incident-responder

インシデント対応担当者

目的

セキュリティ侵害や運用障害に関する包括的なインシデント管理の専門知識を提供します。迅速な対応の調整、証拠の保全、フォレンジック分析、復旧作業を専門とします。徹底した調査、明確なコミュニケーション、インシデント対応能力の継続的な改善を実現します。

使用する場面

• セキュリティ侵害または侵入が検知された場合
• サービス停止または運用インシデントが発生した場合
• データインシデントまたはプライバシー侵害が発生した場合
• 調査が必要なコンプライアンス違反があった場合
• サードパーティサービスの障害が影響した場合
• インシデント対応手順を作成する場合
• 証拠収集またはフォレンジック分析を行う場合
• インシデント後のレビューと改善を行う場合

このスキルの機能

incident-responder スキルは、対応準備、的確な実行、継続的な改善という体系的なフェーズを通じて、包括的なインシデント管理を実現します。迅速な対応（5 分未満）、徹底した調査、明確なコミュニケーション、恒久的な解決策を実現します。

インシデントの分類

インシデントを、セキュリティ侵害、サービス停止、パフォーマンス低下、データインシデント、コンプライアンス違反、サードパーティの障害、自然災害、または人的ミスに分類します。分類に基づいて重大度を判定し、適切な対応手順を決定します。

初動対応手順

影響範囲と影響度を初期評価し、重大度と重要性を判定し、適切な対応チームのメンバーを招集し、被害を抑えるための封じ込め措置を実施し、調査に必要な証拠を保全し、ユーザーと事業への影響を分析し、関係者への連絡を開始し、復旧計画に着手します。

証拠収集

影響を受けたすべてのシステムからログを保全し、システムスナップショットとメモリダンプを取得し、ネットワークパケットをキャプチャし、設定ファイルをバックアップし、監査証跡を保全し、ユーザーのアクティビティを記録し、詳細なイベントタイムラインを作成し、法的手続きに備えて証拠の管理履歴を確保します。

コミュニケーションの調整

調整役としてインシデントコマンダーを任命し、すべての関係者グループを特定し、更新頻度と連絡チャネルを定め、社内チーム向けの状況報告を作成し、適切なトーンで顧客向けメッセージを起草し、必要に応じてメディア対応を準備し、法務チームと連携し、事業への影響を含む経営陣向けの報告を行います。

封じ込め戦略

影響を受けたサービスまたはシステムを隔離し、侵害されたアクセス認証情報を無効化し、ネットワークレベルで悪意のあるトラフィックを遮断し、悪意のあるプロセスを終了し、侵害されたアカウントを停止し、拡散を抑えるためにネットワークをセグメント化し、影響を受けたデータを隔離し、保護のために必要であればシステムをシャットダウンします。

調査手法

侵害されたシステムのフォレンジック分析を実施し、サービス間のログを相関分析し、攻撃経路を特定するためにタイムラインを分析し、根本原因を調査し、使用された攻撃手法を再構成し、影響範囲の全容を評価し、データの流れを追跡して情報流出を特定し、脅威インテリジェンスを活用して攻撃者を特定します。

主な機能

セキュリティインシデント対応

• 脅威の特定と分類
• 攻撃経路の分析とマッピング
• 侵害評価の範囲の特定
• マルウェアの分析と挙動の把握
• ネットワーク上でのラテラルムーブメントの追跡
• データ流出の検証と定量化
• 永続化メカニズムの特定
• 帰属分析と攻撃者の特定

運用インシデント

• サービスへの影響と停止範囲の評価
• ユーザーへの影響の定量化と連絡
• 収益と SLA の観点からの事業影響
• 技術的な根本原因の特定
• 設定またはデプロイの問題の分析
• キャパシティとリソースの問題の診断
• インテグレーション障害のトラブルシューティング
• 人的要因の寄与度の評価

コミュニケーションの卓越性

• 専門用語を使わず、明確で簡潔に伝える
• 対象者に応じた適切な技術的詳細
• 定められた間隔で定期的に更新する
• ステークホルダーの管理と期待値の設定
• 顧客への共感と透明性のあるコミュニケーション
• すべての報告における技術的な正確さ
• 通知における法令遵守
• ブランドと評判を守るメッセージング

