• Khi bạn muốn nâng cấp từ license Antivirus Sophos Intercept X Advanced lên bản Sophos Intercept X Advanced with XDR
• Nhưng hiện tại bạn đã cài Sophos CIXA cho các máy trạm
• Bài viết sẽ hướng dẫn cách triển khai thêm gói XDR hàng loạt xuống các máy đã được cài CIXA trước đó

Hướng dẫn thực hiện

• Đăng nhập vào tài khoản Sophos Central

• Chọn mục Devices

• Tick chọn những máy tính mà bạn muốn cài thêm XDR

• Chọn Manage Endpoint Software

• Ở mục Protection: Chọn Intercept X Advanced with XDR
• Nhấn Save

• Sau đó gói XDR sẽ được tự động đẩy xuống các máy trạm

Live Response là một công cụ khắc phục sự cố và săn tìm mối đe dọa được tích hợp trên Sophos Central. Nó cho phép các central administrators kết nối với các thiết bị endpoint và máy chủ do Sophos quản lý thông qua một phiên CMD terminal nâng cao và an toàn.

Phiên được tạo thông qua central console là một phiên bản đầy đủ của CMD, bạn có thể thực hiện bất kỳ hành động nào mà CMD nâng cao có thể thực hiện cục bộ trên thiết bị endpoint.

Central administrators có thể sử dụng phiên này để điều tra và khắc phục các sự cố bảo mật có thể xảy ra trong mạng công ty và có thể dừng các quy trình đáng ngờ, khởi động lại thiết bị, browse thư mục, xóa tệp, v.v.

Trước khi có thể kết nối với các thiết bị endpoint thông qua Live Response, bạn sẽ phải đảm bảo rằng kết nối có thể được thiết lập trước. Bài viết này sẽ hướng dẫn cho bạn những gì có thể làm để thực hiện khắc phục sự cố kết nối từ Sophos Central console của bạn đến thiết bị thông qua Live Response.

2. Các bước troubleshooting.

2.1 Kiểm tra trên Sophos Central.

*Kiểm tra các các đáp ứng cơ bản để sử dụng Live Response.

Live Response là một phiên trên mỗi thiết bị, bạn có thể bắt đầu một phiên bằng cách click chọn tên thiết bị bạn cần thiết lập phiên. Bạn có thể tìm thấy nút Live Response ở phía bên trái của trang. Theo mặc định, nút “Live Response” có màu xám. Để bắt đầu sử dụng Live Response, hãy đảm bảo các điều kiện sau được đáp ứng.

Bước 1: Đảm bảo tính năng Live Response đã được enable.

Bạn di chuyển đến phần Global Settings > Enpoint Protection > Live Response.

Enable “Allow Live Response connections to computers”.

Bước 2: Bạn cần có tài khoản với quyền Super Admin trên Sophos Central để thực hiện Live Response.

Thông báo yêu cầu quyền Super Admin sẽ xuất hiện nếu bạn thực hiện Live Response với tài khoản không có quyền.

Bước 3: Đảm bảo thiết bị endpoint đang online.

Khi bạn click vào Live Response mà hiện thông báo “The device is not currently online“. Bạn sẽ cần kiểm tra lại thiết bị có đang bị tắt hay không.

Nếu bạn kiểm tra thấy thiết bị đã bật nhưng vẫn hiện thông báo Offline trên Central, bạn cần kiểm tra tiếp xem các dịch vụ Sophos MCS có đang chạy trên thiết bị hay không. Nếu thấy các service này chưa được start bạn có thể click start lại các service này.

Khi bạn đã đáp ứng được hết các điều kiện ở trên, bạn click chọn Live Response, một tab Live Response mới sẽ hiện ra.

Lưu ý: Một số tiện ích bổ sung của trình duyệt có thể chặn cửa sổ tạo phiên của Live Response, nếu điều này xảy ra, hãy thêm loại trừ vào trang web hoặc tắt tiện ích bổ sung của trình duyệt khi cần kết nối.

2.2 Kiểm tra trên Endpoint.

Khi bạn đã kiểm tra hết tất cả các yêu cầu đều đã đáp ứng trên Sophos Central, mà bạn vẫn không thể sử dụng Live Response, bạn cần kiểm tra lại trên thiết bị Endpoint.

Bước 1: Đảm bảo Live Response được cài đặt thành công.

Bạn cần check lại các folder Live Response đã được cài trên Endpoint. Trên endpoint bạn đi đến ổ C:\Program Files\Sophos\Live Terminal.

Bạn kiểm tra trong Folder Live Terminal, cần có 6 file như hình dưới. Nếu không đủ các file này bạn cần thử uninstall và install lại sophos endpoint trên thiết bị.

Bước 2: Đảm bảo hai task Live Response đều đang chạy trên Task Manager.

