命令

描述

List all assets in the system

显示所有托管/非托管端点及其操作系统、平台信息

Get details about asset with ID "abc123"

显示特定资产的详细信息

Get tasks for asset with ID "abc123"

显示与特定资产相关的所有任务

List all acquisition profiles

显示可用的采集配置文件

Get acquisition profile details by ID

显示有关特定采集配置文件的详细信息，包括证据和文物

List all acquisition artifacts

显示所有可用于证据收集的文物，按平台和类别组织

List all acquisition evidences

显示所有可用于法医数据收集的证据项目，按平台和类别组织

Assign an acquisition task to endpoint 123abc using profile "full" for case "C-2022-0001"

将证据获取任务分配给指定端点

Assign an image acquisition task to endpoint 123abc for volume /dev/sda1 saving to repository 456def

将磁盘映像获取任务分配给特定端点和卷，并保存到指定的存储库

Create an acquisition profile named "My Custom Profile" with windows evidence ["clp"] and linux artifact ["apcl"]

使用指定的配置创建一个新的采集配置文件

Reboot endpoint 123abc

将重启任务分配给特定端点

Shutdown endpoint 123abc

将关机任务分配给特定端点

Isolate endpoint 123abc

将隔离任务分配给特定端点

Unisolate endpoint 123abc

移除与特定端点的隔离

Retrieve logs from endpoint 123abc

将日志检索任务分配给特定端点

Update version for endpoint 123abc

将版本更新任务分配给特定端点

List all organizations

显示环境中的所有组织

List all cases

显示案例的状态和创建时间

List all policies

显示安全策略和收集策略

List all tasks

列出所有任务及其状态

List all triage rules

显示用于威胁检测的 YARA、OSQuery 和 Sigma 规则

List all users

显示系统中的所有用户及其详细信息

List all drone analyzers

显示可用的无人机分析仪及其支持的操作系统

Export audit logs

启动审计日志的导出。导出操作在 AIR 服务器的后台运行。

List audit logs

显示审计日志，其中包含时间戳、用户、操作、实体等详细信息

Uninstall asset with ID "endpoint-id"

卸载指定资产而不清除数据（需要提供

filter.includedEndpointIds

）

Purge and uninstall asset with ID "endpoint-id"

清除数据并卸载指定资产（需要提供

filter.includedEndpointIds

）

Add tags ["tag1", "tag2"] to asset with ID "endpoint-id"

将指定的标签添加到目标资产（需要提供

filter.includedEndpointIds

和

tags

）

Remove tags ["tag1"] from asset with ID "endpoint-id"

从目标资产中删除指定的标签（需要提供

filter.includedEndpointIds

和

tags

）

Create an auto asset tag named "Web Server"

创建新规则以根据条件自动标记资产。

Update auto asset tag "fkkEPhpqMNqJeHfi4RyxiWEm" to have tag name "Updated Container" with linux process "containerd" running

使用新条件更新现有的自动资产标签规则。

List all auto asset tag rules

列出所有现有的自动资产标签规则及其配置。

Get auto asset tag with ID "f6kEPhpqMNqJeHfi4RyxiWEm"

显示有关特定自动资产标签规则的详细信息。

Delete auto asset tag with ID "f6kEPhpqMNqJeHfi4RyxiWEm"

根据 ID 删除特定的自动资产标签规则。

Start auto tagging for windows machines

启动符合指定条件的 Windows 资产的自动标记过程。

Acquire baseline for case "C-2022-001" from endpoints ["id1", "id2"]

从给定案例 ID 的指定端点获取基线数据。

Compare baselines for endpoint "id1" with task IDs ["task1", "task2"]

比较特定端点的多个基线采集任务以识别变化。

Get comparison report for endpoint "id1" and task "task1"

检索特定端点和比较任务的比较结果报告。

List all e-discovery patterns

显示所有可用于文件类型检测的电子发现模式

Create a policy named "Production Policy" with specific storage settings

使用自定义设置创建新策略

Update policy with ID "abc123"

使用新设置更新现有策略

Get policy details for ID "System"

显示有关特定策略的详细信息

Update policy priorities to ["policy1", "policy2", "policy3"]

更新政策应用顺序

Show policy match statistics

显示每个策略匹配的端点数量

Get policy distribution for Windows endpoints

显示按平台过滤的政策匹配项

Get policy match stats for offline endpoints

显示离线资产的政策匹配情况

Delete policy with ID "abc123"

从系统中永久删除策略

Get all assignments for task with ID "def456"

显示与特定任务相关的所有分配

Cancel task assignment with ID "xyz789"

取消特定任务分配

Delete task assignment with ID "xyz789"

永久删除任务分配

Get details about task with ID "40a9dc46-d401-4bd1-82d3-ca9cf97c9024"

显示有关特定任务的详细信息，包括证据类型和配置

Cancel task with ID "abc123"

取消指定 ID 的正在运行的任务

Delete task with ID "abc123"

永久删除特定任务