Fragen stellen

Wenn Sie Fragen mit Tanium Interact stellen, können Sie Informationen von Endpunkten empfangen. Sie können beispielsweise eine Frage stellen, die bestimmt, ob auf Endpunkten kritische Sicherheits-Patches fehlen. Basierend auf den Fragenergebnissen, die die Endpunkte zurückgeben, können Sie dann Aktionen verteilen, z. B. die Installation von Sicherheits-Patches. Für die Benutzerrollen und Berechtigungen, die erforderlich sind, um Fragen auszugeben, siehe Berechtigungen für Tanium Interact.

Was ist eine Frage?

Eine Tanium-Frage ist eine Anfrage, die Sie vom Tanium Server an verwaltete Endpunkte ausgeben. Eine dynamische Frage ist eine Frage, die Sie über die Funktionen Ask a Question (Frage stellen) oder Question Builder (Fragenersteller) in Interact erstellen und ausgeben. Eine gespeicherte Frage ist ein Konfigurationsobjekt, das es Ihnen ermöglicht, eine Frage erneut auszugeben, ohne sie über diese Funktionen neu erstellen zu müssen.

Die Funktion Ask a Question (Frage stellen) ist auf einem Parser für natürliche Sprachen aufgebaut, der es Ihnen ermöglicht, mit natürlichen Fragen anstatt mit einer speziellen Abfragesprache zu beginnen. Sie müssen keine Fragen als vollständige Sätze oder besonders gut formulierte Anfragen eingeben. Wortformulare haben keine Groß- und Kleinschreibung und können sogar Schreibfehler enthalten. Der Parser interpretiert Ihre Eingabe und schlägt eine Reihe gültiger Abfragen vor, die Sie verwenden können, um die Frage zu formalisieren, die an Tanium Clients gesendet wird. Interact bietet die Funktion Ask a Question (Frage stellen) als Texteingabefeld in der Question Bar (Fragebalken) oben auf der Interact-Homepage der Seite Interact Content (Interact-Inhalt).

Die folgende Abbildung zeigt ein Beispiel dafür, wie die Eingabe natürlicher Sprachen in vorgeschlagene Abfragen analysiert wird. Zuerst gibt der Benutzer das Fragment last logged in user (zuletzt angemeldeter Benutzer) ein und klickt auf Search (Suchen). Als Antwort gibt Interact eine Liste von Abfragen zurück, die in gültiger Syntax ausgeführt wurden.

Abbildung 1:  Parser für natürliche Sprachen

Fragen besitzen eine Get-Klausel, die die abzurufenden Informationen festlegt, und eine Auswahlbedingung, die die Ziel-Endpunkte festlegt. Grundlegende Fragen umfassen Folgendes:

  • Einen oder mehrere Sensornamen [wie Last Logged In User (Zuletzt angemeldeter Benutzer)] in der Get-Klausel
  • From all machines (Von allen Computern) (alle Endpunkte, die den Tanium Client hosten) in der Auswahlbedingung

Zu den erweiterten Fragen gehören Filterklauseln und parametrisierte Sensoren.

Weitere Informationen zur Fragensyntax finden Sie unter Referenz: Beispielfragen und Referenz: Erweiterte Fragensyntax.

Was ist ein Sensor?

Ein Sensor ist ein Skript, das auf einem Endpunkt ausgeführt wird, um eine Antwort auf eine Tanium-Frage zu berechnen. Der Tanium Server verteilt während der Registrierung des Tanium Client Sensoren an Endpunkte. Sensoren ermöglichen es Ihnen, Fragen zu stellen, die Informationen wie die folgenden sammeln:

  • Hardware- und Softwarebestand und -konfiguration
  • Ausführen von Anwendungen und Prozessen
  • Dateien und Verzeichnisse
  • Netzwerkverbindung

Der Installationsprozess für den Tanium Server importiert automatisch das Standard-Inhaltspaket, das Sensoren für eine Vielzahl häufig gestellter Fragen enthält. Andere Tanium-Lösungen, die Sie importieren, können weitere Sensoren hinzufügen, je nachdem, welche Tanium-Inhaltspakete oder Tanium-Lösungsmodule Sie importieren. Wenn Sie einen benötigten Sensor nicht in den von Tanium bereitgestellten Inhalten finden, können Sie benutzerdefinierte Sensoren erstellen.

