この実習でできるようになること
- 警告、観測事実、未確認事項を区別して初動判断を説明できる。
- 証拠の記録と封じ込めを、緊急性・権限・影響に応じて組み合わせられる。
- パスワード変更だけでは足りない理由と、復旧後の確認項目を挙げられる。
前提と課題
架空の会社の従業員から「認証画面と思ってメール内のリンクに情報を入力した」と連絡がありました。ID管理システムには不審な成功ログインがあり、その後に外部へのメール転送規則が追加されています。あなたは対応責任者の指示を受けて、初動と調査の記録を作ります。
ここでは会社が事前に定めたインシデント対応手順があり、責任者はアカウントの一時停止とセッション失効を承認できるとします。時刻は全て日本時間です。個人情報の漏えい届出や外部への連絡の要否は、判明した事実と適用される規則を責任者が確認する事項であり、この教材だけで一律に判断しません。
- 09:00
- 本人がメール内リンクから認証情報を入力したとの申告
- 09:13
- 本人の通常利用と異なる環境から成功ログイン2件
- 09:16
- 外部宛ての自動転送規則を追加した監査ログ
- 09:22
- 本人が社内窓口へ連絡。情報が外部へ渡った範囲は未確定
自分で求めてみよう
09:22からの初動、調査、復旧の順序を考えてください。「何が分かっているか」「何を止めるか」「何を残すか」「何を確認したら戻せるか」を、根拠と一緒に記録しましょう。
途中の式や表も紙に書いてから、次の手順と照合してください。
途中の手順と検算
1. 警告を事実へ分解し、対応の責任者と対象をそろえる
通常と異なる地域や端末からのログインという警告だけでは、攻撃成功や情報漏えいを断定できません。本人の移動、VPN、検知の誤りもあり得ます。一方、今回の事例には認証情報を入力した申告、成功ログイン、転送規則の変更という複数の事実があります。アカウント侵害を疑い、拡大を防ぐ対応を開始する根拠として扱います。
09:24に対応責任者、調査担当、業務連絡担当を決めたとします。対象アカウント、報告時刻、観測したログの場所、実施権限、業務への影響を記録します。「全メールが盗まれた」と未確認の結論を書かず、「転送規則の追加は確認済み、実際に送られた内容と範囲は調査中」と分けます。判断を後から説明できる記録が、不要な混乱と見落としを減らします。
2. 被害拡大を抑えつつ、消える情報を残す
責任者の承認の下、09:25に不審なセッションやトークンを失効させ、必要に応じてアカウントを一時停止し、不正な転送を止めるとします。操作時刻と内容も調査記録に残します。証拠を全て取り終えるまで封じ込めを待つと、その間にアクセスが続くおそれがあります。緊急性に応じて、ログの保全と封じ込めを担当分けして並行させます。
ID管理、メール監査、転送設定、認証方式の変更履歴などを、元の時刻とタイムゾーンが分かる形で保全します。原本と分析用コピーを区別し、取得元、取得者、取得時刻、方法、保管先、アクセス履歴を記録します。ハッシュ値は取得後の同一性確認に役立ちますが、取得元のログ内容が最初から正しいことまで証明するものではありません。
| 対象 | 残す情報の例 | 調べる目的 |
|---|---|---|
| 認証ログ | アカウントID、時刻、成功・失敗、接続元、セッションID | アクセス経路と継続の有無 |
| メール監査 | 転送規則、操作主体、メッセージの操作記録 | 設定変更と影響範囲 |
| 対応記録 | 承認者、実施者、操作時刻、操作結果 | 判断の根拠と作業による変化 |
3. 侵入経路と影響範囲を、仮説ごとに確認する
09:13から09:25までは12分ですが、これをそのまま「侵害が起きた全期間」とはしません。最初の観測より前に別のアクセスがなかったか、他アカウントへ同じ接続元からアクセスしていないかを、保全した記録でさかのぼります。成功ログイン2件という件数だけでも、閲覧・転送されたメールの数は求められません。
転送の実行記録、メールへのアクセス履歴、不審なアプリへのアクセス許可、MFA登録情報や回復手段の変更を確認します。ログが残っていない部分は「アクセスなし」ではなく「確認できない範囲」です。端末で不審なプログラムの実行が疑われるなら、社内手順に従ってネットワークから隔離し、必要な情報を保全します。全端末を一律に初期化するなど、根拠のない作業は避けます。
4. 原因と残ったアクセス手段を取り除き、安全な状態へ戻す
