起動時マルウェア対策 (ELAM) は、Windows の起動の初期段階でマルウェア対策保護を提供するように設計された機能です。ELAM を有効にすると、起動時に読み込まれるドライバーとファイル、特に Microsoft などの信頼できるソースによってデジタル署名されていないドライバーとファイルがスキャンされます。
* ELAM の仕組み:
* ELAM は起動時に他のドライバーの前に読み込まれ、重要なファイルとドライバーをスキャンして、他のセキュリティ レイヤーが完全に動作する前に実行を試みる可能性のある潜在的なマルウェアを特定します。
* 観察されたファイルは Microsoft によってデジタル署名されていないため、ELAM は起動時にそれを検出して分析し、潜在的な脅威が初期化されるのを防ぎます。
* ELAMの利点:
* Windows の起動プロセス中に読み込まれてシステムに永続的に侵入しようとするルートキットやその他の脅威に対して、プロアクティブな防御を提供します。
* 他のオプションがあまり適していない理由:
* 自動保護と動作分析は有効ですが、システムの起動後に動作します。
* Microsoft ELAM は Windows で既にデフォルトで有効になっていますが、SEP の ELAM 機能と同じカスタマイズ性は提供されません。
参考資料: ELAM を有効にすることは、署名されていないファイルや疑わしいファイルに対して最も初期の起動段階を保護するための SEP の重要なベスト プラクティスです。

Symantec Endpoint Security のインシデント ビューのプロセス リネージ ウィジェットは、主要な悪意のあるアクションから生じるプロセスやアクティビティなど、関連するセキュリティ イベント間の親子関係を視覚的に表現します。このウィジェットは、システム内の潜在的な脅威の起源と伝播経路を追跡するのに役立ち、セキュリティ チームは後続のアクションをトリガーした最初のプロセスを特定できます。この階層関係を表示することで、プロセス リネージ ウィジェットは詳細なフォレンジック分析をサポートし、管理者がインシデントがどのように展開したかを理解し、関連する各セキュリティ イベントの影響を状況に応じて評価するのに役立ちます。

ビジネスに影響を及ぼす可能性のあるインシデントは、通常、サイバーセキュリティ フレームワークとインシデント対応プロトコルで優先度の高いものとして分類されます。この分類の詳細な根拠は次のとおりです。
* 潜在的な業務中断: 間接的であっても業務運営に影響を与える、または影響を与える恐れのあるインシデントには、迅速な対応を確実にするために高い優先度が割り当てられます。この分類では、直ちに重大ではないが、迅速に対処しないとエスカレートする可能性のあるインシデントが優先されます。
* エスカレーションのリスク: 優先度の高いインシデントは、壊滅的ではないものの、重要なシステムに影響を与えたり、機密データを危険にさらしたりする可能性があるため、深刻なビジネスへの影響につながる前に注意を払う必要がある状況です。
* 迅速な対応要件: 優先度が高いとラベル付けされたインシデントは、ビジネスへのさらなる影響や運用停止を防ぐために、即時の調査と封じ込め措置のためにフラグが付けられます。
このコンテキストでは、重大なインシデントには即時の重大な影響を伴う緊急の脅威 (アクティブなデータ侵害など) が含まれますが、高い優先度は重大なリスクまたはビジネスへの影響の可能性があるインシデントに適用されます。この優先順位付けは、効果的なインシデント管理に不可欠であり、リソースをビジネス継続性に対する潜在的なリスクに集中させることができます。

統合サイバー防御マネージャー (ICDm) の制限付き管理者ロールは、デフォルト ロールの中で最も権限が制限されています。このロールは、重要な管理機能や高度な管理機能なしで基本機能にアクセスする必要があるユーザーを対象としており、偶発的または不正な変更のリスクが低くなります。
* 制限付き管理者の役割:
* 制限付き管理者はアクセスが厳しく制限されており、通常は特定の情報の表示と最小限のアクションの実行に制限されます。
* 他の役割が間違っている理由:
* エンドポイント コンソール ドメイン管理者 (オプション A) とサーバー管理者 (オプション B) には、エンドポイント設定とサーバー構成を管理するためのより広範な権限があります。
* 制限付き管理者 (オプション D) には制限付き管理者よりも多くの権限がありますが、完全なアクセス権はありません。
参照: 制限付き管理者ロールは最小限の権限を提供し、システム アクセスを制限し、より特権のあるロールに関連するセキュリティ リスクを軽減します。

管理者は、Symantec Endpoint Security のアプリケーション カタログを使用して、カスタムの動作分離ポリシーを作成できます。このツールは、アプリケーションの動作に関するデータをコンパイルし、管理者が環境内で観察された特定の動作に対処する分離ポリシーを定義できるようにします。アプリケーション カタログを活用することで、管理者はアプリケーションの動作に基づいてポリシーをカスタマイズし、潜在的に悪質なアクティビティの制御と封じ込めを強化できます。