Weitere Informationen finden Sie unter Sensoren verwalten.

Fragen zählen und nicht zählen

Eine Zählfrage ist eine Frage, die Ergebnisse zurückgibt, in denen es möglich ist, dass eine bestimmte Antwortzeichenkette für mehrere Endpunkte identisch ist. Das Raster Question Results (Fragenergebnisse) enthält die Spalte Count (Anzahl), die anzeigt, wie viele Endpunkte eine gemeinsame Antwort zurückgegeben haben. Eine Zählfrage kann nur einen Sensor haben. Get Tanium Client Logging Level from all machines (Protokollierungsstufe des Tanium Clients von allen Computern abrufen) ist ein Beispiel für eine Zählfrage mit einem Sensor, der den Wert der Einstellung LogVerbosityLevel (ProtokollAusführlichkeitsStufe) zurückgibt. Wenn ein Endpunkt dazu aufgefordert wird, seine Antwort zur Antwortnachricht hinzuzufügen, erhöht er die Anzahl der Antworten, die mit seinem Wert übereinstimmen. Der Tanium Server behält eine Tabelle mit Antwortzeichenketten. In vielen Fällen, wie z. B. der Protokollierungsstufe, geben viele Endpunkte nur einige allgemeine Antworten zurück, sodass die Frage einen relativ geringen Platzbedarf auf dem Tanium Server hat.

Abbildung 2:  Zählfrage

Eine Nicht-Zählfrage enthält Sensoren, die von jedem Endpunkt eine eindeutige Antwort-Zeichenkette zurückgeben. Zum Beispiel gibt Tanium Client-IP-Adresse von allen Maschinen abrufen IP-Adressen zurück, die eindeutig sind. Wenn ein Tanium Client aufgefordert wird, seine Antwort zur Antwortnachricht hinzuzufügen, fügt er eine neue Zeichenkette hinzu. Auf dem Tanium Server kann die Datenmenge für eine Nicht-Zählfrage groß sein.

Abbildung 3:  Nicht-Zählfrage

Um eine Frage mit dem Question Builder (Fragenerstellers) zu erstellen, haben Sie die Möglichkeit, eine Zählfrage in eine Nicht-Zählfrage zu konvertieren, und zwar in Fällen, in denen eine Zählfrage die Antwort zu viele Ergebnisse zurückgibt.

Fragen mit mehreren Sensoren

Wenn Sie eine Frage erstellen, verwenden Sie den AND-Operator in der Get-Klausel, um mehrere Sensoren anzugeben. Die Seite Question Results (Fragenergebnisse) gruppiert Ergebnisse nach dem ersten Sensor, dann nach dem nächsten Sensor und so weiter, wie das folgende Beispiel veranschaulicht.

Abbildung 4:  Frage mit mehreren Sensoren

Fragen mit parametrisierten Sensoren

Ein parameterized sensor (parametrisierter Sensor) verwendet einen Wert, den Sie beim Eingeben der Frage in die Question Bar (Fragebalken) oder in den Question Builder (Fragenersteller) angeben. Das folgende Beispiel zeigt den Sensor File exists (Datei vorhanden). Die Tanium Console fordert Sie auf, einen Dateipfad und Dateinamen anzugeben.

Abbildung 5:  Parametrisierter Sensor File exists (Datei vorhanden)

Ein weiteres Beispiel ist der Sensor für High CPU Processes (Prozesse mit hoher Auslastung der Zentraleinheit) (Central Processing Unit, CPU). Sie können einen Parameter angeben, der die Anzahl der CPU-Prozesse darstellt, die von jedem Gerät zurückgegeben werden sollen. Beispielsweise möchten Sie vielleicht die Top-5-Prozesse mit der höchsten CPU-Auslastung abfragen. Die Frage hat die folgende Syntax:

Prozesse mit hoher CPU-Auslastung[5] von allen Maschinen abrufen

Bei Sensoren mit mehreren Parametern können Sie eine durch ein Komma getrennte, geordnete Liste angeben. Um beispielsweise die ersten 10 Zeilen aus dem Aktionsprotokoll für die Aktion mit der ID 1 anzuzeigen, geben Sie eine Parameterliste wie folgt an:

Tanium-Aktionsprotokoll [1,10]von allen Maschinen abrufen

Fragen mit Filtern

Sie können Filter verwenden, um Fragen zu erstellen, die weniger Endpunkte als all Machines (alle Computer) anvisieren. Die folgende erweiterte Frage visiert beispielsweise Endpunkte an, die über einen bestimmten Prozessnamen oder Wert verfügen.

