FalconのEICAR検知を自動テストの実行履歴と照合する

検知名だけで判断すると、開発作業に伴う警告を見落とすか、正常なテストを止めるかの二択になってしまいます。ここで答える問いは「このファイルが、説明されたテストの実行から生じたか」です。検知の由来を調べる作業と、防御製品が何を止めたかを調べる作業には別の証拠を使います。

今回の対応

11月5日の検知について、翌日にFalconの検知詳細とイベント履歴を照合しました。自動テストを実行したプロセスに、一時ファイルの作成と削除が結び付いていました。Falconがプロセスを停止した記録や、ファイル・端末を隔離した記録は見当たりませんでした。

時系列が合うだけでは足りない

同じ時間帯に別の処理が動くこともあります。まず開発側のテスト実行時刻を基準に、Falcon側の作成元、対象ファイル、削除元を同じ並びにします。今回の判断を支えたのは、作成と削除がテストを実行したプロセスに結び付いた点です。削除イベントだけを見て「Falconが隔離した」と記録すると、実際とは違う処置を後任に伝えてしまいます。

状況別の判断と次の対応

引き継ぐときの一文

「テスト実行と対象ファイルの作成・削除を照合した。テスト自体の成否はテスト結果で確認する」と書けば、何を説明できたかが残ります。別の検知まで同じ理由で閉じるには、その検知についても作成元と時刻の照合が必要です。