2.4インシデント管理とCSIRT

どれほど予防的な管理策を整えても、インシデント（セキュリティ事故）の発生を完全には防げません。重要なのは発生を前提に、被害を最小化し、原因を突き止め、再発を防ぐ体制をあらかじめ用意しておくことです。本節では、インシデント対応の標準的な流れ、それを担うCSIRTという組織、そして被害調査の基礎となるデジタルフォレンジックスを学びます。

2.4.1インシデント対応プロセス

• 検知・報告＝監視システムのアラートや従業員からの通報によりインシデントの疑いを認識する段階。トリアージ＝検知した事象の深刻度・影響範囲を評価し対応の優先順位を判断する段階。全ての通報を同列に扱うと限られた要員が疲弊するため、優先順位づけが不可欠です。
• 封じ込め＝被害のそれ以上の拡大を止める段階（例：感染端末のネットワーク切断）。根絶＝原因（マルウェア・不正アクセスの侵入経路など）を取り除く段階。復旧＝業務を通常運用に戻す段階。順序を誤り、根絶前に復旧してしまうと、同じ原因で再発するリスクが残ります。
• 事後対応（教訓化）＝対応が一段落した後、原因分析の結果を再発防止策に反映し、対応プロセス自体の振り返りを行う段階。この段階を省略すると、同種のインシデントが繰り返される、あるいは次回の対応が同じ混乱を繰り返すことになります。

2.4.2CSIRTとSOCの役割の違い

• CSIRT（Computer Security Incident Response Team）＝インシデントが発生した際に対応の司令塔となるチーム。検知後のトリアージ・封じ込め・根絶・復旧の指揮、関係部門・経営層・社外関係者との調整窓口を担います。SOC（Security Operation Center）＝ログ・アラートを24時間365日で監視し異常を検知する役割に特化した組織。
• 両者の関係＝SOCが監視・検知を担い、検知した事象をCSIRTへエスカレーションし、CSIRTが対応を指揮するという役割分担が一般的です（組織によっては両機能を1つのチームが兼ねる場合もあります）。「監視して見つける」役割と「見つかった後どう動くか指揮する」役割の違いを区別することが重要です。

2.4.3証拠保全とデジタルフォレンジックス、外部組織

• 証拠保全＝インシデント発生機器のログ・ディスクイメージなどを、後の調査や法的手続きに耐えうる形で保存する活動。原本を直接操作すると証拠としての完全性が損なわれるため、複製（イメージ）を取得しその複製に対して解析を行うのが原則です。
• デジタルフォレンジックス＝保全した証拠（ログ・メモリ・ディスク等）を分析し、侵入経路・被害範囲・攻撃者の痕跡を科学的手法で明らかにする活動。根絶・復旧の判断や、対外説明・法的対応の根拠として用いられます。対応の初期段階から証拠保全を並行して進めておかないと、封じ込めのための機器の初期化などにより重要な証拠が失われる恐れがあります。
• JPCERT/CC＝国内のインシデント対応の調整・情報提供を行う組織横断的な機関（特定企業に属さない中立組織）。組織を越えたインシデント情報の連携や、脆弱性情報の調整を担います。JVN（Japan Vulnerability Notes）＝JPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイト。自組織が使う製品に関する脆弱性情報を確認する際の一次情報源になります。

ある企業の従業員端末がマルウェアに感染したと疑われる通報が情報システム部門に入った例で、一連の対応を追ってみます。まずSOCが監視していたログに不審な外部通信が記録されていたことと、従業員からの「不審な挙動がある」という通報が重なり、検知の段階に入ります。SOCはこの事象をCSIRTへエスカレーションし、CSIRTがトリアージを行った結果、「顧客情報を扱う業務システムに近い端末であり影響範囲が大きい可能性がある」と判断し、最優先で対応する事案と位置づけます。次に封じ込めとして、この端末をただちにネットワークから切り離し、被害のさらなる拡大（他端末への感染拡大や外部への情報送信の継続）を止めます。ここで重要なのは、切り離しと同時並行で、端末のディスクイメージとメモリの状態を証拠保全として複製・保存しておくことです。もしこの保全を後回しにして先に端末を初期化してしまうと、侵入経路を特定する手がかりが失われてしまいます。保全した証拠を用いてデジタルフォレンジックスを実施した結果、特定の添付ファイルを開いたことでマルウェアに感染し、外部の攻撃者にリモートアクセスされていた痕跡が判明しました。この分析結果に基づき根絶の段階でマルウェアを完全に除去し、判明した侵入経路（該当の添付ファイル形式）を悪用する脆弱性についてJVNで対策情報を確認し、必要なパッチを適用します。原因の除去を確認した上で復旧として端末をネットワークに再接続し、通常業務に戻します。最後に事後対応として、なぜ従業員が不審な添付ファイルを開いてしまったのかを分析し、標的型攻撃メール訓練の強化や添付ファイルの自動検査の導入といった再発防止策を立案します。また、影響範囲によっては顧客への説明が必要になる場合もあり、その際にはデジタルフォレンジックスで得た客観的な事実が説明の根拠になります。このように、SOCの監視からCSIRTの指揮、証拠保全とフォレンジックス、そして外部の脆弱性情報（JVN）の活用までが一連の流れとしてつながっていることを理解しておくことが実務上重要です。

2.4.4この節のまとめ

• インシデント対応＝検知/報告→トリアージ→封じ込め（拡大防止）→根絶（原因除去）→復旧（通常運用）→事後対応の順
• SOC＝24時間監視・検知に特化、CSIRT＝対応の指揮・調整の司令塔。役割の違いを区別する
• 証拠保全は原本を変更せず複製を解析、初期段階から並行実施。デジタルフォレンジックスで科学的に原因を解明。JPCERT/CC＝調整機関、JVN＝脆弱性情報ポータル