Abbildung 6:  Fragenfilter

Die linke Seite (Get-Klausel) ist eine vollständige und gültige Abfrage; die rechte Seite enthält einen Filter: den Ausdruck from all machines with (von allen Computern mit).  Filter in der Auswahlbedingung sind der erste Teil einer Frage, die ein Endpunkt verarbeitet. Wenn die Endpunktdaten nicht mit dem Filter übereinstimmen, verarbeitet der Endpunkt die Frage nicht weiter. Wenn die Frage mehrere Filter enthält, wertet der Endpunkt jeden Filter aus. Der Filterausdruck muss zu einem Booleschen True (Wahr) oder False (Falsch) ausgewertet werden. Zum Beispiel wird der Ausdruck bei laufenden Prozessen ist das Erkunden enthalten als wahr ausgewertet, wenn die angegebene Zeichenkette mit der Ergebniszeichenkette übereinstimmt oder als falsch, wenn dies nicht der Fall ist. Wenn ein Filter als True (Wahr) ausgewertet wird, führt der Endpunkt die Sensoren auf der linken Seite der Frage aus und gibt die Ergebnisse zurück.

Ein parametrisierter Sensor wie File Exists[] (Datei vorhanden[]) gibt die Zeichenkette File exists: Filename (Datei vorhanden: Dateiname) oder File does not exist (Datei nicht vorhanden) zurück, daher müssen Sie darauf achten, wie Sie den Sensor in einen Filterausdruck eingeben.

Abbildung 7:  Beispiel: Frage mit parametrisiertem Sensor

Der Filterausdruck with File Exists (bei Datei vorhanden)["C:\Program Files\PuTTY\putty.exe"] enthält "Exists" (Vorhanden) wird als True (Wahr) ausgewertet, wenn das Ergebnis lautet: File Exists: (Datei vorhanden:) C:\Program Files\PuTTY\putty.exe, und als False (Falsch), wenn das Ergebnis File does not exist (Datei nicht vorhanden) lautet, also können Sie ihn verwenden, um den Antwortsatz zu filtern.

Abbildung 8:  Beispiel: Filter mit parametrisiertem Sensor

Filterausdrücke können Zeichenketten oder regulären Ausdrücke entsprechen. Die folgende Tabelle beschreibt die unterstützten Filteroperatoren, wie sie beim Verwenden des Fragenerstellers erscheinen. Die Tabelle beschreibt auch, wie einige Operatoren normalisiert werden, nachdem Sie sie aus dem Fragenersteller geladen oder die Ausdrücke in den Fragebalken eingeben haben.

Tabelle 1:   Filteroperatoren
Filteroperator Nutzung
enthält Der Sensorwert enthält die angegebene Zeichenkette.

Beispiel: laufende Prozesse enthalten Explore (Erkunden)

enthalten nicht Der Sensorwert enthält nicht die angegebene Zeichenkette.
beginnt mit Der Sensorwert beginnt mit der angegebenen Zeichenkette.

Beispiel: beginnt mit Explore (Erkunden)

beginnt nicht mit Sensorwert beginnt nicht mit der angegebenen Zeichenkette.
endet mit Der Sensorwert endet mit der angegebenen Zeichenkette.

Beispiel: endet mit „explore.exe“

endet nicht mit Der Sensorwert endet nicht mit der angegebenen Zeichenkette.
stimmt überein Der Sensorwert stimmt mit dem angegebenen regulären Ausdruck (in Boost-Syntax) überein.
stimmt nicht überein Der Sensorwert stimmt nicht mit dem angegebenen regulären Ausdruck überein.
in Der Sensorwert stimmt mit einer der angegebenen Zeichenketten überein. Verwenden Sie Kommas ohne Leerzeichen, um die Zeichenketten zu trennen. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken den Operator ist gleich und oder anstelle von in.

