CrowdStrikeでアラートを検知して、端末を隔離する

記事タイトルとURLをコピーする

コーポレートエンジニアリング部の宮澤です。
今回は、CrowdStrikeを導入して、運用開始後に端末からのアラートを検知して、インシデントが発生した場合の端末の隔離手順を紹介します。

CrowdStrikeでは、ホストが侵害されたなどのインシデントが発生した際に、ホストをネットワークから隔離することができます。
隔離を実行することで、隔離された端末はCrowdStrike以外と通信ができなくなります。

”エンドポイントセキュリティ > エンドポイント検知” を開き、対象のアラートを選択して”ネットワーク隔離”をクリックします。

”ホストの隔離”をクリックします。

隔離された端末にはポップアップが表示され、ユーザーに通知されます。

隔離の状況は“ホストのセットアップおよび管理 > ホストの管理”から確認できます。
”Normal”の場合は隔離されていない通常の状態、”Contained”の場合は隔離されている状態です。

“ホストのセットアップおよび管理 > ホストの管理”で該当端末を選択し、”アクション > ネットワーク隔離の解除”を押します。

“Lift Containment“を押して、隔離を解除します。

隔離が解除されると、端末側には以下の解除通知がされます。