インシデント対応は、十分に準備された組織の情報セキュリティ管理プロセスにおいて重要な要素となっています。効果的なインシデント対応の実行にはリソースと計画が必要であり、法的に有効な証拠保全はしばしば見落とされやすい要素の一つです。インシデント対応者はアクティブな脅威の封じ込めに注力しており、ライブインシデントの急速で変化する性質により、誰かがそれが重要であることに気づく前に証拠が破壊または汚染されやすくなります。
このブログでは、証拠保全とセキュリティインシデント中に証拠の完全性を保護するインシデント対応ステップ、最初に保全すべき内容、および事後分析、保険請求、または刑事捜査に使用可能なデジタル証拠を保つ方法について説明します。
証拠保全が重要なのはなぜですか？
セキュリティインシデント中に重要な電子証拠を保全することは、インシデントの全体像を把握し、さらなる調査と脅威の封じ込め／排除の基礎を確立するために必須です。証拠保全は、インシデント分析の成功に不可欠であり、すべての潜在的に関連するデータが取得され、調査全体を通じて損なわれないままであることを確保するための厳格なデータ保全基準に依存しています。
サイバー攻撃を検知した後、ほとんどのインシデント対応者はできるだけ早くそれを封じ込めて修復する準備ができています。対応者は依然として証拠収集を急がないよう注意する必要があります。急ぐと、攻撃者の方法論や侵害の経路を特定できる可能性のある証拠価値のある項目が破壊または汚染される可能性があります。確立された規制および／またはベストプラクティスに従って適切に収集されたこれらの証拠項目は、法執行機関が犯罪を起訴するのをさらに支援できます。だからこそ、証拠保全はあらゆるインシデントにおいて最初の優先事項であるべきなのです。
NISTインシデント対応フェーズと証拠保全の位置づけ
NIST SP 800-61はインシデント対応を4つのフェーズに整理しており、証拠保全はそのすべてに関わります：
- 準備：インシデント発生時ではなく、発生前にフォレンジックツール、ストレージ、チェーン・オブ・カストディ手順を準備しておきます。
- 検知と分析：インシデントを最初に明らかにしたアラート、ログ、システム状態をキャプチャします。ここで、どの証拠がスコープ内にあるかも決定します。
- 封じ込め、排除、復旧：脅威を封じ込めながら、その過程で証拠を破壊しない — これはすべてのインシデント対応チーム（IRT）がリアルタイムで管理しなければならない実際の緊張関係です。
- 事後活動：レポートを作成し、教訓を文書化し、証拠記録を正式にクローズします。
そのライフサイクル内で、NIST SP 800-86は特にデジタルフォレンジックスプロセスを定義しています：収集、検査、分析、報告。収集中に、証拠の完全性を積極的に保全しながら、証拠を特定、ラベル付け、記録、収集します。これが私たちが焦点を当てているステップです。
主に、IRTはインシデント、または同様の性質のインシデントに備えておく必要があり、それが何であるかを素早く認識して、影響を受けたアセットのフォレンジック分析をすぐに開始できるようにします。次のステップは、脅威を封じ込めて損害を最小化し、影響を受けたデータとシステムをできるだけ多く復旧することです。
インシデント後、組織は詳細な説明と同様のインシデントを防ぐための提案されたソリューションを含む事後レポートを作成する必要があります。IRTが影響を受けた環境に到達するとすぐに、デジタル証拠を適切に認識することが、リスクの複合化を防ぐものです。
デジタル証拠を認識するための基準
単一のソースまたは複数のソースからデジタル証拠を収集する場合、主要な証拠を保全するためにはフォレンジック的に有効な方法が必要です。そうすることで、インシデントの明確な全体像を確立し、効果的な対応をサポートするのに役立ちます。
デジタル環境の評価
最も誤検知を生成するアラートを評価し、解析ルールを最適化してそれらを削減します。不必要に広いアラームを調整できることで、SIEM、Syslog、またはその他のフィードから毎日確認する必要があるアラートの数を大幅に削減できます。関連するアラートのより正確な分析により、アナリストのアラート疲労だけでなく、ネットワーク内の悪意のあるアクティビティの滞留時間も大幅に削減され、より迅速に特定および修復されます。
証拠の押収
前述の通り、証拠を収集する者の基本的な責任は、収集中に証拠が汚染されるのを防ぐための措置が講じられていることを確認することです。収集要件、フォレンジックのベストプラクティス、またはウイルス/マルウェアが封じ込められていることを確認するために、マシン/システム/ネットワークをシャットダウンする必要がある場合があります。さらに、証拠を保存し、進める前にバックアップを実行する必要がある場合があります。バックアップには、訴訟の場合に後日調査官を支援するためのインシデントに関連する証拠価値のある特定の項目のコピーも含まれる可能性があります。各証拠は損傷または改ざんから保護され、ラベルが付けられ、適切な証拠保管の連鎖が維持される必要があります。
このステージが完了するとすぐに、IRTは攻撃またはデータ漏洩の影響を受けたすべてのシステムとコンピュータを封じ込め、排除し、復旧するプロセスを続行できます。法執行機関がさらに関与している場合、または法執行機関の要請がある場合、IRTは押収されている項目のコピーと、実行されたすべてのアクティビティの詳細なログまたは履歴を転送する準備ができていなければなりません。
コンピュータ、デバイス、メディアの準備
フォレンジック研究所に到着すると、すべての証拠と機器を適切に検査して、輸送中に改ざんが発生していないことを確認する必要があります。すべての証拠は、保管と詳細な検査のために証拠保存ラボに配置されます。捜索・押収証拠ログと配送マニフェストも、この手順が完了した後、ラボに保存されます。
最後に
したがって、証拠保存の重要性は、IRT とフォレンジック検査官間の協力の必要性を含め、サイバーセキュリティ関連のインシデント中に重要です。これは、将来の使用と分析のためにデジタル証拠を最適に処理するためです。
Sumo Logic のような SIEM ソリューションは、組織がインシデントにより迅速かつ効果的に対応するのに役立ちます。
組織にどのように役立つかをご確認ください。デモをリクエストしましょう。
