今回は、多くの企業で導入されているEDR製品である「CrowdStrike Falcon」を例に、不審なファイル操作がブロックされた際の具体的な調査手順について、当社のエンジニアが実践しているノウハウを分かりやすく解説します。※本稿で紹介する調査手順は当社における運用の一例です。あくまで参考情報としてお読みいただき、実際の環境への適用はお客様ご自身の判断と責任にてお願いいたします。
調査の背景：どのようなアラートか？
今回対象とするのは、「プロセスがFalconセンサーのフォルダーを変更しようとし、ブロックされた」というアラート（インシデント）です。
- 検知内容： ファイルシステムの操作がブロックされました
- 対象プロセス： dllhost.exe
- 戦術（Tactics）： Defense Evasion（防御の回避）
- 手法（Techniques）： Disable or Modify Tools（ツールの無効化または改ざん）
対象プロセスとして表示されている「dllhost.exe」は、本来Windows OSに標準で組み込まれている正規のシステムプログラム（COM Surrogateプロセス）です。セキュリティ製品（Falconセンサー）自体の動作を妨害しようとする行為（改ざんの試み）は、マルウェアや攻撃者が自身の存在を隠蔽（防御回避）しようとする際によく見られる危険な兆候です。システムによって自動的にブロック（隔離）されているとはいえ、「具体的にどのファイルが標的になったのか」「合計で何件の操作が行われようとしたのか」を特定する必要があります。
なぜ自動ブロックされていても特定・調査が必要なのか？
「システムが止めてくれたなら安心」と放置してしまうのは禁物です。なぜなら、以下の2つの可能性を見極める必要があるからです。
- 本物の攻撃（サイバー侵害）だった場合： ある1つの不審な操作がブロックされたとしても、それは攻撃の一部に過ぎない可能性があります。もし攻撃者がすでにネットワーク内に侵入している場合、他のルートや別の手法で攻撃を継続している恐れがあります。「標的とされたファイル」や「攻撃の規模（件数）」を正確に特定することで、攻撃者の本当の狙いや、侵入拡大の全貌を暴くための手がかり（IOC）を得ることができます。
- 正規の操作（誤検知・過検知）だった場合： 業務で使っているシステムや、OSの標準機能が原因で発生した「安全なアラート」である可能性もあります。これを特定できれば、無駄な組織の混乱を防ぎ、迅速に通常の業務へ復旧（隔離の解除など）を判断することができます。
つまり、「敵の攻撃の全貌を知るため」、あるいは「安全であることを証明して通常業務に戻すため」に、詳細な特定調査が不可欠となります。
CrowdStrikeでの詳細調査ステップ
CrowdStrikeの管理画面（Falconコンソール）から「次世代SIEM（高度なイベント検索）」機能を使い、ブロックされた詳細な対象ファイルを洗い出す手順は以下の通りです。
ステップ 1：管理画面から「Investigate event」を開く
まずは対象アラートの詳細画面にアクセスします。画面右上にある「調査」のドロップダウンメニューから、「Investigate event」をクリックします。これにより、該当するインシデントに関連したログをクエリ検索する「高度なイベント検索」画面へと遷移します。
ステップ 2：検索クエリに条件を追加する
遷移した検索画面には、すでに対象のプロセスID（ContextProcessIdなど）を絞り込むための1行目のクエリが自動入力されています。 ここに、ファイルブロックイベントに的を絞るため、2行目に以下の式を手動で追加します。
| “#event_simpleName” = FileSystemOperationBlocked
この条件を加えることで、無数にあるログの中から「ファイルシステムの操作がブロックされたイベント」だけを抽出することができます。
ステップ 3：クエリを実行する
式を追加したら、画面右上の「実行 ↵」ボタンをクリックし、ログの検索・集計処理を開始します。
ステップ 4：対象ファイル（TargetFileName）を確認する
検索結果が表示されたら、画面左側のフィールド一覧にある「TargetFileName」という項目に注目します。これを選択すると、実際にブロックの対象となったファイルパス（\Device\HarddiskVolume3\Program Files\CrowdStrike\... など）が具体的にリストアップされます。
ステップ 5：合計ファイル件数の把握
「TargetFileName」を選択した際に、項目名の横に表示されている数字（例：「50」など）を確認します。この数字が、今回ブロックされた「合計のファイル件数」を表しています。
最終的な判断：今回のインシデントの結末は？
上記の詳細調査に加え、対象端末でのオンデマンドスキャンや端末の利用状況のヒアリングを行った結果、今回のインシデントは最終的に「正規操作による誤検知（過検知）」と判断し、安全にクローズされました。
なぜ「誤検知」と判断できたのか？
以下の3つの客観的事実から、セキュリティ上の脅威（クラウドストライクの機能喪失）はないと判定しました。
- ファイル削除の成功記録がない： 詳細ログを精査したところ、Falconセンサーを改ざん・削除しようとする操作はすべて防御（ブロック）されており、機能喪失（無効化）は発生していませんでした。
- オンデマンドスキャンで脅威が皆無： 対象端末にて不審なファイルが残っていないかフルスキャン（オンデマンドスキャン）を実施したところ、疑わしいマルウェアなどは一切見つかりませんでした。
- 原因は「ディスククリーンアップ」の重複実行： 利用者の操作履歴を確認したところ、事象発生時に「Cドライブのディスククリーンアップ」が複数回実行されていたことが判明しました。Windows標準のクリーンアップ処理（
dllhost.exeを経由）が一時ファイルを一掃する際、CrowdStrikeの関連フォルダーにもスキャン・削除の処理が及んでしまい、これをFalconセンサーが「防御回避の試み」として過剰に検知（過検知）してしまったのが真相でした。
調査完了後の対応
安全な「誤検知」であることが証明されたため、安全確保のために一時的に実施していた対象端末のネットワーク隔離を即座に解除し、ユーザーはスムーズに業務へ復帰することができました。 あわせて利用者には、今後はディスククリーンアップによる不要なアラートを避けるようガイダンスを行い、本インシデントは対処不要として安全にクローズ（完了）となりました。
まとめ：迅速なログ調査が被害を防ぐ
今回の手順により、自動ブロックされた脅威の裏側で「具体的にどのファイルが、どれだけの規模（件数）で攻撃対象になっていたのか」を一目で特定することができます。
EDRは「検知して止める」だけでなく、このように「高度な検索クエリを用いて、攻撃の足跡を徹底的に調査できる」点に真の価値があります。
ソフネットでは、高度化するサイバー攻撃からお客様の環境を守るため、CrowdStrikeをはじめとした主要セキュリティ製品の導入から、運用監視、有事のインシデントレスポンスまでトータルでサポートしています。「アラートは出るが、見方が分からない」「運用リソースが足りない」といった課題がございましたら、どうぞお気軽にお問い合わせください。