第3部 検知・対応・運用
第8章 インシデントレスポンスとフォレンジック
検知の次は対応です。インシデントは「起きたときにどう動くか」を平時に決めておけたかどうかで結果が大きく変わります。この章では、対応のライフサイクルとデジタルフォレンジックの基礎を学びます。
🎯 この章で学ぶこと
- インシデント対応は準備が9割 — CSIRTとプレイブックを平時に作る
- NISTの6フェーズによる対応ライフサイクルと初動の原則
- デジタルフォレンジックの基礎 — 揮発性の順序・証拠保全・連鎖
- タイムライン分析と、非難しない事後対応(ポストモーテム)
8.1 インシデント対応は準備が9割
火事が起きてから消火器の場所を探し始めるようでは間に合いません。インシデント対応も同じで、勝負の大半は平時の準備で決まります。侵害の最中に「誰に連絡するのか」「どこまでの権限で封じ込めていいのか」を議論していては、被害が広がるだけです。
- CSIRT体制 — Computer Security Incident Response Team。誰が指揮を執り、誰が技術対応し、誰が経営・広報・法務と連携するかを決めた組織。専任でなくとも、役割と責任を明確にしておきます。
- 連絡網 — 社内(経営・法務・広報・現場)、社外(委託先、監督官庁、場合により警察やセキュリティベンダー)への連絡先と手順。業務システムが停止しても連絡が取れる手段を用意します。
- プレイブック — 「ランサムウェア」「情報漏えい」「不正アクセス」など、想定シナリオごとの対応手順書。平時に作り、訓練で回しておきます。
プレイブックを作っただけで満足してはいけません。机上演習(テーブルトップ)で「もし今、この画面が出たら誰が何をする?」を実際に声に出して確認すると、連絡先が古い、判断の権限が曖昧、といった穴が必ず見つかります。準備とは「文書を書くこと」ではなく「動けるようにしておくこと」です。
8.2 対応のライフサイクル(NISTの6フェーズ)
米国NISTのインシデント対応ライフサイクルは、実務の共通言語としてよく使われます。ここでは6つの段階として整理します。
| フェーズ | やること |
|---|---|
| 1. 準備(Preparation) | 体制・連絡網・プレイブック・ログ基盤・訓練を平時に整える |
| 2. 検知と分析(Detection & Analysis) | アラートや通報から、本当にインシデントか、範囲と深刻度を見極める(第7章) |
| 3. 封じ込め(Containment) | 被害の拡大を止める。ネットワーク隔離、アカウント無効化など |
| 4. 根絶(Eradication) | 侵入経路・マルウェア・不正アカウントなど原因を除去する |
| 5. 復旧(Recovery) | クリーンな状態でシステムを復旧し、監視しながら通常運用へ戻す |
| 6. 教訓(Lessons Learned) | ポストモーテムで振り返り、再発防止と準備の改善につなげる |
重要なのは、これが一方通行ではなく循環することです。教訓は次の「準備」に還り、対応のたびに組織は強くなります。また封じ込めと根絶の間で、新たな痕跡が見つかって分析に戻ることもよくあります。
8.3 初動の原則
インシデントの最初の1時間の振る舞いが、その後の調査可能性と被害規模を大きく左右します。次の4原則を体に染み込ませてください。
- 慌てない — パニックによる場当たり的な操作が、証拠を壊し、被害を広げます。まず落ち着いて状況を把握します。
- すべて記録する — 「いつ・誰が・何を観測し・何をしたか」を時系列で記録します。この記録自体が、後の分析と説明責任の土台になります。
- 証拠を壊さない — 焦って再起動したり、感染ファイルを削除したりすると、揮発性の証拠(後述)が消えます。調査に必要な状態を保ちながら動きます。