Beispiel: Der Filter in „10.10.10.10,10.10.10.11“ im Fragenersteller wird zu IP-Adresse entspricht 10.10.10.10 oder IP-Adresse gleich 10.10.10.11, wenn Sie die Frage laden.

entspricht Der Sensorwert entspricht dem angegebenen Wert oder der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken den Operator ist gleich anstelle von entspricht.
ist nicht gleich Der Sensorwert entspricht nicht dem angegebenen Wert oder der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken den Operator ist nicht gleich anstelle von entspricht nicht.
kleiner als Der Sensorwert ist kleiner als der angegebene Wert. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken ein Symbol (<) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] <12

ist kleiner als oder gleich Der Sensorwert ist kleiner als oder gleich der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken Symbole (<=) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] <= 12

ist größer als Der Sensorwert ist größer als der angegebene Wert. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken ein Symbol (>) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] >12

ist größer als oder gleich Der Sensorwert ist größer als oder gleich der angegebenen Zeichenkette. Wenn Sie die Frage laden, verwendet der Ausdruck im Fragebalken Symbole (>=) anstelle der Operator-Wörter.

Beispiel: installierte Anwendungsversion[chrome] >= 12

Siehe Referenz: Erweiterte Fragensyntax für Beispiele komplexer Filterausdrücke, einschließlich Fragen mit mehrspaltigen Sensoren.

Eine Frage über den Fragebalken ausgeben

Die Question Bar (Fragebalken) von Interact enthält ein Texteingabefeld, das Sie verwenden können, um schnell dynamische Fragen zu erstellen. Die Question Bar (Fragebalken) ist besonders nützlich, wenn Sie einfache Fragen ausgeben möchten oder wenn Sie die Fragensyntax von Tanium ausreichend gut verstehen, um erweiterte Fragen, die Filter, reguläre Ausdrücke oder Operatoren beinhalten, manuell einzugeben.

Wenn Sie Hilfe bei der Erstellung von Fragen benötigen, lesen Sie Eine Frage über den Fragenersteller ausgeben. Einzelheiten zur Fragensyntax finden Sie unter Referenz: Beispielfragen und Referenz: Erweiterte Fragensyntax. Einzelheiten und Aufgaben in Bezug auf Fragenergebnisse finden Sie unter Verwalten von Fragenergebnissen.

  1. Gehen Sie zur Homepage der Tanium Console, zur Interact-Homepage oder zur Seite Interact Content (Interact-Inhalt).
  2. (Nur Seite Interact Content (Interact-Inhalt)) Öffnen Sie die eingeklappte Question Bar (Fragebalken), um das Feld Ask a Question (Frage stellen) anzuzeigen.
  3. Geben Sie Ihre Frage in das Feld Ask a Question (Frage stellen) oben auf der Seite ein.

    Interact verwendet einen Parser für natürliche Sprache, um Ihre Eingabe zu interpretieren. Der Fragetext kann in natürlicher englischer Sprache eingegeben werden und erfordert keine vollständigen Sätze, korrekte Fallverwendung oder streng korrekte Rechtschreibung.

    Wenn Sie keine Auswahlbedingung in der Frage angeben, verwendet Interact den Standard from all machines (von allen Computern). Dieser Standardwert gibt an, dass alle verwalteten Endpunkte, für die Sie über Computergruppen-Verwaltungsrechte verfügen, die Frage beantworten werden.

  4. Klicken Sie auf Search (Suche).

    Interact zeigt eine Reihe vorgeschlagener Fragen in gültiger Syntax an, die von oben nach unten in der Reihenfolge ihrer Ähnlichkeit zu Ihrem Fragetext aufgeführt werden. Wenn Sie beispielsweise last logged in user (zuletzt angemeldeter Benutzer) eingegeben haben, könnte die oberste Frage Get Last Logged In User from all machines (Letzten angemeldeten Benutzer von allen Maschinen abrufen) lauten.



