インシデント管理とCSIRT

要点と定義

情報セキュリティインシデントへの対応では、事象の検知・連絡受付、優先度や影響の判断（トリアージ）、対応、報告・情報公開などを組み合わせます。状況に応じて関係者へ連絡し、被害の拡大を抑えながら調査と復旧につなげます。

CSIRTは、組織内などでインシデントの報告を受け、調査や対応を行う体制・チームの総称です。組織内CSIRTの構築や運用を支援する資料として、JPCERT/CCのCSIRTマテリアルがあります。

国内の組織で侵入などが疑われるときは、JPCERT/CCに事象を知らせ、技術的な対処や関係先との調整を相談できます。集まった情報は、攻撃の傾向を捉え、同じ被害を減らす方法を検討する際にも使われます。[JPCERT/CCの案内](<https://www.jpcert.or.jp/ir/>)

CSIRTの役割は一様ではありません。コーディネーションセンターは、インシデント対応で他のCSIRTとの情報連携や調整を担います。

SIEMは複数の機器やシステムのログを集約・分析し、脅威の検知や管理者の調査・判断を支援します。インシデント対応チームそのものとは役割が異なります。

ディジタルフォレンジックスは、原因究明や証拠としての利用に備えて、必要なデータを保全・収集・分析する活動です。調査対象を不用意に変更すると、記録や証拠を損なうおそれがあります。

J-CRATは、標的型サイバー攻撃を受けた組織に対し、被害の低減や攻撃の連鎖の遮断を支援する活動です。

適用条件と例

インシデントの兆候を検知したら、まず影響範囲や緊急性を整理し、定められた窓口へ連絡します。ログや端末の情報が調査に必要な場合は、消去・上書き・初期化を急がず、保全方法を確認してから対応します。例えば、共有サーバで不審な操作が見つかったときは、関連ログの保管を確保し、担当チームへ連絡したうえで、影響範囲の調査と封じ込めを進めます。

多数の機器から警告が出ている場合、SIEMでログをまとめて分析すれば、共通する兆候の確認を助けられます。ただし、分析結果を踏まえて優先度を判断し、関係者に連絡して対応を決める役割は、組織の運用体制が担います。

自組織だけでの対応が難しい標的型攻撃では、状況に応じて外部の支援を利用します。J-CRATは標的型攻撃に対する支援、JPCERT/CCは国内のインシデント対応支援や組織間の連携などを担います。相談先や支援範囲は、組織の体制と事案に応じて確認します。

誤りやすい点

ログを集約する仕組みと、対応を指揮・実行するチームは別の役割です。SIEMは分析を支援しますが、それだけで連絡、優先度判断、封じ込め、報告までを担うCSIRTにはなりません。