インシデントの分析と復旧

要点と定義

インシデントの分析では、何が起きたか、原因は何か、被害や影響がどこまで及んだかを、事実に基づいて調べます。調査範囲は、判明している事実とインシデントの目的に合わせて定めます。オンラインストレージ上の公開事故では、プロキシログを使って関連サービスへの接続範囲を調べ、最初に調べた部門以外の端末にも確認を広げる考え方が必要です。

紛失端末に保存された認証情報が悪用される可能性がある場合、影響範囲を端末内の情報や当日の業務だけに限定せず、その認証情報でアクセスできるシステムへの不審なアクセスも調べます。

原因の切り分けには、端末のイベントログやネットワーク機器のアクセスログなどを時系列に整理し、互いに照合します。たとえば、プロキシログで確認した通信時刻を勤怠情報と照らし合わせれば、本人がその時刻に勤務していたかを調べる手掛かりになります。複製したディスクを別の端末でスキャンすることも、不正プログラムの有無を調べる方法です。

分析には、ログに残らない経路や記録の限界も考慮します。出題資料の事例では、スマートフォンからのアクセス成功が記録されない場合があるため、対象業務に参加し、スマートフォンを利用できる担当者への聞き取りが調査を補います。

適用条件と例

調査対象を決めるときは、「どの情報を確かめたいか」「どの記録にその事実が残るか」「記録されない経路はあるか」を確認します。たとえば、社内端末からの接続が記録されるログだけでは、携帯回線を使った接続まで把握できないことがあります。その場合は、記録が欠ける可能性のある利用者に聞き取りを行い、ログと合わせて状況を確かめます。

調査では証拠となるデータを保全し、調査前に端末を初期化したり、調査対象のデータを消去したりしないようにします。たとえば、ディスクを複製して複製側をスキャンし、端末やネットワーク機器のログを時系列で照合すれば、元のデータを保った状態で原因を調べやすくなります。

調査中に端末を業務で使えない場合、調査対象を保全したまま代替端末を用意する方法があります。出題資料の事例では、調査対象端末を初期化すると保存データが失われ、詳細調査に支障が出る一方、別の端末を貸与すれば業務への影響を軽減できます。