Endpoint Detection and Response（EDR）のワークフロー

要件に応じて設定できるデフォルトのEDRワークフローが6つあります。

• 脅威の隔離（EDRインシデントの作成時）
• 脅威の隔離（EDRインシデントのアップデート時）
• ワークロードの分離（EDRインシデントの作成時）
• ワークロードの分離（EDRインシデントのアップデート時）
• 注意が必要なマルウェアインシデント
• 注意が必要なインシデント

次の表に、各ワークフローに適用されるデフォルトのトリガー、条件、およびアクションについて説明します。条件とアクションの変更についての詳細は、自動Endpoint Detection and Response（EDR）ワークフローの設定を参照してください。

ワークフロー	トリガ	条件	アクション
脅威の隔離	EDRインシデントが作成された	脅威ステータス = "軽減なし" および インシデント状態 = "未開始" および 重大度 = "高" および インシデントタイプ = "処理が検出されました" または "マルウェアが検出されました"	プロセスを停止します。 プロセスを隔離します。 コメントを追加します。デフォルトのコメント テキストは「<Workflow name> - 重大度が高い脅威を隔離」です。 インシデントをクローズします。
脅威の隔離	EDRインシデントがアップデートされた
ワークロードの分離	EDRインシデントが作成された	脅威ステータス = "軽減なし" および インシデント状態 = "未開始" および 重大度 = "クリティカル" および 判定 = "悪意がある" および 陽性レベル > 9 および インシデントタイプ = "処理が検出されました" または "マルウェアが検出されました"	プロセスを停止します。 プロセスを隔離します。 ワークロードを分離します。 コメントを追加します。デフォルトのコメント テキストは、「重要なマルウェアが検出されたので<Workflow name> - ワークロード <Workload name> が隔離されました」です。 選択したCyber ProtectコンソールユーザーにEメールを送信します。
ワークロードの分離	EDRインシデントがアップデートされた
注意が必要なマルウェアインシデント	EDRインシデントが作成された	脅威ステータス = "軽減なし" および インシデント状態 = "未開始" および インシデントの経過時間 > 8時間 および 重大度 = "高" または "クリティカル" および 判定 = "悪意がある" および インシデントタイプ = "マルウェアが検出されました"	プロセスを停止します。 プロセスを隔離します。 コメントを追加します。デフォルトのコメント テキストは「<Workflow name> - 8時間調査が行われなかったため、重要度が高/重要の脅威を隔離」です。 選択したCyber ProtectコンソールユーザーにEメールを送信します。
注意が必要なインシデント	EDRインシデントが作成された	脅威ステータス = "軽減なし" および インシデント状態 = "未開始" および インシデントの経過時間 > 24時間 および 重大度 = "高" または "クリティカル" および 判定 = "悪意がある"	プロセスを停止します。 プロセスを隔離します。 コメントを追加します。デフォルトのコメント テキストは「<Workflow name> - 24時間調査が行われなかったため、重要度が高/重要の脅威を隔離」です。 選択したCyber ProtectコンソールユーザーにEメールを送信します。