攻撃者の監視と封じ込めの判断
A 社の CSIRT は，業務サーバ 1 台が攻撃者に遠隔操作されていることを確認した。当該サーバは，顧客情報を保存するデータベースサーバと同じネットワークセグメントにある。対応の検討では，当該サーバを直ちにネットワークから隔離する案と，稼働させたまま攻撃者の活動を監視し，手口や侵入経路の証拠を集めてから封じ込める案が出た。この判断に関する考え方として，最も適切なものはどれか。
- ア監視を続ける間は封じ込めが遅れ，攻撃者が権限を拡大したり他のサーバを侵害したりするおそれがあるので，そのリスクを踏まえ，事前に定めた基準に従って判断する。
- イ監視は攻撃者に気付かれないように行うので，監視している間は攻撃者の活動も被害も広がらず，十分な証拠が集まるまで封じ込めを遅らせてよい。
- ウ封じ込めの方法はインシデントの種類や状況によって異なるので，選択の基準は事前に定めず，発生のつど担当者がその場で判断する。
- エ当該サーバを直ちに初期化して再構築すれば，封じ込めと根絶が同時に完了するので，証拠の収集や影響範囲の調査は不要になる。
正解と解説を見る
正解 ア
この問題の基礎知識
- インシデント対応では，検知と分析の後，被害の拡大を止める封じ込め，原因を取り除く根絶，システムを正常な状態に戻す復旧を行う。
- 封じ込めの方法にはネットワークからの隔離，アカウントの無効化，通信の遮断などがあり，選ぶ方法によって被害の拡大のおそれ，証拠の保全，業務への影響が変わる。
- 対応戦略の判断にはトレードオフがあるので，インシデントの種類やリスク評価の要素，封じ込め策を続ける期間などを考慮して選ぶ。
- 初期化や電源断は，メモリ上の情報やログなど，侵入経路や影響範囲の調査に必要な証拠を失わせることがある。
攻撃者を観察して証拠を集める戦略は封じ込めと根絶を遅らせ，意図的な遅延の間に攻撃者が不正アクセスを拡大したり他のシステムを侵害したりし得る。どの対応戦略にもトレードオフがあるので，事前に定めた基準に基づき，リスクを評価して選ぶ。
監視は攻撃者の活動を観察するだけで，活動を止めるものではない。封じ込めを意図的に遅らせている間も，攻撃者は権限を拡大したり，同じセグメントのデータベースサーバなど他のシステムへ侵害を広げたりできる。
基準と手順を事前に用意しておけば，封じ込めや根絶の手段の選択が容易かつ迅速になる。基準にはインシデントの種類やリスク評価の要素，封じ込め策を維持する期間などを考慮できる。種類によって手段が異なるからこそ，事前に基準を定めておく。
攻撃者が他のホストやアカウントに足場を広げていれば，1 台を再構築しても根絶にならない。影響を受けたすべてのホストとサービスを特定する必要があり，その調査に使う証拠も初期化によって失われる。
照合の根拠（6 件）
- ア（正解）・イ（誤り）: 攻撃者の活動を監視して証拠を集める戦略は，封じ込めと根絶を遅らせる
In some instances, organizations redirect an attacker to a sandbox so that they can monitor the attacker’s activity, usually to gather additional evidence. This delays containment and eradication activities.
NIST SP 800-61 Rev. 3 · Table 3, RS.MI R1（新しいタブで開きます） - ア（正解）・イ（誤り）: 意図的な遅延の間に，攻撃者が不正アクセスを拡大したり他のシステムを侵害したりし得る。監視している間は被害が広がらないとするイは誤り
The intentional delay can be dangerous because an attacker could escalate unauthorized access or compromise other systems.
NIST SP 800-61 Rev. 3 · Table 3, RS.MI R1（新しいタブで開きます） - ア（正解）: 攻撃者の観察を含め，どの対応戦略の判断にもトレードオフがある
Every response strategy decision has trade-offs. For example, a strategy that supports observing the attacker’s behavior or conducting a more thorough investigation may be at odds with the need to quickly return to normal operations.
NIST SP 800-61 Rev. 3 · Table 3, RS.MA-03 N1（新しいタブで開きます） - ア（正解）・ウ（誤り）: 封じ込め・根絶の手段の選択は，基準と手順を用意しておけば容易かつ迅速になる。基準はインシデントの種類やリスク評価の要素，封じ込め策の期間を考慮できる。基準を事前に定めず場当たりで判断するウは誤り
faster if the organization has criteria and procedures in place. Criteria could take the incident type into account (e.g., a cloud-based services compromise or a user endpoint ransomware infection) and use some of the risk evaluation factors in RS.MA. Another factor to consider is the duration of the containment measure
NIST SP 800-61 Rev. 3 · Table 3, RS.MI N1（新しいタブで開きます） - エ（誤り）: 根絶では影響を受けたすべてのホストとサービスを特定する必要があり，1 台の再構築で調査が不要になることはない
Identify all affected hosts and services within the organization so that all flaws and weaknesses can be remediated.
NIST SP 800-61 Rev. 3 · Table 3, RS.MI-02 R1（新しいタブで開きます） - エ（誤り）: 侵害の痕跡や持続化の証拠は，標的と分かっている資産だけでなく他の潜在的な標的でも探す。調査に使う証拠を初期化で失うことになる
Look for indicators of compromise, evidence of persistence, and other signs of an incident on both the assets known to be targeted and other potential targets.
NIST SP 800-61 Rev. 3 · Table 3, RS.AN-08 R1（新しいタブで開きます）
出典の RS.MI R1 はサンドボックスへ誘導して監視する例だが，攻撃者を観察して証拠を集めるために封じ込めを意図的に遅らせる点は問題文の「稼働させたまま監視する案」と同じなので，その危険性の根拠として用いた。RS 系の行は Table 3（Community Profile part 2）にある。