Table of Contents

**インシデントレスポンスの極意：ベストプラクティスと実世界の例

インシデントレスポンスは、組織のサイバーセキュリティ態勢の重要な構成要素である。効果的なインシデントレスポンスは、組織がセキュリティインシデントの影響を最小限に抑え、復旧時間を短縮するのに役立ちます。米国国立標準技術研究所（NIST）は、NIST SP 800-61 Rev.2として知られるインシデントレスポンスのフレームワークを開発しました。この記事では、NIST SP 800-61 Rev.2によるインシデントレスポンスのベストプラクティスについて説明し、この規格に対するいくつかの改善点を提案します。

インシデントレスポンスのベストプラクティス

NIST SP 800-61 Rev.2では、準備、検知・分析、封じ込め、根絶、復旧の4つのフェーズからなるインシデントレスポンスのフレームワークを提供しています。以下は、インシデント対応プロセスの各フェーズにおけるベストプラクティスである：

準備段階

  • インシデント対応チームの役割と責任、インシデントの報告と処理の手順、外部関係者とのコミュニケーションチャネルをまとめたインシデント対応計画を策定する。
  • インシデントの検出、報告、対応の手順を含むインシデント対応計画について、インシデント対応チームを訓練し教育する。
  • 重要な資産とデータのリスト（場所、所有者、機密レベルを含む）を作成し、維持する。

検知・分析段階

  • 疑わしい活動や異常がないか、ネットワークとシステムを監視する。
  • 侵入検知・防止システムを使用して、攻撃を検知・防止する。
  • 疑わしい活動を調査し、それが正当なインシデントであるかどうかを判断する。

封じ込めフェーズ

  • インシデントの拡大を防ぐために、影響を受けたシステムとネットワークを隔離します。
  • 分析および潜在的な法的手続きのために証拠を収集し、保存する。
  • インシデントの根本原因を特定し、封じ込める。

根絶と回復の段階

  • 影響を受けたシステムからマルウェアまたはその他の悪意のあるコードを削除する。
  • バックアップからシステムおよびデータを復元する。
  • インシデントで悪用された脆弱性をパッチする。

NIST SP 800-61 Rev.2への改善点

NIST SP 800-61 Rev.2は、インシデント対応のための有用なフレームワークを提供していますが、改善すべき点もいくつかあります。以下は、提案された改善点である：

1.脅威インテリジェンスを取り入れる

脅威インテリジェンスとは、脅威行為者の戦術、技術、手順（TTP）に関する情報を収集、分析するプロセスです。この情報を活用することで、セキュリティインシデントをより効果的に検出し、対応することができます。脅威情報は、オープンソースインテリジェンス、ダークウェブフォーラム、商用脅威情報フィードなど、さまざまなソースから収集することができる。

脅威インテリジェンスをインシデント対応プロセスに組み込むことで、組織はインシデントの検出と対応能力を向上させることができます。例えば、ある脅威者が特定の種類のマルウェアやエクスプロイトを使用することが知られている場合、脅威インテリジェンスは、組織がこれらの脅威を特定し、被害が発生する前にブロックするのに役立ちます。また、脅威インテリジェンスは、セキュリティインシデントの検出と対応に利用できるIOC（indicator of compromise）を特定するのに役立ちます。

組織が脅威インテリジェンスをインシデント対応プロセスに組み込むには、いくつかの方法があります。例えば、既知の脅威や脆弱性に関する最新情報を提供する商用脅威情報フィードを購読することができます。また、オープンソースのインテリジェンスを活用して、脅威の担い手とそのTTPに関する情報を収集することも可能です。最後に、脅威インテリジェンス・プラットフォームを利用して、脅威インテリジェンスの収集と分析のプロセスを自動化することができます。

例えば、2015年にウクライナの電力網を狙ったサイバー攻撃は、カスタムマルウェアを使用し、産業用制御システム（ICS）を標的とした高度で協調的な攻撃でした。この攻撃は、SandWormとして知られる脅威アクターによるものとされていましたが、これまでは不明でした。しかし、この攻撃で使用されたマルウェアを分析することで、サイバーセキュリティ研究者は、SandWormによる今後の攻撃の検出と対応に使用できるいくつかのIOCを特定することができました。

脅威インテリジェンスをインシデント対応プロセスに組み込むことは、組織が長期的にサイバーセキュリティ態勢を改善することにもつながります。脅威インテリジェンスを分析し、パターンや傾向を特定することで、組織はセキュリティインフラにおける弱点領域を特定し、防御を改善するための措置を講じることができます。