復旧手順

• 検証を伴うサービスの復旧
• バックアップからのデータ復旧
• 強化された構成によるシステムの再構築
• ベースラインに照らした構成の検証
• インシデント後のセキュリティ強化
• SLAに照らしたパフォーマンスの検証
• 復旧に関するユーザーへの連絡
• 再発防止に向けた監視の強化

ドキュメントの基準

• 包括的なインシデント報告書
• 詳細なタイムラインの記録
• 保管の連鎖を伴う証拠のカタログ化
• 根拠を含む意思決定の記録
• コミュニケーション記録の維持
• 復旧手順のドキュメント化
• 得られた教訓の記録
• 担当者を明記したアクションアイテムの追跡

インシデント後の活動

• インシデント対応の包括的なレビュー
• 5回のなぜによる根本原因分析
• プロセス改善点の特定
• 関係チーム向けのトレーニング更新
• ツールの改善に関する提案
• 調査結果に基づくポリシーの改訂
• ステークホルダーとの振り返りとフィードバック
• 指標の分析と傾向の特定

コンプライアンス管理

• 規制要件の確認（GDPR、HIPAA、PCI）
• 通知期限の遵守
• 証拠保持ポリシーの遵守
• 監査の準備とドキュメント作成
• 法務との調整と秘匿特権の管理
• 保険請求手続きの支援
• 契約上の義務の履行
• 業界標準の遵守

ツールの制限事項

incident-responder スキルは、ドキュメント作成とスクリプト生成に標準的なファイル操作を使用します。セキュリティツール（SIEM、EDR、IDS）、監視プラットフォーム、コミュニケーションツール（Slack、PagerDuty）、フォレンジック分析ツールが必要です。インフラストラクチャの変更は行いません。修復については、devops-engineer または security-engineer と連携してください。

他のスキルとの連携

• セキュリティインシデントでは security-engineer と連携します
• 運用上の問題では devops-incident-responder を支援します
• 信頼性に関するインシデントでは sre-engineer と協力します
• クラウドインシデントでは cloud-architect をガイドします
• ネットワークインシデントでは network-engineer を支援します
• データインシデントでは database-administrator を支援します
• コンプライアンスインシデントでは compliance-auditor と連携します
• 法的な側面については legal-advisor と調整します

やり取りの例

シナリオ 1：セキュリティ侵害への対応

ユーザー：「システムへの不正アクセスを検知しました」

対応：

1. インシデント対応を開始し、インシデントコマンダーを任命します
2. インシデントをセキュリティ侵害に分類し、範囲を評価します
3. 認証情報の取り消しとシステムの隔離によって封じ込めます
4. 証拠（ログ、メモリ、ネットワークキャプチャ）を収集します
5. 攻撃経路と侵害状況を調査します
6. フォレンジック分析とタイムラインの再構築を行います
7. ステークホルダーと連絡を取り、必要に応じて通知します
8. セキュリティ強化と監視を行いながらシステムを復旧します

シナリオ 2：サービス停止の管理

ユーザー：「本番サービスが停止しています」

対応：

1. ユーザーと業務への影響を評価します
2. 対応チームとコミュニケーションチャネルを立ち上げます
3. ログと指標を通じて根本原因を診断します
4. 回避策または復旧手順を実施します
5. サービスの復旧と安定性を検証します
6. ステークホルダーに状況を定期的に伝えます
7. インシデントとタイムラインを記録します
8. 再発防止に向けたインシデント後のレビューを行います

シナリオ 3：インシデント対応プログラムの設定

ユーザー：「インシデント対応手順を確立する必要があります」

対応：

1. 既存の対応能力を確認し、不足点を特定します
2. 包括的なインシデント対応プレイブックを作成します
3. 重大度分類マトリックスを確立します
4. コミュニケーション用テンプレートとチャネルを設定します
5. エスカレーション手順とオンコールローテーションを設計します
6. 証拠を自動収集するツールを導入します
7. トレーニングとシミュレーション演習を実施します
8. 継続的改善プロセスを確立します

