containing-active-breach

進行中の侵害の封じ込め

使用するタイミング

• ネットワーク上で攻撃者が活動中であることが確認された侵入が発生している
• マルウェアがエンドポイントやサーバー間で横方向に拡散している
• 侵害されたアカウントが、システムへの不正アクセスに使用されている
• ランサムウェアによる暗号化が検出され、現在も拡散している
• 攻撃者が内部ホストからコマンド＆コントロール通信を確立している

攻撃者がすでに活動していない場合のインシデント後のクリーンアップには使用しないでください。代わりに、駆除手順を使用してください。

前提条件

• トリアージでP1またはP2の重大度と分類されたインシデントであることが確認されている
• ホスト隔離機能を備えたEDRコンソールへのアクセス（CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne）
• セグメンテーションのためのネットワークファイアウォールおよびスイッチの管理アクセス
• 認証情報に関する操作を行うためのActive DirectoryまたはIDプロバイダーの管理アクセス
• インシデント対応計画に記録された、事前承認済みの封じ込め権限
• 封じ込め中にフォレンジックの痕跡を破壊しないための証拠保全計画

ワークフロー

ステップ 1：封じ込め範囲を評価する

攻撃者に不審な動きを察知されるような部分的な封じ込めを避けるため、封じ込め措置を講じる前に侵害の全範囲を把握します。

• EDRのテレメトリとSIEMの相関分析を通じて、侵害が確認されたすべてのホストを特定する
• 認証ログ（Windows Event ID 4624 Type 3およびType 10）を使用して横方向の移動経路をマッピングする
• 侵害された認証情報をすべて特定する（Pass-the-Hash、Kerberoasting、DCSyncの活動を確認する）
• C2チャネルを特定する（ビーコン間隔、ドメイン、IPアドレス、プロトコル）
• 攻撃者がドメイン管理者または同等の権限を持っているか評価する

Containment Scope Assessment:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Compromised Hosts:     5 (WKSTN-042, WKSTN-087, SRV-FILE01, SRV-DC02, WKSTN-103)
Compromised Accounts:  3 (jsmith, svc-backup, admin-tier0)
C2 Channels:           HTTPS beacon to 185.220.x.x every 60s ± 15% jitter
Lateral Movement:      PsExec via svc-backup, RDP via admin-tier0
Adversary Privilege:   Domain Admin (admin-tier0 compromised)
Data at Risk:          Finance share (\\SRV-FILE01\finance$) accessed

ステップ 2：短期的な封じ込めを実行する

証拠を破壊せずに攻撃者の活動を止めるため、直ちに措置を実施します。

ネットワークの封じ込め：

• EDRのネットワーク封じ込め機能を使用して、侵害が確認されたエンドポイントを隔離する（エージェントとの通信は維持されます）
• 境界ファイアウォールと内部DNSでC2のIPアドレスとドメインをブロックする
• 侵害されたホスト間の通信を防ぐマイクロセグメンテーションルールを適用する
• 未発見のインプラントからの接続試行を捕捉するため、内部DNSでC2ドメインをシンクホール化する

IDの封じ込め：

• Active Directoryで侵害されたユーザーアカウントを無効化する（削除せず、監査証跡を保持する）
• 侵害されたすべてのアカウントのパスワードをリセットする
• アクティブなセッションとトークンを取り消す（Azure AD：Revoke-AzureADUserAllRefreshToken）
• 侵害されたサービスアカウントを無効化し、その認証情報をローテーションする
• ドメイン管理者が侵害された場合：KRBTGTのパスワードを2回リセットする（12時間の間隔を空けて2回リセットする）

エンドポイントの封じ込め：

• EDRを使用して、封じ込めたホスト上の悪意のあるプロセスを終了する
• EDRの防止ポリシーで、既知の悪意のあるハッシュをブロックする
• 特定されたマルウェアのサンプルを隔離する
• まだ侵害されていない重要なサーバーで、リモートサービス（WinRM、RDP、SMB）を無効化する

ステップ 3：長期的な封じ込めを実行する

調査を続けながら、持続可能な封じ込めを実施します。

• 侵害されたVLAN／サブネットを隔離しつつ、ビジネス上重要なトラフィックを許可するネットワークACLを作成する
• 封じ込めたシステムを調査する管理者向けに、一時的なジャンプホストを導入する
• 侵害されたホストに隣接するネットワークセグメントで、監視を強化する（全パケットキャプチャ）
• すべてのドメインコントローラーで高度な監査ポリシーを有効にする（Kerberos攻撃を検出するための4768、4769、4771）
• 封じ込めを突破して攻撃者が活動範囲を広げようとする試みを検出するため、カナリアトークンとハニーポットアカウントを導入する

ステップ 4：封じ込めの有効性を検証する

封じ込め措置によって攻撃者の活動が停止したことを確認します。

• 内部ホストから既知の攻撃者インフラへの新たな C2 コールバックがないか監視します
• 新たなラテラルムーブメントの試みがないか確認します（無効化されたアカウントによる認証失敗）
• 封じ込められたホストが、EDR エージェント経由以外でインターネットに接続できないことを検証します
• 侵害された認証情報による認証が失敗することを確認します
• SIEM を確認し、攻撃者の既知の TTP に一致する新たなアラートがないか調べます

Containment Validation Checklist:
[x] C2 beacon traffic ceased from all known compromised hosts
[x] Disabled accounts producing expected 4625 failure events (no new successes)
[x] Contained hosts unreachable via network scan from adjacent subnets
[x] No new hosts exhibiting IOCs from the initial compromise
[x] Honeypot account has not been accessed (adversary may be dormant)
[ ] Full packet capture running on finance VLAN (pending switch config)

