incident-response-forensics について
侵害されたシステムを調査する、セキュリティチーム向けのインシデント対応フォレンジック スキルです。証拠の保全と読み取り専用の収集を優先し、証拠に基づくタイムラインと調査結果をまとめます。
主な機能
- 01メモリとディスクの証拠保全
- 02揮発性システム・ネットワークデータの収集
- 03Windows、Linux、クラウドの痕跡確認
- 04確度を付したタイムライン作成
- 05IOCとATT&CK対応の攻撃経緯を報告
活用シーン
- 01システム侵害の疑いを調査
- 02永続化と横展開の経緯を再構成
- 03証拠と根本原因の仮説を記録
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/incident-response-forensicsを入力して読み込まれたか確認します。
詳細
インシデント対応フォレンジック
証拠を損なわずに収集・分析します。
1. 調査前に保全する
- 負荷の高いプロセスを実行する前に、まずメモリを取得します：
WinPMem、LiME、またはベンダーのスナップショットを使用します - 書き込み防止装置を使ってディスクイメージを取得するか、検証済みのクラウドスナップショットを作成します。すべてにハッシュ（SHA-256）を付与し、証拠保全の連鎖を記録します
- ネットワーク証拠を収集します：ファイアウォール／フローログ、可能であればPCAP、プロキシおよびDNSログ
- ライブシステムでの調査は読み取り専用の収集に限ります — 攻撃者のツールに検知される可能性があります
2. 揮発性データの収集順序
- ネットワーク接続、ルーティングテーブル
- 実行中のプロセスとサービス、読み込み済みモジュール
- ログイン中のセッション、クリップボード（対話操作がある場合）
- コマンド履歴、スケジュール済みタスク、自動起動
3. アーティファクト分析
Windows
- 実行履歴を確認するためのShimcache／Amcache、Prefetch、SRUM
- イベントログ：4624／4625（ログオン）、4688（プロセス作成）、7045（サービスのインストール）、PowerShell 4104
- レジストリ：Runキー、Services、ファイル削除を示すUSNジャーナル
- ラテラルムーブメント：RDPログ（4776／4624のタイプ3）、スケジュール済みタスク、WMIアクティビティ
Linux
/var/log/auth.log、journalctl、.bash_history、wtmp／last- Cron、systemdタイマー、/etc内の
LD_PRELOAD、immutableビットの異常 - authorized_keys内の不正なSSHキー、passwdの改変
クラウド
- CloudTrail／データプレーンログ、不審な
AssumeRoleの連鎖、新しいアクセスキー - コントロールプレーンとデータプレーンのタイムラインを分けて整理します
タイムラインの作成
- すべてのアーティファクトをスーパータイムラインに正規化します（log2timeline／PlutoScope形式）
- 初期アクセスを示す指標を起点とし、前方（永続化、拡散、情報流出）と後方（偵察、侵入経路）をたどります
- 事実と推論を分け、確信度を明記します
出力
- コンテキスト付きのIOC（ハッシュ、IP、ドメイン、初回／最終確認日時）
- 手順ごとの証拠の引用を付け、ATT&CKの戦術に対応付けた攻撃のナラティブ
- 裏付ける証拠と反証する証拠を示した根本原因の仮説
コメント
Markdown 対応