VectraとCrowdstrikeの統合でエンドポイントを超えた可視性を向上

VectraとCrowdstrikeの統合でエンドポイントを超えた可視性を向上

エンドポイント検出と応答（EDR）は、多年にわたり、企業のエンドポイントのセキュリティ確保に重要な役割を果たしてきました。今日、多くのユーザーがリモートで作業し、さまざまな種類のデバイスを使用して企業のリソースにアクセスしています。これらのリソースは、オンプレミスに存在するか、ネイティブでクラウド上にあるか、ハイブリッド環境にまたがっている場合もあります。そのため、多くのSOCは、CrowdstrikeのEDR機能とVectraの脅威検出と応答を組み合わせることの価値を見出しており、エンドポイントを超えた可視性を向上させ、新しいダイナミックなユーザー環境における総合的なセキュリティポストを改善しています。EDR統合を可能にするために、VectraのDetect UIで行うプロセスをシンプルでわかりやすいものにしました。CrowdstrikeのEDR統合の設定は、Detect UIで「編集」ボタンをクリックし、「オン/オフ」のトグルをスライドすることで行われます。次に、クライアントIDとシークレットを入力し、「保存」ボタンをクリックします。これで、CrowdstrikeとVectraの統合が有効になります。Vectra Detectは、ネットワーク上でホストが表示される際に、ホスト名、IPアドレス、オペレーティングシステム、最終確認日時、および分離状態などのホストアーティファクトのEDRを取り込みます。また、ホストの詳細ページからCrowdstrike EDRコンソールに直接ジャンプできるように、調査ワークフローをシンプルにしました。脅威の進行とホストの検出活動が蓄積されるにつれて、調査中にEDRとNDRの間でシグナルを迅速に相関させるために、Crowdstrikeコンソールに1回のクリックでピボットできる能力があると、アナリストは迅速な対応ができます。脅威が確認された場合、影響を受けるホストを分離する能力は非常に重要です。Vectra Detectのホストロックダウン機能がそれを実現します。それは、VectraのネイティブCrowdstrike EDR統合の力を利用して、Detect UIから直接エンドポイントの分離を実行するアナリストの能力を提供します。アナリストはDetectのホストページからこのエンドポイントをロックすることができます。これを「マニュアルホストロックダウン」と呼んでいます。このホストはCrowdstrike EDRで管理されています。セキュリティ調査が進行中で、このホストを分離する必要がある場合、単純に「ホストをロック」ボタンをクリックし、このホストの無効化期間を指定し、「無効化」ボタンをクリックします。その後、ホストが「手動で無効化」されたことが示され、アクションを実行したユーザーとアクションが実行されたタイムスタンプが表示されます。Crowdstrikeコンソールに切り替えると、ホストが封じ込められていることがわかります。分離ウィンドウの有効期限が切れる前に、アナリストがホストのロックダウンをキャンセルする必要がある場合は、いつでもホストを再有効化することができます。ホストロックダウン機能を利用するもうひとつの方法は、「自動強制」です。SOCが作業でオーバーロードされている場合や、スタッフが不足しているオフ時間に特に有効です。自動ホストロックダウンを有効にするには、スライダーの「オン/オフ」を切り替えて、しきい値設定を超えたホストが表示された場合に可視性を一時的に制限する期間を選択します。しきい値は、ホストの脅威確実性や観測された特権スコアなどの信頼性の高いシグナルから設定されます。これらの条件がすべて満たされると、Vectra DetectはCrowdstrike EDRにシグナルを送り、設定ウィンドウの間ホストを分離するよう指示します。自動ホストロックダウンを使用する理想的なユースケースは、SOCが作業に過負荷になっている場合や、スタッフが不足しているオフ時間などです。幸運を祈り、ハッピーハンティング！私たちは、ネイティブのCrowdstrike EDR統合を活用し、ホストの充実およびマニュアルおよび自動のホストロックダウンをチームのワークフローに組み込んでいただけることを願っています。ありがとうございました。