RES / RES-01
インシデントレスポンスとデジタルフォレンジック — DFIR
インシデントの理解、影響の限定、有用な証拠の保全、および管理された復旧の準備を支援します。調査では、確立された事実、仮説、欠落しているデータを区別しますが、それ単体で法的またはコミュニケーションに関するすべての決定をカバーするわけではありません。.
役立つとき
的確な回答
定義されたニーズに対して.
侵害の疑い、ランサムウェア、乗っ取りにあった管理者アカウント、SOCによって確認されたデータ漏洩の疑いまたは異常な挙動。.
適用範囲と成果物
このエンゲージメントの対象範囲.
スコープ
- 緊急スコープ
- 正規の回収
- タイムライン
- 既知のスコープ
- 承認された収容
- 根本原因調査
- 証拠保存
- 根絶および復旧に関する推奨事項
- 学んだ教訓
成果物
- 決定ログ
- 証拠品リスト
- 条件付きタイムライン
- 状況報告
- おすすめ
- 調査報告書
- 復旧および修復計画
検収証拠
調査範囲は明示されており、証拠は追跡され、意思決定は承認され、事実と仮説は区別され、復旧条件は合意され、不確実性と未完了のアクションは記録されている。.
配達
仕事の進め方.
アプローチ
目的と責任の所在の定義；シナリオとリソースの準備；承認された対応または演習の実施；証拠の文書化；改善と改訂。.
前提条件と責任
顧客：意思決定者、運用担当者、事業主、必要に応じて法務／保険会社、権限および復旧リソース。提供者：証拠保全の専門知識を持つ契約業者。.
スコープ要因
重要度、スコープ、調査深度、データ量、依存関係、シナリオおよび動員条件。準備、対応、再構築およびライセンスは別個とする。.
確認のための質問
インシデントは現在進行中ですか？利用可能なシステムと証拠は何ですか？アクションの承認、ならびにリーダーシップ、法務アドバイザー、保険会社、オペレーションの調整を行うのは誰ですか？
重要な境界線
対応は可用性と契約条件により異なり、即時の可用性を意味するものではありません。規制当局への通知および保険に関する決定には責任者の関与が必要であり、証拠の取り扱いは文脈に適したものでなければなりません。.
復旧と調査には限界があり、完全な復旧や解決時間の絶対的な保証はありません。検証結果は、テストされたシナリオ固有のものです。.
実際には
具体例.
これらの例は、想定される関与と目標とする成果について説明したものであり、顧客の事例や達成された実績ではありません。.
シナリオ01
企業がファイル暗号化を検知した。プロジェクト：封じ込め、証拠収集、および復旧の優先順位付けを自社チームと調整する。目標とする成果：利用可能なリソースの範囲内で進行を食い止め、完全な復旧を約束することなく、検証済みの証拠を使用して再構築する。.
シナリオ 02
エグゼクティブのアカウントが海外で使用された形跡があります。プロジェクト：アクセス、セッション、メールボックスのルールを分析する。目標とする成果：入手可能な証拠に基づいて侵害を確認するか、その仮説を却下する。結論を導き出す妨げとなる履歴の欠落についてはフラグを設定する。.
技術と参照コンテキスト
参照: NIST SP 800-61 Rev. 3; システム、権限、および保全要件に適した収集・調査ツール。.
最終的なテクノロジーセットは、相互運用性、ライセンス、アクセス権、および運用要件に基づき、スコープ設定の段階で合意されます。.
コネクテッドサービス
次のステップを構築する。.
これらのサービスはエンゲージメントを補完するものであり、自動的には含まれません。.
会話を始めましょう。
スコープを明確にする。.
このサービスの目的、依存関係、および責任範囲を明確にした上で、納品を提案いたします。.