Skip to main content
Diese Anleitung gilt für Mac-Computer
Für die Verwendung von Remote Shell ist das Add-on Endpoint Detection and Response erforderlich.

​
Informationen zu Remote Shell

Remote Shell bietet Administratoren in der Iru Endpoint Web App eine sichere Befehlszeile auf einem verwalteten Mac. Administratoren können eine Erkennung untersuchen, auf eine Bedrohung reagieren oder eine Datei abrufen, ohne ein separates Fernzugriffstool zu verwenden. Starten Sie eine Sitzung über eine Erkennung oder über einen Geräteeintrag. Remote Shell ist eine Reaktionsaktion auf der Seite Erkennungen. Informationen zu Status, Tags und anderen Security-Operations-Aktionen finden Sie unter Security-Operations-Aktionen in Endpoint Detection.

​
Funktionsweise

Wenn Sie Remote Shell starten wählen, wird die Seite Remote Shell-Terminal geöffnet und die Verbindung zum Mac wird aufgebaut. Schlägt dieser Versuch fehl, wählen Sie Verbinden, um es erneut zu versuchen. Remote Shell funktioniert, während sich der Mac in Partial Isolation befindet. Während sich der Mac in Complete Isolation befindet, funktioniert Remote Shell nicht.

​
Voraussetzungen

Lizenzierung

Remote Shell ist in einem aktiven Endpoint Detection and Response Add-on enthalten.

Berechtigungen

Zum Starten einer Sitzung ist die Berechtigung zum Verwalten von Bedrohungen und Geräteaktionen erforderlich. Siehe Rollenberechtigungen für Teammitglieder.

Sitzungslimits

In der Web-App kann jeweils nur eine Remote Shell-Sitzung geöffnet sein, und auf einem Mac kann jeweils nur eine Sitzung aktiv sein.

Isolierung

Remote Shell funktioniert, während sich der Mac in Partial Isolation befindet. Während sich der Mac in Complete Isolation befindet, funktioniert Remote Shell nicht.

​
Eine Sitzung über Erkennungen starten

1

Erkennungen öffnen

Wählen Sie in der linken Navigationsleiste Erkennungen (unter Endpoint).
2

Seitenpanel öffnen

Wählen Sie eine Erkennung aus, um das Seitenpanel zu öffnen.
3

Gerätemenü öffnen

Suchen Sie im Seitenpanel den betroffenen Mac und wählen Sie die Auslassungspunkte.
4

Remote Shell starten

Wählen Sie Remote Shell starten.
Auslassungspunkte-Menü der Gerätekarte mit Remote Shell starten
Die Seite Remote Shell-Terminal wird geöffnet.

​
Eine Sitzung über einen Geräteeintrag starten

1

Geräteeintrag öffnen

Wählen Sie in der linken Navigationsleiste Geräte und dann den Mac aus.
2

Geräteaktionsmenü öffnen

Öffnen Sie das Geräteaktionsmenü (Auslassungspunkte) oben rechts im Geräteeintrag.
3

Remote Shell starten

Wählen Sie Remote Shell starten.
Geräteaktionsmenü im Geräteeintrag mit Remote Shell starten
Die Seite Remote Shell-Terminal wird geöffnet.

​
Remote Shell-Terminal

Die Seite Remote Shell-Terminal wird geöffnet, nachdem Sie Remote Shell gestartet haben, und baut die Verbindung zum Mac auf. Auf der linken Seite wird der Mac angezeigt, für den Sie die Shell geöffnet haben. Das Terminal befindet sich auf der rechten Seite.
Seite Remote Shell-Terminal mit den Mac-Details links und dem Terminal rechts
Die Sitzung verfügt über Root-Rechte, sodass ein Befehl jede Datei auf dem Mac ändern kann. Befehle wie rm und mv entfernen oder ersetzen Dateien dauerhaft, und die Shell verschiebt sie nicht in den Papierkorb. Überprüfen Sie auf einem Testgerät, was ein Befehl bewirkt, bevor Sie ihn auf dem Mac eines Benutzers ausführen.
1

