フォレンジック アーティファクト: エンドポイントからのファイル収集
Cyber Protection Endpoint Detection and Response (EDR) により、アナリストとセキュリティ チームは不審なファイル サンプルをエンドポイントから収集し、安全なクラウド リポジトリに集中管理して保管できます。これらの収集されたファイルは フォレンジック アーティファクト と呼ばれ、調査、脅威研究、自動分析ワークフローをサポートします。
フォレンジック アーティファクトとは
フォレンジック アーティファクトは、エンドポイントから収集されたすべてのファイル サンプルが保管および管理される、安全な集中管理リポジトリです。調査中にエンドポイントからファイルを収集すると、次のように処理されます:
- ファイルは、パスワードによる保護が施された暗号化されたアーカイブとしてパッケージングされます。
- 安全なクラウド ストレージにアップロードされます。
- 完全なメタデータ（ハッシュ、パス、ホスト、タイムスタンプ、ファイル サイズ、収集を要求したユーザー）とともに保管されます。
- 180 日間保持され、その後自動的に削除されます。
- すべてのアクセスは、コンプライアンスおよび監査の目的でログに記録されます。
なぜファイルを収集するのか
EDR は脅威を検出し、詳細なアクティビティ情報を提供しますが、より詳しい調査のために実際のファイル サンプルが必要になることがあります。ファイル収集により、次のことが可能になります。
- 調査を深める — ハッシュやメタデータだけでなく、実際の悪意のあるファイルを分析します。
- 脅威調査をサポートする — サンドボックス分析または静的分析のためにファイルを送信します。
- コンプライアンス要件を満たす — フォレンジック アクティビティの監査証跡を維持します。
ファイル収集の仕組み
ファイル収集をリクエストすると、以下が実行されます:
- システムは、ファイルが存在するエンドポイントに収集タスクを送信します。
- エンドポイント エージェントはファイルを読み取り、パスワードによる保護が施された ZIP アーカイブとしてパッケージングします。
- アーカイブは安全なクラウド ストレージにアップロードされます。
- システムは、収集イベントを監査ログに記録します。
- ファイルはフォレンジック アーティファクトページに表示され、そこでダウンロード、詳細の表示、または削除を行うことができます。
主なセキュリティ機能
ファイル収集は複数のセキュリティ レイヤーで保護されています。
- ロールベースのアクセス制御（RBAC） — 「ファイルの収集」または「収集されたファイルをダウンロードする」許可を持つユーザーのみが、これらのアクションを実行できます。
- パスワードによる保護 — 収集されたすべてのファイルは一意のパスワードで暗号化され、このパスワードはダウンロード時にのみ表示されます。
- 監査ログ — すべての収集、ダウンロード、および削除アクションは、ユーザー、タイムスタンプ、ファイル、およびホスト情報とともにログに記録されます。パスワード値がログに記録されることはありません。
- 暗号化されたストレージ — ファイルは、安全なクラウド ストレージ内で、他の製品データとは別に、保存時に暗号化されます。
- 自動完全削除 — ファイルは、ストレージを管理し、データ保持ポリシーに準拠するために、180 日後に自動的に削除されます。
フォレンジック アーティファクトを使用できるのは誰ですか?
フォレンジック アーティファクトは、以下のロールに対してカスタマー アカウント レベルで利用できます:
- サイバー管理者 — ファイルの収集、ファイルのダウンロード、およびファイルの削除ができます。
- 企業管理者 — ファイルの収集、ファイルのダウンロード、およびファイルの削除ができます。
- セキュリティアナリスト — ファイルの収集、ファイルのダウンロード、およびファイルの削除ができます。