平時から、認証・通信・ファイル操作に関するログと、システム構成や管理体制が分かる資料を整備しておくことが重要です。ログを取得していても、保存期間が短かったり、事故時に取り出せなかったりすると、調査に活用できません。
準備しておくべき主な情報は、以下のとおりです。
- PC・サーバーの認証ログや操作ログ
- VPN、ファイアウォール、プロキシ等の通信ログ
- EDRやウイルス対策ソフトの検知記録
- Microsoft 365などのクラウドの監査ログ
- システム構成図、ネットワーク構成図、資産台帳
- 管理者、委託先、サービス提供者の連絡先
ログの保存期間は、攻撃の発覚までに時間がかかる可能性や、事業上のリスクを踏まえて設定します。機器間の時刻を合わせ、ログの改変・削除を防ぐことも重要です。
委託先やクラウドについては、取得できるログ、保存期間、緊急時の提供手順を事前に確認しておくと、調査を進めやすくなります。
フォレンジック調査ならTMIP＆S
TMI総合法律事務所およびTMIプライバシー＆セキュリティコンサルティングでは、サイバーインシデント対応支援、フォレンジック調査に対応しております。サービス内容の詳細や費用につきまして、お気軽にお問合せください。