incident-response-plan

インシデント対応計画

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

包括的なプレイブックと自動化により、セキュリティインシデントの検出、対応、封じ込め、復旧を行うための体系的なアプローチです。

使用する場面

• セキュリティ侵害の検出
• データ侵害への対応
• マルウェア感染
• DDoS 攻撃
• 内部脅威
• コンプライアンス違反
• インシデント後の分析

クイックスタート

最小限の動作例：

# incident_response.py
from dataclasses import dataclass, field
from typing import List, Dict, Optional
from enum import Enum
from datetime import datetime
import json

class IncidentSeverity(Enum):
    CRITICAL = "critical"  # P1 - Business critical
    HIGH = "high"          # P2 - Major impact
    MEDIUM = "medium"      # P3 - Moderate impact
    LOW = "low"            # P4 - Minor impact

class IncidentStatus(Enum):
    DETECTED = "detected"
    INVESTIGATING = "investigating"
    CONTAINED = "contained"
    ERADICATED = "eradicated"
    RECOVERED = "recovered"
    CLOSED = "closed"

class IncidentType(Enum):
    DATA_BREACH = "data_breach"
    MALWARE = "malware"
    UNAUTHORIZED_ACCESS = "unauthorized_access"
// ... (see reference guides for full implementation)

リファレンスガイド

詳細な実装は references/ ディレクトリにあります：

ガイド	内容
インシデント対応フレームワーク	インシデント対応フレームワーク
Node.js のインシデント検出と対応	Node.js のインシデント検出と対応

ベストプラクティス

✅ 実施すること

• インシデント対応計画を維持する
• 明確なエスカレーション経路を定める
• インシデント対応訓練を実施する
• すべての行動を記録する
• 証拠を保全する
• 透明性のあるコミュニケーションを行う
• インシデント後のレビューを実施する
• プレイブックを定期的に更新する

❌ 実施しないこと

• 慌てたり、急いだりする
• 証拠を削除する
• 記録を省略する
• 単独で作業する
• 得られた教訓を無視する
• 通知を遅らせる