3.3帰属と証跡

インシデント調査は「何が起きたか」を復元するだけでなく、「誰が」「どの資産に」「どの段階で」何をしたかを結びつける作業です。この結びつけが帰属（アトリビューション）で、資産・脅威アクター・痕跡を関連づけて全体像を作ります。実務では、痕跡が既に起きたこと（IoC）なのか、今まさに進行していること（IoA）なのかの見極めが対応の緊急度を変え、集めた証拠が後で通用するかは証拠保全の連鎖の記録に懸かります。この節はその判断軸を扱います。

3.3.1帰属の対象：資産と脅威アクター

• 資産（asset）＝守るべき対象（サーバ・端末・データ・認証情報・サービス）。調査ではまず「どの資産が触られたか」を確定し、影響範囲（データの機密度・業務上の重要度）を評価する。攻撃の狙いと重大度は、狙われた資産の価値で大きく変わる。
• 脅威アクター（threat actor）＝攻撃を行う主体（外部の犯罪者・内部者・国家支援グループ等）。帰属はTTP（戦術・技術・手順）やインフラ（C2ドメイン/IP）、ツールの特徴から「どのアクター/キャンペーンか」を推定する作業で、次の一手や防御の優先順位を決める助けになる。ただし発信元IPは偽装/踏み台があり、単一の指標だけで断定しない。

3.3.2IoC（侵害指標）とIoA（攻撃指標）

• IoC（Indicator of Compromise・侵害指標）＝侵害が既に起きたことを示す事後の痕跡。悪性ファイルのハッシュ、既知C2のドメイン/IP、特定のレジストリ変更、ドロップされたファイル名などが典型。過去形の証拠で、検知/ハンティングや他ホストの汚染確認に使う。
• IoA（Indicator of Attack・攻撃指標）＝攻撃が今まさに進行している兆候。ハッシュのような固定物ではなく、意図を示す振る舞いの連鎖（例：文書からのスクリプト起動→認証情報ダンプ→横展開の試行）を指す。現在進行形なので、IoAは早期に捉えれば侵害成立の前に止められる可能性がある。
• 証拠保全の連鎖（chain of custody）＝証拠を「いつ・誰が・どこで・どのように」取得/保管/移送/引き渡ししたかを途切れなく記録する管理。ハッシュによる完全性確認と併せ、証拠が改ざんされていないことを担保し、法的・組織的に通用させる。連鎖が切れた証拠は信頼性を失う。

あなたは深夜、EDRから「ある端末で powershell.exe が認証情報ダンプ用ツール相当の挙動を示し、続いて社内の複数ホストのSMB(445)へ接続を試みている」という通知を受けました。同時に脅威インテルのフィードから、数日前に別部署の端末で見つかった悪性ファイルのハッシュと既知C2ドメインが共有されています。ここで両者を同じ「証拠」と一括りにすると判断を誤ります。フィードのハッシュ/C2ドメインはIoC＝既に起きた侵害の事後の痕跡で、これは「他のどの端末が同じマルウェアに汚染済みか」をハンティングするのに使います。一方、いま目の前で進行している「認証情報ダンプ→SMB横展開の試行」という振る舞いの連鎖はIoA＝攻撃が進行中の兆候であり、対応の緊急度が全く違います。正しい判断は、IoAに対しては進行を止める（該当端末の隔離、資格情報の失効、横展開先ポートの遮断）を最優先にしつつ、IoCを使って汚染範囲を広く確認することです。そして、隔離した端末のメモリ/ディスクを保全する際は、取得時刻・担当者・取得方法・ハッシュ値を記録し、以後の保管/移送/引き渡しを証拠保全の連鎖として途切れなく残します。ここを怠ると、後で「その証拠は改ざんされていないと言い切れるか」を問われたときに信頼性が崩れます。帰属についても、C2ドメインが既知キャンペーンと一致しても、発信元IPは踏み台の可能性があるため、TTP・インフラ・ツールの複数の指標を突き合わせて推定し、単一指標での断定は避けます。「痕跡が事後(IoC)か進行中(IoA)か」を最初に見分け、進行中は止め、事後は範囲確認に使い、いずれも連鎖を保って保全する——この順序が調査対応の背骨です。

3.3.3この節のまとめ

• 帰属は資産・脅威アクター・痕跡を結びつける作業。脅威アクターは単一指標で断定せずTTP/インフラ/ツールで推定する
• IoCは事後の固定的痕跡（ハッシュ/C2/レジストリ変更＝範囲確認に使う）、IoAは進行中の振る舞いの連鎖（早期に止める）——まず事後か進行中かを見分ける
• 証拠保全の連鎖＝取得〜保管〜移送〜引き渡しを途切れなく記録しハッシュで完全性を担保する。連鎖が切れた証拠は信頼性を失う