SentinelOneのロールバック＆ネットワーク隔離を検証｜EDRの自動脅威対処とは

2026年8月14日

ランサムウェアをはじめとするマルウェア対策として、EDR/EPP製品による「自動脅威対処」が注目されています。

本記事では、EDR/EPP製品SentinelOneの自動脅威対処のうち、ロールバック（ファイルを感染前に復元）とネットワーク隔離（感染端末をネットワークから自動切断）の2つの機能を実際に検証しました。

この記事でわかること

SentinelOneの保護レベル（対処の段階）の考え方ロールバック機能の仕組み（Windows VSSを利用）と設定手順ネットワーク隔離の設定と、感染検知時の実際の挙動隔離した端末をネットワークへ再接続する方法

クララのセキュリティサービスはこちら

機能概要と想定用途

保護レベルとロールバック

SentinelOneの脅威対処は、保護レベルを段階的に設定できます。レベルが高い設定にすると、より低いレベルの挙動も含めて（inclusiveに）実行されます。ロールバックは、この保護レベルの中で最も高いレベルの対処動作です。

機能	説明	保護レベル	想定用途
プロセスの停止・隔離（Kill / Quarantine）	対象プロセスを強制停止し、ファイルを暗号化して隔離	低	各種マルウェアへの全般的な対応
修復（Remediate）	レジストリなどの変更を感染前の状態に修復	中	各種マルウェアへの全般的な対応
ロールバック（Rollback）	VSS機能により対象ファイルを感染前に復元（Windows限定）	高	ランサムウェア感染時のファイル復元

※ロールバックはWindowsのVSS（ボリュームシャドウコピー）を利用するためWindows端末専用です。macOS／Linuxでは利用できません（これらのOSにも隔離・修復など他の対処は適用されます）。

ネットワーク隔離

ネットワーク隔離（Disconnect from Network / Network Quarantine）は脅威対処のオプション機能です。感染が確認された端末をネットワークから隔離し、感染拡大を防ぐことを目的とします。

隔離後も、SentinelOne管理コンソールからは対象端末を操作でき（管理通信は維持されます）、ネットワークへの再接続も可能です。逆に言えば、コンソールから明示的に再接続しない限り端末は隔離されたままとなります。

検証環境

マシン種別	OS	所属ネットワーク
仮想マシン（VM）	Windows（検証時。※本文注記参照）	10.0.0.0/16

※元記事の検証は Windows 10 Pro（build 18362 = バージョン1903）で実施されたものです。Windows 10は2025年10月14日にサポート終了（EOL）となったため、現在の検証・本番環境ではWindows 11など現行サポートOSの利用を前提にしてください。SentinelOneエージェントも公開時点の最新版を使用してください（元記事のバージョン4.2系は古い世代です）。

ロールバックの設定手順

ここではSentinelOneエージェントがインストール済みの前提で進めます。

1. WindowsのVSSを有効化

Windowsの検索ボックスに「services」と入力して「サービス」を起動し、「Volume Shadow Copy」を右クリック→プロパティを開きます。「スタートアップの種類」が自動または手動になっていればVSSは有効です。

無効だった場合は、OS再起動後からSentinelOneエージェントがVSSスナップショットの作成を開始します。

2. スナップショット／改ざん防止の有効化

SentinelOne管理コンソールのポリシー設定画面（対象スコープのポリシー）を開き、エージェント設定から「スナップショット（Snapshots）」を有効化します。あわせて「改ざん防止（Anti-Tampering）」も有効化しておきます（SentinelOneはVSSへの改ざんを検知・ブロックします）。

3. 保護レベルの変更

同じくポリシー画面で、保護レベル（対処モード）を「ロールバック」に設定します。あわせて各検知エンジンがすべて有効になっていることも確認しておきましょう。

4. VSSスナップショットの確認

Windowsの[システムのプロパティ]→[システムの保護]を開き、「システムの保護を有効にする」が選択され、最大使用量が10%程度に設定されていることを確認します（SentinelOne社は最小値として10%を推奨）。

