2026/02/17 11:43

【CrowdStrike】アラート検知時の対応まとめ（Prevent＆Insight）

はじめに

こんにちは、ネクストモード株式会社の sobar です。今回はCrowdStrikeのアラート検知時の対応についてまとめましたのでご紹介します。※本内容はあくまでも対応の一例となりますので、最終的な対応、運用方針はそれぞれの社内で定められている運用ルールに従っていただければと思います。

本記事は、Prevent＆Insight ライセンスがある前提での記載となっております。ライセンスにつきましては必要に応じて弊社までお問い合わせください。

アラート検知時の対応について

アラート検知時の対応概要（例）について以下に示します。

アラート検知時の対応概要（例）

以下よりそれぞれの対応について確認していきます。

①アラート確認

エンドポイント検知があがりましたらまずはエンドポイントセキュリティ > エンドポイント検知より対象のアラートを確認をします。（※予めメール通知や、Slack通知等の設定を行っておくことをお勧めいたします。）

※アラート確認については以下をご参照ください。

【CrowdStrike】アラート内容確認について（Prevent＆Insight）

②正誤判定

①の確認内容を元に正検知か、過検知かを決定します。

正検知の場合 ⇒ ③-1. 調査・対処を実施
過検知の場合 ⇒ ③-2. ホワイトリスト登録 を実施

③-1. 調査・対処

③-1-1. ネットワーク隔離すべきか？

①②の検知内容より、隔離すべきと判断した場合は該当検知の詳細画面上段のネットワーク隔離を実施します。

※対処完了後にはネットワーク隔離の解除を実施します。
※ネットワーク隔離を実施すると、CrowdStrike（テナント）との通信以外の通常のインターネットは遮断されますので実施前に必要な確認を実施ください。
※エンドポイント検知の重大度=重大のものは一律、一度ネットワーク隔離を実施し、確認・対処等を行ったうえで問題無いと判断後に隔離解除するような運用も良いかと思いますので一度ご検討ください。

ネットワーク隔離実施

③-1-2. ホストへ接続を試行し然るべき対処を行う

ホストへの接続を試行し対処を行っています。

ホストへの接続試行を実施

※対処すべき内容はプロセス・コマンドを確認した状況によって変わります。以下に一例を示します。

状況（検知内容）	対処内容（RTR等の操作例）
攻撃用ツールのダウンロード	ツールのアンインストール・除去を実施（※ポリシー設定により自動隔離される場合もある）
ファイルやレジストリの書き換えコマンド実行	実行されたコマンド内容を特定し、修復するためのコマンドを実行
不審な永続化設定（自動起動）	タスクスケジューラやレジストリのRunキーを確認し、身に覚えのない登録を削除
不審な外部IPとの通信	netstat 等でコネクションを確認し、該当プロセスを強制終了（kill）した上でバイナリを調査・隔離
ブラウザ拡張機能の不審な挙動	導入されている拡張機能一覧を確認し、悪意のあるものや不要なものを削除
シャドウコピーの削除（ランサムウェア兆候）	vssadmin 等で削除状況を確認し、被害拡大防止と並行してバックアップからの復旧準備実施
不審なサービスの登録・実行	サービス一覧から異常なパスで動くものを特定し、停止（Stop）およびスタートアップの「無効化」を実施
アカウント乗っ取りの疑い	不審なユーザーセッションを強制ログアウト（切断）させ、パスワードリセット等の認証基盤側の対策と連携
Webシェル（バックドア）の設置	Web公開ディレクトリ内の不審なファイルを削除し、アクセスログから侵入経路を特定