準備：IR計画、プレイブック、チーム

NIST のインシデント対応ライフサイクルには、準備、検出と分析、封じ込め・根絶・復旧、インシデント後の活動という 4 つのフェーズがあります。準備は最も重要なフェーズです。インシデント前に組織が行うすべての取り組みによって、インシデント発生時の対応の有効性が決まるためです。準備に投資している組織は、侵害をより早く発見し、より迅速に封じ込め、復旧にかかる費用を大幅に削減できます。インシデント対応の準備が整っている組織と整っていない組織では、1 件のインシデントあたりの平均コストに数百万ドルもの差が生じます。

インシデント対応計画（IRP）は、セキュリティインシデントへの対応方針を定める組織の基本文書です。包括的なIRPには、ミッションと適用範囲、チームの役割と連絡先、インシデントの定義、重大度の分類基準、エスカレーション手順、コミュニケーションテンプレート、法令および規制に基づく通知要件、技術的なプレイブックへの参照が含まれます。IRPは経営幹部の承認を受け、少なくとも年1回は見直す必要があります。

CSIRTは、IRPを実行するチームです。主な役割には、インシデントコマンダー（全体の調整と意思決定）、セキュリティアナリスト（技術調査と証拠収集）、コミュニケーションリード（関係者、顧客、メディアへのメッセージ発信）、法務顧問（規制遵守と法執行機関との連絡）、エグゼクティブスポンサー（重大な是正措置の承認）が含まれます。役割を明確に定義することで混乱を防ぎ、重要な作業の抜け漏れをなくせます。

重大度の分類によって、対応の緊急度、エスカレーション経路、通知要件が決まります。一般的な4段階モデルは次のとおりです。P1/Critical — データの持ち出しまたは重大な事業影響を伴う進行中の侵害で、24時間365日の即時対応が必要です。P2/High — データ損失は確認されていないものの、侵害が確認された状態です。P3/Medium — 調査中の不審な活動です。P4/Low — ポリシー違反または軽微な異常です。分類を誤り、P1をP3として扱うと、対応が遅れて侵害が拡大する可能性があります。

IRPが戦略的な方向性を示す一方で、プレイブックは特定のインシデント種別に対応するための、実務的で段階的な手順を示します。ランサムウェアのプレイブックには、次のような手順が含まれる場合があります。影響を受けたシステムを隔離する（手順1）、クリーンアップ前にフォレンジックイメージを取得する（手順2）、その亜種が既知のものか、復号ツールが存在するかを確認する（手順3）、経営陣に通知する（手順4）、外部のIR企業に依頼する（手順5）。プレイブックは、対応者が重要な手順を見落としやすい高ストレスのインシデントにおいて、認知的負荷を軽減します。

技術的な準備には、インシデント発生時に対応者が必要とするツールの導入と設定が含まれます。IRに不可欠なツールキットは、ログの集約と相関分析を行うSIEM、エンドポイントの可視化と封じ込めを行うEDR、フォレンジックイメージ取得ツール（FTK、dd、Magnet AXIOM）、メモリ取得ツール（Magnet RAM Capture、WinPmem）、ネットワークパケットキャプチャツール（Wireshark、Zeek）、帯域外通信チャネル（インシデント中に通常のメールが侵害された場合に備える）です。

多くの組織は、専門のインシデント対応企業（Mandiant、CrowdStrike、Palo Alto Unit 42）とリテイナー契約を結んでいます。リテイナー契約により、インシデント発生時の優先対応が保証され、事前に合意した料金とSLA（例：通知から4時間以内に対応者が現地到着）が定められます。リテイナー契約がない場合、大規模な侵害でIR企業に依頼するまで数日かかり、高額な料金を請求される可能性があります。リテイナー契約先は、テーブルトップ演習の進行、脅威ハンティング、侵害前評価も提供します。

テーブルトップ演習は、本番環境のシステムに触れず、会議室での討議形式でインシデントのシナリオをシミュレーションします。参加者は、ランサムウェア攻撃、CEOを装った詐欺メール、認証情報の侵害など、変化していくシナリオを追いながら、それぞれの意思決定ポイントで何をするかを話し合います。テーブルトップ演習によって、実際のインシデントで明らかになる前に、プレイブックの不足、役割分担の不明確さ、検証されていない前提を発見できます。CSIRTでは四半期ごとに、経営幹部向けには年1回実施する必要があります。

インシデント時のコミュニケーションは、事前に計画しておく必要があります。主な検討事項には、規制に基づく通知期限（GDPRでは72時間以内、HIPAAでは60日以内の侵害通知が必要で、州ごとの侵害通知法は異なります）、顧客通知のテンプレート、法執行機関への通知基準（ランサムウェアではFBI、金融詐欺ではSecret Service）、広報メッセージ、従業員への社内連絡があります。特に重要なのは、インシデント中のコミュニケーションに帯域外チャネルを使用することです。攻撃者が社内メールを監視している可能性があるためです。

準備には、証拠の法的証拠能力を維持するための収集手順を確立することも含まれます。主な要件は、揮発性の順序を記録すること、ディスクイメージの取得に書き込み防止装置を使用すること、すべての証拠の暗号学的ハッシュ（SHA-256）を記録すること、収集から保管までの証拠保全の連鎖を文書化することです。手順に従わなかったために真正性を証明できない証拠は、攻撃者や従業員に対する法的手続きで証拠として認められない可能性があります。

IRの準備が成熟していない組織は、侵害時に高くつくミスを繰り返し犯します。フォレンジック証拠を取得する前にシステムを再イメージ化して何が起きたかを把握できなくなる、侵害されたチャネルで通信して攻撃者に気付かれる、重大度の分類が不明確でエスカレーションが遅れる、封じ込めの意思決定権限がなく承認に何時間もかかる、資産台帳が不完全で影響を受けたシステムを特定できない、といった問題です。これらの失敗は、準備によってすべて防止できます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、IRPは役割、重大度の分類、コミュニケーション手順を定義する基本文書であること、プレイブックは特定のインシデント種別に対する実務的な段階的ガイダンスを提供すること、そしてテーブルトップ演習とリテイナー契約によって、実際のインシデントが発生する前にチームが効果的に対応できるよう準備することを学びました。次は検知と分析、つまり実際のインシデントを特定する方法について学びます。