インシデント対応とは
インシデント対応とは、セキュリティの事故が起きたとき、被害を止めて元に戻すための決まった手順です。順番を守れば、慌てているときでも、大事な作業を飛ばしません。
手順は大きく、検知、封じ込め、根絶、復旧、振り返りの5つの段階に分かれます。
このレッスンのゴール
メモ
インシデント対応の5つの段階を、正しい順番で進めることができる。
キーワード
| ことば | いみ |
|---|---|
| インシデント | セキュリティを脅かす出来事 |
| 封じ込め | 被害が広がらないよう、切り離すこと |
| 根絶 | 原因と、残された仕掛けを取り除くこと |
| 復旧 | 正常な状態に戻して、再開すること |
| 証拠 | あとで調べるために、変えずに残すもの |
| 連絡体制 | 誰が誰に知らせるかの決まり |
学生が入力するセルは、このプレビューでは空白です。
対応は5つの段階で進む
最初は検知です。事故に気づき、本物かどうかを確かめます。次に封じ込めで、被害が広がらないよう切り離します。
続いて根絶で、原因と仕掛けを取り除きます。そのあと復旧で、正常に戻して再開します。最後に振り返りで、学んだことを書いて直します。
例: 5つの段階と作業
| 段階 | すること | 作業の例 |
|---|---|---|
| 検知 | 気づいて、本物か確かめる | 管理者の不審なログインを確認する |
| 封じ込め | 被害が広がらないよう切り離す | アカウントを止め、攻撃元を遮断する |
| 根絶 | 原因と仕掛けを取り除く | 不正な定期ジョブを消し、パスワードを変える |
| 復旧 | 正常に戻して再開する | 安全なバックアップから戻し、動作を確かめる |
| 振り返り | 学んだことを書いて直す | 経過をまとめ、ルールを直す |
学生が入力するセルは、このプレビューでは空白です。
消す前に、まず封じ込める
見つけたものをすぐ消したくなります。しかし、先に消すと、証拠も消えます。原因を知らずに消すと、侵入者が戻ってくるかもしれません。
まず封じ込めて、被害を止めます。そして、調べる前にログのコピーを取ります。調べるのは、元のログではなく、コピーです。
証拠のコピーを作る
mkdir -p work && cp -r case/. workここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
コピーの中身を見る
ls -1 workここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
元の証拠は変えられない
touch case/note.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
遮断リストの重複を除く
printf '203.0.113.5\n192.0.2.9\n203.0.113.5\n' | sort -uここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
入口を全部ふさいでから戻す
侵入者は、また入るための仕掛けを残すことがあります。パスワードを変えるだけでは足りません。仕掛けが残っていれば、戻ってこられます。
根絶では、仕掛けの種類ごとに、探す場所を決めて調べます。復旧は、そのあとです。
例: 仕掛けと探す場所
| 取り除くもの | 探す場所 |
|---|---|
| 不正なアカウント | アカウントの一覧 |
| 不正な定期ジョブ | 定期実行の設定 |
| 不正な鍵 | 利用者の鍵の一覧 |
| 不正なプログラム | 最近変えられたファイル |
学生が入力するセルは、このプレビューでは空白です。
よくある間違い
注意
「パスワードを変えれば、対応は終わりだ」と考える人が多くいます。侵入者が定期ジョブや鍵などの仕掛けを残していれば、パスワードが変わっても戻ってきます。根絶まで終えてから復旧しましょう。
連絡体制は事故の前に決める
事故が起きてから、誰に知らせるかを考えていては遅くなります。責任者、システムの担当、広報など、知らせる相手と順番を、事前に決めておきます。
連絡先は紙にも残します。ネットワークが使えないときでも、電話をかけられるようにするためです。