Bạn mở Task Manager để kiểm tra, hai task đó là: Sophos-live-terminal.exe và Sophos-winpty-agent.exe.

Note: Nếu bạn đã thử kiểm tra và troubleshoot với các bước ở trên nhưng vẫn không thể sử dụng được Live Response bạn sẽ cần tạo Case Sophos support để được các chuyên gia của hãng hỗ trợ fix lỗi.

Sophos Extended Detection and Response (XDR)  cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất

Bài viết hướng dẫn chúng ta sử dụng công cụ Live Discover của Sophos CIXA with EDR để có thể query được tất cả máy trạm, máy chủ Windows cần reboot lại. Điều đó giúp giảm thiểu thời gian cho quản trị viên phải đi xuống từng máy để kiểm tra

Mô hình query

Hướng dẫn cấu hình

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community”
• Ở mục SQL: Nhập đoạn code query

WITH rebootRequired AS (SELECT
CASE
WHEN data LIKE ‘1’ THEN ‘Yes’
ELSE ‘No’
END AS RebootRequired
FROM registry
WHERE path LIKE ‘HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Sophos\AutoUpdate\UpdateStatus\VolatileFlags\RebootRequired’),

rebootRequiredDate AS (SELECT datetime(CAST(data AS unsigned_bigint)/1000,’unixepoch’,’localtime’) AS RequiredSince
FROM registry
WHERE path LIKE ‘HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Sophos\AutoUpdate\UpdateStatus\VolatileFlags\RebootRequiredSince’)

SELECT RebootRequired,
CASE
WHEN RebootRequired = ‘No’ THEN ‘n/a’
ELSE RequiredSince
END AS rebootRequiredDate
FROM rebootRequired JOIN rebootRequiredDate

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả

Thegioifirewall sẽ hướng các bạn sử dụng tính năng Live Discover của Sophos Central để tạo query kiểm tra các ứng dụng đã được cài đặt trên máy chủ hoặc máy trạm trong khoảng thời gian xác định.

2.Sơ đồ mạng

Chi tiết sơ đồ mạng:

• Đường truyền internet được kết nối tại port 2 của thiết bị tường lửa Sophos Firewall với IP 10.150.30.106.
• Lớp mạng LAN được cấu hình tại port 1 của thiết bị tường lửa Sophos XG Firewall với IP 172.16.16.16/24 và được cấu hình DHCP Server để cấp phát IP cho các thiết bị kết nối vào.
• Trong mạng LAN chúng ta sẽ có 1 thiết bị một là máy chủ WIN-V3N9Q4OC2GG với IP 172.16.16.19/24 và đã được cài đặt Sophos Endpoint.

3.Tình huống cấu hình

Thực hiện tạo Query trên Sophos Central bằng tính năng Live Discover để kiểm tra danh sách ứng dụng đã được cài đặt trong khoảng thời gian xác định.

4.Các bước cấu hình

• Tạo query.

5.Hướng dẫn cấu hình.

5.1.Tạo query

Để tạo query các bạn vào Threat Analysis Center > Live Discover.

Đầu tiên chúng ta sẽ bật Designer Mode.

Sau đó chúng ta nhấn Create new query để tạo query mới.

Bảng tạo query hiện ra chúng ta sẽ nhập vào các thông tin như sau:

• Query Name: đặt tên cho query này là Query List Software.
• Category: chọn Device.
• Source: chọn Live Endpoint và chọn Windows (Lưu ý với tùy chọn này thì yêu cầu máy tính hoặc máy chủ phải có kết nối internet mới có thể query).

• Tại ô SQL chúng ta nhập vào đoạn code dưới đây.

SELECT name, version, publisher, install_date,
install_location AS 'Install Path'
FROM Programs
WHERE NAME NOT LIKE 'Sophos%'
OR install_date = ''
AND install_date >= '$$StartDate$$'
AND install_date <= '$$EndDate$$'
ORDER BY install_date DESC

• Tại Variable editor chúng ta nhấn Add variable để thêm thông số ngày giữa ngày bắt đầu và ngày kết thúc.

• Ví dụ các bạn muốn xem danh sách các ứng dụng được cài đặt từ ngày 20 tháng 10 năm 2019 đến ngày 31 tháng 10 năm 2019 thì các bạn nhập StartDate là 20 tháng 10 và EndDate là 31 tháng 10 như hình sau:

• Tại Device selector chúng ta chọn máy chủ đã được cài đặt Sophos Endpoint và nhấn Query.

Đợi vài giây thì kết quả query sẽ ra danh sách các phần mềm đã được cài đặt trong khoảng thời gian mà chúng ta đã nhập.

