セキュリティインシデント対応の試験問題への適用
本番問題では「最初に何をするか」「次に何をするか」が問われる。被害拡大、証拠保全、業務継続の優先度を状況に応じて判断する。
この単元で学ぶこと
- 初動報告の意味と役割を説明できる
- 証拠保全の意味と役割を説明できる
- 影響範囲確認の意味と役割を説明できる
- インシデント事例で初動・証拠保全・影響確認・復旧・再発防止を順序立てて選べる
本文解説
重大インシデントでは、独断で端末初期化やログ削除をせず、組織の手順に沿って報告・封じ込め・証拠保全を進める。復旧後も監視と再発防止を継続する。
初動報告 定められた窓口やCSIRTへ速やかに連絡する。 個人判断で隠蔽や放置をしない。
証拠保全 ログ、メモリ、ディスク、時刻情報など必要な証拠を適切に保存する。 不用意な再起動や削除で証拠が失われることがある。
影響範囲確認 同じ侵害が他端末・他アカウントへ広がっていないか調べる。 IOCやログを使って横展開を確認する。
段階的復旧 安全性を確認しながら優先度の高い機能から戻す。 一度に全て戻すより再発検知しやすい。
再発防止 根本原因を踏まえ技術・運用・教育を改善する。 単なる復旧で終わらせない。
まず拡大を止める、次に証拠と影響を確認し、原因除去後に復旧する。
端末のC2通信を発見したら、ネットワーク隔離とCSIRT報告を行い、関連ログを保全して同じIOCを他端末でも検索する。
図解
重要ポイント
- 初動報告: 定められた窓口やCSIRTへ速やかに連絡する。
- 証拠保全: ログ、メモリ、ディスク、時刻情報など必要な証拠を適切に保存する。
- 影響範囲確認: 同じ侵害が他端末・他アカウントへ広がっていないか調べる。
- 段階的復旧: 安全性を確認しながら優先度の高い機能から戻す。
- 「とりあえず初期化」は初動の正解とは限らず、証拠保全と影響範囲確認が重要。
間違えやすい点
- 組織手順を無視して独断対応しない。
- 証拠保全前にログを消さない。
- 復旧完了を再発防止完了と同一視しない。
用語解説
- 初動報告
- 定められた窓口やCSIRTへ速やかに連絡する。
- 証拠保全
- ログ、メモリ、ディスク、時刻情報など必要な証拠を適切に保存する。
- 影響範囲確認
- 同じ侵害が他端末・他アカウントへ広がっていないか調べる。
- 段階的復旧
- 安全性を確認しながら優先度の高い機能から戻す。
- 再発防止
- 根本原因を踏まえ技術・運用・教育を改善する。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。