K-EDRとAction Center
攻撃の進行を見て、対応する
K-EDRは、パソコンから有用なイベントを収集し、広く認められた検知ルールで相関分析して、アラートをインシデントにまとめます。Action Centerから、数クリックで対応できます。
課題
攻撃者は、OS標準の正規ツールをますます悪用しています。プロセスの連鎖が見えなければ、侵入に何週間も気づかないことがあります。
モジュールの機能
的を絞ったテレメトリ
プロセス、ネットワーク接続、ライブラリの読み込み、永続化、スケジュールタスク、PowerShellスクリプト。
広く認められたルール
コンパイル済みのSigmaルール、時間軸での相関分析、MITRE ATT&CKへの体系的な対応づけ。
読みやすいインシデント
アラートを、時系列と説明付きのインシデントにまとめます。
署名付きの対応
隔離、プロセス停止、検疫、証拠の収集。すべての操作に署名が付き、記録されます。
脅威ハンティング
全台を対象にしたクエリ、保存済みクエリ、侵害指標の検索。
しくみ
収集
エージェントが、発生元で絞り込んだ有用なイベントを送ります。
相関分析
ルールが不審な連鎖を検知し、インシデントを作成します。
対応
アナリストがAction Centerから操作します。必要に応じて二重承認も可能です。
知っておいていただきたいこと
- このモジュールは開発中です。Windowsの収集とアクションセンターは、一部が完成しています。
- macOSでの収集はAppleの許可に左右されます。許可が得られない場合の代替策も用意しています。
- Kayzenは、24時間365日体制の自社SOCを提供しません。提携をフェーズ6で計画しています。
よくあるご質問
このモジュールについてのご質問
EDRを使うにはセキュリティチームが必要ですか？
インシデントはやさしい言葉で説明し、Copilotアシスタントが理解を助けます。ただし、継続的な監視には、専任の担当者または外部の事業者が必要です。
従業員は監視されますか？
テレメトリの対象はプロセスとシステムで、文書の内容ではありません。企業で使う場合は、従業員、そして必要に応じてCSE（従業員代表委員会）への周知が必要です。
サイバーセキュリティ実践ガイド
- 詐欺と脅威ランサムウェア：攻撃の前・最中・後の正しい対応ランサムウェアを予防し、感染時に対応し（隔離する、支払わない、被害届を出す）、復旧する。小規模事業者・中小企業・個人向けの実践的アドバイス。ガイドを読む
- 法規制NIS2：対象となるのは誰か、何から始めるべきかdirective (UE) 2022/2555：セクター、規模、必須主体と重要主体、第21条の措置、インシデント報告。要点の整理とANSSIの情報へのご案内。ガイドを読む
- 企業向けサイバー攻撃の被害に遭ったら：最初の1時間にすべきこと隔離する、知らせる、証拠を保全する、支払わない、届け出る（17Cyber、被害届、72時間以内のCNIL）：インシデント発生時の対応手順。ガイドを読む