secops-incident-summarization

セキュリティインシデントの要約

概要

このスキルを使用すると、SOC アナリストやセキュリティマネージャーは、詳細度を複数のレベルに分けてセキュリティインシデントの構造化された要約を作成できます。経営層向けのエグゼクティブサマリーと、運用チーム向けの技術サマリーの両方を作成し、インシデントの状況、影響、対応措置について一貫したコミュニケーションを実現します。

主な機能：

• CISO や経営陣への報告に適した簡潔なエグゼクティブサマリーを作成します
• IOC、攻撃ベクトル、フォレンジック調査結果を含む詳細な技術サマリーを作成します
• 標準化されたカテゴリと MITRE ATT&CK マッピングを使用して脅威を分類します
• ビジネス上の重要度を考慮して、影響を受けた資産を一覧化します
• 封じ込め状況と対応の進捗を要約します
• 緊急度に基づいて優先順位付けした推奨アクションをまとめます

使用するタイミング： 経営陣への状況報告、チーム間の連携、規制当局への通知、コンプライアンス関連文書の作成など、あらゆるレベルの関係者への連絡が必要なセキュリティインシデントが発生した場合に使用します。

前提条件

• ロール： sn_si.analyst、sn_si.manager
• アクセス権： sn_si_incident、sn_si_task、sn_ti_observable、sn_vul_vulnerable_item、cmdb_ci、sys_journal_field テーブルへの読み取りアクセス
• プラグイン： Security Incident Response (sn_si)、Threat Intelligence (sn_ti)、Vulnerability Response (sn_vul)
• データ： フィールドが入力された、進行中または最近クローズされたセキュリティインシデント

手順

ステップ 1：インシデントの基本情報を取得する

分類と時刻に関するすべてのフィールドを含む、インシデントレコード全体を取得します。

MCP を使用する場合：

Tool: SN-Get-Record
Parameters:
  table_name: sn_si_incident
  sys_id: [INCIDENT_SYS_ID]
  fields: sys_id,number,short_description,description,category,subcategory,priority,state,assigned_to,assignment_group,cmdb_ci,opened_at,resolved_at,closed_at,close_notes,close_code,business_criticality,risk_score,attack_vector,kill_chain_phase,severity,contact_type,affected_user,caller_id

REST を使用する場合：

GET /api/now/table/sn_si_incident?sysparm_query=number=[INCIDENT_NUMBER]&sysparm_fields=sys_id,number,short_description,description,category,subcategory,priority,state,assigned_to,assignment_group,cmdb_ci,opened_at,resolved_at,closed_at,close_notes,close_code,business_criticality,risk_score,attack_vector,kill_chain_phase,severity,contact_type,affected_user&sysparm_limit=1&sysparm_display_value=true

ステップ 2：影響を受けた資産の詳細を収集する

影響を受けたすべての資産について構成アイテムの詳細を取得し、ビジネスへの影響を評価します。

MCP を使用する場合：

Tool: SN-Query-Table
Parameters:
  table_name: cmdb_ci
  query: sys_id=[CMDB_CI_SYS_ID]
  fields: sys_id,name,sys_class_name,ip_address,os,environment,business_criticality,support_group,department,location,operational_status
  limit: 1

複数の資産に影響するインシデントでは、関連レコードを基にクエリします。

Tool: SN-Query-Table
Parameters:
  table_name: cmdb_ci
  query: sys_idIN[CI_SYS_ID_1,CI_SYS_ID_2,CI_SYS_ID_3]
  fields: sys_id,name,sys_class_name,ip_address,os,environment,business_criticality,support_group,department,location,operational_status
  limit: 20

REST を使用する場合：

GET /api/now/table/cmdb_ci?sysparm_query=sys_id=[CMDB_CI_SYS_ID]&sysparm_fields=sys_id,name,sys_class_name,ip_address,os,environment,business_criticality,support_group,department,location,operational_status&sysparm_limit=1&sysparm_display_value=true

ステップ 3：脅威オブザーバブルと IOC を取得する

インシデントに関連付けられたすべての侵害指標を収集します。

MCP を使用する場合：

Tool: SN-Query-Table
Parameters:
  table_name: sn_ti_observable
  query: security_incident=[INCIDENT_SYS_ID]
  fields: sys_id,type,value,source,confidence,first_seen,last_seen,threat_score
  limit: 100

REST を使用する場合：

GET /api/now/table/sn_ti_observable?sysparm_query=security_incident=[INCIDENT_SYS_ID]&sysparm_fields=sys_id,type,value,source,confidence,first_seen,last_seen,threat_score&sysparm_limit=100

ステップ 4：封じ込めと対応タスクの状況を確認する

すべてのセキュリティインシデントタスクを取得し、対応の進捗を評価します。

MCP を使用する場合：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_task
  query: security_incident=[INCIDENT_SYS_ID]^ORDERBYopened_at
  fields: sys_id,number,short_description,state,priority,assigned_to,assignment_group,opened_at,closed_at,task_type
  limit: 50