    Wenn Ihr Fragetext einen parametrisierten Sensor enthält, zeigt Interact die Anzahl der Parameter für jede vorgeschlagene Frage an.

  5. Klicken Sie auf eine vorgeschlagene Frage, um sie auszugeben. Wenn die Frage einen parametrisierten Sensor umfasst, klicken Sie auf Expand (Erweitern), geben Sie den Parameterwert ein, und klicken Sie auf Go (Los), um die Frage auszugeben.

    Die Seite Question Results (Fragenergebnisse) wird geöffnet, um die Antworten von Endpunkten anzuzeigen.

Eine Frage über den Fragenersteller ausgeben

Der Question Builder (Fragenersteller) enthält eine geführte Methode für die Erstellung einer dynamischen Frage. Er enthält Formularfelder, die Ihnen helfen sollen, die Get-Anweisung und die Auswahlbedingung, einschließlich aller Filter, abzuschließen.

Abbildung 9:  Frageersteller

  1. Öffnen Sie die Seite Question Builder (Fragenersteller):
    • Um eine neue Frage zu erstellen, klicken Sie auf Question Builder (Fragenersteller) oben rechts im Kasten Ask a Question (Frage stellen).
    • Um eine bereits ausgegebene Frage zu verfeinern, klicken Sie auf Copy to Question Builder (Zu Fragenersteller kopieren) unter dem Feld Question (Frage).
  2. Klicken Sie auf + neben Get the following data (Die folgenden Daten abrufen), um die Get-Anweisung zu erstellen. Eine Zeile mit einem Textfeld für die Eingabe eines Sensornamens wird angezeigt.
  3. Beginnen Sie mit der Eingabe im Sensornamensfeld, verwenden Sie die Vorschläge, um einen Sensor auszuwählen, und klicken Sie auf Apply (Anwenden).



    Alternativ können Sie auf Browse all Sensors (Alle Sensoren durchsuchen) unter dem Sensornamensfeld klicken, um den Dialog Browse Sensors (Sensoren durchsuchen) zu öffnen und Sensoren auszuwählen. Wenn Sie den Dialog verwenden, können Sie Sensorbeschreibungen überprüfen.

  4. Für einen Sensor, der Daten über mehrere Spalten hinweg Fragenergebnisse erzeugt, können Sie Filter basierend auf Spaltendatenübereinstimmungen hinzufügen. Klicken Sie im Question Builder (Fragenersteller) auf Add Filter (Filter hinzufügen) unter dem Sensorfeld, um einen Filter zu konfigurieren. Standardmäßig gilt die Filterzuordnung für eine einzelne Spalte, die Sie in der ersten Dropdown-Liste unter dem Sensornamen auswählen. Beachten Sie, dass eine Einzelspaltenfilterung nur funktioniert, wenn die Sensordefinition Spaltentrennzeichen mit einem einzelnen Zeichen spezifiziert (z. B. „|“), und nicht mit mehreren Zeichen (z. B. „|:“). Um die Übereinstimmung mit allen Spalten für einen Sensor zu übernehmen, aktivieren Sie Row filter (Zeilenfilter).



    Sie können übereinstimmende Operatoren auswählen und reguläre Ausdrücke angeben, um Zeichenketten abzugleichen. Um auf Teilzeichenketten abzugleichen, wählen Sie das Kästchen Substring (Teilzeichenkette), und geben Sie eine Startposition (wobei 0 die erste Position ist) und die Anzahl der Zeichen an.

  5. (Optional) Wenn Sie einen Filter in den Abschnitten Get the following data (Die folgenden Daten abrufen) oder from computers with (von Computern mit) hinzufügen, können Sie auf Advanced Sensor Options (Erweiterte Sensoroptionen) unter dem Filter klicken, um die folgenden Einstellungen zu konfigurieren:
    Tabelle 2:   Erweiterte Sensoroptionen
    SettingsRichtlinien
    Groß-/KleinschreibungGruppen-Zeichenketten:
    • Fall ignorieren: Gruppen- und Zählerergebniswerte unabhängig von Unterschieden in Großbuchstaben und Kleinbuchstaben.
    • Groß-/Kleinschreibung: Gruppen- und Zählerergebniswerte mit strikter Aufmerksamkeit auf Groß- und Kleinschreibung.
    AbgleichenDiese Option ist gültig in der Klausel from computers with (von Computern mit) .

