Exploit Protection (EDR) に必要な軽減コントロールとポリシー

  • リリースバージョン: Yokohama
  • 更新日 2025年01月30日
  • 所要時間：8分

    • Exploit Protection Endpoint Detection and Response (EDR) の監視に必要な軽減コントロールとポリシーは、 セキュリティポスチャコントロール 製品に含まれています。

    エクスプロイト保護 (EDR)

    必要なロール: SPC アドミングループと SPC アナリストグループ。

    このカテゴリの緩和コントロールは、エンドポイント保護エージェント構成の形式で資産で利用可能な緩和をカバーします。これは、 CrowdStrike や Microsoft SCCM、 Microsoft Defender Mitigation Control Integration や SentineOne などのエンドポイント保護エージェントに適用されます。

    [アドレススペースレイアウトのランダム化を強制する] や [DEP を強制する] などのエクスプロイト緩和設定は、 CrowdStrike などのエンドポイント保護ツールで有効にできます。 SPC は、アプリケーションに含まれるポリシーとエンドポイント保護ツールとの API 統合を利用して、デバイスでこの構成を自動的に検出します。

    を使用した Exploit Protection (EDR) 検出の前提条件 CrowdStrike

    1. CrowdStrike サービスグラフコネクタがアクティブ化されていることを確認します。このアプリケーションは ServiceNow Store で入手できます。インストールと構成に関する情報は、アプリのリストに含まれています。詳細については、「緩和コントロールモニタリングのための CrowdStrike 統合をインストールして構成します」を参照してください。
    2. セキュリティポスチャコントロールワークスペースで CrowdStrike API 統合が有効になっていることを確認します。

    Exploit Protection (EDR) の軽減コントロールとポリシー CrowdStrike

    • CrowdStrike – エクスプロイト緩和 – ASLR を強制する
      • ソース: CrowdStrike API
      • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント
      • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)
      • ポリシー - この緩和コントロールを識別するには、 CrowdStrike Force ASLR ポリシーをアクティブ化する必要があります。オプションで、他の緩和コントロールポリシーをアクティブ化できます。
    • CrowdStrike – エクスプロイト緩和 – DEP を強制する
      • ソース: CrowdStrike API
      • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント
      • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)
      • ポリシー:この緩和コントロールを識別するには、 CrowdStrike 強制 DEP ポリシーをアクティブ化する必要があります。オプションで、他の緩和コントロールポリシーをアクティブ化できます。
    • CrowdStrike –エクスプロイト緩和–ヒープスプレーの事前割り当て
      • ソース: CrowdStrike API
      • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント
      • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)
      • ポリシー:この緩和コントロールを特定するには、ヒープスプレー事前割り当てポリシーをアクティブ化する必要があります。オプションで、他の緩和コントロールポリシーをアクティブ化できます。
    • CrowdStrike エクスプロイト緩和:NULL ページ割り当て
      • ソース: CrowdStrike API
      • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント
      • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)
      • ポリシー:この緩和コントロールを識別するには、 CrowdStrike NULL ページ割り当てポリシーを有効にする必要があります。オプションで、他の緩和コントロールポリシーをアクティブ化できます。
    • CrowdStrike – エクスプロイト緩和 – SEH 上書き
      • ソース: CrowdStrike API
      • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント
      • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)
      • ポリシー:この緩和コントロールを特定するには、少なくとも、CrowdStrike SEH 上書き保護ポリシーをアクティブ化する必要があります。オプションで、他の緩和コントロールポリシーをアクティブ化できます。
    • CrowdStrike – エクスプロイト緩和 – すべての設定オン
      • ソース: CrowdStrike API
      • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント
      • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)
      • ポリシー:この緩和コントロールを特定するには、CrowdStrike Force ASLR、 CrowdStrike Force DEP、ヒープスプレー事前割り当て、CrowdStrike NULL ページ割り当て、および CrowdStrike SEH 上書き保護のすべてのポリシーをアクティブ化する必要があります。

    Microsoft SCCM と Microsoft Defender 緩和コントロール統合による Exploit Protection (EDR) 検出の前提条件

    Microsoft スクリプト作成者ロールを含む SCCM 認証情報。スクリプト作成者ロールは、SCCM サーバーに緩和情報をインポートするために必要なスクリプトを作成するために必要な権限を提供します。

    詳細については、「Microsoft SCCM のサービスグラフコネクタと Microsoft Defender 緩和コントロール統合のインストールと構成」を参照してください。

    Exploit Protection (EDR) with Microsoft SCCM および Microsoft Defender Mitigation Control Integration の軽減コントロールとポリシー:

    • Defender – エクスプロイト緩和 – CFG

      Microsoft Defender Control Flow Guard。

    • Defender – エクスプロイト緩和 – DEP

      Microsoft Defender データ実行防止。

    • Defender – エクスプロイト緩和 – 必須 ASLR とボトムアップ ASLR

      Microsoft ディフェンダーフォースASLR。

    • MITRE 対処される戦術:初期アクセス、実行、認証情報アクセス、防御回避、特権エスカレーション、ラテラルムーブメント。
    • MITRE この緩和策で対処される手法:ドライブバイ侵害 (初期アクセス)、クライアント実行のためのエクスプロイト (実行)、認証情報アクセスのエクスプロイト (認証情報アクセス)、防御回避のためのエクスプロイト (防御回避)、特権エスカレーションのためのエクスプロイト (防御回避)、リモートサービスのエクスプロイト (ラテラルムーブメント)。

    SentinelOne Mitigation Control Integration を使用した Exploit Protection (EDR) 検出の前提条件

    1. SentinelOne サービスグラフコネクタがアクティブ化されていることを確認します。

      このアプリケーションは ServiceNow Store で入手できます。インストールと構成に関する情報は、アプリのリストに含まれています。詳細については、「SentinelOne のサービスグラフコネクタ と SentinelOne 緩和コントロール統合のインストールと構成」を参照してください。

    2. セキュリティポスチャコントロールワークスペースで SentinelOne API 統合が有効になっていることを確認します。
    3. アプリケーションに含まれる SentinelOne 緩和コントロールポリシーを確認します。
      • SentinelOne アプリケーションコントロール
      • SentinelOne データファイル
      • SentinelOne 実行可能ファイル
      • SentinelOne エクスプロイト
      • SentinelOne IDR
      • SentinelOne インタラクティブな脅威の検出
      • SentinelOneの横方向の動きの検出
      • SentinelOne 静的 AI
      • SentinelOne 静的 AI - 不審
      • SentinelOne 望ましくない可能性があるアプリケーション
      • SentinelOne リモートシェル
      • SentinelOne 評判