第1はセキュリティ侵害の検知と可視化です。侵害を受けたというインシデントをいち早く検知し、その侵害がどこまで広がっているのか、どのようなルートで侵害が行われたのか、これによってどのような影響が出ているのか、などの調査を支援します。そのためには、エンドポイントのイベントログを常に取得し、それらの関係性をつなぎ合わせる機能を持たなければなりません。 第2は侵害発生時の初期対応です。侵害を受けた端末の隔離、ブラックリストへの登録、マルウェアの削除、リモートからのプロセス遮断等の機能が必要です。 そして第3が再発防止の支援です。そのために使われるのが「IOCファイル」です。これは侵害を受けた端末で見つかった「侵害の痕跡（Indicator of Compromise）」を定義するファイルであり、これを作成・共有することで、同様の侵害をより短時間で検出できるようになります。