インシデント後のレビューと教訓

NISTのインシデント対応ライフサイクルにおける最後のフェーズは、教訓のレビューを中心とするインシデント後の活動です。このフェーズを省略する組織は、同じ種類のインシデントを再び経験する可能性が統計的に高くなります。教訓を得るプロセスでは、組織の知識を記録し、インシデントの一因となった組織全体の弱点を特定し、制御、プロセス、トレーニングに対する具体的な改善を促します。このフィードバックループがなければ、インシデント対応のコストは高いままとなり、攻撃者の潜伏期間も長いままです。

事後インシデントレビュー（PIR）は、ポストモーテムまたはアフターアクションレポートとも呼ばれ、インシデントを完全に終了した後に実施する、体系的な会議および文書化のプロセスです。PIRは、記憶が新しいうちに1～2週間以内に実施する必要があります。主な入力情報には、インシデントのタイムライン、収集したすべての証拠、実施した措置とその結果、コミュニケーションの記録、初期インシデントレポートなどがあります。PIRには、セキュリティアナリスト、システム所有者、管理職、法務、コミュニケーションチームなど、すべての関係者が参加する必要があります。

最も効果的なポストモーテムは非難しないものです。個々のチームメンバーの責任を追及するのではなく、組織全体の失敗とプロセスの改善に焦点を当てます。非難を恐れると、人は情報を隠したり、自分の関与を過小評価したりするため、調査結果が不完全になります。非難しないアプローチでは、チームメンバーがその時点で得られた情報に基づいて、合理的な判断を下したと考えます。焦点を当てるのは個人ではなく、システム、プロセス、ツールです。サイト信頼性エンジニアリングから取り入れられたこの考え方により、より正確で実行可能な調査結果が得られます。

根本原因分析（RCA）では、インシデントの最も深い根本原因を特定します。単に直接的な技術上のトリガーを特定するだけではありません。5 Whys分析では、「なぜか」を繰り返し問い、インシデントを組織全体の根本原因までたどります。例：なぜデータが持ち出されたのでしょうか。マルウェアが実行されていたからです。なぜマルウェアを検知できなかったのでしょうか。AVシグネチャが更新されていなかったからです。なぜ更新されていなかったのでしょうか。パッチ適用が自動化されていなかったからです。なぜでしょうか。ITにパッチ適用ポリシーを徹底する仕組みがなかったからです。根本原因は「パッチ未適用のシステム」ではなく、「パッチ管理ポリシーの欠如」です。

事後インシデントレビューでは、重要なセキュリティ指標が得られます。MTTD（平均検知時間）は、インシデントが始まってからセキュリティチームが発見するまでの平均時間を測定します。MTTDが短いほど検知が速く、攻撃者が被害を与える時間も短くなります。MTTR（平均対応・復旧時間）は、検知から完全な復旧までの時間を測定します。これらの指標をインシデントごとに追跡すると、セキュリティ投資によって、時間の経過とともに検知と対応の速度が向上しているかどうかを把握できます。

PIRでは、インシデントの経緯、調査結果、改善に関する推奨事項を記録した正式な文書であるアフターアクションレポート（AAR）を作成します。セクションには、エグゼクティブサマリー（経営層向けの非技術的な概要）、インシデントのタイムライン、根本原因分析、影響評価（システム、データ、財務、評判）、うまくいった点、改善すべき領域、担当者と期限を含む優先順位付きのアクション項目一覧などがあります。AARは、多くの法域で弁護士・依頼者間秘匿特権によって保護される機密文書です。

PIRの調査結果は、具体的な改善につなげる必要があります。インシデントによって、ランサムウェア対応プレイブックにクラウドバックアップの検証手順がないことが明らかになった場合は、そのプレイブックを再び使用する前に手順を追加しなければなりません。MFA要件がないなど、ポリシーの不備によって攻撃が可能になった場合は、ポリシーを更新し、適用状況を検証する必要があります。更新したプレイブックとポリシーは、バージョン管理し、すべてのCSIRTメンバーに配布するとともに、トレーニングや机上演習に組み込んで、改善内容を確実に定着させてください。

すべてのインシデントから、検知ルールに反映すべき攻撃者の行動パターンが明らかになります。攻撃者がラテラルムーブメントに特定のPowerShellコマンドを使用した場合、今後はSIEMルールでそのパターンを検知してアラートを出す必要があります。特定のC2ドメインに接続していた場合は、そのドメインを脅威インテリジェンスのブロックリストとSIEMの監視対象リストに追加します。インシデント後の検知エンジニアリングによって、各インシデントが恒久的な防御改善へと変換されます。このサイクルに従えば、調査したインシデントごとにセキュリティ態勢が向上します。

セキュリティチームは、インシデントの技術的な調査結果を、経営幹部が理解できるビジネス上の表現に置き換える必要があります。経営幹部が把握すべきなのは、ビジネスへの影響（失われたデータ、規制上のリスク、収益への影響、評判へのリスク）、技術用語を使わない根本原因、再発防止に必要な投資、そして現在のセキュリティプログラムの有効性です。セキュリティツールや人員の予算を推奨するPIRの調査結果は、技術仕様ではなくビジネスリスクの観点で説明した方が、承認される可能性が高くなります。

インシデント後の活動には、規制当局への通知が正しく、かつ定められた期限内に完了していることの確認が含まれます。規制によっては、侵害後の評価報告書を規制当局に提出することが求められます。リーガルホールドにより、インシデントの証拠を長期間保存しなければならない場合もあります。インシデントが訴訟の対象となっている場合、AARはディスカバリーの対象となる可能性があるため、配布前に法務顧問が確認する必要があります。調査結果をディスカバリーから保護する目的で、弁護士・依頼者間秘匿特権の下でPIRを実施する組織もあります。

PIRのアクションアイテムは、割り当てるだけでなく、実際に完了するまで追跡する必要があります。各アクションアイテムには、具体的な担当者（「セキュリティチーム」では不十分です）、測定可能な成功基準、期限、追跡手段（チケット管理システムやプロジェクト管理ツール）が必要です。割り当てられても追跡されないアクションアイテムは、同じ脆弱性が複数のインシデントを通じて残り続ける原因になります。月次のセキュリティ運用レビューでは、すべてのアイテムが完了するまで、PIRのアクションアイテムの状況を定例議題に含める必要があります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、責任追及を行わないポストモーテムでは、より正確な調査結果とチーム全体の幅広い参加を実現するため、組織的な障害に焦点を当てること、MTTDとMTTRは、セキュリティ投資によって検知と対応の速度が向上しているかを示す重要な指標であること、そしてPIRのアクションアイテムは、調査結果を実際のセキュリティ改善につなげるため、完了まで追跡する必要があることを学びました。次は、デジタルフォレンジックにおける揮発性の順序と証拠の取得について学びます。