問1. ある企業はIntuneで管理するWindows端末1,200台にASRルールを新規導入する。標準利用端末、財務アプリ専用端末、管理ツール利用端末が混在し、業務停止の影響を抑えつつ防御を強化したい。SOCは導入後のイベント、利用者影響、例外候補を確認し、問題時に対象範囲を戻せる体制を求めている。この要件に最も適した適用範囲の設計はどれか。
- 1,200台へ同時に適用し、全端末のイベントをまとめて確認してから、問題があれば全体を元に戻す
- 標準利用端末だけに先行適用し、影響がなければ財務アプリや管理ツール利用端末を含めて一括拡大する
- SOC担当者の端末だけに先行適用し、検知イベントを確認した後、残りの端末へ同じ設定を一括適用する
- 標準利用端末に加えて財務アプリや管理ツール利用端末を含む検証グループへ先行適用し、影響とイベントを確認してから段階的に対象を広げる
問2. 社内のWindows端末で、Officeアプリケーションからの子プロセス生成を抑止するASRルールをAuditでパイロット運用しています。2週間の検知率は0.3%ですが、大半は経理の承認済み帳票アプリが同一バージョン・同一処理で再現したものです。残りは実行元や業務上の必要性を確認できていません。業務停止を抑えつつ防止効果を高めるため、次の判断として最も適切なものはどれですか。
- Auditイベントを端末・アプリ・処理条件で分類し、再現できた承認済み処理だけを該当ASRルールの専用除外として限定する。確認済みの展開リングからBlockへ移行し、未確認イベントが残るリングはAuditで調査を続ける
- 検知率が0.3%と低いため業務影響は小さいと判断し、正当性や再現性を確認せず全対象端末をBlockに切り替え、問題があれば後から戻す
- 承認済みアプリの検知が1件でも含まれる以上、誤検知の可能性を優先し、全端末をAuditに固定して、未確認の検知も含めBlockへの移行を見送る
- 承認済みアプリの実行元フォルダーを全ASRルールの共通除外に登録し、未確認の検知を調べず、全端末を同じ除外付きBlockへ切り替える
問3. ある企業では、営業部門のWindows端末で業務マクロがPowerShell子プロセスを起動するため、Warnをサポートする特定のASRルールが週数回検知している。攻撃パターンとの一致はまだ十分でなく、業務停止は避けたいが、必要時には管理者承認付きの一時解除手段を残し、脅威確度が高まった段階では阻止を優先したい。初期設計として最も適切なのはどれか。
- 対象ルールをWarnに設定し、必要時は管理者承認付きの一時解除を使えるようにしつつイベントと正当性を評価し、悪性挙動の確度が高まった展開リングからBlockへ段階移行する
- 対象ルールをAuditに設定し、業務影響を確認せずイベント数が増えた時点で全端末をBlockへ一括移行する
- 対象ルールをBlockに設定し、業務アプリケーションの影響が疑われる場合は全ASRルールに共通する広範な除外を追加して運用を継続する
- 対象ルールを無効化し、別のEDR検知で侵害が確定した端末だけWarnまたはBlockへ変更する