サイバーセキュリティインシデントはますます頻繁かつ高度化しています。組織をサイバーセキュリティインシデントから守るためにどれほど努力しても、100%の安全は決して保証されません。IBMによれば、侵害の発見までの平均時間は194日、データ侵害の平均コストは2024年で488万ドルです。したがって、組織は警戒を怠らず、準備を整えておく必要があります。
サイバーセキュリティインシデント対応とは、インシデントを特定し、深刻な損害をもたらす前にその影響を最小限に抑える戦略的アプローチです。ただし、適切に行われた場合にのみ効果を発揮します。そこで本稿では、サイバーセキュリティインシデント対応の定義、そのライフサイクル、対応における課題、効果的なインシデント対応のためのベストプラクティスについて解説します。
サイバーセキュリティインシデント対応とは？
サイバーセキュリティにおけるインシデント対応 は、サイバーセキュリティ業界では一般にインシデント対応と呼ばれ、サイバーセキュリティインシデントを検知、管理、軽減するための体系的なプロセスです。インシデントの検知と調査から、インシデントの影響からの復旧まで、あらゆることをカバーします。サイバーセキュリティインシデント対応の目的は、
- インシデントを迅速に検知し、
- 徹底的に調査し、
- インシデントの影響を封じ込め最小限に抑え、
- 被害を軽減し、
- 効率的かつ費用対効果の高い方法で現状を回復することです。
これを達成するには、組織は周到に計画されたアプローチを取るべきです。次に、インシデント対応がどのようなものか見てみましょう。
インシデント対応ライフサイクルの概要
サイバーセキュリティインシデントは、組織にとって壊滅的な結果をもたらす可能性のある複数のリスクと潜在的な影響を伴います。サイバーセキュリティインシデントに対処する際には、時間が最も重要です。したがって、組織は戦略的にインシデントに対処する必要があります。インシデント対応ライフサイクルは、組織がインシデント対応を計画し準備するための指針となります。これはインシデント対応の異なるフェーズを扱い、各フェーズで完了すべきタスクを明確にします。組織によってはインシデント対応のアプローチをカスタマイズしている場合もありますが、サイバーセキュリティインシデント対応には主に6つのフェーズが存在します。
NIST（米国国立標準技術研究所）のインシデント対応6ステップとは？
米国国立標準技術研究所（NIST）が提唱するインシデント対応の6ステップは以下の通りです：
1. 準備
準備はインシデント対応ライフサイクルの最初の、かつ最も重要なフェーズであり、その後の全フェーズの基盤を築きます。
組織が直面する様々な脅威とその影響を理解することから始まります。次に、インシデント対応計画（IRP）と標準業務手順書（SOP）を策定します。これには、インシデント発生時の対応手順、各個人・チームの役割と責任、通知すべきチーム・関係者とその連絡経路、使用するツール、報告ガイドライン、エスカレーション枠組みなどが詳細に盛り込まれます。
準備のもう一つの側面は、インシデント対応に関わる個人が、様々なタイプのインシデントに対処し、使用するツールや技術を操作できるよう訓練されていることを保証することです。セキュリティチームは、検知、調査、封じ込め、バックアップ、復旧のためのツールを設定し構成する必要があります。すべての実装を定期的にテストし、期待通りに機能することを確認します。インシデント対応計画を定期的に見直し、最新の規制に準拠し、絶えず進化する脅威に対処できることを保証します。
2.検知と分析
この段階では、インシデントを検知し、それが真陽性か偽陽性かを判断し、その影響を理解します。検知システムが適切に設定されている場合、インシデントはアラートをトリガーし、通常はアナリストであるファーストレスポンダーが通知を受け取ります。
すべてのアラートがインシデントとは限りません。偽陽性の可能性があります。したがって、アナリストはアラートを精査し、それを引き起こした活動の詳細な理解を得ます。彼らは侵害の指標（IOCs）、脅威インテリジェンス、およびSIEM、IDS、EDRなどのセキュリティツールからのデータを活用し、アラートが実際にインシデントに起因するものかどうかを判断します。誤検知（false positive）の場合、アナリストは調査結果、結論、調査プロセスをシステム、レポート、または文書に追加し、将来の検知メカニズムの改善と誤検知の削減を図ります。インシデントが真の陽性（true positive）である場合、アナリストはその影響範囲と規模を特定し、必要な関係者に通知します。
