詳解 インシデントレスポンス

フォレンジック解析の最新技術を丁寧に解説!
フォレンジック解析とは、侵入されたコンピュータやサーバを分析して、どんな侵入が行われたか分析する技術です。標的型攻撃などの高度マルウェアの登場で、フォレンジック解析はベンダーのみが利用する技術ではなくなり、企業のインシデント対応の一環でも利用される技術となっており、セキュリティ担当者の関心が高いテーマです。本書は、フォレンジック解析を初心者から中級者が勉強する上で適切な形で、最新のトレンドも盛り込みながら丁寧に解説していきます。

『詳解 インシデントレスポンス』 (Steve Anson 著、石川 朝久 訳、オライリー・ジャパン、2022 年 1 月刊) は、侵害を受けた環境で何が起きたのかを調べ、証拠を集めて解析し、防御を立て直すまでのインシデント対応の技術をまとめた書籍です。副題は「現代のサイバー攻撃に対処するデジタルフォレンジックの基礎から実践まで」、原書は Applied Incident Response です。版元の紹介文は本書を「実務家によって書かれた、実務家のための書籍」と位置づけ、インシデント対応の理解を深めたい IT 専門家、初めてインシデント対応を学ぶ学生、クイックリファレンスガイドを探しているセキュリティエンジニアのいずれにも勧めています。

準備 / 対応 / 精緻化の 3 部 14 章の構成

構成は「はじめに」に続く 3 部 14 章で、訳者あとがきと索引が付きます。第 1 部「準備」は第 1 章「脅威の動向」と第 2 章「インシデントへの準備」で、攻撃者の動機や攻撃手法、偵察から痕跡の削除までの攻撃の段階を整理したうえで、プロセス、人材、技術の準備を扱います。第 2 部「対応」は第 3 章「リモートトリアージ」から始まり、第 4 章「リモートトリアージツール」で WMIC と PowerShell による遠隔での初動調査を、第 5 章「メモリの取得」と第 6 章「ディスクイメージング」で証拠の取得を取り上げます。続いて第 7 章「ネットワークセキュリティ監視」で Security Onion を、第 8 章「イベントログ分析」でアカウントやプロセス、PowerShell の監査を、第 9 章「メモリ解析」で Volatility と Rekall を使ったプロセスやネットワーク活動の検証を扱います。第 10 章「マルウェア解析」は表層解析、動的解析、静的解析を、第 11 章「ディスクフォレンジック」はタイムスタンプ分析やレジストリ解析、USN ジャーナル、ボリュームシャドウコピー、Linux/UNIX のアーティファクトを、第 12 章「横断的侵害の分析」は Pass-the-Hash や Kerberos 攻撃、PsExec、RDP、WMI、SSH トンネリングの痕跡を対象にします。第 3 部「精緻化」は第 13 章「継続的な改善」と第 14 章「プロアクティブな活動」で、文書化や緩和策の検証、脅威ハンティング、Atomic Red Team と Caldera による敵対的エミュレーションへ進みます。

揮発性の順序と証拠の完全性、調査が証拠を変える難しさ

インシデント対応が難しいのは、調べる行為そのものが証拠を変えてしまう点にあります。メモリ上のプロセスやネットワーク接続は電源を落とせば失われ、ディスクも調査のためにログオンするだけでタイムスタンプやログが書き換わります。そのため、消えやすいものから順に集める揮発性の順序と、取得したイメージが改変されていないことを示す完全性の維持が、調査の結論の信頼性を左右します。本書も証拠の取得を第 5 章と第 6 章、解析を第 9 章と第 11 章に分けて扱っています。さらに、侵害された端末に対応担当者が管理者として対話型でログオンすれば、その認証情報を攻撃者に渡すおそれがあり、第 3 章では認証情報の保護として対話型ログオンや RDP 接続の制限付き管理モードを取り上げています。攻撃者が侵入後に正規の管理機能を使って横に広がる場合、マルウェアの検体だけを追っても全体像はつかめません。どの痕跡がどこに残るかを知っておくことは、セキュリティ の対策を設計する側にとっても、どのログを残し、特権を持つアカウントの権限をどこまで絞るかを決める判断材料になります。

Windows とネットワークの前提知識、合う読者と合わない読者

読み進めるには、Windows のサービスやアカウント、イベントログの基本とコマンドライン操作、TCP/IP の基礎を理解していることが前提になります。PowerShell のコマンドレットや WMIC の構文、Volatility のプラグインといった道具を扱う章が多いため、検証用の仮想マシンを用意して手を動かせる環境があると、内容を確かめながら進められます。一方で、目次に法務や広報との連携を題材にした章はなく、組織の体制づくりや規程の整備を主に学びたい場合は、管理面を扱う別の本と組み合わせる必要があります。セキュリティの技術書全体から自分の課題に合う一冊を探すなら、セキュリティ本ガイド も参考になります。

侵害の兆候を見つけたあとに何をどの順で集め、どう解析するかを自分の手順として持っておきたい情報システム部門の担当者や CSIRT のメンバー、検知の仕組みを作るエンジニアにとって、準備から対応、改善までを 1 冊でたどれる本書は、初動の手順を手元にそろえる起点になります。