変更要約: SCS-C02 第1章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
1.3インシデント対応の準備とフォレンジック
IR の備え——プレイブック/ランブック、フォレンジック（スナップショット/隔離）、CloudTrail による証跡、侵害された資格情報の対応、最小権限の IR ロール——を理解します。事前準備で迅速・確実に対応します。
インシデントは事前準備が成否を分けます。プレイブックを用意し、証拠保全（フォレンジック）の手順を整えます。
1.3.1IR とフォレンジック
- プレイブック/ランブック：対応手順を事前に定義し SSM Automation で自動化する。
- フォレンジック：EBS スナップショットで証拠保全し、隔離した環境で解析する。
- 証跡：CloudTrail / VPC フローログで「誰が・何を・どこから」を確保する。
- 最小権限の IR ロール：対応者に必要十分な権限を事前付与し、迅速に動けるようにする。
「対応手順の自動化＝SSM Automation ランブック」「証拠保全＝EBS スナップショット＋隔離環境で解析」「証跡＝CloudTrail/VPC フローログ」「事前準備＝IR ロール/プレイブック」 は SCS-C02 で頻出です。フォレンジックは本番に影響を与えないよう、隔離コピーで行います。
SCS-C02 のインシデント対応は「事前準備と正しい証拠保全の順序」を問います。準備として、対応手順を SSM Automation ランブックや Step Functions にコード化し、最小権限の IR ロール（フォレンジック用アカウント/ロールを事前に用意）と、ログの事前有効化と保全（CloudTrail 組織証跡を専用ログアーカイブアカウントへ、S3 Object Lock で改ざん防止、VPC フローログ、GuardDuty 常時有効）を整えます。インシデント時の鉄則は NIST の流れ（準備→検知/分析→封じ込め→根絶→復旧→教訓）で、特に「封じ込め（隔離）の前後で証拠を失わない」こと。EC2 では、(1) メモリ（揮発性）を先に取得してから、(2) EBS スナップショットでディスクを保全、(3) すべて拒否の SG へ差し替え or 隔離 VPCでネットワーク隔離、(4) インスタンスは終了せず停止/タグ付けして保全、という順序を取り、解析は隔離した別環境のコピーで行って本番と証拠汚染を避けます。資格情報が絡む場合は無効化＋ローテーションを並行。証跡は CloudTrail（誰が何の API を）/VPC フローログ（通信）/Detective（経緯）で確保し、対応後は非難なきポストモーテムで根本原因と再発防止（自動化・ガードレール強化）を学びます。設計の要は、事前にログ保全と IR ロール/ランブックを用意し、隔離前に証拠を保全する正しい順序でフォレンジックを行うことです。
| IR フェーズ | やること | 要点 |
|---|---|---|
| 準備 | ランブック・IR ロール・ログ保全 | CloudTrail 組織証跡・GuardDuty 常時有効 |
| 封じ込め | 隔離（SG/VPC） | 終了せず停止・通信遮断 |
| 証拠保全 | メモリ→EBS スナップショット | 揮発性を先に・隔離コピーで解析 |
| 証跡/調査 | CloudTrail/VPC ログ/Detective | 誰が・通信・経緯を確保 |
シナリオ：EC2 の侵害が疑われる。原因分析もしたい。最初に取るべき行動は？→
①証拠保全を優先（揮発性のメモリ取得→EBS スナップショット）、
②ネットワーク隔離（すべて拒否 SG へ差し替え or 隔離 VPC、ASG からデタッチ）、
③インスタンスは停止/タグ付け（終了しない）、
④隔離環境のコピーで解析。並行して、インスタンスロールの資格情報を無効化＋ローテーション。証跡は CloudTrail/VPC フローログで確保し、Detective で経緯を追います。即終了や即再起動は証拠を破壊するので避けます。
FAQ：フォレンジックはなぜ隔離コピーで行う？ 本番インスタンスで直接解析すると、(1) 解析操作自体が証拠を変更/汚染し、(2) 攻撃者に気づかれて証拠隠滅される恐れがあり、(3) 本番サービスに影響します。EBS スナップショットから複製したボリュームを、隔離した専用のフォレンジックアカウント/環境にアタッチして解析するのが正解で、原本（スナップショット）は完全性を保ったまま保全します。
ひっかけ：侵害インスタンスを「即終了（terminate）して再構築」するのは、IR/フォレンジックの観点では誤り——メモリ/ディスクの証拠を失い根本原因が分からなくなります。正しくは隔離→証拠保全→解析の順。ログも、インシデント後に有効化しても過去のイベントは取れないため、CloudTrail/VPC フローログ/GuardDuty は事前に常時有効化しておく必要があります。
1.3.2この節のまとめ
- 準備＝プレイブック/ランブック（SSM Automation）＋IR ロール
- 保全＝EBS スナップショット＋CloudTrail/VPC フローログ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. インシデント時に侵害インスタンスのディスクを証拠として保全したい。最初に何をしますか？
Q2. 定型のインシデント対応手順（隔離・スナップショット・無効化）を自動実行したい。何を使いますか？
Q3. 「誰が・いつ・どの API を呼んだか」をインシデント調査のために確保したい。何を使いますか？