REST を使用する場合：

GET /api/now/table/sn_si_task?sysparm_query=security_incident=[INCIDENT_SYS_ID]^ORDERBYopened_at&sysparm_fields=sys_id,number,short_description,state,priority,assigned_to,assignment_group,opened_at,closed_at,task_type&sysparm_limit=50&sysparm_display_value=true

ステップ 5：関連する脆弱性を確認する

影響を受けた資産に存在し、インシデントに関連する可能性のある脆弱性を特定します。

MCP を使用する場合：

Tool: SN-Query-Table
Parameters:
  table_name: sn_vul_vulnerable_item
  query: cmdb_ci=[AFFECTED_CI_SYS_ID]^stateINOpen,Under Investigation
  fields: sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found
  limit: 20

REST を使用する場合：

GET /api/now/table/sn_vul_vulnerable_item?sysparm_query=cmdb_ci=[AFFECTED_CI_SYS_ID]^stateINOpen,Under Investigation&sysparm_fields=sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found&sysparm_limit=20&sysparm_display_value=true

ステップ 6：状況把握のため、最近の作業メモを取得する

アナリストの最新のメモを取得し、現在の調査結果と対応を把握します。

MCP を使用する場合：

Tool: SN-Query-Table
Parameters:
  table_name: sys_journal_field
  query: name=sn_si_incident^element_id=[INCIDENT_SYS_ID]^element=work_notes^ORDERBYDESCsys_created_on
  fields: value,sys_created_on,sys_created_by
  limit: 20

REST を使用する場合：

GET /api/now/table/sys_journal_field?sysparm_query=name=sn_si_incident^element_id=[INCIDENT_SYS_ID]^element=work_notes^ORDERBYDESCsys_created_on&sysparm_fields=value,sys_created_on,sys_created_by&sysparm_limit=20

ステップ 7：エグゼクティブサマリーを作成する

CISO や経営幹部向けの概要をまとめます。

MCP を使用する場合：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [INCIDENT_SYS_ID]
  work_notes: |
    === EXECUTIVE SUMMARY ===
    Incident: SIR0009100 | Generated: 2026-03-19 14:00 UTC

    CLASSIFICATION:
    Type: Ransomware | Severity: Critical | Priority: P1
    Attack Vector: Phishing email with malicious attachment
    Kill Chain Phase: Actions on Objectives
    MITRE ATT&CK: T1566.001 (Spearphishing Attachment), T1486 (Data Encrypted for Impact)

    BUSINESS IMPACT:
    Affected System: FILESVR-03 (Production File Server)
    Business Criticality: High | Department: Finance
    Impact: File sharing services unavailable for 45 users
    Data at Risk: Financial reports, accounts payable records
    Revenue Impact: Estimated $50K/day in operational delays

    CURRENT STATUS:
    State: Containment | Progress: 60%
    - Server isolated from network (COMPLETE)
    - Forensic image captured (COMPLETE)
    - Malware analysis in progress (IN PROGRESS)
    - Backup restoration planned for tomorrow (PENDING)

    KEY DECISIONS NEEDED:
    1. Approve emergency change for server rebuild (requires CAB approval)
    2. Determine if regulatory notification is required (legal review pending)
    3. Authorize overtime for weekend recovery operations

    NEXT UPDATE: 2026-03-19 18:00 UTC

ステップ 8：技術サマリーを作成する

対応チーム向けの詳細な技術サマリーをまとめます。

MCP を使用する場合：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [INCIDENT_SYS_ID]
  work_notes: |
    === TECHNICAL SUMMARY ===
    Incident: SIR0009100 | Generated: 2026-03-19 14:00 UTC

    THREAT DETAILS:
    Malware Family: LockBit 3.0 variant
    Initial Access: Phishing email to user J.Doe (Finance)
    Delivery: .zip attachment containing .iso with embedded .lnk
    Execution: PowerShell download cradle → Cobalt Strike beacon
    Lateral Movement: PsExec to FILESVR-03 using harvested credentials
    Impact: AES-256 encryption of SMB shares (~2TB data)

    INDICATORS OF COMPROMISE:
    IP Addresses:
    - 198.51.100.45 (C2 server, confidence: 95%)
    - 203.0.113.78 (payload delivery, confidence: 90%)
    Domains:
    - update-service[.]example.com (C2, confidence: 95%)
    File Hashes (SHA256):
    - a1b2c3d4...ef56 (initial dropper)
    - f6e5d4c3...b2a1 (ransomware payload)
    Email:
    - [email protected] (sender)

    AFFECTED ASSETS:
    | Asset | Type | IP | Status | Criticality |
    |-------|------|----|--------|-------------|
    | FILESVR-03 | Windows Server | 10.1.5.20 | Isolated | High |
    | WS-FIN-042 | Workstation | 10.2.3.42 | Reimaged | Medium |

    VULNERABILITIES EXPLOITED:
    - CVE-2025-21345 (CVSS 8.8) - Windows SMB elevation of privilege
    - Outdated EDR signatures (not a CVE but contributing factor)