3. 影響範囲の封じ込め
セキュリティチームがインシデントを真陽性であると確認したら、影響を封じ込め、さらなる拡散を防ぐ措置を講じます。影響を受けたシステムを封じ込めるには、ネットワークトラフィックを遮断し、インターネットおよび他の内部システムからシステムを切断し、不要かつ影響を受けたサービスやソフトウェアを無効化し、ネットワークをエアギャップ化して詳細な調査を行います。アカウントが侵害された場合、セキュリティチームはそのアカウントを無効化します。
封じ込めには主に2種類あります：
- 即時封じ込め：攻撃を停止し拡散を防止します（例：インターネット接続の切断、システムの隔離）。
- 長期封じ込め: 環境を体系的に保護し、さらなる被害を防ぐ（例: システムを安全な環境へ移動、アクセス制御ファイアウォールルール更新など）。
封じ込めフェーズでは、さらなる調査のために可能な限り多くの証拠を保持するよう努めてください。影響を受けたシステムに機密データが存在しない場合、すべてを削除してシステムを再フォーマット・リセットしたくなるかもしれません。しかし、これは強く推奨されません。なぜなら、インシデントが再発する可能性を許容することになるからです。インシデント対応の目的の一つは、セキュリティ上の脆弱性を軽減し、再び悪用されないようにすることです。したがって、証拠の保持は極めて重要です。
4. 根絶
インシデントを封じ込めた後は、その原因を特定し根絶することに注力します。これには、マルウェアの除去、EDRやアンチマルウェアなどのセキュリティソフトの更新、アクセス制御の更新、パッチの適用、脆弱性の修正、組織のインフラストラクチャとネットワークの強化・堅牢化。このフェーズの目的は、あらゆる種類の感染を駆除し、環境に脅威が残存しないことを保証することです。脅威が根絶されたと確信したら、追加したセキュリティ対策を確認・テストし、不備がないことを検証します。また、このフェーズでは、インシデントをより深く理解し、将来のセキュリティ強化計画を立てるための証拠を収集します。
5. 復旧
復旧フェーズの目的は、影響を受けたコンポーネントを通常の稼働状態に戻すことです。これには、最後に安全が確認されたスナップショットからのバックアップ復元、コンポーネントの完全性の検証、無効化されたソフトウェア・サービス・アカウントの復元が含まれます。コンポーネントが侵害された後に書き込まれたデータなど、一部のデータは復旧後に失われる可能性がありますが、そのデータを取得してクリーンなコンポーネントに移動することは可能です。データ冗長性を実装している場合、データの復旧に役立つ可能性があります。システムを本番環境に戻した後、感染の兆候がないか監視してください。
6. 教訓の抽出
この最終フェーズでは、組織がインシデントから学び、全体的なセキュリティ態勢を改善するのに役立ちます。これまでのフェーズの詳細をすべて文書化します。「成功事例」は効果的だった手法の証明となり、「失敗事例」は改善が必要な点を指摘します。このフェーズは、組織がセキュリティの観点から改善すべき点を理解するだけでなく、個人がインシデント対応状況をより適切に処理する方法を学ぶのにも役立ちます。これらの知見を活用してインシデント対応計画を改善しましょう。
以上がインシデント対応の主要な6つのフェーズです。組織によって認識・実装されるサイバーセキュリティインシデント対応ライフサイクルには様々なバリエーションが存在します。代表的な2つのバリエーションを簡潔に確認しましょう：
- 7段階バリエーション
- 5段階バリエーション
インシデント対応の7段階モデルとは？
7段階モデルは、NISTインシデント対応の最初の6段階と同じですが、継続的なテストと評価のための追加段階があります。
継続的なテストと評価
組織のシステムとネットワークを継続的にテストし、インシデント対応計画を検証する取り組みです。これによりセキュリティ上の問題を事前に特定・修正し、インシデント発生に先んじて対策を講じることが可能となります。
インシデント対応の5段階モデルとは？&
5段階モデルはフェーズの分類方法が若干異なります。主な違いは、いくつかのフェーズを以下のように統合している点です：
- 準備
- 検知と分析
- 封じ込め、根絶、復旧
- 教訓の抽出
- 継続的テストと評価
これらのフェーズは、組織内のチーム間、および組織とそのコンサルタントや請負業者間で使用されます。インシデント発生時には、もう一つの重要な関係者が関わります：規制当局です。インシデント対応とは何か、その実施方法について説明したところで、次に法的・規制上の側面について見ていきましょう。&
