操作性攻击指标

确保攻击指标进程正常运行对于准确检测和响应至关重要。此部分提供验证 IoA 组件是否正常运行、排查常见问题及有效解决问题的分步说明。请按照以下步骤操作，确认一切按预期进行。

• 确保攻击指标 (IoA) 监控可在域控制器上运行。

  • 检查与域的连接：通过验证配置，确保域连接功能正常。有关更多信息，请参阅“域”。

• 验证 SYSVOL 中的 IoA GPO 文件夹：

  • 检查 SYSVOL 目录中的 IoA GPO 文件夹，确认每个域控制器都在生成最新的 .gz 文件。

  • 如果任何域控制器未生成此 .gz 文件，请继续执行后续步骤。

• 确认 IoA 事件侦听器进程正在运行：

  • 验证进程 Register-TenableADEventsListener.exe 是否正在运行。

  • 在最新的版本中，Register-TenableADEventsListener.exe 和此进程都在任务管理器中被列为“Tenable - IOA 事件侦听器”。

    有关更多信息，请参阅“事件日志侦听器验证”。

• 如果进程未运行：

  • 确保域控制器上的任何 EDR/防病毒软件未阻断 Register-TenableADEventsListener.exe 进程。

    有关更多信息，请参阅“防病毒检测”。

• 手动启动进程：

  • 编辑任务计划程序中的相关任务 (TenableADTask_*)，然后单击“确定”以重新启动该进程。

• 如果问题依旧存在则升级处理：如果上述步骤未解决问题，请向 Tenable 提出支持案例。可能存在阻止 Register-TenableADEventsListener.exe 进程运行的深层问题。