このガイドは Mac コンピュータに適用されます
デバイスの隔離について
Device Isolation を使用すると、管理者はデバイスのネットワーク接続を即座に切断し、フリートの他のデバイスから事実上隔離できます。これは、デバイスが侵害された疑いがある場合や、アクティブな脅威にさらされている場合に重要な対応機能です。Device Isolation は、個々のデバイスに対して実行することも、特定の脅威検知に関連するすべてのデバイスに対して一括で実行することもできます。仕組み
Device Isolation は、Detections ページから直接アクセスできる即時のネットワーク隔離機能を提供します。デバイスが隔離されると、選択した隔離の種類に応じてネットワーク接続が制限されます。管理者は Iru Endpoint Web App の視覚的なインジケーターで隔離されたデバイスを監視し、脅威が無力化された後にネットワークアクセスを復元できます。隔離のステータスは、Detections ページとデバイスレコード全体にリアルタイムで反映されます。隔離の種類
脅威の深刻度と維持する必要のあるアクセスのレベルに応じて、2 つのレベルの隔離を使用できます。- Partial Isolation：デバイスはネットワークから切断されますが、MDM エージェントは接続を維持します。これにより、管理者はデバイスのリモート消去など、特定の修復アクションを実行できます。
- Complete Isolation：デバイスはすべてのネットワーク通信から完全に遮断されます。この状態の間は、隔離の解除以外のリモートアクションをデバイスに対して実行できません。
前提条件
- ライセンス：この機能は、有効な Endpoint Detection and Response（EDR）プランをお持ちのお客様が使用できます。
- 権限：アカウントに、脅威とデバイスアクションを管理するために必要な権限があることを確認してください（チームメンバーのロールの権限を参照）。
- デバイス：この機能は、脅威（オープンまたはクローズ）があるデバイスでのみ使用でき、検知のサイドパネルからアクセスできます。
単一のデバイスを隔離する
特定の検知のサイドパネルにアクセスすると、検出 ページから直接デバイスを隔離できます。1
検出に移動する
検出 ページに移動します（左側のナビゲーションの Endpoint の下にある 検出 を選択します）。
2
サイドパネルを開く
特定の検知を選択して Side Panel を開きます。
3
デバイスを見つける
サイドパネルで、隔離する特定のデバイスを見つけます。
4
隔離を開始する
デバイス名の横にある Isolate Globe Icon にカーソルを合わせると、デバイスをネットワークから隔離. というツールチップが表示されます。アイコンを選択します。
5
隔離の種類を選択する
ポップアップウィンドウで、Partial Isolation または Complete Isolation を選択します。
6
コメントを追加する
必要に応じて、監査のために隔離の理由を入力します。
7
隔離を確認する
Isolate Device を選択して確定します。
8
進行状況を監視する
デバイスの隔離中は、進行状況のインジケーターが表示されます。
複数のデバイスを隔離する（一括アクション）
一括隔離アクションでは、複数のデバイスを誤って隔離しないように、確認手順として「ISOLATE」と入力する必要があります。
1
検出に移動する
検出 ページに移動します（左側のナビゲーションの Endpoint の下にある 検出 を選択します）。
2
サイドパネルを開く
特定の検知を選択して Side Panel を開きます。
3
一括アクションのアイコンを見つける
検知自体に関連付けられた Isolate Globe Icon（パネルの右上、デバイスリストの上）にカーソルを合わせると、すべてのデバイスを隔離（macOSのみ）. というツールチップが表示されます。アイコンを選択します。
4
一括隔離を開始する
アイコンを選択すると、この検知に関係するすべてのデバイスの隔離が開始されます。
5
隔離の種類を選択する
ポップアップウィンドウで、Partial Isolation または Complete Isolation を選択します。
6
コメントを追加する
必要に応じて、監査のために隔離の理由を入力します。
7
一括アクションを確認する
誤った一括アクションを防ぐため、確認フィールドに “ISOLATE” と入力します。
8
隔離を完了する
Yes, isolate these devices を選択して確定します。
9
進行状況を監視する
デバイスの隔離中は、進行状況のインジケーターが表示されます。
隔離されたデバイスを識別する
デバイスが隔離されると、そのステータスが Iru Endpoint Web App に視覚的に表示されます。- 視覚的なインジケーター：脅威のサイドパネルで、デバイスのアイコンに赤い鍵付きの地球儀の記号が表示されます。
