システム隔離手順 | Decripte Security

侵害されたシステムを迅速かつ効果的に隔離することは、攻撃の拡散を防ぎ、データを保護し、 インシデント対応中に証拠を保全するうえで極めて重要です。

概念と目的

隔離とは、マルウェアが他のホストへ拡散するのを防ぐために、感染したシステムをネットワークから 切り離すことです。ネットワークインターフェイスの無効化、隔離された VLAN への移動、または ファイアウォールによるトラフィックの遮断を伴う場合があります。

目的は、インシデントを封じ込め、被害を最小限に抑え、他の資産を危険にさらすことなく フォレンジック分析と修復のための時間を確保することです。

隔離すべきタイミング

マルウェアの検出: アンチウイルス、EDR、または手動分析によって マルウェアの検出が確認されたホスト。

不審なアクティビティ: 異常なネットワークトラフィック、不正なファイル変更、 見慣れないプロセスなど、異常な挙動を示すシステム。

侵害された認証情報: 盗まれた、または使い回された認証情報で アクセスされたサーバー。

進行中の攻撃: 暗号化を実行中のランサムウェアや、サービス拒否攻撃に 利用されているホストなど、能動的な攻撃を受けているホスト。

隔離の方法

ネットワークの切断: ネットワークインターフェイス（ケーブルまたは Wi-Fi）を無効化し、 ホストを完全に隔離します。

VLAN セグメンテーション: システムを隔離された VLAN に移動し、他のリソースへの アクセスを制限します。

ファイアウォール: ファイアウォールルールにより、システムのすべての受信および送信トラフィックを 遮断します。

EDR/XDR: Endpoint Detection and Response（EDR）および Extended Detection and Response（XDR）ソリューションは、検出結果に基づいて隔離を自動化できます。

手順

1. 特定: セキュリティアラートやインシデント分析に基づいて、 隔離すべきシステムを特定します。

2. 通知: インシデント対応チームおよびシステム所有者に 隔離について通知します。

3. 隔離: 上記のいずれかの方法を用いてシステムを隔離します。

4. 保全: フォレンジック分析のために証拠を保全します（ディスク イメージ、ログ、メモリ）。

5. 分析: インシデントの根本原因を調査し、侵害の範囲を 特定します。

6. 修復: マルウェアを除去し、脆弱性を修正し、システムを 安全な状態に復元します。

7. 監視: 復元後にシステムを監視し、再感染がないことを 確認します。

ツール

ファイアウォール: ネットワークトラフィックを遮断するため。

スイッチ: VLAN セグメンテーションのため。

EDR/XDR: 自動化された検出と対応のため。

フォレンジックツール: 侵害されたシステムの分析のため。

考慮事項

業務への影響: 隔離が業務に与える影響を評価し、 重要なシステムを優先します。

コミュニケーション: 隔離の状況を関係するステークホルダーに 明確に伝えます。

ドキュメント化: 隔離プロセスのすべての手順を記録します。

自動化: 対応時間を短縮するため、可能な限り隔離プロセスを 自動化します。

テストとシミュレーション

ペネトレーションテスト: 攻撃をシミュレートして、隔離手順の 有効性をテストします。

Tabletop Exercises: シミュレーション演習を実施して、 インシデント対応チームを訓練します。

よくある課題

誤検知: 誤検知が原因でシステムを誤って 隔離してしまうこと。

管理外のシステム: 管理されていない、または資産台帳に未登録の システムを隔離することの難しさ。

BYOD: プライバシーを侵害することなく Bring Your Own Device（BYOD）端末を 隔離することの課題。