukünftigen temporären Sensoren, die auf dem Original-Sensor basieren, in Quarantäne.

Wenn die Durchsetzung aktiviert ist, werden in Quarantäne versetzte Sensoren nicht ausgeführt, wenn sie für das Anvisieren von Endpunkten verwendet werden, unabhängig davon, ob die Sensoren in Computergruppen enthalten sind. Jedoch könnten in Quarantäne versetzte Sensoren den Zielbereich einer Frage verzerren, die eine ungenaue Auswahlbedingung enthält, wie z. B. from all machines with Is Windows not equals true (von allen Maschinen mit Ist Windows ist nicht Wahr). In diesem Fall würden Windows-Endpunkte, auf denen der Sensor Is Windows (Ist Windows) in Quarantäne versetzt wurde, die Bedingung not equals true (ist nicht wahr) erfüllen, weil ihre Antwort auf TSE-Error: The sensor is quarantined (TSE-Fehler: Der Sensor wurde in Quarantäne versetzt) statt auf true (wahr) lauten würde. Als bewährte Methode zur Vermeidung solcher Ergebnisse sollten Sie die Zielklausel so konkret wie möglich gestalten und keine negativen Vergleichsbedingungen wie not equals true (ist nicht wahr) verwenden.

Sensoren in Quarantäne anzeigen

Gehen Sie zu Content (Inhalt) > Sensors (Sensoren) > Quarantined Sensors (Sensoren in Quarantäne), um Details zu den Sensoren anzuzeigen, die sich im Quarantäne-Status befinden. Die Seite zeigt dieselben Sensor Runtime Metrics (Sensor-Laufzeitmetriken) und Filteroptionen an wie die Seite Sensor Management (Sensorverwaltung) (siehe Sensorkonfigurationen und Laufzeitmetriken anzeigen).

Einen Sensor zur Quarantäne hinzufügen

Sie können einen Sensor auf einem Endpunkt manuell in Quarantäne versetzen, wenn Sie erwarten, dass die Ausführung des Sensors den Endpunkt negativ beeinträchtigt.

Die Quarantäne eines Sensors aktiviert nicht automatisch die Durchsetzung der Quarantäne; nur die globale Einstellung EnableSensorQuarantine (SensorQuarantäneAktivieren) steuert die Durchsetzung.

  1. Geben Sie im URL-Feld des Browsers, den Sie für den Zugriff auf die Tanium Console verwenden, https://<Tanium_Server>/hash/<sensor> ein. Für die Variable <Tanium_Server> geben Sie die FQDN oder die IP-Adresse des Tanium Servers ein. Die Variable <sensor> muss in Bezug auf Groß-/Kleinschreibung und Leerzeichen dem Sensornamen entsprechen, den die Tanium Console anzeigt.

    Der Browser zeigt den Hash-Wert an, der dem Sensor zugeordnet ist.

  2. Öffnen Sie das Betriebssystem-CLI auf dem Endpunkt und ändern Sie das Verzeichnis (cd) zum Installationsordner des Tanium Client.
  3. Geben Sie den folgenden Befehl ein:

    TaniumClient quarantine add <sensor_hash>

Sensoren aus der Quarantäne entfernen

Sie können die Tanium Console verwenden, um einen Sensor auf einigen oder allen Endpunkten aus der Quarantäne zu entfernen, wenn Sie das Paket Default Content (Standard-Inhalt [ehemals Initial Content–Base (Anfangsinhalte – Grundlagen)] Version 7.1.10.0000 oder neuer importiert haben (siehe Tanium-Inhaltspakete verwalten). Nachdem Sie einen Sensor aus der Quarantäne entfernt haben, erlaubt der Tanium Client seine Ausführung in nachfolgenden Fragen und Aktionen, wird den Sensor aber erneut beenden und in Quarantäne versetzen, wenn ein Zeitablauf für ihn eintritt.

Wenn Sie einen Sensor ändern, werden Tanium Clients, die seine neue Definition erhalten, diesen Sensor automatisch aus der Quarantäne entfernen.