- デバイスレコード：デバイスレコードの上部付近に Isolation status が表示されます。
- フィルタ：現在隔離されているすべてのマシンを表示するには、Detections リストに移動し、Isolated Devices を含む検知でフィルタします。
デバイスの隔離を解除する
脅威が無力化された場合、またはデバイスが安全であると判断された場合は、ネットワークアクセスを復元できます。1
隔離されたデバイスを見つける
Detections のサイドパネルで、隔離されたデバイスを見つけます。
2
解除を開始する
隔離を解除するデバイスの右側にある Release Globe Icon にカーソルを合わせると、デバイスのネットワーク隔離を解除. というツールチップが表示されます。アイコンを選択します。
3
解除を確認する
確認を求めるポップアップが表示されます。
4
コメントを追加する
必要に応じて、監査のために解除の理由を入力します。
5
解除を完了する
Restore Access を選択して、ネットワーク接続を復元します。
6
進行状況を監視する
デバイスの隔離の解除中は、進行状況のインジケーターが表示されます。
すべてのデバイスの隔離を解除する
脅威が無力化された場合、またはデバイスが安全であると判断された場合は、隔離されたすべてのデバイスのネットワークアクセスを一度に復元できます。1
隔離されたデバイスを見つける
Detections のサイドパネルで、隔離されたデバイスを見つけます。
2
解除を開始する
検知自体に関連付けられた Release Globe Icon（パネルの右上、デバイスリストの上）にカーソルを合わせると、該当するすべてのデバイスの隔離を解除. というツールチップが表示されます。アイコンを選択します。
3
解除を確認する
確認を求めるポップアップが表示されます。
4
コメントを追加する
必要に応じて、監査のために解除の理由を入力します。
5
解除を完了する
Restore Access を選択して、ネットワーク接続を復元します。
6
進行状況を監視する
デバイスの隔離の解除中は、進行状況のインジケーターが表示されます。
ユーザーに表示される内容
デバイスが隔離されたとき、または隔離が解除されたとき、ユーザーの画面にはデバイスのステータスを説明するメッセージが表示されます。デバイスがオフラインの場合
デバイスが隔離されると、ユーザーには次のメッセージが表示されます。
デバイスがオンラインの場合
デバイスの隔離が解除されると、ユーザーには次のメッセージが表示されます。
よくあるエラー
隔離または解除のアクションは、デバイスの状態やネットワークの状況によって失敗することがあります。その場合、特定の脅威のサイドパネルにデバイスごとのエラーステータスが表示されるため、再試行または調査を行えます。隔離に失敗した場合
デバイスの隔離に失敗すると、デバイスの Isolate Globe Icon に赤いインジケーターが表示されます。アイコンにカーソルを合わせると、デバイスの隔離に失敗しました。もう一度お試しください。 というツールチップが表示されます。アイコンを選択すると、隔離を再試行できます。
解除に失敗した場合
デバイスの隔離の解除に失敗すると、デバイスの Release Globe Icon に赤いインジケーターが表示されます。アイコンにカーソルを合わせると、デバイスの隔離解除に失敗しました。もう一度お試しください。 というツールチップが表示されます。アイコンを選択すると、隔離の解除を再試行できます。
トラブルシューティング
複数回試行してもデバイスの隔離または解除に失敗する場合は、コンピュータを再起動してから再試行できます。また、デバイスのネットワーク接続を確認し、Wi-Fi または Ethernet に接続されていることを確認することもできます。 隔離されたデバイスでは、ネットワーク接続のステータスが「No Internet Connection…」になるのは正常ですが、ネットワーク自体には接続されている必要があります。ネットワーク要件とファイアウォールの構成については、エンタープライズネットワークでの Iru の使用を参照してください。考慮事項
- ドキュメント：監査とコンプライアンスをサポートするため、隔離と解除のアクションには任意のコメントフィールドを使用してください。
- アクティビティのログ：隔離と解除のアクションは、Unified Activity の 検出 に表示されます。
- インシデント対応：隔離をより広範なワークフローに組み込んでください。ステータス、タグ、関連する制御については、セキュリティ運用アクションを参照してください。
- 調査：Device Isolation を脅威イベントの分析と組み合わせて使用し、調査中に脅威を封じ込めてください。
- 解除のタイミング：ネットワークアクセスは、脅威が無力化され、デバイスをネットワークに戻す準備ができてから復元してください。
- 連携：インシデント対応の手順を明確にするため、デバイスを隔離する前にセキュリティチームまたは IT チームと調整してください。