Esecuzione reale
Nome, PID, percorso e metadati disponibili dei processi attivi al momento della cattura.
System State
Fotografare il sistema.Nel momento in cui il contesto conta.
System State raccoglie processi e servizi attivi, percorsi eseguibili, hash e firme digitali quando disponibili. Una fotografia tecnica da conservare, confrontare e collegare all’evento che l’ha richiesta.
P
Argus.Service.exefirmato · SHA256
P
sqlservr.exefirmato · SHA256
P
worker.exefirma non disponibile
P
w3wp.exefirmato · SHA256
S
Argus ServiceIn esecuzione
S
MSSQLSERVERIn esecuzione
S
W3SVCIn esecuzione
S
VSSManuale
01 Momento02 Processi03 Servizi04 Correlazione
Diagnostica puntuale
Capire cosa era attivo, non soltanto cosa è installato.
Asset Inventory documenta l’asset; System State osserva il suo stato operativo in un istante. Questo rende lo snapshot utile durante anomalie, analisi di sicurezza e supporto remoto.
Stato operativo
I servizi in esecuzione completano il quadro del sistema e delle sue dipendenze.
Hash e firma
SHA256 e stato della firma digitale vengono raccolti quando accessibili.
Origine della richiesta
Comando, Sentinel o telemetria possono spiegare perché lo snapshot è stato generato.
Manuale o automatico
La fotografia può arrivare prima dell’intervento.
Il tecnico può richiederla dal Monitor; il Client la genera anche come azione Sentinel o in momenti configurati di un episodio CPU o memoria.
- Richiesta remota senza coinvolgere l’utente del sistema
- Acquisizione all’inizio dell’osservazione o dell’allerta di risorsa
- Generazione prima delle azioni di contenimento
- Upload collegato a Client, evento e Timeline
01
RichiedeMonitor, utente o evento automatico
trigger02
FotografaProcessi, servizi e metadati
client03
TrasferisceJSON e correlazione verso il backend
upload04
ConfrontaDettaglio, Timeline e diff processi
analisiCollegato alla telemetria
Uno snapshot può spiegare l’inizio di un episodio.
Quando la correlazione riguarda CPU o memoria, il Monitor distingue la risorsa e la fase: inizio osservazione oppure inizio allerta. La fase descrive la cattura e non implica sempre l’apertura di un’allerta operativa.
Primo segnale
Fotografa il sistema una sola volta quando inizia l’osservazione configurata.
Soglia alta
Cattura il contesto all’avvio della fase più critica dell’episodio.
Sicurezza
Uno snapshot realmente generato da Sentinel mantiene l’attribuzione corretta.
Confronto processi
Snapshot successivi possono evidenziare processi comparsi, scomparsi o variati.
Limiti del dato
Un campo mancante non rende inutile lo snapshot.
Permessi, protezioni del sistema operativo o processi terminati durante l’acquisizione possono impedire di leggere percorso, hash, proprietario o firma. Argus mantiene esplicita l’assenza del dato.
Il Monitor vede lo snapshot dopo l’upload.La generazione locale e il trasferimento sono passaggi distinti. Stato e audit consentono di capire se la fotografia è arrivata correttamente.