インシデント対応の改善と事後評価

インシデント対応の改善と事後評価とは、対応を終えた後に作業内容と結果を振り返り、手順、体制、検知の仕組みを見直して次の対応に反映させる活動である。事後評価では、作業の実施時期が適切だったか、被害の実態を正しく把握できたか、検知が遅れた原因は何かを明らかにすることが中心となる。試験では、改善策がどの原因に対応しているかを具体的に説明できるかが問われやすい。

事後評価で検証する観点

事後評価の第一の観点は、作業の実施タイミングである。対応中に行った作業の中には、もっと早く実施すべきだったものや、順序を入れ替えた方がよいものがある。実施時期の見直しが必要な作業を特定することで、次回の対応手順を具体的に改められる。

次の観点は、実際に生じた被害だけでなく、対応が遅れていた場合に起こり得た更に大きな被害を検討することである。被害の大きさを正しく評価できれば、どの対策を優先して講じるべきかを判断できる。

検知の仕組みの改善

検知できなかった事象は、事後評価で最も重要な論点の一つである。ログが取得されていなかった場合と、取得はされていたが検知ルールに該当しなかった場合とでは、改善すべき箇所が異なる。検知できない状態がどのような条件で生じるかを特定し、その条件を解消する措置を取ることが改善の基本となる。

攻撃手法に対する防御の見直し

Webアプリケーションの脆弱性への対応では、入力値をそのまま検査すると、符号化された攻撃を見逃すおそれがある。入力値をデコードし、パス名を正規化してから検査することが、検査の精度を高める基本である。

攻撃に悪用された機能を特定すれば、その機能の利用条件を見直すことで再発を防げる。どの機能がどのように悪用されたかを、機能名の単位で整理することが出発点となる。