その後、管理者権限のコマンドプロンプトで実際にスナップショットが保存されているか確認します。スナップショットはデフォルトで4時間おきに作成されます（間隔は管理者が変更可能）。

vssadmin list shadows

5. ネットワーク隔離の有効化

ポリシー画面で隔離オプションの「ネットワークの切断（Disconnect from Network）」を有効化します。設定はコンソール上のトグル操作のみで完了します。

自動脅威対処の検証

実際に脅威を検出した場合の挙動を確認します。検証をスムーズにするため、ポリシーの「悪意のある脅威」「疑わしい脅威」をいずれも「保護（Protect）」に設定しておきます。

検証前のネットワーク状態: 対象VM（自IP: 10.0.11.66）から同一ネットワークの別端末へpingが到達することを確認。

脅威ファイルの実行

システムに影響を与えるコマンドを含むテスト用batファイルを実行します。想定では、(1)自動でロールバックまで実行されシステムへの影響が発生しない、(2)端末がネットワークから切断され感染拡大が防がれる、という挙動になるはずです。

結果、ファイル実行の瞬間に脅威を検出。RDP接続していたVMだったため、直後にRDPが切断されました（ネットワーク隔離が実行された証拠）。

管理コンソールでの確認

コンソールの[インシデント]画面で、脅威検出と端末の状態を確認できます。ステータスが対処済み（緑の盾マーク）になっており、詳細画面をドリルダウンすると、脅威の対処状況（どこまで自動対処されたか）、脅威ファイルのパス・ハッシュ値・分類（今回はトロイの木馬として分類）を確認できます。

また詳細画面下部のエンドポイント情報で、「ネットワークの状態」が「Disabled」となっており、端末がネットワークから切断されていることが分かります。

エンドポイント側からの見え方

VMのコンソールから確認すると、SentinelOneエージェントのUIは正常（緑）に戻り、batファイルも取り除かれていました。ネットワークについては、同一ネットワークの別ホストへのpingが通らず、インバウンド・アウトバウンドともに通信できない状態でした。

補足: ネットワーク設定やWindowsファイアウォールのポリシーは変更されていなかったことから、エージェントはフィルタドライバなどOS下層のレベルで通信を制御していると考えられます。

ネットワークへの再接続

脅威対処が完了し、端末を再び業務利用するには、コンソールから明示的にネットワークへ再接続します。

[インシデントの詳細画面]のエンドポイント欄にあるネットワーク状態「Disabled」をクリックしてメニューを表示し、「ネットワークに再接続します（Reconnect to Network）」を選択します（他にもいくつか操作経路があります）。

再接続後、エンドポイント側で別ホストへのpingが通り、RDP接続も復旧しました。隔離前の状態に戻ったことが確認できます。

FAQ

Q. ロールバックはどのOSで使えますか？

A. Windowsのみです。VSS（ボリュームシャドウコピー）を利用するため、macOS／Linuxでは利用できません。それらのOSでも隔離・修復などの対処は適用されます。

Q. ロールバックしたら必ず元に戻りますか？

A. VSSスナップショットが取得済みの範囲で復元されます。スナップショット間隔（既定4時間）やVSSの空き容量に依存するため、事前の有効化と容量設定が重要です。

Q. 隔離された端末は自動で復帰しますか？

A. しません。管理コンソールから明示的に再接続操作を行う必要があります。

まとめ

SentinelOneは、ポリシー設定だけでロールバックやネットワーク隔離といった高度な自動脅威対処を有効化でき、IT管理者の運用負荷を抑えつつ強力な防御を実現します。特に、インシデントレスポンスの初動で重要とされる「ネットワーク隔離」を機械的・即時に実行できる点は、被害拡大の防止に大きく寄与します。EDR/EPPの導入・運用を検討している場合、こうした自動対処の設計・チューニングが効果を左右します。

無料相談はこちら

▶ EDR/EPPの導入・運用でお悩みの方へクララは各種セキュリティ製品（EDR/EPP、WAF、Cloudflare等）の選定・導入から運用までを支援します。「ツールは入れたが運用しきれない」「自動対処の設計を任せたい」といったご相談も承ります。各種セキュリティサービスを見る／無料で相談する