安全と確認した端末と正規の管理経路で、認証情報を再設定します。同時にセッション・トークンの失効状況、不審な転送規則、許可したアプリ、MFAと回復情報を確認します。パスワードだけを変えても、既に発行されたトークンや別の認証手段が有効なままなら、侵害が続く可能性があります。製品ごとに失効の挙動が異なるため、実際の設定とログで確かめます。
端末が侵害されていた場合は、原因を除去し、必要なら既知の安全なイメージなどから再構築します。復旧前に、正規の利用者が必要な業務をできることと、不正なアクセス経路が利用できないことの両方を確認します。単にログインできたことを、調査完了や安全の証拠にしないでください。
5. 復旧条件と、その後の観察・改善を記録する
責任者は、封じ込めと原因への対処が確認できたこと、認証設定とメール設定が承認した状態であること、調査中の事項と業務影響が共有されていることを確認して利用再開を決めます。この演習では再開後24時間を重点的な観察期間としますが、24時間は一般に安全を保証する基準ではなく、演習上の設定です。
不審なログイン、転送の再作成、権限変更、利用者からの再報告を確認し、異常があれば対応を再開します。振り返りでは、通報しやすさ、認証の強化、外部転送の制限、監査ログの保存、手順の所要時間を改善します。検知から復旧までを一度きりの作業にせず、次の事案で判断しやすくすることまで含めて対応を終えます。
解答と、ここまでの要点
申告と監査ログを分けて記録し、責任者の下でセッション失効などの封じ込めと証拠保全を進めます。ログからアクセス経路、設定変更、他への波及を調べ、未確認の範囲は明示します。
認証情報だけでなく、トークン、転送、アプリ許可、MFAなど残るアクセス手段を確認します。原因への対処、設定、業務動作を検証した上で復旧し、その後の監視と手順改善を行います。
つまずいたときに確認すること
- 警告を見ただけで漏えいを断定する、またはログにないことを「被害なし」とする。
- 証拠を全て集めるまで封じ込めを待ち、アクセスを継続させてしまう。
- 調査記録を残さずログや設定を削除し、後から何が起きたか追えなくする。
- パスワード変更とログイン成功だけで、復旧・調査の両方が完了したと判断する。
条件が変わっても説明できますか？
選択後に結果と理由を確かめられます。解答は折りたたみからいつでも読めます。
選んでから確認できます。確認問題は通常の演習記録には加算しません。
解答と理由を見る
解答：転送規則の追加は確認済みで、実行と影響範囲を調査中。
確認した設定変更と、まだ分からない実行・影響範囲を分けます。追加ログだけで全内容の流出は証明できず、記録が未確認なことも被害なしの証明にはなりません。
選んでから確認できます。確認問題は通常の演習記録には加算しません。
解答と理由を見る
解答：有効なセッションやトークン、アプリ許可、MFA・回復情報の変更
パスワード以外のアクセス手段や永続化の設定が残る可能性があります。実際の失効状態と設定を確認し、必要な保全と対処を行います。表示名の復元だけでは安全を確認できません。
次の学習
手順を見ずにもう一度解き、以下の関連問題でも同じ考え方を使えるか確かめましょう。
- 問59：ある会社では、本番サーバの管理用アカウントで、ネットワーク上のバックアップ全世代も削除できた。そのアカウントが侵害され、本番データとバックアップがともに失われた。本番側が再び侵害されても復旧用のデータを残せるようにする…
- 問60：ファイアウォールは、上から順に規則を調べ、最初に一致した規則だけを適用する。どの規則にも一致しなければ拒否する。次の規則では、送信元192.0.2.44からDBサーバ198.51.100.20のTCP 5432番ポート…
- 問65：社内掲示板は投稿本文を保存し、閲覧時にHTMLの本文領域へ文字列連結して表示している。投稿者が入力した文字列がHTMLタグとして解釈され、他の利用者のブラウザで意図しないスクリプトが動いた。本文は装飾なしの文字として表…
- 問66：従業員が添付ファイルを開いた直後から、会社PCで見覚えのない通信とファイル名の一斉変更が始まった。社内手順は「不審動作時はネットワークから隔離し、画面・時刻・操作内容を記録して情報システム担当へ連絡する。電源断や初期化…
参照資料とケースの範囲
計算条件、表、シナリオ、確認問題は本サイト独自のものです。用語と考え方の確認には以下の一次資料を使っています。実務では組織の手順や実際の製品仕様も確認してください。