Products & Services
CrowdStrike Falcon Insight（EDR）
脅威の全体像を可視化し、調査と対応を加速する
攻撃の兆候をリアルタイムに捉え、迅速な原因調査と被害拡大の防止を支援します。
CrowdStrike Falcon Insight
（EDR）とは
CrowdStrike Falcon Insight（※以下、Falcon Insight）は、PCやサーバーなどの端末上で発生するプログラムの実行、ファイル操作、通信などの動きをリアルタイムに収集し、クラウド上で分析・可視化します。
収集した情報をもとに、攻撃のきっかけや、その後に実行された処理、ほかの端末への広がりを一連の流れで確認できます。さらに、特定のファイルや通信先に関連する端末の検索、対象端末の隔離、リモートでの調査・対処にも対応します。
リアルタイム
ネットワーク接続中の端末ログをクラウドへ継続転送
単一エージェント
端末にインストールするソフトウェアは1つだけ
再起動不要
インストール時の端末再起動が不要
マルチOS
Windows / macOS / Linuxなどに対応
インシデント対応を遅らせる4つの課題
高度化する攻撃では、単一アラートの確認だけでなく、攻撃の前後関係と影響範囲を迅速に明らかにする必要があります。
課題 01
アラートだけでは
攻撃の全体像が見えない個別の検知結果だけでは、侵入の起点、実行されたコマンド、後続プロセス、横展開先を結び付ける調査に時間がかかります。
課題 02
必要なログが
調査時に残っていない端末内にログを一時保存する方式では、攻撃者による削除や転送遅延により、必要な証跡を取得できない可能性があります。
課題 03
影響範囲の特定と
封じ込めが遅れるハッシュやドメイン、端末、ユーザーを横断して確認できなければ、同一脅威が存在する端末の洗い出しと隔離が遅れます。
課題 04
高度な調査や対応が
属人化している脅威の調査方法や対応手順が標準化されていないと、担当者の知識や経験によって判断や対応に差が生じます。
攻撃の痕跡を、
消される前にクラウドへ
検知から調査、端末の隔離までをFalcon Insightで完結
検知内容から攻撃の経緯と影響範囲を調査し、対象端末の隔離や遠隔操作へつなげます。
STEP01
不審な動きを検知
端末上で実行されたプログラムや通信などから、悪性な振る舞いを検知します。
STEP02
攻撃の流れを可視化
プロセスツリーにより、きっかけとなった操作や、その後に実行された処理を確認します。
STEP03
攻撃内容を調査
MITRE ATT&CKによる攻撃段階の確認や、検索条件・クエリを使った調査を行います。
STEP04
影響範囲を特定
ファイルのハッシュ値や通信先のドメインをもとに、関連する端末を環境全体から検索します。
STEP05
端末を隔離・対処
端末をネットワークから隔離し、Real Time Responseを利用して遠隔で調査・対処します。
Falcon Insightの主な機能
日常的なアラート確認から高度な脅威ハンティングまで、調査に必要な情報とアクションを統合します。
攻撃の流れを
分かりやすく表示端末上で実行されたプログラムのつながりを時系列で表示。何をきっかけに、どのコマンドやファイルが実行されたのかを確認できます。
攻撃の目的や
進行状況を把握検知した不審な動きを攻撃の目的や手法ごとに整理。攻撃がどの段階まで進み、攻撃者が何をしようとしているのかを把握できます。
目的に合わせた
柔軟なログ検索検索したいフィールドを選ぶ簡易検索に加え、クエリを利用した深い調査に対応。定型調査と脅威ハンティングを両立します。
関連する端末を
まとめて検索特定のファイルが存在する端末や、不審な通信先へアクセスした端末を環境全体から検索し、影響を受けている可能性のある端末を特定できます。
離れた場所から
端末を調査・隔離侵害が疑われる端末をリモートでネットワーク隔離。Real Time Responseにより、現地へ移動せず調査・証拠収集・対処を進められます。
ほかの端末への
攻撃の広がりを確認複数端末にまたがるインシデントを関連付け、端末間の横展開を可視化。侵入の連鎖を追跡し、被害拡大を抑えます。
簡単な条件検索から詳細な調査まで対応
画面上で条件を選ぶ簡単な検索と、クエリを使った詳細な検索に対応。確認したい内容に応じて、必要な情報を絞り込めます。
端末名やファイル名などの条件を画面上で選択し、
関連するログを簡単に検索できます。
より詳しく調べたい場合は、クエリを使って
条件を細かく指定し、必要なイベントを抽出できます。
導入や管理にかかる手間を軽減
管理サーバーの構築・保守やパターンファイルの更新は不要。端末には1つのソフトウェアをインストールするだけで利用できます。
| 比較項目 | Falcon Insight | オンプレミス管理型の構成 |
|---|---|---|
| 管理サーバー | 自社での構築・保守は不要 | 自社での構築・保守が必要 |
| パターンファイル | 配布・更新作業は不要 | 配布・更新確認が必要な場合あり |
| 端末への導入 | インストール時の再起動は不要 | 製品によっては再起動が必要 |
| 機能の追加 | 同じソフトウェアで機能を追加 | 別のソフトウェアが必要な場合あり |
| 管理画面 | 共通の管理画面から利用 | 機能ごとに分かれる場合あり |
導入から運用開始までの流れ
オンプレミスの管理サーバーやパターンファイル更新が不要なため、段階的な導入と運用標準化を進めやすい構成です。
- 01
利用環境の確認
対象端末やOS、ネットワーク環境、既存製品を確認
- 02
設計・事前評価
検知・防御、通知、外部連携などを設定し、必要に応じてPoCで確認
- 03
対象端末への展開
Falconのソフトウェアを対象端末へ順次インストール
- 04
運用開始
検知内容を確認し、影響範囲の調査や端末の隔離を実施
CrowdStrike Falcon Insightに
ついて知りたい方は
お気軽にお問い合わせください。