インシデント対応
総当たりのログを見ていたら、大量の失敗のあとに1件だけ「成功」したログインがありました。ふだん使われない国のIPアドレスからの、あるメンバーのアカウントです。「とりあえずパスワードを変えておきますね」と言いかけると
インシデントは、セキュリティの事故や、その疑いのある出来事です。
インシデント対応は、それに気づいてから、被害を止め、元に戻し、同じことが起きないようにするまでの一連の動きです。最初の一歩は「報告」です。
- インシデントは、セキュリティの事故や、その疑いのある出来事(不正ログイン、マルウェア感染、情報漏えい、サービス停止など)
- 新人がまずすることは、気づいたらすぐ、隠さず、決められた窓口に報告すること
- 対応の流れは、気づく・報告 → 被害の広がりを止める(会社のルールに従って)→ 原因を調べて元に戻す → 同じことが起きないようにする(ふりかえり→100)
- 報告より先に、自分だけの判断で、ログを消したり、設定を変えたり、なかったことにしたりしない
身近な例えで理解する
火事を見つけたら、「火事だ」と大声で知らせて119番します。広がらないように扉を閉めて避難し、消えたあとに原因を調べて、同じ火事が起きないようにします。
- 「火事だ」と知らせる・119番決められた窓口にすぐ報告する
- 扉を閉めて広がらないようにする被害の広がりを止める(アカウントを止める、ネットワークから外す など)
- 消えたあとに原因を調べる原因を調べて、元に戻す
- 同じ火事を起こさない工夫ふりかえりと再発防止(→100 ふりかえり)
ちょっと確認
あなたはどうする?
例えを外して、実際のしくみ
インシデントの例
まず報告
会社には、報告の窓口(セキュリティの担当チームなど)が決められています。「いつ・何に気づいたか・自分が何をしたか」を伝えます。間違いだったら、それはそれでかまいません。遅れるほど被害は広がります
対応の流れ
気づく・報告 → 被害の広がりを止める(アカウントを止める、機器をネットワークから外す など)→ 原因を調べて元に戻す → ふりかえって再発を防ぐ、の順です。どこまで誰がやるかは、会社の手順で決まっています
手がかりを消さない
ログ(→11)や画面の表示は、何が起きたかを調べる手がかりです。報告より先に、あわてて消したり、自分の判断で設定を変えたりすると、原因が分からなくなることがあります。パスワードを変えることも、報告して指示に沿って行います。指示があるまでは、したことをメモして待ちます
このページのまとめ
- インシデント
- セキュリティの事故や、その疑いのある出来事
- インシデント対応
- 気づいてから、止め、元に戻し、再発を防ぐまでの一連の動き
- 再発防止
- 原因をふりかえって、同じことが起きないようにすること
先輩のひとことの意味
先輩「待って。それはインシデントだね。まず報告しよう」
「総当たりのあとにログインが成功しているなら、アカウントが乗っ取られた疑いがある。これはセキュリティの事故(インシデント)として扱う。パスワードを変えること自体は必要。ただ、報告より先に自分たちだけで変えて終わりにすると、相手がそのあと何をしたかが分からなくなる。まず決められた窓口に報告して、手順に沿って対応しよう」という意味です。
練習問題で確かめる
インシデント対応の大まかな流れを、正しい順番に並べましょう。
下のカードを、正しい順にタップしてください。
参考資料
ご意見・「これで例えて!」を募集しています
ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。
- 説明してほしいITの言葉
- 例えてほしい場面(部活・アルバイト・家事など)
- 分かりにくかったところ・間違いのご指摘
意見箱は準備中です。