日本企業に対するインシデント解説 インシデント対応における調査手法

前回は、インシデント対応における準備の重要性について、インシデント対応ライフサイクルや「ポリシー・プロセス、リソース、情報」の3要素を用いて説明しました。今回は、万全な準備を実施した後、実際にインシデントが検知された際に取るべき対応を解説します。PwCサイバーセキュリティエンジニアリングチーム（以下、PwC CSET）が過去に支援したインシデント対応の事例を交えて、特にインシデント対応における調査のプロセスの概要、各々のプロセスにおける重要なポイントおよび注意事項、PwC CSET独自の調査方法と進め方について解説します。

2．手掛かりを特定するために‐調査開始の前に確認すべき3つのポイント

ではここからは、調査を意義のあるものにするために必要な手段を解説します。インシデントの発生を検知したら、最初の段階として、さまざまなところから事実を集め、各々の機器からログや情報を収集します。しかし、いざ調査をスタートしようとした際に何から着手すればよいかが分からず、作業を進められないというケースが多く見受けられます。加えて、インシデントに関する事実やログなどの情報を集めれば集めるほど、何を起点に調査を始めるべきかを決める上での「最初の手掛かり」を特定することが難しくなります。

PwC CSETの経験上、このような悪循環から脱出するためには、調査を始める前に最初の手掛かりを特定することが、調査成功の第一歩となります。この最初の手掛かりを特定するために、図表2に示した（1）～（3）の3つのポイントを確認することが推奨されます。

（1）調査の目的の明確化

まずは調査の目的を明確にしましょう。システム被害を最小限に抑えたい場合、調査の目的は、攻撃の手法を解明することや侵害経路を究明することなどになります。一方、ビジネスへの影響や企業のブランドに対するダメージを最小限に抑えたい場合、情報漏えいの有無を究明することを調査の第一の目的とすることも考えられます。また、複数の調査の目的を設定する場合には、目的の優先順位を決めた上で、図表2の（2）調査の範囲と（3）調査の方針を決定する必要があります。

PwC CSETが対応したインシデントの中に、侵害されたサーバーに顧客情報が保存されたサーバーを含んでいたため情報漏えいの可能性があるという、ランサムウェア感染の事例がありました。この場合、調査の目的として、情報漏えいの有無の調査を最優先とし、攻撃者が利用したランサムウェアの種類を究明することやランサムウェアがばらまかれた攻撃ルートを判明することについては、優先度を落として調査を行いました。

（2）調査の範囲の選定

適切な調査の範囲を選定することは、調査チームのリソースを最大限に活用するためのポイントとなります。調査においては「ログは無限、リソースは有限」という考え方を常に意識する必要があります。特にインデントの発生原因や侵害ルートが不明確な段階において、多数の調査対象から膨大なログを集める場合には、調査の範囲を絞ることが重要となります。インシデント対応における調査の範囲については、一般的に「空間的な範囲」と「時間的な範囲」の2つの観点に基づいて選定します。

空間的な範囲

空間的な範囲とは、攻撃を受けた端末を中心として侵害が及んでいる範囲となります。

外部インターネットからの不正アクセスによるインシデント対応の事例では、侵害ルートを究明することを調査の目的として設定し、最初に不正アクセスが発生した端末を特定しました。そして、外部インターネットから被害が発生した端末までのネットワークルート上のファイアウォールやルータおよびスイッチのトラフィックログ、さらに不正ログインに利用されたアカウントの認証ログを、このインシデントにおける空間的な範囲として定義し、調査を行いました。

時間的な範囲

空間的な範囲を決めた後に、各々の調査対象に対して、いつまでさかのぼってログを調査するかという、時間的な範囲を検討します。

APT（Advanced Persistent Threat）攻撃を受けたインシデント対応の事例では、侵害された端末を特定後、証拠保全を実施しました。そして、該当端末に保存するログ情報を全て抽出し、タイムラインを作成しました。しかし、該当端末の利用開始時点から証拠保全した時点までのイベント情報を入手したものの、全てのログを一つ一つ解析することは現実的ではありません。そのため、悪用されたアカウントを特定後、該当アカウントの初回ログイン日時から、インストールしたプログラムやコマンド実行履歴、そしてインターネットの回覧履歴のログを中心に調査し、最初の不正行為を特定することが賢明と判断し、図表3に示すように、最初の不正行為が発生した時点から証拠保全を実施した時点までを、このインシデントにおける時間的な調査範囲として定義しました。

（3）調査の方針の決定

調査の目的および範囲を明確にした後、どのような方針で調査を進めていくかを決定することが重要です。調査の手法とプロセスは、調査担当者の経験や得意分野および習慣などの要素によって、異なることが多々あります。特に、外部セキュリティベンダーに依頼をする際に、調査の方針について事前に合意していない場合、アサインされた調査担当者によって作業の品質が左右されてしまうこともあります。そのため、調査の基本的な方針や方向性を、事前に決めておくことが重要となります。

PwC CSETが過去に対応したランサムウェア感染のインシデントにおいては、まず調査の目的を情報漏えいの有無を確認することと明確化し、調査の範囲の選定も行いました。そして以下のように、調査の基本的な方針についてクライアントと合意しました。

• 内部調査に関する方針（フォレンジック調査）：調査対象となるサーバーに対して、外部（インターネット）へ情報が持ち出される可能性がある全てのルートをフォレンジック調査します。
• 外部調査に関する方針（ダークウェブ調査）：該当サーバーに関する情報からキーワードを抽出し、ダークウェブ上で売りに出されていないか、一定期間モニタリングを行います。
  

こうして目的を定め、範囲を明確にし、さらに方針を固めることで、何をどのように調査したらよいのかという手掛かりが見えてくるでしょう。