不審なプロセスに対する対応操作を定義する
攻撃に対する修復対応の一環として、不審なプロセスに次の操作を適用できます。
- プロセスを停止する（以下を参照）
- プロセスを隔離する（以下を参照）
- プロセスによる変更をロールバックする（以下を参照）
- 保護計画の許可リストまたはブロックリストにプロセスを追加する（プロセス、ファイル、ネットワークを保護計画のブロックリストまたは許可リストで追加または削除するを参照）
不審なプロセスを停止する
- サイバーキルチェーンで、修復したいプロセスノードをクリックします。Windowsの重要なプロセスや実行されていないプロセスは停止できず、サイバーキルチェーンで無効化されます。
- 表示されたサイドバーで、[対応操作] タブをクリックします。
- [修復] セクションで、[プロセスを停止] をクリックします。
- 次のいずれかを選択します。
- プロセスを停止（特定のプロセスを停止）
- プロセスツリーを停止（特定のプロセスとその子プロセスを停止）
- コメントを追加します。
このコメントは、[アクションの履歴]タブ（特定のノードの場合）または[インシデントアクティビティ]タブ（インシデント全体の場合）に表示され、後でインシデントを再確認したときに、なぜそのアクションを実行したのかをあなたや同僚が思い出すのに役立ちます。
- [停止] をクリックすると、プロセスが停止します。関連するアプリケーションは終了し、保存されていないデータは失われます。
このアクションは、[アクションの履歴]タブ（特定のノードの場合）および[インシデントアクティビティ]タブ（インシデント全体の場合）でも確認できます。詳細については、インシデントを軽減するために実行される操作を理解するを参照してください。
不審なプロセスを隔離するには
- サイバーキルチェーンで、隔離したいプロセスノードをクリックします。Windowsの重要なプロセスは隔離できず、サイバーキルチェーンで無効化されます。
- 表示されたサイドバーで、[対応操作] タブをクリックします。
- [修復] セクションで、[検疫] をクリックします。
- コメントを追加します。
このコメントは、[アクションの履歴]タブ（特定のノードの場合）または[インシデントアクティビティ]タブ（インシデント全体の場合）に表示され、後でインシデントを再確認したときに、なぜそのアクションを実行したのかをあなたや同僚が思い出すのに役立ちます。
- [検疫] をクリックします。プロセスが停止され、隔離されます。このプロセスは、マルウェア対策保護で利用可能な隔離セクションに追加され、管理されます。
このアクションは、[アクションの履歴]タブ（特定のノードの場合）および[インシデントアクティビティ]タブ（インシデント全体の場合）でも確認できます。詳細については、インシデントを軽減するために実行される操作を理解するを参照してください。
ロールバックを変更するには
- サイバーキルチェーンで、変更をロールバックしたいプロセスノードをクリックします。この操作は、検出ノード（赤または黄色で表示されるノード）のみで利用可能です。
- 表示されたサイドバーで、[対応操作] タブをクリックします。
- [修復] セクションで、[変更をロールバック] をクリックします。
- ロールバックによる変更の影響を受ける項目を表示するには、影響を受ける項目リンクをクリックします。表示されるダイアログには、ロールバックによって戻されるすべての項目（ファイル、レジストリ、スケジュールされたタスク）と操作（削除、復元、なし）が表示されます。さらに、復元された項目がローカルキャッシュまたはバックアップの復元ポイントのいずれから復元されるかを確認できます。
- コメントを追加します。このコメントは [アクションの履歴]タブ（単一のノードまたはインシデント全体）または[インシデントアクティビティ]タブに表示され、あなたや他のユーザーがインシデントを再度利用する際に、操作を実行した原因を思い出すヒントになります。
- [ロールバック] をクリックします。ロールバック機能は、プロセスによって行われたレジストリ、ファイル、スケジュールされたタスクの変更を元に戻すものです。以下の手順によって実行できます。
- 脅威（およびその子脅威）によって作成された新しいエントリ（レジストリ、スケジュールされたタスク、ファイル）はすべて削除されます。
- 脅威（およびその子脅威）が、攻撃前にワークロード上に存在したレジストリ、スケジュールされたタスク/ファイルに加えた変更は、すべて元に戻されます。
- ロールバックでは、ローカルキャッシュを利用した項目のリカバリが試行されます。リカバリできない項目については、EDRがクリーンなバックアップイメージから自動的にリカバリします。
ロールバックアクションは、[アクションの履歴]タブ（特定のノードの場合）および[インシデントアクティビティ]タブ（インシデント全体の場合）でも確認できます。詳細については、インシデントを軽減するために実行される操作を理解するを参照してください。