根絶、復旧、教訓の整理

根絶では、影響を受けたすべてのシステムから脅威を除去します。封じ込めによって範囲を確認した後、根絶によってマルウェア、バックドア、侵害された認証情報、不正なアカウントなどの永続化メカニズムが残っていないことを確実にします。

徹底した根絶には、次の作業が含まれます：

• 調査で特定されたすべてのマルウェアとインプラントを除去する
• 攻撃者が追加した不正なユーザーアカウントとSSHキーを削除する
• 攻撃者が追加したcronジョブ、レジストリのRunキー、スケジュールタスクを削除する
• 初期アクセスを可能にした脆弱性にパッチを適用する
• 侵害されたすべての認証情報をリセットする
• 深刻な侵害を受けたシステムを既知の正常なイメージから再構築する

深刻な侵害を受けたシステムでは、すべてのマルウェアアーティファクトを除去しようとするよりも、クリーンなイメージから再構築する方が信頼性が高くなります。ルートキットや永続化インプラントは、クリーンアップの試みをすり抜けて残る可能性があります。重要なシステムでは、何かを見落とすリスクが高すぎます。

クリーンアップ後に、次の項目を検証します：

• 複数のAV／EDRツールで再スキャンする
• 永続化メカニズム（autoruns、cron、サービス）を確認する
• 新しいユーザーアカウントやSSHキーがないか確認する
• C2へのコールバックがないかネットワークトラフィックを監視する
• 重要なバイナリの完全性チェックを実行する

復旧では、システムを安全に通常の運用へ戻します。根絶を確認せずに復旧を急ぐと、再感染のリスクがあります。主な活動：

• 必要に応じて、検証済みのクリーンなバックアップから復元する
• 監視を強化した状態で、システムを段階的にオンラインへ戻す
• システムの完全性と正常な動作を検証する
• 攻撃者が戻ってきた兆候を監視する

バックアップから復元する際の手順：

• バックアップの完全性を検証する（ハッシュ比較）
• クリーンな環境に復元する（同じ侵害された環境には復元しない）
• 本番環境に戻す前に、復元したシステムをテストする
• ランサムウェアの場合：ファイルを復元する前にマルウェアが除去されていることを確認する

復旧後は、監視の強度を高めます：

• 復元したシステムのログ記録を30日以上強化する
• 攻撃者のTTPsに一致する活動があればアラートを出す
• 異常な接続がないかネットワークフローを確認する
• アクセス制御と権限を再検証する

インシデント後のレビュー（教訓の整理）は、1～2週間以内に実施します。参加者は、IRチーム、影響を受けたシステムの所有者、経営陣です。目的は、根本原因を理解し、防御を改善し、手順を更新することです。

RCAでは、なぜこの事象が起きたのかを問いかけます：

• 最初の攻撃ベクトルは何だったか？
• どの制御が機能しなかったか、または欠けていたか？
• 検知されるまで、攻撃者はどれくらいの期間存在していたか？
• 攻撃者はどのように横方向へ移動したか？
• どのデータにアクセスされ、または流出したか？

追跡すべき主なIRメトリクス：

• MTTD — 平均検知時間
• MTTR — 平均対応／復旧時間
• MTTC — 平均封じ込め時間
• 影響を受けたシステムの数
• データ露出の範囲

教訓の整理から得られる成果：

• 新たに観測されたTTPsを反映してIRプレイブックを更新する
• 不足している検知機能を導入する
• 特定された脆弱性にパッチを適用する
• 特定された課題に関するトレーニングを予定する
• コミュニケーションテンプレートを更新する

深刻な侵害を受けたシステムでは、クリーンアップを試みるよりも、クリーンなイメージから再構築する方がよく選ばれるのはなぜですか？

根絶では、マルウェア、バックドア、不正なアカウント、C2の永続化など、攻撃者が残したすべてのアーティファクトを除去します。深刻な侵害を受けたシステムは、クリーンアップするのではなく再構築します。復旧では、検証済みのクリーンなバックアップから、監視を強化した状態で運用を復元します。インシデント後のレビューでは、根本原因を特定し、MTTD／MTTRを測定し、プレイブックの更新と新しい検知機能の導入によって今後の対応を改善します。