概要

インシデント対応（IR：Incident Response）は、セキュリティインシデントの発生から収束・学習までを体系的に処理するプロセスです。NIST SP 800-61 や SANS Institute が提唱する PICERL（準備・特定・封じ込め・根絶・復旧・教訓）フレームワークが広く使われています。SC試験では各フェーズの目的・判断基準・証拠保全との関係が問われます。

PIKERLの6フェーズ

インシデント対応の6フェーズ（PICERL）
1
Phase 1
Preparation（準備）
CSIRT設置・Playbook作成・訓練
 2
Phase 2
Identification（特定・検知）
検知・範囲特定・証拠保全開始
 3
Phase 3
Containment（封じ込め）
ネットワーク切断等で被害拡大を防止
 4
Phase 4
Eradication（根絶）
マルウェア除去・脆弱性修正
 5
Phase 5
Recovery（復旧）
クリーンな状態でサービス再開
 6
Phase 6
Lessons Learned（教訓）
振り返り・再発防止策・手順書更新

Phase 1：Preparation（準備）

インシデント発生前に行う準備です。

活動内容
CSIRT設置対応チームの役割・連絡体制・エスカレーションフローを定義
対応手順書（Playbook）作成ランサムウェア・情報漏洩など種別ごとの手順書
ツール準備フォレンジックツール・ログ収集環境・コミュニケーション手段（代替メール等）
訓練・演習テーブルトップ演習（机上訓練）・レッドチーム演習
連絡先の整備ISP・警察・JPCERT/CC・法律顧問・保険会社の連絡先

Phase 2：Identification（特定・検知）

インシデントの発生を検知し、インシデントかどうかを判断します。

イベントの流れ：
セキュリティイベント → トリアージ → インシデント？ → YES → 対応開始
                                         ↓
                                         NO → 通常ログとして記録
活動内容
検知SIEMアラート・ユーザ報告・外部通報（JPCERT等）
範囲の特定影響を受けたシステム・データ・ユーザの特定
証拠保全揮発性情報（メモリ・接続状態）を先に取得
インシデント宣言対応開始・記録の開始

Phase 3：Containment（封じ込め）

被害拡大を防止します。完全に除去する前に、まず広がりを止めます。

短期封じ込め（即座の対応）

- 感染端末のネットワーク切断
- 侵害されたアカウントの一時無効化
- 悪意あるプロセスの停止

長期封じ込め（復旧準備中の維持）

- 代替システムへの切り替え
- 侵害されたシステムの監視継続
- フォレンジックイメージの取得（完全複製）

証拠保全の順序（RFC 3227：揮発性の高い順）

1. レジスタ・キャッシュ・CPUの状態
2. ルーティングテーブル・ARPキャッシュ・プロセステーブル
3. メモリ
4. 一時ファイル・スワップ
5. ディスク
6. ログデータ
7. アーカイブメディア

Phase 4：Eradication（根絶）

インシデントの原因を完全に除去します。

活動内容
マルウェア除去感染ファイル・バックドアの削除
脆弱性の修正侵入経路となった脆弱性のパッチ適用
悪意あるアカウントの削除不正に作成されたアカウント・権限の除去
侵害範囲の再確認見落とした侵害箇所がないかの確認

Phase 5：Recovery（復旧）

正常なサービスを再開します。

復旧の手順：
1. クリーンなバックアップから復元
2. パッチ適用済みのシステムで再構築
3. モニタリングを強化した状態で限定的に再稼働
4. 正常動作の確認後に全面再開

復旧判断の基準：

  • 根絶が完了していることの確認
  • 再感染・再侵入がないことの監視
  • 業務影響の許容範囲確認

Phase 6：Lessons Learned（教訓）

インシデントから学び、再発防止と対応能力向上を図ります。

活動内容
ポストインシデントレビュー対応の良かった点・改善すべき点を振り返る
タイムライン作成攻撃開始から対応完了までの詳細な時系列を作成
再発防止策技術的・組織的な改善策を実施
手順書の更新Playbookを今回の知見で改訂
関係者への報告経営層・監督機関への報告書作成

CSIRT（Computer Security Incident Response Team）

種類説明
内部CSIRT企業内のインシデント対応チーム
JPCERT/CC日本のコーディネーションセンター。インシデント情報を収集・分析・共有
国家CSIRT重要インフラ保護を担う政府機関のCSIRT

SC試験での頻出ポイント

  • PIERLの6フェーズと順序：Preparation → Identification → Containment → Eradication → Recovery → Lessons Learned
  • 封じ込めを根絶より先に行う理由：まず被害拡大を止め、その後に原因を除去する。逆にすると拡散する
  • 揮発性情報を先に取得する理由：メモリ・プロセス情報は電源断で消滅するため、ディスクより先に取得
  • 根絶フェーズで行うこと：マルウェア除去・脆弱性修正・不正アカウント削除
  • 教訓フェーズの重要性：同じインシデントを繰り返さないための組織学習

よくある誤問・ひっかけパターン

誤り① 「インシデント発生後はすぐに根絶（除去）を行う」→ 誤。PIERLの順序では封じ込め（Containment）が根絶（Eradication）より先です。

誤り② 「証拠保全はフォレンジックなので特定フェーズで行う」→ 不完全。証拠保全は特定フェーズから始まり、封じ込めフェーズでも継続します。

誤り③ 「復旧後は教訓フェーズは不要」→ 誤。教訓フェーズなしでは再発防止が図れず、同じインシデントを繰り返す可能性があります。

関連用語

重要キーワード

用語説明
PICERLインシデント対応の6フェーズ（Preparation/Identification/Containment/Eradication/Recovery/Lessons Learned）
CSIRTインシデント対応専門チーム
封じ込め被害拡大を防ぐフェーズ。根絶より先に実施する
根絶インシデントの原因を完全に除去するフェーズ
Playbookインシデント種別ごとに事前準備した対応手順書
ポストインシデントレビュー対応完了後の振り返りと改善策の策定