サイバーインシデントの最初の 24 時間はどのようにあるべきか

• サイバーインシデントの後は、危険にさらされているかどうかを判断し、侵害されているかどうかを確認し、フレームワークに従い、回復してインシデントから学ぶ必要があります。
• 適切なデータがあれば、明確なイメージを形成するのに役立ちます。
• 厳選された脅威インテリジェンスとは、大量に配信される生のデータ フィードではなく、慎重に選択、検証され、組織の環境に合わせて配置された情報を指します。

野生環境で悪用される。セキュリティ担当者に恐怖を与える 4 つの単語。時計の針が進んでいるという意味ではありませんが、数日、数週間前から針が進み始め、今ではアラームが鳴っているのです。現在の当面の優先事項は、危険性を判断し、侵害を確認することです。

この状況の例としてすぐに思い浮かぶのは、Rapid7 Labs チームが 2025 年 7 月に Microsoft SharePoint のこれまで知られていなかった脆弱性 CVE-2025-53770 に関して行った調査です。このゼロデイ脆弱性により、攻撃者はオンプレミスの SharePoint サーバーにバックドアを設置し、システムのセキュリティ キーを盗み、マシンの完全な侵害につながる可能性がありました。

この脆弱性は、脅威を特定して修復する際のスピードと断固とした行動の重要性、特に危険性を判断し、侵害を確認するための脅威ハンティングを実施する必要性を浮き彫りにしました。

犯罪的脅威グループがツールを改良し、これまで報告されていなかった脆弱性を悪用して初期アクセスを行う中で、防御側が対応を適応させる必要性がかつてないほど高まっています。

タスク 1: 露出を決定する

セキュリティ勧告が公開されるとき、最初に疑問になるのは、資産が漏洩する可能性があるかどうかです。以前は、ベンダーによる悪用の主張だけで十分だったかもしれません。過去 1 年間に設定された前例を考慮すると、悪用された状態についてベンダーの勧告のみに依存するのは賢明ではありません。

アドバイスや悪用の確認がチームに届くのが遅すぎたり、対応の優先順位付けに必要なコンテキストがなかったりすることがよくあります。 CISA の KEV、信頼できるサードパーティの出版物、および脆弱性研究者は、あらゆる修復プログラムの基盤を形成する必要があります。

この段階での最初のタスクは、露出を決定することです。もちろん、これには包括的なコンテンツのカバレッジが必要であり、資産が本当に報告されたリスクの影響を受けやすいかどうかを確立するために、場合によっては脆弱性の検証も必要になります。

「私たちは危険にさらされていますか?」という上級管理職の最も重要な質問に答えることができます。は直ちに対応が必要な要件です。簡単に聞こえるかもしれませんが、脆弱性プログラムを管理している人々は、これがコモディティ化の主張が誇張されがちな点であることを知っています。

次に、修復を推進するために追加の証拠が必要な場合、さらなる検証が必要になる場合があります。 Metasploit などのオープンソース ツールはその検証を提供でき、場合によっては応答の必要な部分となる場合があります。

タスク 2: 自分が侵害されていないか自問する

暴露に関する質問への答えに応じて、次の質問は、組織が侵害されているかどうかです。この段階で、脅威アクターはゼロデイを数日、数週間、場合によっては数か月間保持し、すでにキル チェーンの最終段階に到達し、長期間にわたってデータを窃取している可能性があります。

このフェーズでは、何が盗まれたかを特定し、攻撃者によって確立された追加のバックドアなど、残っている永続性を排除することに焦点を当てます。

多くの組織は、インシデント対応 (IR) 担当者を活用して侵害の範囲を評価するか、少なくとも、IR チームが参加する前に侵害の痕跡 (IoC) を求める初歩的な脅威探索を実行します。

最初のステップと同様に、正確で忠実度の高いインテリジェンスが重要です。二重用途のツールが満載された IoC リストをソーシャル メディアからダウンロードするだけでは、ノイズが発生し、不正確な結論につながる可能性があります。

おそらく、初期評価の基礎は、指揮統制 (C2) インフラストラクチャを検証するために、インテリジェンスに減衰スコアが組み込まれていることを確認することです。多くの人にとって、「脅威ハント」という用語は、外部ゲートウェイでのログ検索にすぎません。

