インシデント対応の基本と初動

インシデント対応とは、セキュリティ上の事象が発生してから、被害を抑え、原因を取り除き、業務を通常の状態に戻すまでの一連の活動である。その出発点が初動対応であり、事実の確認、影響範囲の把握、被害の拡大を止める暫定対策を、限られた時間の中で優先順位をつけて実施することが求められる。試験では初動で行うことと、その後の追加調査や恒久対策を切り分けて問われることが多いため、各段階の目的を明確に区別しておく必要がある。

対応の段階と役割の分担

インシデント対応は、検知、初動、調査と分析、根絶と復旧、事後評価の順に進むのが基本である。各段階で得られた情報が次の段階の判断材料になるため、段階ごとの目的を混同しないことが重要である。検知、根絶、分析、復習などの作業は、それぞれ対応のどの段階に属するかを説明できなければならない。

組織内では、情報システム部などの運用部門がインシデント対応の実務を担うことが多い。その際、運用部門が対応の全体像を把握し、暫定対策と追加調査の役割を分けて進めることが求められる。

初動対応の優先順位

初動では、まず被害を広げないための暫定対策を実施し、その後の追加調査で被害の範囲と原因を確定させる。全体の調査が終わってから対策を打つと、その間に被害が拡大するおそれがあるからである。暫定対策と追加調査は並行して進むことも多いが、目的は異なる。暫定対策は被害の進行を止めること、追加調査は事実を確定させることにある。

不審なログインを発見した場合を考えると、初動では該当アカウントの利用を一時的に止めるなどの措置を取る。追加調査では、同じ認証情報を使った他の利用者や端末に同様の痕跡がないかを確認する。追加調査の範囲は、被害が及んだ可能性がある資産を基準に決めるのが原則である。

調査の基礎となる事実の確認

調査では、通信の記録、プロセスの動作、サーバの設定などを突き合わせて事実を確定させる。たとえば、ある通信が待ち受けの動作なのか、外部への接続の動作なのかは、プロセスの状態とネットワーク接続の情報を照合して判断する。待ち受け（バインド）は自ホストのポートで相手からの接続を待つ動作であり、接続（コネクト）は自ホストから相手に接続しにいく動作である。この区別を誤ると、侵入の経路や攻撃の起点を取り違える。

通信の内容を読むと、マルウェアが外部から受け取った命令や、外部へ送信した情報を推定できる。HTTPのリクエストとレスポンスの内容を時系列で対応づけることが、その基本となる。