Overview
Sophos Extended Detection and Response (XDR) cho phép bạn điều tra các mối đe dọa đã phát hiện (“threat cases”) và tìm kiếm các mối đe dọa mới hoặc điểm yếu bảo mật. Nó cũng cho phép bạn giám sát thiết bị và khắc phục sự cố từ xa. Với Sophos XDR sẽ cho phép bạn truy cập vào cả dữ liệu được lưu trữ trên cloud và trực tiếp trên thiết bị. Có nghĩa là bạn luôn có dữ liệu cập nhật mới nhất.
Mô hình Query
Bài viết sẽ hướng dẫn các bạn sử dụng SQL code để query check các gói windows update theo KBarticle đang có trên Windows, xem các gói này đã được update hay chưa update.
Hướng dẫn
Bước 1: Custom Query check Windows Update theo KBarticle.
Để tìm hiểu nhiều hơn về các query mới bạn có thể tham gia forum sau: https://community.sophos.com/intercept-x-endpoint/p/query-forum
Đăng nhập Sophos Central Admin > Threat Analysis Center > Live Discover > EndpointQueries.
Ở đây bạn có thể thấy các query được sophos tích hợp sẵn, với các phân loại query như Device, Network,…bạn chỉ cần chọn loại query, chọn endpiont cần query và kiểm tra kết quả trả về.
Để custom query bạn chọn Enable Designer Mode > Create new query.
Tiếp theo bạn điền các thông tin sau:
+ Query Name: Đặt tên cho query
+ Category: Chọn phân loại query
+ Điền miêu tả nếu bạn muốn.
Kéo xuống chọn Live Endpoint > Windows.
Phần SQL: Bạn nhập code query windows update theo KBarticle.
SQL code:
Note: Cần nhập thêm biến (Variable — $$KB$$ — String). Tên biến do bạn tự đặt. Ex: KB,…
SELECT
title, support_url, size, kbarticle, msrc_severity,
CASE
WHEN installed = ‘true’ THEN ‘Update is installed’
END AS installed
FROM
win_update
WHERE kbarticle = ‘$$KB$$’
Trong SQL code này bạn cần thêm biến để có thể sử dụng. Click chọn Show variable editor > Add variable.
Biến cần thêm là “KB”. Bạn có thể nhận biết các biến cần tạo có dạng “$$….$$“
+ Variable type: String.
+ Enter value to use when query runs: Bạn nhập số KBarticle của Windows Update để check. Ex: KB4052623.
Bước 2: Chọn Endpoint Query
Tiếp theo bạn chọn các Endpoint cần query. Sau đó click chọn Run Query.
Nếu xuất hiện thông báo như hình dưới, bạn tiếp tục click Run Query.
Bạn đợi để Query chạy xong trên Endpoint với status “Finish – OK”.
Bước 3: Kiểm tra kết quả.
Sau khi chạy xong query. Bạn sẽ có các thông tin như endpoint đã install bản update với KB là KB4052623. Title là Update for Windows Defender….
Bạn có thể kiểm tra các KB khác như KB5005539. Và check kết quả ta thấy KB này chưa được install trên Endpoint.
