Conclusion
この記事の結論
侵入原因、除去結果、残る不審動作と必要な更新を確認する。セキュリティ担当者が解除条件と再監視の方法を判断する。解除後の通信、業務動作、再検知の有無を確認する。
このガイドの対象
情報システム・セキュリティ担当者。検知内容と業務影響を記録し、侵害が疑われる場合は組織の事故対応手順に従います。
「EDR隔離解除の判断材料をそろえる」ための対応チェックリストです。以下の順で現状を確認し、対応の結果まで記録します。
対応の流れ
- 01侵入原因、除去結果、残る不審動作と必要な更新を確認する
- 02セキュリティ担当者が解除条件と再監視の方法を判断する
- 03解除後の通信、業務動作、再検知の有無を確認する
確認結果で判断期待どおり → 結果を記録して完了期待と異なる → 止まった手順と結果を整理し、担当者へ確認
詳しい手順
1. 侵入原因、除去結果、残る不審動作と必要な更新を確認する
確認した対象、時刻、現在の状態を記録します。分からない項目は担当者に確認し、推測で埋めないようにします。
2. セキュリティ担当者が解除条件と再監視の方法を判断する
一度に複数の条件を変えると結果を比較しにくくなります。対象と変更点を絞り、作業前後の違いを残します。
3. 解除後の通信、業務動作、再検知の有無を確認する
確認に使った操作、日時、結果を記録します。期待どおりでなければ完了にせず、次の確認事項と担当者を決めます。
完了の確認
解除後の通信、業務動作、再検知の有無を確認する。作業を実施した記録と、目的を満たした結果の両方を残します。
うまく進まない場合
どの手順で止まったか、期待した状態と実際の状態、すでに試したことを整理して担当者へ渡します。認証情報や不要な個人情報は共有しないでください。変更で影響が広がった場合は作業を止め、事前に決めた復旧方法を確認します。
参考情報
関連分野の公式資料です。製品の画面や利用できる機能はバージョン・契約・権限で異なるため、実施時に対象環境の説明を確認してください。