マルウェア感染の調査と対応

マルウェア感染の調査と対応とは、感染が疑われる端末や機器を特定し、感染経路・被害の範囲・マルウェアの動作を明らかにしたうえで、感染の拡大を止め、復旧と再発防止を行う一連の活動である。インシデントレスポンスでは、証拠を損なわずに事実を確定させることと、被害の拡大を止めることを並行して進める必要がある。

時系列による事実の整理

感染調査の出発点は、各サーバや端末で取得しているログを時刻順に並べ、いつ、どの端末で、どのファイルに不審な動きがあったかを一覧にすることである。ログごとに時刻の基準や記録の粒度が異なる場合には、まず時刻を揃えてから突き合わせなければ、感染の前後関係を取り違える。時刻、ファイル名、PC名を対応づけて追跡する作業は、感染の起点を絞り込むための基本となる。

感染の起点は一つの端末とは限らない。複数の端末に痕跡が見つかった場合には、最も早く記録された時刻を基準にして経路をさかのぼり、どの時点で最初の侵入が起きたかを確認する。ログの保存期間が短いと感染前の記録が失われるため、調査の初動でログを確保することも欠かせない。

感染経路の特定と判断の基準

感染経路の特定では、通常時の通信やアクセスと比べて何が異なるかを比較し、感染の可能性があると判断する条件をあらかじめ明確にしておくことが基礎になる。例えば、感染の可能性を判断するための抽出条件を先に定めずに検索すると、無関係な通信が大量に残るか、必要な通信を見落とすかのどちらかになる。判断の根拠となった条件は、報告書に記録しておく必要がある。

名前解決の仕組みも感染経路の手がかりになる。外部DNSサーバと内部DNSサーバのそれぞれで問合せに関する設定を見直し、通信先の名前解決を記録できる状態にしておくと、マルウェアの通信先を追跡しやすくなる。抽出条件は、通信の方向、通信先、時刻などを組み合わせて具体的に定める。

侵入経路の想定と影響範囲の把握

社内ネットワークに入り込む経路は、店舗PCや業務端末を経由するものだけではない。侵入経路を想定するときは、ネットワーク構成図をもとに、外部との接点と社内各セグメントの接続関係を洗い出し、どの経路が未確認かを明確にする。想定された経路は、ログや機器の設定で裏付けを取ってから対策に反映する。