原則として、被害拡大を防止した上で、復旧作業によって失われる可能性のある証拠を保全し、調査と復旧を並行して進めます。詳細調査がすべて終わるまで、復旧を待つ必要があるとは限りません。
一般的には、次の流れで対応します。
- 感染機器の隔離や不正アクセスの遮断
- ログ、ディスク、必要に応じたメモリ等の保全
- 侵入経路や影響範囲の初期調査
- 脆弱性、不正アカウント、攻撃者が残した仕組みへの対処
- 安全性を確認した環境での復旧・業務再開
- 詳細調査と再発防止策の実施
保全前に機器を初期化したり、バックアップで上書きしたりすると、原因究明に必要な証拠が失われる場合があります。また、侵入経路や攻撃者のアクセス手段を残したまま復旧すると、再び被害を受けるおそれがあります。
調査担当者と復旧担当者が、保全対象と復旧手順を共有することが重要です。
フォレンジック調査ならTMIP＆S
TMI総合法律事務所およびTMIプライバシー＆セキュリティコンサルティングでは、サイバーインシデント対応支援、フォレンジック調査に対応しております。サービス内容の詳細や費用につきまして、お気軽にお問合せください。