Endpoint Detection and Response（EDR）の使用方法

EDRにより、気づかれなかった攻撃を検知し、攻撃がどのように発生したか、またどのように再発を防止するかを理解できるようになります。攻撃の各ステージに関する分かりやすい説明を提供することで、攻撃の調査に費やす時間を数分に短縮することができます。

下の表は、EDRを使用する際の一般的なワークフローを説明したものです。最初に新しいインシデントの確認と優先順位付けを行い、サイバーキルチェーンにおいて追加の調査を行って、関連する修復操作を適用します。

手順 EDRの使用方法
手順1:インシデントを確認

EDRのインシデントリストで:

  • 組織のセキュリティ状況を把握する: どの程度のインシデントを調査する必要があるのか？
  • もっとも重大なインシデントを把握し、その重大度に応じて調査の優先順位を決定します。
  • どのインシデントが新規であるか、または進行中であるかを把握します。
手順2:インシデントを調査

EDRサイバーキルチェーンで:

  • 攻撃者の目的を把握し、使用される攻撃手法を確認します。
  • インシデントが実際に悪意に基づく攻撃であかどうかを検証します。
  • 脅威フィードがワークロードに影響を及ぼしているかどうかを検証します。
  • インシデントに既に適用されている対応操作を確認できます。
手順3:インシデント全体を修復

該当するEDRの修復セクションにおいて:

  • グローバルな対応操作を適用することで、インシデント全体を迅速かつ容易に修復できます。
  • インシデント内の個別の攻撃ポイントを修復します。
  • 攻撃（または将来の攻撃）の拡散や、まだ攻撃者のターゲットになっていないワークロードへの影響を防ぐための操作を適用します。