セキュリティインシデント対応を理解する

この単元で学ぶこと

• 検知・分析の意味と役割を説明できる
• 封じ込めの意味と役割を説明できる
• 根絶の意味と役割を説明できる
• インシデント対応の各段階を事例から判別し、順序の理由を説明できる

本文解説

対応の代表的な流れは準備、検知・分析、封じ込め、根絶、復旧、事後対応である。証拠保全や関係者への報告を適切な時点で行い、場当たり的に操作して証拠を失わないようにする。

検知・分析 アラートやログから事象がインシデントか判断し影響範囲を把握する。 誤検知との区別や優先度判定を行う。

封じ込め 被害の拡大を一時的・恒久的に止める。 感染端末隔離やアカウント無効化など。

根絶 攻撃原因や侵入手段を取り除く。 マルウェア除去、脆弱性修正、資格情報更新など。

復旧 安全性を確認した上でサービスを正常状態へ戻す。 段階的再開と監視継続が重要。

事後対応 原因・対応・影響を振り返り再発防止へ反映する。 手順、監視、教育、構成の改善を行う。

分析→封じ込め→根絶→復旧→振り返りの目的をそれぞれ区別する。

感染端末隔離は封じ込め、マルウェア除去とパッチ適用は根絶、安全確認後の業務再開は復旧である。

図解

重要ポイント

• 検知・分析: アラートやログから事象がインシデントか判断し影響範囲を把握する。
• 封じ込め: 被害の拡大を一時的・恒久的に止める。
• 根絶: 攻撃原因や侵入手段を取り除く。
• 復旧: 安全性を確認した上でサービスを正常状態へ戻す。
• 急いで復旧するだけでなく、被害拡大防止と証拠保全、原因除去を先に考える。

間違えやすい点

• 封じ込めと根絶を同じものと考えない。
• 原因未除去のまま復旧しない。
• 調査前にログや端末状態を不用意に消去しない。

用語解説

検知・分析

アラートやログから事象がインシデントか判断し影響範囲を把握する。

封じ込め

被害の拡大を一時的・恒久的に止める。

根絶

攻撃原因や侵入手段を取り除く。

復旧

安全性を確認した上でサービスを正常状態へ戻す。

事後対応

原因・対応・影響を振り返り再発防止へ反映する。

関連教材

• セキュリティインシデント対応の試験問題への適用
• バックアップとランサムウェア対策の試験問題への適用
• 変数・代入・演算の全体像
• バックアップとランサムウェア対策を理解する
• 変数を理解する