法的・規制上の考慮事項
法的・規制上のコンプライアンスは、サイバーセキュリティインシデント対応において重要な要素です。組織は、より強固なセキュリティ態勢を構築し、多額の罰金、評判の毀損、法的措置を回避するために、遵守すべき法令や規制を把握しなければなりません。
規制は主に3つのカテゴリーに分類されます：
- 業界固有規制：組織の業界に適用される規制です。例えば、医療機関はHIPAA（医療保険の相互運用性と説明責任に関する法律）への準拠が義務付けられています。&
- ツール＆テクノロジー：組織の製品やサービスに関連するツールやテクノロジーによっては、適用される規制が異なる場合があります。例えば、クレジットカード情報を扱う組織にはPCI DSS（ペイメントカード業界データセキュリティ基準）が適用されます。
- 地理的規制：これらの規制は主に所在地に基づく組織または消費者に適用されます。例えば、CCPA（カリフォルニア州消費者プライバシー法）はカリフォルニア州居住者の情報を処理する企業に適用され、GDPR（一般データ保護規則）はEU居住者の情報を処理する企業に適用されます。
特定の法令では、インシデント発生時にどの規制当局に、どの期間内に通知すべきかも規定しています。当局には可能な限り早期に通知してください。インシデント解決には当局との連携が必要な場合もあります。最新の法令を常に把握することで、組織は戦略的なインシデント対応計画策定時にコンプライアンスを統合できます。
インシデント対応ライフサイクルは組織が従う優れた枠組みであり、インターネット上にも多くの情報がありますが、インシデント対応には依然として課題が存在します。
サイバーセキュリティインシデント対応の課題
サイバーセキュリティインシデント対応の課題とは、組織がネットワーク、システム、データ、サイバー脅威に対処する際に直面する様々な問題を指します。また、進化する技術や急速な更新に伴う脆弱性の発生も含まれます。主な課題は以下の通りです：
#1. 攻撃の量と複雑性
サイバー攻撃の量と複雑性は日々増大しています。これにより検知システムがインシデントをタイムリーに発見することが困難になっています。これに対応するためには、組織は最新のハードウェア基準を常に採用し、最新状態を維持する必要があります。サイバー攻撃の急激な増加は、アップグレードをわずか1分でも遅らせれば、組織が壊滅的な脅威に晒されることを意味します。攻撃の膨大な量は、検知と調査を遅らせる多くのノイズを生み出します。
#2.高度な持続的脅威（APT）
APT は、システムやネットワークへの侵入に高度な手法を用いることが多くあります。VMWareによれば、APTによる侵害が発見されるまでに平均150日を要します。APTはネットワーク内でのステルス性と長期潜伏を重視するため、システム障害が発生するまで明らかな異常行動や不審な動きが確認されることは稀です。したがって、初期段階の侵害を検知することは困難であり、アナリストの目には通常の活動のように見える可能性があります。
#3. 内部脅威
内部脅威は検知が最も困難な脅威の一つである。従業員は機密データや業務上重要なシステムへのアクセス権を保持していることが多い。また内部のアーキテクチャやプロセスを熟知しており、セキュリティ対策に関する知識を有している可能性もある。悪意によるものであれ意図しないものであれ、内部関係者によるインシデントは、明らかに明白な場合を除き、通常の活動と見分けがつきにくい。内部関係者は抜け穴を容易に特定し、密かに悪用することも可能です。
#4. ゼロデイ攻撃
セキュリティツールは、検知・対策に必要な情報が限られているため、ゼロデイ攻撃を効果的にリアルタイムで検知できません。インシデント対応チームは、これらの脅威の影響範囲の把握や効果的な封じ込め策の立案に困難を伴います。明らかな手がかりがないため、インシデント対応チームがこの種のインシデントに対応し封じ込めるまでに時間がかかり、損害リスクが高まる可能性があります。
#5.リソース制約
質の高いインシデント対応には、熟練した専門家、ツール、専任のチーム/個人が必要です。したがって、インシデント対応は組織にとって高額な投資となり、多くの企業が負担できません。リソース制約によってセキュリティ上の弱点や不十分なインシデント対応を招くことを望む企業はなく、可能な限りの対策を講じます。残念ながら、それだけでは不十分な場合もあり、企業はインシデントによる大きな損害に対処しなければならないこともあります。
#6. チームと部門間の連携
