インシデントとは

詳細な図解

インシデントを読むときの前提

インシデントは、サービスや情報資産に影響する、または影響し得るセキュリティ上の事象です。検知、一次対応、報告、封じ込め、復旧、再発防止で扱います。

実務では、検知時刻、影響範囲、証跡、連絡先、封じ込め判断、業務影響、利用者影響、法務/広報連携、復旧条件、再発防止を確認します。

証跡には、発見者、検知元、時系列、対象資産、影響範囲、実施した操作、保全したログ、連絡履歴、判断理由、復旧確認を残します。

初動で証跡を壊さない

不審ログや端末感染を見つけた直後に、慌てて再起動、削除、初期化を行うと、後で必要な証跡が失われます。被害拡大を止めつつ、保全すべき情報を決めます。

初動では、誰が何を見つけたか、どの操作をしたか、どの時点で封じ込めたかを残します。対応者の作業も調査対象になります。

• 検知元と発見時刻を記録する。
• ログや端末を保全する。
• 作業者の操作履歴を残す。

時系列と影響範囲を分ける

インシデント対応では、攻撃者の行動時系列、検知時系列、対応時系列を分けると整理しやすくなります。混ぜると原因と対応判断が曖昧になります。

影響範囲は、端末、アカウント、ネットワーク、データ、外部連携、顧客影響で分けます。分からない範囲は未確認として残します。

• 攻撃と対応の時系列を分ける。
• 影響資産を一覧化する。
• 未確認範囲を明記する。

封じ込めと復旧条件を決める

封じ込めは、端末隔離、アカウント停止、通信遮断、鍵失効などで被害拡大を止める対応です。業務停止の影響もあるため、判断理由を残します。

復旧では、原因除去、再侵入防止、監視強化、利用者案内を確認します。単にサービスを戻すだけでは再発する可能性があります。

• 封じ込めの範囲を記録する。
• 復旧条件を明確にする。
• 再発監視を設定する。

変更証跡と引き継ぎ

インシデント対応では、報告先、判断者、連絡履歴、再発防止策を残します。後から説明できるように、事実、推定、未確認を分けます。

引き継ぎでは、CSIRT、システム所有者、法務/広報、関連語としてSIEM、EDR、フォレンジック、監査ログを残すと確認しやすくなります。

• 事実と推定を分ける。
• 連絡履歴を保存する。
• 再発防止の担当と期限を残す。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能