5.2NIST SP800-61 に基づくインシデント対応

インシデント対応が混乱するのは、たいてい「今が何の段階で、次に誰が何をするか」が共有されていないからです。NIST SP800-61は、この対応を4つの段階からなるライフサイクルとして体系化し、迷ったときの共通言語を与えます。この節では、事前に用意しておくIR計画の中身と、進行中の事象を段階に当てはめて次の一手を選ぶ判断の両方を扱います。「証拠を残すのが先か、まず止めるのが先か」といった現場の葛藤も、段階の理解があれば整理できます。

5.2.1IR計画に含める要素

• NIST SP800-61は、インシデント対応計画に含めるべき要素として、使命（mission）・戦略と目標・上級管理者の承認・組織としての対応方針・IRチームと組織内他部門との連携（コミュニケーション）・成熟度を測る指標（metrics）・プログラムを成熟させるロードマップ・組織全体の中でのIRの位置づけを挙げる。計画は文書として承認され、権限が裏打ちされていることが重要。
• 計画・手順（procedure）・方針（policy）は別物である。方針が「何をすべきか」の原則、計画が体制と全体像、手順（プレイブック）が「この事象で誰がどのコマンドを打つか」という具体手順。SOCの現場が迷わず動けるのは、この3層が事前に用意されているからである。

5.2.24段階のライフサイクル

• ①準備（Preparation）＝インシデントに備える段階。IRチーム編成・ツール整備・プレイブック作成・訓練・資産と通信経路の整備。
  ②検知と分析（Detection & Analysis）＝アラートやログから事象を検知し、真陽性か・影響範囲はどこか・侵害の兆候（IoC）は何かを見極める段階。ここでの分類・トリアージが後段の質を決める。
• ③封じ込め・根絶・復旧（Containment, Eradication & Recovery）＝被害拡大を止め（隔離・遮断）、原因（マルウェア・不正アカウント・脆弱性）を除去し、業務を正常状態に戻す段階。
  ④事後活動（Post-Incident Activity）＝教訓（lessons learned）を振り返り、検知・手順・防御を改善して次に備える段階。ここでの学びが
  ①準備へ還流し、ライフサイクルが回る。

深夜のSOCで、あるサーバから外部の見慣れないIPへ定期的なビーコン通信が出ているとEDRがアラートを上げました。あなたはまずこれを
②検知と分析の段階として扱い、通信先の評判、プロセスの親子関係、対象ホストの重要度を調べ、これは誤検知ではなくC2（Command and Control）の疑いが濃い真陽性だと判断します。ここで焦って電源を落としたくなりますが、いきなりシャットダウンするとメモリ上の揮発証拠（後の節で扱う）が失われ、根絶の手掛かりも消えます。段階を意識すれば、
③封じ込めとして「ネットワークから隔離（VLAN分離やスイッチポート遮断）しつつ、電源は落とさずメモリを保全」という、被害拡大の停止と証拠保全を両立する一手を選べます。続く根絶でマルウェア本体と作られた不正アカウントを除去し、復旧でクリーンなバックアップから戻して監視下で業務再開します。そして翌週の
④事後活動では、「なぜこのビーコンを最初のアラートで拾えず数時間見逃したのか」を振り返り、検知ルールとプレイブックを更新します——これが
①準備の質を上げ、次の同種攻撃の検知を速くします。ここで大事なのは、同じ「サーバを隔離する」という行動でも、それがどの段階の目的で行われているかを理解していることです。段階を取り違え、分析が終わる前に根絶へ飛べば誤検知で正常業務を止めかねず、封じ込め前に復旧へ急げば再感染を招きます。NIST SP800-61は、この「順序と目的」を外さないための地図なのです。

5.2.3この節のまとめ

• IR計画の要素＝使命・戦略/目標・上級管理者の承認・対応方針・連携・指標・成熟ロードマップ・組織内の位置づけ。方針/計画/手順（プレイブック）の3層を事前に用意する
• NIST SP800-61の4段階＝準備→検知と分析→封じ込め/根絶/復旧→事後活動。事後の教訓が準備へ還流してライフサイクルが回る
• 事象の説明を段階へ即マッピングできることが要点。分析→封じ込め→根絶→復旧の順序を外すと誤検知停止・証拠喪失・再感染を招く