被害状況の調査手法
更新日:
用語解説
被害状況の調査手法は、インシデントが起きた直後に、何がどの程度の被害を受けたか（情報の漏えいはあるか、どこまで止まっているか）を、早く正確に把握するための方法です。
■ 試験で押さえるポイント
影響の大きさと緊急度から、対応の優先順位を決めます（トリアージ）。
ログや端末の状態などの証拠を、消したり変えたりしないよう保全します。
調査の結果をもとに、封じ込めや復旧の方針を決めます。
調べること | 内容 | 例 |
|---|---|---|
被害の種類 | 漏えい・改ざん・停止のどれが起きたか | 顧客情報が外部へ送られたか |
影響の範囲 | どの端末・サーバ・データ・利用者に及ぶか | 同じマルウェアが他の端末にもあるか |
侵入の経路と時期 | いつ、どこから入られたか | VPN機器の脆弱性を突かれた日時 |
被害が続いているか | 攻撃や通信がいまも続いているか | C&Cサーバへの通信が続いている |
証拠の保全 | ログ・メモリ・ディスクを変えずに残す | ディスクの複製を取ってから解析する |
■ 過去問での着眼点
初めの調査を誤ると対応が遅れて被害が広がります。証拠を残すことも重要です。
例: 感染した端末の電源をすぐに切らず、ネットワークから切り離して、メモリなどの証拠を保全します。