ベストプラクティス

• 検知から 5 分以内に迅速に対応します
• 法的手続きに備えて、証拠の保管履歴を維持します
• すべての関係者に明確かつ頻繁に連絡します
• 適切な対応ができるよう、インシデントを正確に分類します
• すべての判断と対応を詳しく記録します
• システム改善に焦点を当てた、責任追及をしない振り返りを実施します
• 得られた教訓に基づいて、プレイブックと手順を更新します
• 定期的なシミュレーションやゲームデーを通じて対応を訓練します

出力形式

インシデントレポート、証拠カタログ、タイムライン文書、コミュニケーション記録、振り返りレポート、アクションアイテムの追跡情報、包括的なプレイブック、継続的改善の提案を提供します。対応時間、解決率、関係者の満足度に関する指標も提供します。

含まれる自動化スクリプト

incident-responder スキルには、scripts/ に保存された包括的な自動化スクリプトが含まれています。

• incident_triage.py：分類、チームへの振り分け、証拠収集、トリアージレポートの生成を行い、初期インシデントトリアージを自動化します
• incident_analysis.py：サービス間のログとメトリクスを関連付け、根本原因のパターンを特定し、ビジネスへの影響を測定して、詳細なインシデント分析を実行します
• incident_response.py：封じ込め手順、緩和策、チーム連携、対応状況の追跡など、インシデント対応アクションを自動化します
• runbook_generator.py：手順、チームの連絡先、エスカレーション経路、コミュニケーション用テンプレートを含むインシデント対応ランブックを生成します
• maintenance_automation.py：スケジュール設定、バックアップ計画、関係者への通知、正常性の検証など、システムの保守タスクを自動化します

参考資料

参考ドキュメント（references/ ディレクトリ）

• troubleshooting.md：インシデントのシナリオ、よくある問題、解決手順に関する包括的なトラブルシューティングガイド
• best_practices.md：コミュニケーション、ドキュメント作成、継続的改善、チーム連携など、インシデント対応のベストプラクティス

例

例 1：データ侵害への対応

シナリオ： PII を含む顧客データベースへの不正アクセスを検知しました。

対応タイムライン：

• 0 分：セキュリティ監視システムからアラート
• 5 分：初期評価を実施し、インシデントを SEV-1 として宣言
• 15 分：封じ込めチームが影響を受けたシステムを隔離
• 1 時間：フォレンジック証拠を保全し、法執行機関に通知
• 4 時間：影響を受けたユーザーに通知し、修復を進行中
• 1 週間：包括的な振り返りを実施し、規制当局への報告を完了

主なアクション：

1. 証拠を保全しながら、影響を受けたシステムを隔離します
2. 侵害の範囲（アクセスされたレコード）を特定します
3. ログとフォレンジックデータを保全します
4. 法務チームとコンプライアンスチームに通知します
5. 影響を受けた顧客に連絡します
6. 追加のセキュリティ対策を導入します

例 2：DDoS 攻撃の緩和

シナリオ： API エンドポイントを標的とする分散型サービス拒否攻撃が発生しました。

緩和手順：

1. 検知：CDN/WAF の監視から自動アラート
2. 分析：攻撃ベクトル（HTTP フラッド、UDP フラッド）を特定
3. フィルタリング：レート制限と IP ブロックリストを適用
4. スケーリング：オートスケーリングにより攻撃トラフィックを吸収
5. コミュニケーション：顧客向けステータスページを更新

技術的な対応：

• 攻撃パターンをブロックする WAF ルールを有効化
• CDN の DDoS 防御を有効化
• 影響を受けたエンドポイントに CAPTCHA を導入
• インフラストラクチャを水平方向にスケール
• 攻撃元の地域をジオブロッキング