Auf die Verbindung warten

Warten Sie, während die Seite die Verbindung zum Mac herstellt.
2

Bei fehlgeschlagener Verbindung erneut versuchen

Wenn die Verbindung fehlschlägt, wählen Sie Verbinden oben im Gerätepanel.
3

Terminal im Vollbildmodus anzeigen

Wählen Sie die Schaltfläche oben rechts im Terminal, um es im Vollbildmodus anzuzeigen. Wählen Sie sie erneut, um den Vollbildmodus zu beenden und den Mac und das Terminal wieder nebeneinander anzuzeigen.
Vollbild-Schaltfläche oben rechts im Remote Shell-Terminal
4

Befehl ausführen

Wenn die Shell verbunden ist, zeigt das Terminal eine Eingabeaufforderung und einen blinkenden Cursor an. Möglicherweise sehen Sie den macOS-Hinweis, dass die standardmäßige interaktive Shell zsh ist, gefolgt von einer Root-Eingabeaufforderung für diesen Mac.
Die Shell-Sitzung wird als root ausgeführt, daher ist sudo nicht erforderlich.
5

Befehl senden

Geben Sie einen Befehl ein und drücken Sie dann die Eingabetaste, um ihn zu senden.
Während eine Sitzung geöffnet ist, lautet die Schaltfläche oben im Gerätepanel Trennen. Informationen zum Schließen der Sitzung finden Sie unter Eine Sitzung beenden. Die Karte auf der linken Seite zeigt den Namen und die Seriennummer des Mac, seinen Shell-Status, ob er online ist, wie viele Erkennungen offen sind und welche macOS-Version darauf ausgeführt wird. Offene Erkennungen unter der Karte führt jede Bedrohung auf, einschließlich der Angabe, ob die Erkennung noch offen ist, des Bedrohungsstatus, des Schweregrads, des Dateinamens und des Erkennungszeitpunkts. Wenn nichts offen ist, wird in der Liste angegeben, dass keine Bedrohungen erkannt wurden. Wenn der Status Verbunden lautet, zeigt die Karte außerdem Netzwerkisolierungsstatus, IP-Adresse, MAC-Adresse und Letzter Check-in an. Sie führt den zugewiesenen Benutzer und die zugehörige E-Mail-Adresse auf. Wenn der Mac isoliert ist, zeigt Netzwerkisolierungsstatus den Wert Isoliert an, und die Shell kann Verbunden sein. Während die Isolierung noch angewendet wird, zeigt Netzwerkisolierungsstatus den Wert Isolierung ausstehend an. In beiden Fällen kann der Gerätestatus den Mac weiterhin als online anzeigen.

​
Audit

Remote Shell-Sitzungen werden in Aktivität unter Erkennungen erfasst. Einige Ereignisse werden dem Administrator zugeordnet, der die Shell geöffnet hat, andere dem Mac. Aktivität erfasst, wie viele Befehle eingegeben wurden, aber nicht den Text dieser Befehle.
1

Aktivität öffnen

Wählen Sie das Symbol Aktivität (Pulssymbol) in der oberen rechten Navigationsleiste.
2

Nach Erkennungen filtern

Setzen Sie Kategorie auf Erkennungen.
3

Ereignis lesen

Wählen Sie eine Remote Shell-Zeile aus, um sie zu erweitern.
Eine Sitzung wird als mehrere Ereignisse erfasst:
  • Remote-Shell-Sitzung gestartet: Wird erfasst, wenn die Sitzung beginnt.
  • Remote-Shell-Verbindung: Wird erfasst, wenn die Verbindung akzeptiert wird, einmal für die Web-App und einmal für den Mac. Die Zeile enthält den Host, der die Verbindung hergestellt hat.
  • Live-Response-Befehlsanforderung: Erfasst die Anforderung zum Öffnen der Shell, einschließlich der verwendeten Shell und des Timeouts für die Sitzung.
  • Live-Response-Befehl aktualisiert: Erfasst den Befehl, wenn sich sein Status ändert. Möglicherweise sehen Sie Ausstehend, Verbunden, Gestartet oder Getrennt. Wenn der Befehl nicht abgeschlossen wird, lautet der Status Fehlgeschlagen, und die Zeile enthält einen Fehlergrund, z. B. ein Timeout.
  • Remote-Shell-Sitzung beendet: Zeigt, wie lange die Sitzung gedauert hat, wie sie geschlossen wurde, wie viele Befehle eingegeben wurden und wie viele Daten gesendet und empfangen wurden. Eine Sitzung, die Sie mit Trennen schließen, wird entsprechend erfasst.