2.コミュニケーションの重要性を強調する

インシデント対応を成功させるためには、効果的なコミュニケーションが不可欠です。利害関係者にインシデントの状況を確実に伝え、更新するために、事前にコミュニケーションチャネルと手順を確立しておく必要がある。これには、インシデント対応チーム内の内部コミュニケーションと、上級管理職、法律顧問、法執行機関、顧客などの外部ステークホルダーとのコミュニケーションが含まれる。

インシデント対応計画では、インシデント発生時に使用されるコミュニケーションチャネルと手順の概要を示す必要がある。これには、社内外の利害関係者とのコミュニケーションの責任者、更新の頻度、共有される情報の特定が含まれる。明確で簡潔なコミュニケーションは、インシデント発生時に利害関係者が十分な情報を得た上で意思決定を行い、適切な行動を取るのに役立ちます。

例えば、ランサムウェアの攻撃では、対応を調整し、最適な行動を決定するために、コミュニケーションが重要です。インシデント対応チーム内の内部コミュニケーションは、メンバー全員が最新情報を把握し、全員が共通の目標に向かって行動するために必要です。上級管理職との外部コミュニケーションは、インシデントと組織への影響について常に情報を得るために不可欠である。法執行機関とのコミュニケーションも、インシデントを報告し、今後の進め方について指導を受けるために重要である。

インシデント対応計画では、コミュニケーションチャネルと手順の概要に加えて、インシデントに関連するすべてのコミュニケーションを文書化することの重要性にも言及する必要があります。これには、電話、電子メール、その他のコミュニケーション形態のログを管理することや、インシデント対応プロセスで行われた決定を文書化することが含まれます。

効果的なコミュニケーションは、インシデント対応プロセスだけでなく、インシデント発生後の分析段階においても重要です。インシデントが解決した後、利害関係者は、学んだ教訓と、今後のインシデント対応プロセスを改善するための変更点を知らされる必要があります。

インシデント対応計画でコミュニケーションの重要性を強調することで、組織は利害関係者に確実に情報を提供し、インシデント対応プロセスに参加させることができ、セキュリティインシデントの影響を最小限に抑え、回復時間を短縮することができる。

3.インシデント発生後の分析に関するガイダンスを提供する

インシデント発生後の分析は、効果的なインシデント対応に不可欠な要素である。これは、インシデントとその対応を徹底的に調査し、学んだ教訓と改善のための領域を特定するものである。インシデント発生後の分析を行うことで、組織はインシデント対応プロセスにおけるギャップを特定し、全体的なセキュリティ態勢を改善するための措置を講じることができます。

インシデント発生後の分析は、インシデントが解決された後、できるだけ早く開始する必要があります。インシデント対応チームは、データを収集し、インシデントとその対応を文書化する必要があります。これには、インシデントのタイムライン、対応中に取られた措置、インシデントに関連するあらゆるコミュニケーションなどを文書化することが含まれる。

初期データが収集された後、インシデント対応チームは、インシデントの根本的な原因を特定するために根本原因分析を実施する必要がある。これには、ログの確認、システム構成の調査、脆弱性評価の実施が含まれる場合がある。根本原因分析では、インシデント対応プロセスにおけるあらゆるギャップを特定し、改善のための推奨を行う必要がある。

根本原因の分析が完了したら、インシデント対応チームは、インシデントと対応を要約し、根本原因を特定し、改善のための勧告を行うインシデント後報告書を作成すべきである。インシデント後の報告書は、上級管理職、インシデント対応チーム、およびその他の利害関係者と共有する必要がある。

例えば、2017年のEquifaxデータ流出後、同社はインシデント後の分析を行い、学んだ教訓と改善点を特定しました。この分析では、パッチ管理プロセスの改善やインシデント発生時のコミュニケーションチャネルの改善などの必要性を含め、インシデント対応プロセスを改善できるいくつかの領域が特定されました。

NIST SP 800-61 Rev. 2 は、インシデント発生後の分析に関するより多くのガイダンスを提供することで、組織がインシデント対応プロセスを長期的に改善するのに役立つ。ガイダンスには、インシデントの根本原因の特定、インシデントと対応の文書化、改善のための推奨事項など、インシデント後の分析を実施するためのベストプラクティスを含める必要があります。また、ガイダンスは、インシデント対応プロセスを継続的に改善するために、インシデント発生後の分析を利用することの重要性を強調すべきである。

