コンピュータセキュリティインシデント管理

適切な準備には、インシデント対応チーム(IRT)の育成が含まれます。^{[ 7 ]} IRT が使用する必要があるスキルには、侵入テスト、コンピュータフォレンジック、ネットワークセキュリティなどがあります。 ^{[ 8 ]} IRT は、サイバーセキュリティのトレンドと最新の攻撃戦略も把握しておく必要があります。^{[ 9 ]}最新の攻撃戦略のほとんどはネットワーク上のユーザーを標的としているため、エンドユーザー向けのトレーニングプログラムも重要です。^{[ 6 ]}

インシデント対応の準備段階の一環として、以下の事項に対処する計画を策定する必要があります。

• 役割と責任
• IRTメンバーとその職務を一覧表示します。
• 通信プロトコル
• トレーニングと意識向上
• ログ記録ポリシーと設定
• イベントステータスの定義としきい値
• 一般的なインシデントタイプに対応したプレイブックとランブック
• 法的およびコンプライアンス上の考慮事項^{[ 10 ]}

インシデント対応計画のこの部分では、セキュリティイベントが発生したかどうかを特定します。^{[ 11 ]}エンドユーザーが情報を報告したり、管理者が異常に気づいたりすると、調査が開始されます。インシデントログはこのステップの重要な部分です。チームのすべてのメンバーは、情報が可能な限り迅速に流れるように、このログを更新する必要があります。^{[ 12 ]}セキュリティ侵害が発生したことが特定された場合は、次のステップを開始する必要があります。^{[ 13 ]}

このフェーズでは、IRT はセキュリティ インシデントの範囲を限定するために、侵害が発生した領域を隔離する作業を行います。^{[ 14 ]}このフェーズでは、後で分析できるように情報をフォレンジック的に保存することが重要です。^{[ 15 ]}封じ込めは、サーバー ルームを物理的に封じ込めるほど単純なものから、ウイルスの拡散を防ぐためにネットワークをセグメント化するほど複雑なものまであります。 ^{[ 10 ]}

ここでは、特定された脅威が影響を受けたシステムから削除されます。^{[ 16 ]}これには、悪意のあるファイルの削除、侵害されたアカウントの終了、その他のコンポーネントの削除などが含まれます。^{[ 17 ] [ 18 ]}一部のイベントではこの手順は必要ありませんが、この手順に進む前にイベントを完全に理解することが重要です。^{[ 19 ]}これにより、脅威が完全に削除されることが保証されます。^{[ 10 ]}

この段階では、システムが元の動作状態に復元されます。^{[ 20 ]}ランサムウェア攻撃などの複雑なインシデントでは、復旧作業にはデータの復元だけでなく、侵害されたシステムの再構築や、復元された情報の完全性を確保するためのフォレンジック分析の実行も含まれる場合があります。 ^{[ 21 ]}この段階には、データの復旧、ユーザーアクセス情報の変更、将来の侵害を防ぐためのファイアウォールルールやポリシーの更新が含まれる場合があります。^{[ 22 ] [ 23 ]}この手順を実行しないと、システムは将来のセキュリティ脅威に対して脆弱なままになる可能性があります。^{[ 10 ]}

このステップでは、このプロセス中に収集された情報を使用して、セキュリティに関する今後の決定を行います。^{[ 24 ]}このステップは、将来のイベントを防止するために不可欠です。この情報を使用して管理者をさらにトレーニングすることは、このプロセスにとって重要です。^{[ 25 ]}このステップは、セキュリティイベントを経験した他のエンティティから配布された情報を処理するためにも使用できます。^{[ 26 ]}