    Bei einigen Sensoren kann ein Tanium Client mehrere Ergebnisse berechnen. Wenn der Sensor als Filter in der Auswahlbedingung verwendet wird, legen Sie fest, ob einige oder alle Ergebnisse mit dem Filter übereinstimmen müssen:

    • Beliebigen Wert abgleichen: Jeder Wert in der Antwort muss mit dem in der Frage angegebenen Wert übereinstimmen.
    • Alle Werte abgleichen: Alle Werte in der Antwort müssen mit dem in der Frage angegebenen Wert übereinstimmen.

    So ist es beispielsweise möglich, dass ein Tanium Client sowohl eine Ipv4-Adresse als auch eine Ipv6-Adresse als Antwort auf den Sensor-IP-Adresse zurückgibt. Eine Frage auf Basis der Sensor-IP-Adresse, die 192.168 enthält, könnte beispielsweise der Ipv4-Adresse entsprechen, aber nicht die Ipv6-Adresse. In diesem Fall möchten Sie wahrscheinlich any (irgendeine) Übereinstimmung erzielen.

    Daten behandeln alsSensorwerte werden als der von Ihnen angegebene Datentyp behandelt:
    • Datum/Uhrzeit (BES)
    • Datum/Uhrzeit (WMI)
    • Dateigröße
    • Integer
    • IP Address
    • Numerisch
    • Text
    • Dauer
    • Version
    Datenhöchstalter Maximale Zeitspanne, für die der Tanium Client ein zwischengespeichertes Ergebnis zur Beantwortung einer Frage verwenden kann. Zum Beispiel beträgt das maximale Datenalter für den Sensor File Size (Dateigröße) standardmäßig 15 Minuten. Wenn einem Tanium Client eine Frage gestellt wird, die den Sensor Dateigröße ausführt, wird das Ergebnis zwischengespeichert. Wenn dem Tanium Client in den nächsten 15 Minuten eine Frage gestellt wird, die den Sensor Dateigröße enthält, antwortet er mit der zwischengespeicherten Antwort. Nach 15 Minuten, wenn dem Tanium Client eine Frage gestellt wird, die den Sensor Dateigröße enthält, führt er das Sensorskript erneut aus, um eine neue Antwort zu berechnen.

    Verwenden Sie ein kürzeres Alter für Sensoren, die häufig sich ändernde Werte liefern, wie z. B. Sensoren für Status und Nutzung. Verwenden Sie ein längeres Alter für Werte, die sich nicht häufig ändern, wie z. B. der Gehäusetyp oder die Active Directory Domain-Mitgliedschaft.

  6. Klicken Sie neben from computers with (von Computern mit) auf +, wählen Sie eine der folgenden Optionen aus, um die Auswahlbedingung zu erstellen, und klicken Sie auf Apply (Anwenden):
    • Zeile hinzufügen: Fügen Sie eine oder mehrere Bedingungen hinzu, denen Endpunkte entsprechen müssen. Sie können den passenden (Filter Type (Filtertyp)) auf einem Sensor oder einer Computer Group (Computergruppe) (management group or filter group) (Verwaltungsgruppe oder Filtergruppe) basieren lassen.
    • Gruppe hinzufügen: Wählen Sie diese Option, um einen booleschen Operator zu verschachteln und wenden Sie dann Add Row (Zeile hinzufügen) an, um den verschachtelten Ausdruck zu erstellen.

    Sie können mehrere Filter konfigurieren, einschließlich verschachtelter Filter. Um beispielsweise die auf Computern installierten Webbrowser zu untersuchen, können Sie in der Auswahlbedingung Boolesche ANDs (UND) und ORs (ODER) verwenden, um moderne Browser anzuvisieren.