Der Tanium Server kann Sensoren auf Endpunkten, die offline sind, nicht aus der Quarantäne entfernen. Wenn Sie wissen, dass einige Endpunkte erst zu einem späteren Zeitpunkt online kommen werden, erwägen Sie die Planung einer Aktion, die das Paket Un-Quarantine Sensor (Sensor aus Quarantäne entfernen) oder Un-Quarantine Sensor (Non-Windows) [Sensor aus Quarantäne entfernen (Nicht-Windows)] verwendet (siehe Bereitstellen von Aktionen).

  1. Gehen Sie zu Content (Inhalt) > Sensors (Sensoren) > Quarantined Sensors (Sensoren in Quarantäne).
  2. Wählen Sie die Sensoren aus, und klicken Sie auf Unquarantine (Aus Quarantäne entfernen).
  3. Wählen Sie unter Action Group (Aktionsgruppe) die Aktionsgruppe aus, die die Endpunkte enthält, auf denen Sie die Sensoren aus der Quarantäne entfernen möchten.
  4. Zeigen Sie eine Vorschau der betroffenen Endpunkte an, und klicken Sie dann auf Unquarantine (Aus Quarantäne entfernen).

Durchsetzung von in Quarantäne gestellten Sensoren aktivieren oder deaktivieren

Nachdem Sie die Quarantäne-Durchsetzung aktiviert haben, beantworten Tanium Clients keine Fragen, die Quarantäne-Sensoren verwenden, und diese Sensoren werden für Aktionen nicht ausgeführt. Nachdem Sie die Durchsetzung deaktiviert haben, sehen Clients die Sensoren immer noch als in Quarantäne an und protokollieren Quarantäne-Ereignisse, verhindern jedoch nicht, dass diese Sensoren ausgeführt werden.

Ihr Benutzerkonto muss über eine Rolle mit der Berechtigung Write Global Settings (Globale Einstellungen schreiben) (Micro Admin-Berechtigungen) verfügen, um die Quarantäne-Durchsetzung zu aktivieren oder zu deaktivieren. Benutzer mit der reservierten Administratorrolle verfügen über diese Berechtigung.

Wenn Sie die Durchsetzung zum ersten Mal aktivieren, müssen Sie die Einstellung EnableSensorQuarantine (SensorQuarantäneAktivieren) wie folgt zu den globalen Einstellungen auf dem Tanium Server hinzufügen. Standardmäßig ist die Durchsetzung deaktiviert und die Einstellung wird in der Tanium Console nicht angezeigt. Nachdem Sie die Einstellung hinzugefügt haben, wendet der Tanium Server sie auf alle Tanium Clients an.

  1. Öffnen Sie die Tanium Console, gehen Sie zu Administration (Administration) > Global Settings (Globale Einstellungen), und klicken Sie auf New Setting (Neue Einstellung).
  2. Geben Sie die folgenden Werte ein, und klicken Sie auf Save (Speichern).
    • Setting Name (Name der Einstellung) = EnableSensorQuarantine (SensorQuarantäneAktivieren)
    • Setting Value (Wert der Einstellung) = 1
    • Affects (Betrifft) = Client
    • Value Type (Werttyp) = Numerisch

Führen Sie die folgenden Schritte durch, wenn Sie die Einstellung zur Durchsetzung ändern möchten, nachdem Sie diese zu den globalen Einstellungen hinzugefügt haben:

  1. Gehen Sie zu Administration (Verwaltung) > Global Settings (Globale Einstellungen).
  2. Wählen Sie EnableSensorQuarantine (SensorQuarantäneAktivieren), klicken Sie auf Edit (Bearbeiten), stellen Sie den Wert auf 1 ein, um die Durchsetzung zu aktivieren, oder auf 0, um die Durchsetzung zu deaktivieren, und klicken Sie auf Save (Speichern).

Wenn Sie die Einstellung zur Durchsetzung in bestimmten Tanium Clients statt in allen Clients ändern möchten, fügen Sie die Einstellung EnableSensorQuarantine in der lokalen Konfiguration dieser Clients hinzu oder bearbeiten Sie sie dort (siehe Benutzerhandbuch für den Tanium Client: Einstellungen für den Tanium Client).