Với tính năng Live Discover và đoạn query này, nó giúp chúng ta có thể kiểm tra được là có ứng dụng lạ nào đang được cài đặt trên máy chủ server hay không hoặc người dùng có đang cài các ứng dụng không liên quan đến công việc vào máy hay không.

Đồng thời cũng cung cấp thời gian mà ứng dụng được cài đặt để người quản trị có thể dễ dàng truy vết.

Sophos Extended Detection and Response (XDR)  cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất

Bài viết hướng dẫn chúng ta sử dụng công cụ Live Discover của Sophos CIXA with EDR để có thể query được tất cả các lổ hổng trên máy trạm, máy chủ Windows. Điều đó giúp giảm thiểu thời gian cho quản trị viên phải đi xuống từng máy để kiểm tra

Mô hình query

Hướng dẫn cấu hình

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community”
• Ở mục SQL: Nhập đoạn code query

WITH program_list AS (
SELECT
REPLACE(REPLACE(REPLACE(name,’,’,’ ‘),’+’,’ ‘),’.’,’ ‘) name, — STRIP out some characters not normally found in product names to improve chances of finding it in the CSV DB
version,
REPLACE(REPLACE(REPLACE(publisher,’,’,’ ‘),’+’,’ ‘),’.’,’ ‘) publisher
FROM programs
WHERE version > ”
)
/\ | We will search for the Publisher, Product Name and version and use some wild cards ‘%” after we | | create a simple one word name for the publisher and product. The expectation is that these three | | pices of information should be relativly unique, but we can still get FPs | **/
SELECT
publisher,
CAST(name AS TEXT) || ‘ ‘ || version Application,
url ‘Identified CVE List’
FROM program_list
JOIN curl ON
url = ‘https://www.cvedetails.com/version-search.php?vendor=’
|| replace(program_list.publisher, ltrim(program_list.publisher, replace(program_list.publisher, ‘ ‘, ”)), ”)
|| ‘%&product=’
|| replace(program_list.name, ltrim(program_list.name, replace(program_list.name, ‘ ‘, ”)), ”)
|| ‘%&version=’
|| program_list.version
WHERE result
LIKE ‘%Details for%’;

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả

Thegioifirewall sẽ hướng các bạn sử dụng tính năng Live Discover của Sophos Central để tạo query kiểm tra số phiên Remote Desktop đã được truy cập trong N ngày gần nhất.

2.Sơ đồ mạng

Chi tiết sơ đồ mạng:

• Đường truyền internet được kết nối tại port 2 của thiết bị tường lửa Sophos Firewall với IP 10.150.30.106.
• Lớp mạng LAN được cấu hình tại port 1 của thiết bị tường lửa Sophos XG Firewall với IP 172.16.16.16/24 và được cấu hình DHCP Server để cấp phát IP cho các thiết bị kết nối vào.
• Trong mạng LAN chúng ta sẽ có máy chủ WIN-V3N9Q4OC2GG với IP 172.16.16.19/24 và đã được cài đặt Sophos Endpoint.

3.Tình huống cấu hình

Chúng ta sẽ tạo query và chạy query này trên máy chủ WIN-V3N9Q4OC2GG để kiểm tra số phiên Remote Desktop trong N ngày gần nhất.

4.Các bước cấu hình

• Tạo query.

5.Hướng dẫn cấu hình

5.1.Tạo query

Để tạo query các bạn vào Threat Analysis Center > Live Discover.

Đầu tiên chúng ta sẽ bật Designer Mode.

Sau đó chúng ta nhấn Create new query để tạo query mới.

Bảng tạo query hiện ra chúng ta sẽ nhập vào các thông tin như sau:

• Query Name: đặt tên cho query này là List of RDP Sessions in last N Days.
• Category: chọn Device.
• Source: chọn Live Endpoint và chọn Windows (Lưu ý với tùy chọn này thì yêu cầu máy tính hoặc máy chủ phải có kết nối internet mới có thể query).

• Tại ô SQL chúng ta nhập vào đoạn code dưới đây.

SELECT
 datetime(time,'unixepoch') 'Date-Time',
 (strftime('%s','now')-time)/(3600*24) 'Days ago' ,eventid, 'TS Remote' AS Source,
JSON_EXTRACT(data, '$.UserData.Param1') AS Name,
JSON_EXTRACT(data, '$.UserData.Param2') AS Source_Machine_Network,
JSON_EXTRACT(data, '$.UserData.Param3') AS Source_IP
FROM sophos_windows_events
WHERE source = 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' AND
 eventid = 1149 AND
 time > strftime('%s', 'now', '-$$Days to look back from now$$ days');

• Tại Variable editor chúng ta nhấn Add variable để thêm thông số ngày như hình sau.
• Tại Enter value to use when query run các bạn nhập số ngày vào ô này, ví dụ các bạn kiểm tra xem trong 10 ngày gần nhất tính từ lúc bạn chạy query thì có bao nhiêu phiên Remote Desktop đã truy cập đến máy chủ này.

