インシデントレスポンスとは？

フェーズ：NIST 800-61とSANS PICERL

参照される2つのフレームワーク - NIST SP 800-61と、PICERLと略されることの多いSANSのインシデントハンドリングプロセス - は、同じ作業を異なる区切りで記述しています。

違いは分類上のものであり、本質ではありません。重要なのは、チームが「いま自分たちはどのフェーズにいるか」を言えることです。各フェーズには異なる目標があり、それらを混ぜること - たとえばスコープの把握が終わる前に根絶を始めること - こそ、攻撃者が対応をかいくぐる典型的な原因です。

1. 準備. インシデント前に行うすべて。連絡先リスト、プレイブック、重要システムを実際にカバーするロギング、フォレンジックツールへのアクセス、そして訓練です。最も予算を削られがちなフェーズであり、他のフェーズの成否を決めるフェーズでもあります。
2. 特定. 事象がインシデントであることを確認し、スコープを把握し - どのシステム、どのアカウント、いつから - 深刻度を分類します。このフェーズで修復したくなる衝動に耐えてください。あらゆる変更が証拠を破壊し、攻撃者に気付かれる原因になります。
3. 封じ込め. 影響範囲を限定します。ホストの隔離、アカウントの無効化、攻撃者インフラの遮断。短期の封じ込めは出血を止め、より持続的な封じ込めは根絶の準備中も事業を動かし続けます。
4. 根絶と復旧. 攻撃者のアクセスと痕跡 - マルウェア、永続化メカニズム、侵害された認証情報 - を取り除き、既知の正常な状態からシステムを復元し、再侵入がないか注意深く監視します。
5. 教訓. 記憶が新しいうちに、数日以内に行います。何が起きたか、何が機能したか、何が機能しなかったか、そして何を変えるか - 新しい検知、塞いだギャップ、更新したプレイブック。このフェーズが、改善するチームと同じ失敗を繰り返すチームを分けます。

深刻度トリアージ：すべてのインシデントが危機ではない

すべてをクリティカル扱いすることは、何もそう扱わないのと同じくらい有害です。人は燃え尽き、本物の危機がノイズに埋もれます。多くのチームは3〜4段階の深刻度を使い、特定の時点で割り当て、スコープの変化に応じて見直します。実務の大半は次の4つの問いで決まります。

• データの機微性 - 影響を受けたシステムは、規制対象・機密・顧客データを保持しているか？
• 拡散 - 1台のワークステーションの話か、それとも環境全体で通用する認証情報か？
• 事業影響 - 収益を生む業務や安全に関わる業務が影響を受けているか？
• 規制の時計 - 通知義務（GDPRの72時間、業界規則）が発動するか？発動するなら、カウントダウンはいつ始まったか？

深刻度がテンポを決めます。低深刻度のインシデントは営業時間まで待てますが、クリティカルなインシデントはチーム全員、インシデントリード、経営層への報告を - 即座に - 動かします。

最初の48時間

重大インシデントの序盤の数時間が、その後のすべての流れを決めます。良い対応のおおまかな地図は次のとおりです。

• 0〜2時間：インシデントが本物であることを確認し、専用の帯域外コミュニケーションチャネルを開設し、インシデントリードを指名し、タイムラインログを開始します - すべての行動、時刻、判断を記録します。
• 2〜12時間：修復の前にスコープを把握します。どのアカウント、ホスト、データが影響を受けているか？拡散リスクが静かな観察の価値を上回る箇所には短期の封じ込めを適用します。
• 12〜24時間：推測ではなく事実で経営層に報告します。規制対象データが関わる可能性があれば法務を巻き込み、再構築の前にフォレンジック証拠 - ディスクイメージ、揮発性メモリ - を保全します。
• 24〜48時間：反応から計画へ移行します。根絶の手順、復旧の順序、報告の頻度。インシデントが自チームの能力を超えるか法的な閾値に達するなら、外部IR支援はこの時点で既に稼働しているべきです - 検討中ではなく。

序盤で最も多い過ちは、静かな修復です。スコープ把握が終わる前にマシンを初期化してしまう。生産的に感じられますが、最も重要な問い - 攻撃者はまだ中にいるのか？ - に答えるための証拠をまさに破壊する行為です。

誰が何をするか：インシデント時の役割

肩書きは様々でも、機能は変わりません。1人が複数の帽子をかぶる小さなチームでも成立する最小構成は次のとおりです。

• IRリード（インシデントコマンダー） - 判断とテンポを握り、技術チームを進捗会議の負荷から守ります。
• 広報リード - 経営層、法務、規制当局、顧客に対する唯一の声。他の誰も外部に発信しません。
• フォレンジックと分析 - 実際に何が起きたのかを確定します。侵入口、横展開、永続化、持ち出し。
• 記録係 - タイムラインを維持します。事務的に聞こえますが、事後レビューとあらゆる法的局面で計り知れない価値を持ちます。

対応を測る：MTTDとMTTR、そしてその死角

IRの報告では2つの指標が支配的です。MTTD（平均検知時間）- 攻撃者が気付かれるまでどれだけ潜伏したか - と、MTTR（平均対応時間または平均復旧時間。話し手によって意味が変わるため、どちらを指すか定義してください）。どちらも追跡する価値がありますが、どちらも全体像は語りません。平均は外れ値を隠し、気付かれていない侵入は両方の数字の外側に存在し続けるからです。

ループを閉じる：防御は対応によって強くなる

フェーズが教訓で終わるのには理由があります。実際のインシデントは、どんなベンダーレポートも及ばない、自組織環境についての実地の真実です。どの検知が発火し、どれが発火すべきだったか、プレイブックのどの手順が機能し、どの前提が崩れたかを教えてくれます。