- 封じ込めと事業継続のバランス — 「今すぐ全部止めれば安全」でも、業務が完全に止まれば別の損害が出ます。被害拡大の防止と事業への影響を天秤にかけ、経営とともに判断します。
感染端末を見つけたとき「とりあえず電源を切る」のが常に正解とは限りません。電源を切ると、メモリ上にしか存在しない証拠(実行中のマルウェア、暗号鍵、ネットワーク接続、揮発性の痕跡)が失われます。一方でネットワークから隔離せず放置すれば、被害が拡大したり暗号化が進行したりします。ネットワークからの論理的な隔離(LANケーブルを抜く/隔離VLANへ移す)を優先し、電源断は証拠保全の必要性と併せて慎重に判断します。判断に迷う場合はプレイブックと専門家の指示に従ってください。
8.4 デジタルフォレンジックの基礎
フォレンジックとは、法的にも通用する形で証拠を収集・保全・分析する営みです。中級者として押さえるべき基礎を4点挙げます。
揮発性の順序(order of volatility)
証拠には「消えやすさ」の順序があります。消えやすいものから先に保全します。
| 消えやすい ← → 残りやすい | 例 |
|---|---|
| 1. 最も揮発性が高い | CPUレジスタ・キャッシュ、メモリ(RAM)の内容 |
| 2. 揮発性が高い | ネットワーク接続状態、実行中プロセス、ARP/ルーティング |
| 3. 比較的安定 | ディスク上のファイル、ログ |
| 4. 最も安定 | 物理的な記録媒体、アーカイブ、バックアップ |
だからこそ「まず電源を切る」が危険なのです。メモリは電源を切れば消えます。揮発性の高いものから順に採取するのが原則です。
証拠保全と完全性(ハッシュ)
証拠は原本をそのまま操作せず、まずコピー(イメージ)を取り、コピー上で分析します。そして原本とコピーが同一であることを、入門コース第12章で学んだハッシュ値で担保します。取得時にハッシュを計算・記録しておけば、後で「証拠が改ざんされていない」ことを証明できます。ハッシュが一致する限り、その証拠は取得時点と同一だと数学的に示せます。
証拠保全の連鎖(chain of custody)
連鎖(chain of custody)とは、「その証拠が、いつ・誰の手にあり・どう扱われたか」を切れ目なく記録した管理履歴です。誰かが途中で無記録に触れれば、証拠としての信頼性が崩れます。取得日時、取得者、保管場所、受け渡しの記録を残すことで、法的手続きにも耐える証拠になります。
8.5 タイムライン分析
フォレンジックの核心は「いつ・何が・どの順で起きたか」を再構築することです。各種ログ、ファイルのタイムスタンプ、認証記録、ネットワーク記録を突き合わせ、攻撃の物語を1本の時系列に組み上げます。
08:14 203.0.113.9 から VPN ログイン成功(通常と異なる国)
08:21 管理共有 \\filesv\admin$ へアクセス <- 横展開の疑い
08:26 一般ユーザー "tanaka" を Administrators に追加 <- 権限昇格
08:40 外部ホストへ 2.3GB のアップロード <- 情報持ち出しの疑い
09:05 複数サーバーで一斉にファイル拡張子が変化 <- ランサムウェア暗号化ここで第7章の「時刻同期(NTP)」が効いてきます。時計が揃っていなければ、この並びは崩れて意味をなしません。タイムラインは、封じ込めの範囲決定(どこまで侵害されたか)にも、事後の説明にも不可欠です。
1つのアラートや1つの不審ファイルは「点」にすぎません。フォレンジックの価値は、それらを時系列という「線」でつなぎ、初期侵入から目的達成までの全体像を描くことにあります。全体像が見えて初めて、「どこまで根絶すればよいか」「復旧してよいか」を正しく判断できます。中途半端に一部だけ対処すると、残った侵入経路から再侵入され、対応が振り出しに戻ります。
8.6 事後対応 — 非難しない文化で学ぶ
復旧して終わりではありません。最も価値ある学びは、収束後の振り返り(ポストモーテム)から生まれます。
