対応アクション

脅威の検知は仕事の半分にすぎません。対応とは、攻撃を阻止して後始末を行うためのアクションです。

迅速に対応することで、被害を抑え、拡大を防止できます。

隔離（ネットワーク封じ込め）によって、感染したエンドポイントをネットワークから切り離します。

そのマシンは調査のためにEDRコンソールとの通信を続けられますが、マルウェアの拡散やデータの漏えいはできなくなります。

アナリストは有害なプロセスをリモートから停止できます。

プロセスを終了すると、暗号化やデータ窃取など、攻撃者が現在行っているアクティビティを止められます。その間も、より詳細なクリーンアップは続行されます。

隔離では、疑わしいファイルを安全なロックされた場所に移動します。

そのファイルは実行できなくなりますが、証拠として保存されるため、安全だと判明した場合は復元できます。

脅威の内容を把握したら、チームはその侵害の痕跡（IOC）をあらゆる場所でブロックします。

• 悪意のあるファイルハッシュ
• 不正なIPアドレスとドメイン

これにより、他のすべてのエンドポイントを一度に保護できます。

アラートが発生したときに、一部のアクションを自動的に実行できます。

たとえば、ランサムウェアの振る舞いが検知された瞬間に、誰かがアラートを読む前であっても、エンドポイントを自動的に隔離できます。

クリーンアップの前に、アナリストはリモートで証拠を収集します。

• 実行中のプロセス一覧を収集する
• 疑わしいファイルを取得して分析する
• エンドポイント上でリモートシェルを開く

これにより、攻撃の全体像を明確に把握できます。

修復では、脅威を取り除き、その影響による変更を元に戻します。

• 悪意のあるファイルを削除する
• 永続化エントリを削除する
• 有害な設定変更を元に戻す

一部のEDRツールでは、マルウェアによる変更をロールバックできます。たとえば、ランサムウェアによって暗号化されたファイルを復元できます。

ロールバックできない場合は、マシンをクリーンなイメージから再構築します。

対応は、より広いサイクルの一部です。

• 脅威を識別する
• 脅威を封じ込める（隔離）
• 脅威を根絶する（修復）
• システムを復旧する
• そこから教訓を得る

インシデントの後、チームは何が起きたのかを振り返ります。

攻撃者がどのように侵入したのかを記録し、同じ攻撃が再び成功しないように、検知とポリシーを更新します。

EDRの対応アクションには次のものがあります。

• ホストの隔離、プロセスの停止、ファイルの隔離
• IOCのブロックと自動的な封じ込め
• 修復、ロールバック、得られた教訓の記録

これらの手順は、識別、封じ込め、根絶、復旧というサイクルに沿っています。