インシデント対応プロセス — NIST SP 800-61 に基づく実践

インシデント対応の重要性

セキュリティインシデントは「起きるかどうか」ではなく「いつ起きるか」の問題です。準備なしに対応すると：

• 復旧時間が2〜5倍長くなる
• 証拠が消失して原因究明ができない
• 法的リスク・規制違反が発生する
• 再発防止策が不明確になる

IBMの調査では、インシデント対応計画（IRP）を持つ組織は、持たない組織と比べてデータ侵害のコストが平均$2.66M低いとされています。

NIST SP 800-61 の6フェーズ

NIST（米国国立標準技術研究所）のSP 800-61は、インシデント対応の世界標準ガイドラインです。

flowchart TD
  P["① 準備
Preparation"]
  DA["② 検知・分析
Detection & Analysis"]
  CO["③ 封じ込め
Containment"]
  ER["④ 根絶
Eradication"]
  RC["⑤ 復旧
Recovery"]
  PI["⑥ 事後分析
Post-Incident Activity"]

  P --> DA --> CO --> ER --> RC --> PI
  PI -.->|"継続的改善"| P

  style P  fill:#001020,color:#74c0fc,stroke:#0a84ff
  style DA fill:#001a00,color:#69db7c,stroke:#30d158
  style CO fill:#1a1000,color:#ffe066,stroke:#ffd60a
  style ER fill:#1a0500,color:#ffa94d,stroke:#ff9f0a
  style RC fill:#1a0a0a,color:#ff8787,stroke:#ff453a
  style PI fill:#0a0a20,color:#a5b4fc,stroke:#5e5ce6

フェーズ1: 準備（Preparation）

インシデントが発生する前に行う準備です。

必須の準備事項:

• インシデント対応計画（IRP）の策定: 役割・手順・連絡先を文書化
• CSIRT/SOCチームの編成: 誰が何を担当するかを決定
• ツールの準備: フォレンジクスツール、ログ基盤、コミュニケーション手段
• 訓練（Tabletop Exercise）: シナリオベースの演習を定期実施

フェーズ2: 検知と分析（Detection & Analysis）

インシデントの分類

初動調査のチェックリスト

• 影響を受けているシステムとデータを特定
• 攻撃の種類を仮説立て（ランサムウェア/フィッシング/内部不正等）
• タイムラインの再構築開始
• 証拠の揮発性を考慮した収集順序（メモリ → ログ → ディスクイメージ）

フェーズ3: 封じ込め（Containment）

攻撃の拡大を防ぎながら、証拠を保全します。

短期封じ込め（即時）:

• 感染ホストのネットワーク隔離
• 侵害されたアカウントの無効化
• 悪意のあるIPアドレスのブロック

長期封じ込め（中期）:

• パッチ未適用のシステムへの一時的な制限
• 代替システムへの切り替え
• 監視強化

フェーズ4: 根絶（Eradication）

攻撃者の足がかりをすべて除去します。

• マルウェア・バックドアの完全除去
• 侵害されたアカウントのパスワードリセット
• 悪意のあるコードが含まれるソフトウェアのアンインストール
• 脆弱性のパッチ適用
• 設定ミスの修正

フェーズ5: 復旧（Recovery）

正常運用に戻すフェーズです。段階的に実施します。

1. クリーンなバックアップからの復元（復元前にバックアップの完全性を検証）
2. 監視強化した状態での部分的な再稼働
3. 異常がないことを確認してから完全再稼働

フェーズ6: 事後分析（Post-Incident Activity）

**ポストモーテム（事後振り返り）**で学びを次回に活かします。