- 非難しない(blameless) — 「誰が悪かったか」を追及する場にすると、人は情報を隠すようになり、真の原因にたどり着けません。責めるべきは人ではなく、そのミスを許した仕組み・プロセスです。「なぜフィッシングを踏めてしまう構成だったのか」を問います。
- 再発防止 — 「なぜ起きたか」を掘り下げ(なぜを繰り返す)、技術面(検知・多層防御)と運用面(手順・訓練・権限)の両方で対策を決めます。
- 準備へ還元 — 得た教訓をプレイブックと体制に反映します。これがNISTライフサイクルの「教訓 → 準備」の循環です。
ポストモーテムは反省会ではありません。うまく機能した検知・判断・連携も明確に記録します。何が効いたのかが分かれば、その強みを次にも活かせます。失敗と成功の両方から学ぶ姿勢が、対応力を継続的に高めます。
まとめ
- インシデント対応は準備が9割。CSIRT・連絡網・プレイブックを平時に整え、訓練で回す
- NISTの6フェーズ(準備→検知と分析→封じ込め→根絶→復旧→教訓)は循環する
- 初動は「慌てない・記録する・証拠を壊さない・封じ込めと事業継続のバランス」
- フォレンジックは揮発性の順序に従い、ハッシュで完全性を担保し、連鎖を記録する
- タイムライン分析で侵害を線で捉え、非難しない振り返りで仕組みを改善する
練習問題
マルウェア感染が疑われる社員のPCを前に、担当者が「証拠のために」すぐ電源を切ろうとしています。この判断のリスクと、より適切な初動を、揮発性の順序を踏まえて説明してください。
解答を見る
電源を切ると、揮発性の最も高い証拠であるメモリ(RAM)の内容が失われます。実行中のマルウェア、暗号鍵、ネットワーク接続状態、メモリ上にしか存在しない痕跡などが消え、後の分析が大きく制限されます。
より適切な初動は、まずネットワークから論理的に隔離して被害拡大(横展開・暗号化・情報持ち出し)を止めつつ、電源は入れたままにし、可能なら揮発性の高いもの(メモリ、プロセス、ネットワーク接続)から順に保全することです。すべての操作を記録し、電源断が必要かどうかは証拠保全の必要性とプレイブック・専門家の指示に照らして慎重に判断します。
証拠の「完全性」を担保するためにハッシュ値がどう使われるか、また「連鎖(chain of custody)」がなぜ重要かを説明してください。
解答を見る
ハッシュによる完全性:証拠(ディスクイメージ等)を取得した時点でハッシュ値を計算・記録しておきます。分析はコピー上で行い、後日いつでもハッシュを再計算して当初の値と一致するか確認できます。一致すれば、その証拠は取得時点から改ざんされていないと数学的に示せます。
連鎖の重要性:連鎖とは「証拠がいつ・誰の手にあり・どう扱われたか」の切れ目ない記録です。途中で誰かが無記録に触れると、証拠が改ざん・すり替えされていないと言い切れなくなり、法的手続きで証拠能力が疑われます。取得者・日時・保管場所・受け渡しを漏れなく記録することで、証拠の信頼性を保てます。
あるインシデントのポストモーテムで、上司が「原因を作った担当者を特定して処分すべきだ」と主張しています。「非難しない文化(blameless)」の立場から、なぜこのアプローチが逆効果になり得るかを述べてください。
解答を見る
個人の処分を目的にすると、以後メンバーは失敗やミスを隠すようになり、正確な情報が集まらなくなります。そうなると真の原因(なぜそのミスが起き得る仕組みだったのか)にたどり着けず、同種のインシデントが再発します。人はミスをするものであり、責めるべきは人ではなく、そのミス1つで被害が出てしまう仕組み・プロセスです。「なぜフィッシングを踏むだけで侵害まで至る構成だったのか」「なぜ検知できなかったのか」と仕組みを問うことで、根本的な再発防止につながります。非難しない文化は、甘やかしではなく、学習と改善を最大化するための合理的な選択です。