このガイドは Mac コンピュータおよび Windows コンピュータに適用されます
セキュリティ運用アクションについて
セキュリティ運用（SecOps）アクションとは、エンドポイントセキュリティまたは EDR のワークフローで使用できるコントロールのことで、管理者は Iru Endpoint Web App で検知を確認し、ステータスの更新、詳細の調査、侵害されたデバイスの隔離、その他の対応タスクなどのフォローアップを実行できます。Iru Endpoint Detection & Response では、これらのアクションは Detections ページに表示され、確認と修復の進行状況を追跡するための検知の Status の更新も含まれます。仕組み
セキュリティ運用アクションは、ステータスの追跡とタグ付けの仕組みによって、構造化された脅威管理のアプローチを提供します。Endpoint Detection の Detections ページにある ステータス アクションを使用すると、検知イベントを処理しながら追跡・更新できます。管理者は検知を手動で 開く または クローズ としてマークでき、その他のステータスは、検知が最初に発生した時期や解決されてからの経過時間などのタイミングに基づいて Iru Endpoint が自動的に割り当てます。これにより一貫したワークフローが生まれ、新しいもの、対応が必要なもの、処理済みのものを把握しやすくなるため、脅威のトリアージやフリート全体の進行状況の追跡が容易になります。 ステータス 列は、すべてのプラットフォームでファイル検知の検知テーブルに表示されます。Mac コンピュータでは、振る舞い検知でも使用できます。検知ステータスの種類について
検知イベントには、次の 4 つのステータスのいずれかが設定されます。- New：過去 24 時間以内に発生した
- 開く：まだクローズとしてマークされていない
- クローズ：手動で Closed としてマークして解決された
- Archived：クローズされてから 30 日以上経過した
ステータスで検知イベントをフィルタする
検出 ページでは、ステータスで検知イベントをフィルタできます。- イベントフィルタ：デフォルトでは、New、開く、クローズ のイベントが表示されます。Archived のイベントは、選択しない限り非表示になります。
- デバイスフィルタ：サイドパネルにあり、開く または クローズ の検知でデバイスをフィルタできます。
検知ステータスを変更する
ステータスを定期的に更新すると、検知リストを正確に保つことができ、アクティブな脅威のフィルタリングが向上します。
1
検知を選択する
チェックボックスを使用して検知を選択します。
2
ステータスの変更にアクセスする
アクションバーで Change Status を選択します。
3
新しいステータスを選択する
ドロップダウンメニューから新しいステータスを選択します。
4
変更を適用する
Change を選択して適用します。
プラットフォーム固有の対応アクション
- macOS
- Windows
デバイスの隔離
Device Isolation は重要なセキュリティ運用機能であり、デバイスが侵害された疑いがある場合やアクティブな脅威にさらされている場合に、管理者がデバイスをネットワークから即座に隔離できます。検知のサイドパネルから、Mac コンピュータのデバイスの隔離にアクセスできます。Device Isolation には 2 つの隔離レベルがあります。- Partial Isolation：リモートでの修復アクションのために MDM エージェントの接続を維持したまま、デバイスをネットワークから切断します
- Complete Isolation：すべてのネットワーク通信を完全に遮断します。使用できるリモートアクションは隔離の解除のみです
検知を整理するためのタグについて
タグを使用すると、チーム固有の運用ニーズに基づいて、脅威を柔軟に整理、フィルタ、管理できます。管理者が定義するこれらのタグにより、ワークフローに合ったカスタムラベルで検知を分類できます。 Detections ページには Tags 列があり、各脅威に関連付けられているタグを確認できます。脅威に複数のタグがある場合は、列にカーソルを合わせると完全なリストが表示されます。タグを管理する
タグを作成する
タグは完全に自由に管理できます。タグを作成、変更、削除するには、Manage Tags ボタンを選択します。これにより、チームの運用ニーズに合ったタグ付けの仕組みをカスタマイズして維持できます。1
タグの管理にアクセスする
Detections ページの右上隅にある Manage Tags アイコンを選択します。
2
新しいタグを追加する
Add Tag を選択します。
3
タグのテキストを入力する
目的のタグのテキストを入力します。チェックマークを選択して保存し、追加するタグの数だけ繰り返します。
4
モーダルを閉じる
モーダルを閉じます。
タグを更新する
1
タグの管理にアクセスする
Detections ページの右上隅にある Manage Tags アイコンを選択します。
2
タグを編集する
編集するタグの横にある鉛筆アイコンを選択します。
3
タグのテキストを更新する
タグのテキストを更新し、チェックを選択します。
4
モーダルを閉じる
モーダルを閉じます。
タグを削除する
1
タグの管理にアクセスする
Detections ページの右上隅にある Manage Tags アイコンを選択します。
2
タグを削除する
脅威の右側にある Trash アイコンを選択します。
3
モーダルを閉じる
モーダルを閉じます。
検知にタグを割り当てる
1
検知を選択する
リストから 1 つ以上の検知を選択します。
2
アクションメニューにアクセスする
左下隅にある三点リーダーを選択します。
3
タグを割り当てる
Assign tags を選択し、リストからタグを選択します。
タグで検知をフィルタする
上部のフィルタから 1 つ以上のタグを選択して、検知テーブルをフィルタできます。これにより、特定の種類の脅威やタスクに集中できます。考慮事項
- ステータスの管理：脅威を正確に追跡し、フィルタリングの効果を高めるため、検知ステータスを定期的に更新してください
- タグの戦略：チームの運用ワークフローと脅威の分類ニーズに合った、一貫したタグ付けの戦略を策定してください
- 一括操作：ステータスの一括変更とタグの一括割り当てを使用して、複数の検知を同時に効率よく管理してください
- フィルタの組み合わせ：ステータスとタグのフィルタを組み合わせて、特定の種類の脅威や運用上の優先事項に焦点を当てたビューを作成してください
- チームでの連携：セキュリティチーム全体で一貫した脅威管理を行うため、ステータスの更新とタグの使用に関する明確なガイドラインを定めてください
- 自動ステータス：New と Archived のステータスはタイミングに基づいて Iru Endpoint によって自動的に管理され、開く と クローズ は手動での操作が必要であることを理解してください
- 脅威の優先順位付け：ステータスとタグの組み合わせを使用して、すぐに対応が必要な脅威と後で対処できる脅威の優先順位を付けてください