インシデント対応は、一人の担当者や一つのチームの仕事ではありません。さまざまなチームからのさまざまな関係者が、インシデント対応を成功させ、効果的に行う上で重要な役割を果たします。しかし、特に優先順位や考え方が関係者間で異なる場合、コミュニケーションとコラボレーションは困難になる可能性があります。
インシデント対応は、他のプロセスと同様に課題があります。ベストプラクティスに従うことで、課題を克服し、インシデント対応を最大限に活用することができます。
サイバーセキュリティインシデント対応のベストプラクティス
組織のためのサイバーセキュリティインシデント対応のベストプラクティスは以下の通りです：
#1.堅固なインシデント対応計画（IRP）
包括的なインシデント対応計画は効果的なインシデント対応の鍵です。計画を作成する前に、インシデント対応計画に何が求められるかを十分に理解してください。脆弱性とリスク評価を実施し、組織に影響を与える脅威の種類を把握し、それらを軽減するためのツールや手法を調査します。インシデント対応計画は詳細かつ包括的であるべきです。各個人およびチームの役割と責任、標準業務手順（SOP）、コミュニケーションおよびエスカレーション手順を明確に定義します。インシデント対応計画は必要に応じて定期的にテストし更新してください。
#2. 専任のインシデント対応チーム（IRT）
インシデント対応は共同作業ですが、インシデント対応チーム（IRT） が主要な対応者となります。一部の組織では、主に他のプロジェクトを担当する既存の従業員にインシデント対応業務を割り当てている場合があります。これは理想的ではありません。これらのメンバーの優先順位や専門性がインシデント対応の質に影響を与える可能性があるためです。企業は役割と責任が割り当てられた専任のインシデント対応チーム（例：インシデントマネージャー、チームリーダー、セキュリティアナリスト）を保有すべきです。訓練を受けたインシデント対応の専門家が、タイムリーかつ効果的な対応を実現します。
#3.プロアクティブな脅威ハンティング
インシデント発生を待ってから対応するのでは、すでに手遅れです。組織はインシデントへの対応だけでなく、その回避にも注力すべきです。これを実現するには、プロアクティブな脅威ハンティングによって達成できます。これは組織内の脅威を積極的に探し出し、軽減することを意味します。
#4. 継続的な監視と検知
あらゆる組織に対する脅威は絶え間なく存在します。世界中の脅威アクターは絶えずセキュリティの弱点を悪用しようとしており、自組織の弱点がいつ悪用されるかは予測できません。したがって、トラフィックを継続的に監視し、不審な活動を検知するシステムを導入すべきです。また、監視と検知のアプローチを定期的に評価し、脅威アクターに対応できるよう継続的に強化する必要があります。
#5. 脅威インテリジェンスの活用
サイバー脅威インテリジェンス（CTI） は既知の攻撃パターンに関連するデータを収集します。最新の脅威、脆弱性、IOC（侵害指標）、戦術、技術、手順（TTPs）（脅威アクターの戦術、技術、手順）を把握しておくことが重要です。このインテリジェンスを監視・検知システムに統合することで、インシデントの早期発見が可能になります。
#6. 意識向上とトレーニング
サイバーセキュリティの世界では日々新たな動きがあります。そのため、従業員は最新のツール、技術、脆弱性、緩和策について常に意識を保つ必要があります。セキュリティ担当者は、サイバーニュースや技術レポートの閲読、サイバーセキュリティコースの受講、資格取得を推奨すべきです。情報共有、トレーニング、実践演習が重要です。意識向上とトレーニングはセキュリティ専門家だけのものではありません。基礎知識は全従業員にとって不可欠です。従業員は不審な活動を識別する方法、報告先、対処すべき行動（または避けるべき行動）を理解する必要があります。
#7. 定期的なテストと訓練
インシデント対応の様々な側面について、定期的なテストと訓練を実施してください。様々なシナリオを用い、チームがそれらにどう対応するかを評価し、改善点を見出します。これによりインシデント対応チームのスキルが向上し、連携が強化されます。
#8. プレイブックと自動化
インシデント対応には時間的制約のある要素があるため、プレイブック（インシデント対応手順を定めた文書）と自動化を活用します。これらによりインシデント対応を迅速化できます。自動化が反復的で明確に定義されたタスクを処理する間、インシデント対応担当者はより複雑なタスクに取り組めます。
#9. コンプライアンス
