いんしでんとれすぽんす
サイバー攻撃などのセキュリティのインシデントが起きたときに、被害を見つけて広がりを止め、原因を取り除いて業務を戻し、教訓を次に生かす一連の活動。米国のNISTのSP 800-61の第2版(2012年)では、準備、検知と分析、封じ込め・根絶・復旧、事後の活動の4段階で示され、2025年の第3版ではサイバーセキュリティフレームワーク(CSF) 2.0に合わせた形に整理し直された。組織の中ではCSIRTが中心になり、SOC、システムの担当者、法務、広報、経営者などと連携して進める。
「インシデントレスポンス」は、1分野の1問の練習問題に出てきます(サイバー攻撃と防御の実務など)。
この用語の分野: サイバー攻撃と防御の実務
対応の速さは、インシデントが起きる前の準備で大きく変わります。連絡の体制と判断の権限、手順書(プレイブック)、ログの収集と保存、バックアップ、調査の道具、外部の専門の事業者や警察などの連絡先を決めておき、机上演習などの訓練で確かめておきます。
被害の広がりを止める封じ込めでは、端末をネットワークから切り離す、アカウントを止める、通信を遮断するといった手段をとります。ただし、すぐに初期化したり電源を切ったりすると、侵入の経路を調べる証拠(メモリの内容やログ)が失われ、原因を取り除けないまま再び侵入されるおそれがあります。調査と封じ込めの順番を、状況に応じて判断します。
対応が終わったら、何が起き、何がうまくいき、何が足りなかったかを、個人の責任を追及するのではなく仕組みを改善するために振り返ります。その結果を検知のルール、手順書、システムの構成の見直しにつなげ、検知までの平均時間などの指標で改善を確かめます。
正解：B. 準備 → 検知と分析 → 封じ込め・根絶・復旧 → 事後の活動
SP 800-61 Rev. 2は、体制や手順、道具を整える「準備」、警告やログからインシデントかどうかを判断して影響を見積もる「検知と分析」、被害の広がりを止めて原因を取り除き業務を戻す「封じ込め・根絶・復旧」、教訓を整理して次に生かす「事後の活動」の4段階を示しています。検知と分析と、封じ込め・根絶・復旧の間は行き来し、事後の活動で得た教訓は準備に戻して、検知のルールや手順を改善します。なお、2025年4月に公開された第3版(Rev. 3)では、NISTのサイバーセキュリティフレームワーク(CSF) 2.0の機能に合わせた形に整理し直されていますが、この4段階の考え方は現在も広く使われています。
重なる部分はありますが、同じではありません。ITILなどのインシデント管理は、障害を含むサービスの中断から、できるだけ早く通常の状態に戻すことが目的です。セキュリティのインシデントレスポンスでは、攻撃者の排除、証拠の保全、法令に基づく報告などが加わるため、CSIRTが中心となって専用の手順で進めます。
払っても復号できる保証はなく、盗んだデータを公開しないという約束が守られる保証もありません。払うことが次の攻撃の資金になり、相手によっては法令上の問題になる場合もあります。多くの公的機関は支払わないことを勧めており、ネットワークから切り離したバックアップから復旧することを前提に準備します。
Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。
IoC(侵害の痕跡) EDR(Endpoint Detection and Response) SBOM(ソフトウェア部品表) サイバーキルチェーン サプライチェーン攻撃 SIEM(セキュリティ情報イベント管理) 侵入検知システム(IDS) セキュリティオペレーションセンター ゼロトラスト デジタルフォレンジック