  7. (Optional) Klicken Sie auf Advanced Question Options (Erweiterte Frageoptionen) und aktivieren Sie Force Computer ID (Computer-ID erzwingen), wenn Sie eine Zählfrage in eine Nicht-Zählfrage konvertieren möchten, indem Sie Tanium Clients dazu zwingen, die Computer-ID in ihre Antworten aufzunehmen. Die Umwandlung in eine Nicht-Zählfrage ist eine Problemumgehung, die Fälle behebt, bei denen eine Zählfrage die Antwort zu viele Ergebnisse zurückgibt. Details finden Sie im KB-Artikel Fehlerbehebung / Informationsmeldungen (zu viele Ergebnismeldungen).

    Für eine Nicht-Zählfrage aggregiert die Tanium Console die Ergebnisse für jeden antwortenden Tanium Client.


    Für eine Zählfrage zeigt die Tanium Console eine Zeile für jedes einzigartige Ergebnis an.

  8. Klicken Sie auf Ask Question (Frage stellen), um die Frage zu stellen.

    Die Seite Question Results (Fragenergebnisse) wird geöffnet, um die Antworten von Endpunkten anzuzeigen.

Fragenablauf

Wenn Sie eine dynamische oder gespeicherte Frage ausgeben, weist der Tanium Server der Frage eine Frage-ID zu. Die Frage-ID wird im URL-Feld Ihres Webbrowsers angezeigt. Nach 10 Minuten verfällt die Frage-ID und ihre URL wird ungültig. Das bedeutet, dass Sie die Seite nur innerhalb dieses 10-Minuten-Zeitraums aktualisieren oder den Link freigeben können.

Abbildung 10:  Frage-ID

Wenn Sie nach 10 Minuten die URL aufrufen, zeigt Interact die Meldung Question Expired (Frage abgelaufen) an und gibt Ihnen die Möglichkeit, den Fragetext in die Question Bar (Fragebalken) zu kopieren, sodass Sie ihn neu ausgeben können.

Abbildung 11:  Nachricht Question Expired (Frage abgelaufen)

Fragenverlauf

Verwenden Sie die Seite Administration (Verwaltung) > Question History (Fragenverlauf), um die folgenden Aufgaben auszuführen.

Benutzer benötigen eine Rolle mit der Micro Admin-Berechtigung Read Question History (Fragenverlauf lesen), um die Seite Question History (Fragenverlauf) anzuzeigen. Diese Berechtigung ermöglicht es jedoch nicht, eine Frage aus der Seite Question History (Fragenverlauf) zu laden. Benutzer mit der reservierten Administratorrolle können die Seite Question History (Fragenverlauf) sehen und eine Frage von ihr laden.

  • Überprüfen Sie den Verlauf der ausgegebenen Fragen sowie ihre Syntax und anderen Details (z. B. den Ausgeber und Ablaufzeitstempel). Der Tanium Server führt standardmäßig sieben Tage einen Eintrag für eine Frage im Verlauf.

    Die Spalte Persona (Persona) zeigt nur die alternativen Personas an, die Benutzer beim Ausgeben von Fragen verwendet haben; für Standard-Personas ist die Spalte leer.

  • Kopieren Sie eine ausgegebene Frage in die Question Bar (Fragebalken), um sie erneut auszugeben: Wählen Sie die Frage aus, und klicken Sie auf Load (Laden).
  • Kopieren Sie die ausgewählten Verlaufseinträge in Ihre Zwischenablage.

Gespeicherte Fragen

Nachdem Sie eine dynamische Frage ausgegeben haben, können Sie auf Save this question (Diese Frage speichern) unter der Question Bar (Fragebalken) klicken, um die Fragensyntax als Konfigurationsobjekt mit zugeordneten Einstellungen zu speichern. Sie können die Frage dann erneut ausgeben, ohne sie erneut in der Question Bar (Fragebalken) konstruieren zu müssen. Tanium-Inhaltspakete, die Sie importieren, enthalten vordefinierte gespeicherte Fragen. Sie können gespeicherte Fragen manuell oder basierend auf einem konfigurierbaren Zeitplan ausgeben. Sie können gespeicherte Fragen auch über Tanium-Module oder benutzerdefinierte Anwendungen ausgeben, die die Tanium-XML-API verwenden. Einzelheiten finden Sie unter Verwalten gespeicherter Fragen.