​
Eine Sitzung beenden

Schließen Sie die Sitzung, wenn Sie fertig sind. Sie können die Verbindung über das Gerätepanel trennen, die Seite schließen oder die Sitzung bis zu ihrem Ablauf bestehen lassen.
1

Trennen

Wählen Sie Trennen oben im Gerätepanel.
2

Seite schließen

Wählen Sie das X oben rechts auf der Seite Remote Shell-Terminal.
3

Bei geöffneter Sitzung bestätigen

Während die Sitzung eine Verbindung herstellt oder Verbunden ist, fragt die Seite Möchten Sie die Seite wirklich verlassen? Wenn Sie jetzt beenden, verlieren Sie Ihren Fortschritt und den Zugriff auf die Protokolle dieser Sitzung. Wählen Sie Hier bleiben, um auf der Seite zu bleiben, oder Remote-Terminal trennen, um die Sitzung zu beenden.
4

Nicht verbundene Sitzung schließen

Wenn die Sitzung den Status Nicht verbunden oder Verbindung fehlgeschlagen hat, schließt das X die Seite.
Wenn Sie die Sitzung inaktiv lassen, endet sie nach 5 Minuten. Auch ein Verbindungsabbruch beendet die Sitzung.

​
Fehlerbehebung

Was Sie sehen:Die Seite zeigt Verbindung fehlgeschlagen an. Das Terminal meldet, dass die Remote Shell nicht gestartet werden konnte, und der Mac bleibt Nicht verbunden. Der Gerätestatus auf der Karte kann den Mac weiterhin als online anzeigen.Was Sie tun können:Der Mac scheint ausgeschaltet oder offline zu sein. Wählen Sie Verbinden oben im Gerätepanel, um es erneut zu versuchen, oder versuchen Sie es später, wenn der Mac verfügbar ist.
Was Sie sehen:Die Shell stellt keine Verbindung her. Der Mac befindet sich in Complete Isolation.Was Sie tun können:Remote Shell funktioniert, während sich der Mac in Partial Isolation befindet. Während sich der Mac in Complete Isolation befindet, funktioniert Remote Shell nicht. Geben Sie den Mac aus der Complete Isolation frei, bevor Sie eine Sitzung starten. Siehe Geräteisolierung.
Was Sie sehen:Der Status lautet Sitzung pausiert. Das Terminal meldet, dass das Relay die Sitzung hält, bis sich der Mac verbindet.Was Sie tun können:Warten Sie, bis sich der Mac verbindet. Um das Warten zu beenden, wählen Sie Trennen.

​
Überlegungen

  • Security Operations: Verwenden Sie Remote Shell zusammen mit den Status- und Tag-Steuerelementen auf der Seite Erkennungen. Siehe Security-Operations-Aktionen in Endpoint Detection.
  • Isolierung: Eine Sitzung funktioniert weiterhin, während sich der Mac in Partial Isolation befindet. Während sich der Mac in Complete Isolation befindet, funktioniert sie nicht.
  • Sitzungslimits: Die Web-App erlaubt jeweils eine Remote Shell-Sitzung, und jeder Mac erlaubt eine aktive Sitzung.

​
Verwandte Artikel

Security-Operations-Aktionen in Endpoint Detection

Status aktualisieren, Tags zuweisen und Reaktionsaktionen öffnen

Geräteisolierung

Einen Mac vom Netzwerk isolieren, während Sie eine Erkennung untersuchen

Die Seite Detections verstehen

Erkennungen, Filter und das Panel mit Bedrohungsdetails überprüfen

Aktivität

Remote Shell-Sitzungs-, Verbindungs- und Live-Response-Ereignisse überprüfen