    RESPONSE TASKS:
    | Task | Status | Owner | ETA |
    |------|--------|-------|-----|
    | Network isolation | Complete | NetOps | Done |
    | Forensic imaging | Complete | DFIR Team | Done |
    | Malware reverse engineering | In Progress | Threat Intel | Mar 20 |
    | IOC blocklist deployment | Complete | SOC | Done |
    | Backup validation | In Progress | IT Ops | Mar 19 |
    | Server rebuild | Pending | IT Ops | Mar 20 |
    | User credential reset | Complete | IAM Team | Done |
    | Phishing awareness alert | Pending | Comms | Mar 19 |

    CONTAINMENT VERIFICATION:
    - Firewall rules blocking C2 IPs: CONFIRMED
    - DNS sinkhole for C2 domain: CONFIRMED
    - Affected user credentials reset: CONFIRMED
    - Network scan for lateral movement indicators: IN PROGRESS

ツールの使用方法

ツール	用途
SN-Get-Record	sys_id を指定してインシデントの詳細全体を取得します
SN-Query-Table	タスク、オブザーバブル、脆弱性、CI、作業メモをクエリします
SN-Add-Work-Notes	エグゼクティブサマリーと技術サマリーをインシデントに投稿します
SN-Natural-Language-Search	インシデントをすばやく検索するための自然言語クエリ

ベストプラクティス

• 対象者に合わせて要約を調整します。経営層向けの要約ではビジネスへの影響と意思決定に重点を置き、技術者向けの要約では IOC と対応アクションに重点を置きます
• 一貫した書式を使用します。受け手がインシデントごとに必要な情報をすばやく見つけられるようにします
• すべての要約にタイムスタンプを含めます。情報がどの程度最新かを読者が把握できます
• 経営層向けの要約では必要な意思決定を強調します。リーダーシップ層の行動を促します
• 技術者向けの要約では IOC を機械解析可能な形式で記載します。ブロックツールに簡単に取り込めるようにします
• MITRE ATT&CK の手法を参照します。組織全体で脅威分類を標準化します
• 進行中のインシデントでは要約を定期的に更新します。古い要約は関係者の信頼を損ないます
• 事実と評価を明確に区別します。確認済みの調査結果とアナリストの判断を明示します

トラブルシューティング

CI の詳細を取得できない

原因： インシデントの cmdb_ci フィールドが、廃止された CI、または別の CMDB クラスに属する CI を参照している可能性があります。 解決策： cmdb_ci_list を名前または IP アドレスで検索します。cmdb_ci_server、cmdb_ci_computer、またはその他のサブクラスのテーブルを確認します。

インシデントにオブザーバブルがリンクされていない

原因： 脅威インテリジェンスが取り込まれていないか、該当するインシデントにリンクされていない可能性があります。 解決策： sn_ti_observable テーブル全体を対象に、値で関連する IOC を確認します。見つかったオブザーバブルを手動でインシデントにリンクします。

タスクの種類が想定されるワークフローと一致しない

原因： プレイブックの構成によって、異なるタスクの種類や命名規則が使用される場合があります。 解決策： task_type フィルターを指定せずに sn_si_task をクエリし、すべてのタスクを確認します。インシデントのカテゴリに対応するプレイブックの構成を確認します。

例

例 1：P1 インシデントの経営層向けブリーフィング

1. 分類の詳細を含めてインシデント SIR0009100 を取得します
2. CMDB をクエリし、影響を受けたサーバーの詳細とビジネス上の重要度を確認します
3. 6 件のオブザーバブル（IP 2 件、ハッシュ 2 件、ドメイン 1 件、メールアドレス 1 件）を取得します
4. 8 件の対応タスクを特定します（5 件が完了、3 件が進行中）
5. 1 日あたり 50,000 ドルのビジネス影響を強調した経営層向け要約を作成します
6. 要約をインシデントに投稿し、CISO の配布リストにメールで送信します

例 2：複数の資産に影響するインシデントの技術者向け要約

1. ワークステーション 15 台とサーバー 2 台に影響するインシデント SIR0008750 を取得します
2. CMDB をクエリし、IP アドレスと OS バージョンを含む、影響を受けた 17 件すべての CI を確認します
3. IP、ドメイン、ハッシュ、レジストリキーの種類にわたる 23 件の IOC を収集します
4. 4 つの戦術にまたがる 7 つの MITRE ATT&CK 手法に攻撃をマッピングします
5. 資産ごとの封じ込め状況を表形式で記録します
6. 1 回の更新で経営層向けと技術者向けの両方の要約を作成します

関連スキル

• secops/correlation-insights - 要約に含める関連インシデントを特定します
• secops/shift-handover - 要約をシフト引き継ぎレポートの入力として使用します
• secops/post-incident-analysis - インシデント解決後に詳細な分析を行います
• secops/metrics-analysis - 要約の適時性を運用指標として追跡します
• security/incident-response - インシデント対応の全手順