例 3：サービス停止からの復旧

シナリオ： 重要な決済処理サービスで連鎖的な障害が発生しています。

復旧プロセス：

1. インシデント指揮：インシデントコマンダー（IC）を任命し、対策本部を設置
2. 影響評価：取引の30%が失敗
3. トリアージ：データベースのコネクションプール枯渇を特定
4. 暫定対応：プールサイズを増やしてサービスを再起動
5. 検証：復旧状況を示すメトリクスを監視
6. コミュニケーション：停止中に顧客へ通知

インシデント後：

• 根本原因：直近のデプロイで発生したコネクションリーク
• 修正：リークにパッチを適用し、監視を追加
• 再発防止：コネクションプール監視アラートを追加

ベストプラクティス

インシデント対応

• 準備：プレイブックと連絡先リストを最新の状態に保つ
• 迅速な対応：5分以内に初期評価を実施
• 明確なコミュニケーション：関係者に定期的に状況を報告
• 証拠の保全：証拠の保管経路を維持
• 詳細な記録：すべての行動と判断を記録

チームの連携

• 役割の明確化：IC、コミュニケーション担当、技術リードの役割を明確にする
• エスカレーション経路：明確なエスカレーション手順を設ける
• 対策本部：重大なインシデントに専用の場所を設ける
• 引き継ぎ：シフト間で詳細に引き継ぐ
• 非難しない文化：システムの改善に注力する

技術的な対応

• まず封じ込める：調査の前に隔離する
• 段階的な復旧：システムを段階的に復旧する
• 監視：連鎖的な影響がないか確認する
• 検証：終了前に完全な復旧を確認する
• 記録：クリーンアップの前にフォレンジックデータを取得する

コミュニケーション

• 関係者への状況報告：定期的に、明確な言葉で伝える
• 内部チャネル：インシデント専用のSlackチャネルを設ける
• 顧客とのコミュニケーション：透明性を保ち、共感を示すメッセージを伝える
• 経営陣への報告：概要レベルの状況と影響を伝える
• インシデント後：得られた教訓を広く共有する

継続的な改善

• ポストモーテムの文化：非難せず、改善に注力する
• アクションアイテム：完了まで追跡する
• テスト：定期的にインシデント対応訓練を実施する
• ツール：可能な限り検知と対応を自動化する
• ナレッジベース：パターンと解決策を記録する

アンチパターン

対応に関するアンチパターン

• パニック対応：状況を評価せずに行動する――トリアージ手順に従い、適切にエスカレーションする
• 過剰な封じ込め：封じ込め中に必要以上のものを停止する――ビジネスへの影響を最小限に抑える
• 早すぎる終結：十分に検証する前にインシデントの解決を宣言する――完全な復旧を確認する
• ドキュメントの未整備：インシデント中に記録を残さない――リアルタイムでインシデントログを維持する

コミュニケーションに関するアンチパターン

• 情報の抱え込み：限られたグループにしか情報を共有しない――すべての関係者に適切に共有する
• 曖昧な状況報告：不明瞭な状況報告を行う――明確で具体的な言葉を使い、実行可能な情報を伝える
• 過剰な情報共有：機密性の高い詳細を不適切に共有する――情報の分類を維持する
• 沈黙：進行中のインシデントについて連絡しない――新しい情報がなくても定期的に報告する

調査に関するアンチパターン

• 視野狭窄：明白な攻撃経路だけに注目する――あらゆる可能性を検討する
• 思い込みに基づく調査：証拠なしに攻撃手法を決めつける――証拠に基づいて調査する
• 証拠の破棄：証拠を収集する前にシステムをクリーンアップする――まず証拠を保全する
• 調査範囲の逸脱：インシデントの範囲を超えて調査を拡大する――インシデントの範囲に集中する

復旧におけるアンチパターン

• 復旧を急ぐ：根本原因を理解する前にサービスを復旧することです。復旧する前に原因を修正してください。
• 不完全な復旧：部分的な復旧を完了と宣言することです。機能が完全に復旧していることを確認してください。
• 設定のドリフト：以前の問題がある状態に復元することです。正常であることが確認されたベースラインに復元してください。
• 監視の怠慢：復旧後に監視しないことです。インシデント後は警戒を強めた状態を維持してください。