インシデントレスポンスの実例

1.エクイファックスデータ漏洩事件

2017年、Equifaxは1億4300万人以上の顧客に影響を与える大規模なデータ漏洩に見舞われました。この事件は、同社のITシステムの脆弱性によって引き起こされました。Equifaxのインシデント対応計画は不十分であり、同社は数ヶ月間、情報漏洩を発見できなかった。この情報漏洩は、Equifaxが使用していたオープンソースのソフトウェアパッケージの脆弱性によって引き起こされた。

侵害が検出されると、Equifax はインシデントの抑制と緩和のための措置を講じました。同社は、影響を受けたシステムを無効にし、第三者であるフォレンジック調査会社に調査を依頼しました。調査の結果、今回の情報漏洩は、オープンソースソフトウェアパッケージの既知の脆弱性にパッチを適用していなかったことが原因であることが判明しました。

Equifaxは、新たなセキュリティ管理の実施、影響を受けた顧客への無料クレジット・モニタリングの提供、数百万ドルの和解金と罰金の支払いなど、インシデントを是正し回復するための措置を取りました。

2.NotPetya ランサムウェア攻撃

2017年、NotPetyaランサムウェア攻撃は世界中の企業に影響を与え、数十億ドルの被害をもたらしました。この攻撃は、人気のある会計ソフトウェアパッケージのソフトウェアアップデートを通じて広まりました。この攻撃では、既知の脆弱性とカスタムマルウェアを組み合わせて、ネットワークを通じて伝播し、データを暗号化しました。

効果的なインシデント対応計画を持つ組織は、この攻撃を迅速に特定し、封じ込めることができました。例えば、海運大手のマースク社は、感染したシステムを隔離し、数日以内に業務を復旧させることができました。しかし、多くの組織は準備不足で、攻撃の結果、大きな損害を被りました。

3.ソーラーウィンズのサプライチェーン攻撃

2020年、ソフトウェアベンダーであるSolarWinds社に対するサプライチェーン攻撃が発生し、複数の政府機関や民間組織に影響を与えました。この攻撃は、国家的な支援を受けたグループによって行われ、SolarWindsの製品であるOrionのソフトウェアアップデートにマルウェアが挿入されました。

効果的なインシデント対応計画を持つ組織は、この攻撃を迅速に特定し、封じ込めることができました。例えば、国土安全保障省のサイバーセキュリティおよびインフラストラクチャ・セキュリティ局（CISA）は、連邦政府機関に対して、影響を受けるSolarWinds Orion製品の接続を解除するよう指示する緊急指令を発しました。また、民間企業も影響を受けたシステムを特定し、削除するための措置を講じました。

4.コロニアルパイプラインのランサムウェア攻撃

2021年5月、米国の大手燃料パイプライン事業者であるColonial Pipelineは、ランサムウェア攻撃を受け、パイプラインが一時的に停止する事態に陥りました。この攻撃は、DarkSideと呼ばれるサイバー犯罪グループによって行われた。

Colonial Pipeline社は、インシデントレスポンス計画により、攻撃を迅速に特定し、封じ込めることができました。同社は、予防措置としてパイプラインを停止し、第三者であるフォレンジック調査会社に調査を依頼しました。また、同社は連邦政府機関やその他の関係者と連絡を取り合い、対応を調整しました。

5.マイクロソフトExchangeサーバーの脆弱性

2021年初頭、一般的な電子メールおよびコラボレーションプラットフォームであるMicrosoft Exchange Serverに、複数のゼロデイ脆弱性が発見されました。この脆弱性により、攻撃者は影響を受けたシステムから機密データをアクセスし、盗み出すことができました。

効果的なインシデント対応計画を持つ組織は、脆弱性を迅速に特定し、パッチを適用することができました。マイクロソフトは、この脆弱性に対するパッチを発行し、組織は直ちにパッチを適用するよう勧告されました。しかし、多くの企業はパッチ適用に手間取り、脆弱性を抱えたままシステムを放置していました。

結論

インシデントレスポンスの実例は、効果的なインシデントレスポンスの計画と準備の重要性を示しています。ベストプラクティスに従い、インシデント対応プロセスを継続的に改善することで、組織はセキュリティインシデントに対応するための準備を整え、資産とデータを保護することができます。本記事で取り上げたEquifaxデータ漏洩、NotPetyaランサムウェア攻撃、SolarWindsサプライチェーン攻撃、Colonial Pipelineランサムウェア攻撃、Microsoft Exchange Serverの脆弱性などの事件は、サイバーセキュリティ脅威の進化する性質とプロアクティブかつ有効なインシデント対応戦略の維持の重要性を強調しています。