たとえば、既知のドメインまたは IP アドレスへのトラフィックが観察された場合、侵害の証拠があると想定される可能性があります。このような発見は、より包括的な評価を引き起こしたり、外部の支援をもたらしたりする可能性があります。

この演習の基礎がセキュリティ研究から得られた時代遅れのインテリジェンスであり、7 ページにわたる侵害指標 (IoC) の公開が専門知識と同等である場合、プロセス全体が無意味になります。

タスク 3: フレームワークに従う

この段階でのアプローチは、以前の評価の結果に依存します。ここにはデフォルトのプレイブックはありません。ただし、企業がどのように反応するかを決定する確立された意思決定の枠組みが重要です。

たとえば、組織が、脅威アクターが何年も環境内に存在しており、追加のバックドアを特定する唯一の方法は、環境内の脅威アクターを監視することであると判断しているのを目撃しました。他のケースでは、特にランサムウェアがまだ展開されていない場合には、攻撃者を迅速に追放することが優先されます。

いずれにせよ、アナリストは、初期検出を回避した可能性のある持続性の兆候がないか最終チェックを実施する必要があります。 SharePoint のエクスプロイト中、私たちは既知の ToolShell の動作を使用して、攻撃者が残存する足掛かりを残さないようにしました。

タスク 4: 攻撃から回復する

封じ込めと修復が完了しても、作業は完了しません。現在は、コミュニケーション、明確さ、検証に焦点が移っています。

詳細なインシデント レポートには、フォレンジック タイムライン、確認された根本原因、すべての修復アクション、データ損失、横方向の移動、永続化など、発生したことと発生しなかったことを含める必要があります。

明確でタイムリーなレポートにより、関係者の信頼と終結が築かれ、同時にセキュリティ チームが対応を評価し、成功を認識し、改善の余地がある領域を強調できるようになります。

私にとって最も重要な点は、存在するギャップを上級管理職に完全に理解させることです。 「良いセキュリティ インシデントを決して無駄にしてはいけない」という言葉は使いません。ただし、誤解しないでください。改善が必要な場合は、今が適切な投資を確保する時期です。

脅威アクターがすでに環境を侵害しており、意味のある変更が加えられなかった場合、再び同じことが起こる可能性が高くなります。これは恐怖を広めることを意図したものではなく、組織犯罪グループがますます高性能のツールを装備していることを認識することを目的としています。

小さなことを見つけることが大きな違いを生みます

重要な要素は、明確な全体像を形成するための適切なデータを持つことです。セキュリティ チームの成功は、プロセスの微妙な異常を発見し、アラート ノイズをフィルタリングして組み立てることにかかっています。

ここで、厳選された脅威インテリジェンスが極めて重要になります。厳選された脅威インテリジェンスとは、大量に配信される生のデータ フィードではなく、慎重に選択、検証され、組織の環境に合わせて配置された情報を指します。

コンテキスト駆動型インテリジェンスは、何千もの指標やアラートでセキュリティ チームを圧倒するのではなく、特定の状況に関連し、信頼でき、実行可能なものに焦点を当てます。これにより、不審なアクティビティを早期に特定して検証できるため、攻撃者がエスカレートする前に攻撃の機会が減少します。

検証され、関連性があり、環境に合わせて調整されたインテリジェンスに投資することで、セキュリティ チームはノイズを追うのではなく、真に重要な脅威に集中することができます。

Raj Samani は、SVP チーフサイエンティストです。 ラピッド7。

続きを読む

効果的なインシデント対応のために IT チームとセキュリティ チームの溝を埋める – 効果的なインシデント対応には、IT チームとセキュリティ チーム間の連携を強化することが重要です – 基礎を築く方法は次のとおりです

サイバー攻撃時にシステムをシャットダウンすると逆効果になる理由 – 本能の赴くままに、サイバー攻撃中にシステムをシャットダウンすると、多くのマイナスの結果が生じる可能性があります

クラウドファーストの世界でサイバー回復力を優先する – 複雑さとコストにもかかわらず、組織のサイバー回復戦略に時間を費やす価値は確かにあります。ここで何をすべきか