遵守すべき法令や規制を特定し、確実に準拠してください。これにより、罰金や法的措置を回避できるだけでなく、セキュリティ体制の強化にもつながります。コンプライアンス担当者またはコンプライアンスチームに、定期的にコンプライアンスのレビューと監査を行ってもらいましょう。
これらのベストプラクティスは、課題の克服とインシデント対応プロセスの最適化に役立ちます。
インシデント対応戦略の作成や見直しを行う際に、疑問が生じるかもしれません。次のセクションでは、サイバーセキュリティインシデント対応に関する最も一般的な質問と回答を取り上げます。
まとめ
FAQs
サイバーセキュリティインシデント対応で一般的に使用されるツールの種類は以下の通りです：
- セキュリティ情報イベント管理（SIEM）:ログやアラートからのデータを集約します
- エンドポイント検知・対応（EDR）:エンドポイントデバイス上の不審な活動を監視し対応します
- 脅威インテリジェンスプラットフォーム:過去のインシデントから脅威データと既知の攻撃パターンを集約し、既知の脆弱性や攻撃者に関するコンテキストを提供する
- 侵入検知・防止システム（IDPS）:ネットワークやシステム活動を監視し、悪意のある動作を検知して潜在的な攻撃を阻止します
- セキュリティオーケストレーション、自動化、対応（SOAR）:反復的なタスクを自動化し、対応時間を改善し、インシデントのワークフローを管理します
- 脆弱性スキャンツール:攻撃者が悪用可能な脆弱性を特定します
- フォレンジック分析ツール:侵害されたシステムを分析し、データを復元し、侵害の発生経緯を把握します
インシデント対応チームの役割分担は、組織の戦略によって異なります。しかし、効率的で成功したインシデント対応のためには、以下の役割が重要です：
- インシデント対応マネージャー:インシデント対応を主導し、タスクの効率的な実行とインシデント対応計画の順守を確保します。
- セキュリティアナリスト:セキュリティアラートの分析・調査、脅威の特定、インシデントの軽減に取り組む
- ITスペシャリスト:侵害されたシステムの隔離や業務復旧など、封じ込めと修復を担当します。侵害発生の経緯を解明するため証拠を収集・検証する
- 法務アドバイザー:インシデント対応中の行動計画、法的責任、結果に関する法的ガイダンスと助言を提供します
- 広報マネージャー:インシデント発生時および発生後の外部コミュニケーションを管理し、組織の評判を守り、透明性を確保します。
- コンプライアンス担当官:対応が業界基準および規制に準拠していることを確認します。
インシデント対応は、サイバー攻撃の検知、調査、封じ込めに焦点を当てます。目的は被害を封じ込め最小化し、システムを可能な限り迅速に現状に復旧させることです。これは、サイバー攻撃への対処方法と復旧方法に関するものです。
災害復旧とは、自然災害や大規模なシステム障害などの混乱後に、通常の業務を復旧させるプロセスです。完全な業務運営の正常化とデータの復旧に重点を置きます。
現代におけるサイバー攻撃の数と複雑さを考慮すると、組織は常にサイバーセキュリティインシデントのリスクに晒されています。インシデントに対処するため、常に最新のツール、技術、プロセスを習得し、装備を整えておく必要があります。効果的なインシデント対応は、攻撃による被害を封じ込め最小限に抑えるために不可欠です。既存のフレームワークを盲目的に追従しないでください。自社のニーズを慎重に評価し、それに応じてインシデント対応をカスタマイズしましょう。積極的なアプローチを取り、インシデント対応戦略を継続的に評価することで、企業はインシデントに効果的に対応する能力を向上させ、その影響を大幅に軽減できます。
本記事ではまず、インシデント対応の概念、インシデント対応ライフサイクルの異なるフェーズ、法的・規制上の考慮事項を定義しました。次に、インシデント対応の実施において組織が直面する課題と、それらを克服するためのベストプラクティスについて検討しました。
SentinelOne は、インシデント対応の取り組みを支援します。ぜひご覧ください：
- SentinelOne Singularity XDR複数のセキュリティデータポイントを統合し、可視性と自動検知を強化。リアルタイム脅威検知と自動修復を提供します。
- SentinelOne Vigilance MDR は、専門アナリストによる24時間365日の監視を提供し、インシデント管理、詳細な分析を実施し、修復作業を通じて企業を支援します。
- SentinelOne Singularity Threat Intelligence は、新たな脅威を監視することで脅威環境を徹底的に把握し、リスクを事前に軽減するとともに、環境内の攻撃者を特定します。