• Tại Device selector chúng ta chọn máy chủ WIN-V3N9Q4OC2GG đã được cài đặt Sophos Endpoint và nhấn Query.

Đợi vài giây thì kết quả query sẽ hiển thị ra tài khoản admin1 mà chúng ta vừa tạo kèm theo thời gian tạo.

Với tính năng Live Discover và đoạn query này, nó giúp chúng ta có thể kiểm tra được có bao nhiêu phiên Remote Desktop trong một khoảng thời gian xác định.

Từ đó giúp chúng ta có xác định được nguy cơ hacker đang âm thầm chiếm quyền của máy chủ.

Sophos Extended Detection and Response (XDR)  cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất

Bài viết hướng dẫn chúng ta sử dụng công cụ Live Discover của Sophos CIXA with EDR để có thể query được tất cả các ứng dụng tự động chạy khi bật máy trạm, máy chủ Windows. Điều đó giúp giảm thiểu thời gian cho quản trị viên phải đi xuống từng máy để kiểm tra

Mô hình query

Hướng dẫn cấu hình

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community”
• Ở mục SQL: Nhập đoạn code query

SELECT
name as ‘Key Name’,
source as ‘Start Up source’,
path as ‘Path’,
args as ‘Aruments’,
username as ‘Owner’,
status as ‘Status’
FROM startup_items
ORDER by status

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả

Sophos Extended Detection and Response (XDR)  cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất

Bài viết hướng dẫn chúng ta sử dụng công cụ Live Discover của Sophos CIXA with EDR để có thể query được tất cả các certificate đang có trên máy trạm, máy chủ Windows. Điều đó giúp giảm thiểu thời gian cho quản trị viên phải đi xuống từng máy để kiểm tra

Mô hình query

Hướng dẫn cấu hình

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community”
• Ở mục SQL: Nhập đoạn code query

SELECT
common_name,
subject,
issuer,
ca,
self_signed,
not_valid_before,
not_valid_after,
signing_algorithm,
key_algorithm,
key_strength,
key_usage,
subject_key_id,
authority_key_id,
sha1,
path,
serial,
sid,
store_location,
store,
username,
store_id
FROM certificates

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả

Sophos Extended Detection and Response (XDR)  cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất

Bài viết hướng dẫn chúng ta sử dụng công cụ Live Discover của Sophos CIXA with EDR để có thể query được toàn bộ các user đang login vào các máy trạm, máy chủ Linux. Điều đó giúp giảm thiểu thời gian cho quản trị viên phải đi xuống từng máy để kiểm tra

Mô hình query

Hướng dẫn cấu hình

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community
• Ở mục Show variable editor: Nhấn Add variable
• Nhập variable với type: Giá trị sẽ user “user”

• Ở mục SQL: Nhập đoạn code query

SELECT
type,
user,
tty,
host,
time,
pid,
sid,
registry_hive
FROM logged_in_users
WHERE type LIKE ‘$$type$$’

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả

Sophos Extended Detection and Response (XDR)  cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất

Bài viết hướng dẫn chúng ta sử dụng công cụ Live Discover của Sophos CIXA with EDR để có thể query được toàn bộ các user đang login vào các máy trạm, máy chủ Windows. Điều đó giúp giảm thiểu thời gian cho quản trị viên phải đi xuống từng máy để kiểm tra

Mô hình query

Hướng dẫn cấu hình

Bước 1: Tạo Custom Query

• Đăng nhập Sophos Central Admin -> Chọn Threat Analysis Center -> Chọn Live Discover -> Bật Designer mode -> Nhấn Create new query

• Đặt tên cho query của bạn
• Ở mục Category: Chọn category mà bạn muốn lưu query vào
• Ở mục Source: Chọn Live Endpoint và chọn hệ điều hành mà bạn muốn (một số câu query sẽ không hỗ trợ hệ điều hành mà bạn chọn) -> Tìm hiểu thêm trên Sophos Community
• Ở mục Show variable editor: Nhấn Add variable
• Nhập variable với type: Giá trị sẽ user “active”

• Ở mục SQL: Nhập đoạn code query

SELECT
type,
user,
tty,
host,
time,
pid,
sid,
registry_hive
FROM logged_in_users
WHERE type LIKE ‘$$type$$’

• Nhấn Save

Bước 2: Thực hiện test query

• Chọn Query mà bạn đã tạo trước đó
• Ở mục Device selector: Chọn các máy tính mà bạn muốn query
• Nhấn Run Query

Bước 3: Kiểm tra kết quả