ステップ 5：封じ込め中に証拠を保全する

封じ込めによってフォレンジック証拠を破壊しないようにします。

• 修復を行う前に、侵害されたホストのメモリダンプを取得します（WinPmem または Magnet RAM Capture を使用します）
• 揮発性データを収集します：実行中のプロセス、ネットワーク接続、ログオン中のユーザー、スケジュールされたタスク
• ローテーションされる前に、関連するイベントログをエクスポートします（Security、System、PowerShell、Sysmon）
• 侵害されたホストと C2 インフラ間のネットワークトラフィックをキャプチャします
• インシデントのタイムライン用に、すべての封じ込め措置をタイムスタンプ付きで記録します

ステップ 6：封じ込め状況を伝達する

インシデント指揮官と関係者に、構造化された状況報告を提供します。

• 現在の封じ込めの有効性（停止した攻撃者の活動の割合）
• 残存するリスク（未発見のインプラント、まだ特定されていない永続化メカニズム）
• 封じ込め措置によるビジネスへの影響（オフラインになっているシステム、ユーザーへの影響）
• 根絶フェーズまでの推定期間
• エスカレーションの必要性（法執行機関への通知、外部 IR リテイナーの有効化）

主要な概念

用語	定義
短期的な封じ込め	攻撃者の活動を直ちに停止するための措置です。通常、ネットワークの隔離と認証情報の無効化を行います
長期的な封じ込め	攻撃者の再アクセスを防ぎながら、調査の継続を可能にする持続可能な措置です
KRBTGT の二重リセット	KRBTGT のパスワードを 2 回リセットし、ゴールデンチケットを含む既存のすべての Kerberos チケットを無効化します
ネットワーク封じ込め	EDR の機能で、EDR 管理チャネルを除くすべてのネットワーク通信からエンドポイントを隔離します
ラテラルムーブメント	盗まれた認証情報やエクスプロイトを利用して、攻撃者がネットワーク内の侵害されたシステムから別のシステムへ移動する手法です
C2 シンクホール	C2 ドメインへの DNS クエリを内部サーバーにリダイレクトし、攻撃者との通信を防止するとともに、追加の被害者を検出します
マイクロセグメンテーション	ワークロード間のきめ細かなネットワークアクセス制御により、ラテラル通信経路を制限します

ツールとシステム

• CrowdStrike Falcon：エージェントの接続を維持しながら、ワンクリックでネットワーク隔離を行うエンドポイント封じ込め機能
• Microsoft Defender for Endpoint：リモートでの封じ込め措置や証拠収集を行うライブ応答コンソール
• Palo Alto Networks NGFW：C2 トラフィックのブロックとマイクロセグメンテーションを行う、アプリケーションを認識するファイアウォールルール
• Velociraptor：封じ込め中のアーティファクト収集に使用するオープンソースのエンドポイント監視・対応ツール
• BloodHound：攻撃者が悪用する可能性のあるラテラルムーブメント経路を特定するための、Active Directory の攻撃経路マッピング

よくあるシナリオ

シナリオ：SMB を介したランサムウェアの横展開

状況：3 台のファイルサーバーで、ファイルが急速に暗号化されていることを示す EDR アラートが発生しています。ランサムウェアは、侵害されたドメインサービスアカウントを使って SMB 経由で拡散しています。

対応方法：

1. EDR のネットワーク封じ込め機能を使って、3 台すべてのファイルサーバーを直ちに隔離します
2. Active Directory で、侵害されたサービスアカウントを無効にします
3. ネットワークスイッチ層で、すべてのサーバー VLAN 間の SMB（TCP 445）をブロックします
4. 緊急 GPO を展開し、重要でないエンドポイントで SMB サーバーサービスを無効にします
5. 再起動前に、暗号化されたサーバー 1 台のメモリを取得します
6. EDR の脅威ハンティングを使って、すべてのエンドポイントからランサムウェアのバイナリハッシュを検索します

注意点：

• サーバーをすぐにシャットダウンすると、揮発性メモリの証拠が失われます
• 既知の侵害アカウントを無効にするだけでなく、ほかの永続化手段がないか確認してください
• 攻撃者のアクセスが完全に無効化されたことを確認する前に、バックアップから復元しないでください

出力形式

CONTAINMENT STATUS REPORT
=========================
Incident:        INC-2025-1547
Status:          CONTAINED (Short-Term)
Timestamp:       2025-11-15T15:47:00Z
Containment Lead: [Name]

ACTIONS TAKEN
Network:
- [x] 5 hosts isolated via CrowdStrike containment
- [x] C2 IP 185.220.x.x blocked at perimeter FW (rule #4521)
- [x] C2 domain evil.example[.]com sinkholed to 10.0.0.99

Identity:
- [x] jsmith account disabled
- [x] svc-backup account disabled, password rotated
- [x] admin-tier0 account disabled
- [x] KRBTGT first reset completed at 15:30 UTC

Endpoint:
- [x] Malicious hash blocked in EDR prevention policy
- [x] Malware processes terminated on all contained hosts

EVIDENCE PRESERVED
- Memory dumps: 3 of 5 hosts completed
- Event logs exported: all 5 hosts
- Network capture: running on finance VLAN

REMAINING RISKS
- Possible undiscovered implants on non-EDR endpoints (15 legacy hosts)
- KRBTGT second reset pending (scheduled 03:30 UTC +1 day)
- Adversary may have exfiltrated data before containment

BUSINESS IMPACT
- Finance file share offline (affects 42 users)
- 3 user workstations isolated (users reassigned to loaners)
- Estimated restoration: pending eradication completion