CrowdStrikeのランサムウェア関連IOAで、一次調査に残す情報

ランサムウェア関連のIOAは調査の入口です。判断には、どのような起動の組み合わせが指摘されたか、通常のWindows処理で説明できる部分がどこまであるかを確認します。スコアや検知名をそのまま「被害が発生した」という報告に置き換えると、追加で調べるべき点が埋もれます。

今回の対応

11月2日から3日にかけて記録された挙動について、4つのプロセスの実行内容、起動元、起動順を調べました。Windowsの通常処理と整合する点があり、別の端末で過去に記録された類似の指摘とも比較しました。

4プロセスを一本の流れに戻す

今回確認した4つのプロセスを個別に見るだけでは、何をきっかけに起動したかが分かりません。親子関係をたどり、実行内容と起動順を合わせて比較しました。過去の別端末の類似例は説明を考える材料になりますが、今回も同じ原因だったことを証明する資料にはなりません。

状況別の判断と次の対応

サポートへ引き継ぐ質問

「これは誤検知ですか」だけでは、回答に必要な材料が伝わりません。どの挙動が指標の判定に寄与したのか、通常の起動経路では説明が付かない部分が残るかを尋ねます。11月6日の回答まででは最終判定に至っていないため、結論欄には追加確認が必要な点を残します。