mcpField
S
security-incident-reporting

security-incident-reporting

github.com/dirnbauerセキュリティ3377 回インストール13 週間前に更新
リポジトリ

security-incident-reporting について

NIST SP 800-61とSANSの手法に基づき、セキュリティインシデントの記録と分析を支援するスキルです。対応チームが報告書、影響評価、事後検証をまとめ、関係者に伝える際に役立ちます。

主な機能

  1. 01インシデント対応段階と記録の枠組み
  2. 02重大度評価と指標
  3. 03タイムライン、技術分析、IoCテンプレート
  4. 04DDoS事後分析とCVEの照合
  5. 05影響評価と非難しない振り返り
  6. 06対象者に応じた報告書の配布

活用シーン

  1. 01対応中のインシデントを記録
  2. 02侵害やDDoSの事後報告を作成
  3. 03攻撃の特徴を既知のCVEと照合
  4. 04経営層、法務、顧客向けに報告を作成

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/dirnbauer/webconsulting-skills --skill security-incident-reporting

インストール後、Claude Code で/security-incident-reportingを入力して読み込まれたか確認します。

同梱ファイルSKILL-TYPO3.md

詳細

セキュリティインシデントの報告

ソース：https://github.com/dirnbauer/webconsulting-skills

NIST SP 800-61 と SANS の手法を取り入れ、セキュリティインシデントを文書化して分析するための包括的なフレームワークです。

使用するタイミング

  • セキュリティインシデント発生後（DDoS、侵害、脆弱性の悪用）
  • 事後分析ドキュメントの作成
  • ステークホルダー（経営幹部、法務、セキュリティチーム）とのコミュニケーション
  • 攻撃パターンと既知の CVE の関連付け
  • インシデント対応指標（MTTR、潜伏時間）の確立

関連スキル

1. インシデント対応フレームワーク

NIST SP 800-61 と SANS の調和
フェーズNISTSANSドキュメントの重点
1準備準備ランブック、連絡先、ツール
2検知と分析特定初期検知、トリアージ
3封じ込め封じ込め隔離措置、タイムライン
4根絶根絶根本原因の除去
5復旧復旧サービスの復元
6インシデント後教訓事後分析、改善
ドキュメント作成の原則

ログブックの原則：インシデント発生中にリアルタイムで記録し、その後、事後分析レポートにまとめます。記憶を頼りに、後からレポートを作成してはいけません。

2. 深刻度評価システム

NCISS（National Cyber Incident Scoring System）
レベルスコア説明
緊急（1）100国家レベルの攻撃、重要インフラ
深刻（2）80-99重大な影響、データの持ち出し
高（3）60-79サービスの中断、データ損失の可能性
中（4）40-59影響は限定的、侵害は封じ込め済み
低（5）20-39軽微なインシデント、データ損失なし
ベースライン（6）0-19情報提供のみ、誤検知
DDoS 耐性スコア（DRS）
レベル説明一般的な帯域幅
1-2単純なフラッド攻撃< 1 Gbps
3-4高度なマルチベクトル攻撃1-5 Gbps
5-6先進的（国家主体レベル）5-100 Gbps
7極端（超大規模ボリューム攻撃）> 100 Gbps
CVSS との統合

脆弱性に基づくインシデントでは、security-audit スキルにある CVSS 4.0 の基本スコア（旧レポートでは v3.1 も可）を含めます。

3. インシデントレポートのテンプレート

モジュール A：メタデータとエグゼクティブサマリー
# Security Incident Report

## Metadata
| Field | Value |
|-------|-------|
| Incident ID | SIR-2026-001 |
| Classification | Confidential |
| Status | Closed / Active / Under Investigation |
| Detection Time | 2026-01-21 14:32 UTC |
| Resolution Time | 2026-01-21 15:17 UTC |
| MTTR | 45 minutes |
| Severity | High (NCISS: 65) |
| Lead Analyst | Jane Doe |
| Affected Systems | web-cluster-01, cdn-edge-eu |

## Executive Summary (max 200 words)

On [DATE], our monitoring systems detected [INCIDENT TYPE] targeting [SYSTEMS].
The attack [IMPACT DESCRIPTION]. Through [RESPONSE ACTIONS], normal operations
were restored within [TIMEFRAME]. [DATA IMPACT STATEMENT].

### Business Impact
- Service Availability: [Degraded/Offline for X minutes]
- Data Impact: [None/Potential exposure of X records]
- Financial Impact: [Estimated cost]
- Reputation Impact: [Public/Internal]
モジュール B：タイムライン（時系列分析）
## Incident Timeline

| Time (UTC) | Event | Source | Action Taken |
|------------|-------|--------|--------------|
| 14:32 | Traffic spike detected | Cloudflare Alert | On-call notified |
| 14:35 | 5x baseline traffic confirmed | Grafana | Incident declared |
| 14:38 | Geo-blocking activated | Cloudflare | EU/US traffic filtered |
| 14:42 | Attack vector identified: UDP amplification | DPI Analysis | Null-route for UDP/427 |
| 14:55 | Traffic normalized | Monitoring | Mitigation confirmed |
| 15:17 | All systems stable | Status page | Incident closed |

### Dwell Time Analysis
- Time to Detection (TTD): 0 minutes (automated)
- Time to Containment (TTC): 10 minutes
- Time to Eradication (TTE): 23 minutes
- Time to Recovery (TTR): 45 minutes
モジュール C：技術分析と IoC
## Technical Analysis

### Attack Vectors (MITRE ATT&CK)
- T1498: Network Denial of Service
- T1498.001: Direct Network Flood
- T1498.002: Reflection Amplification

### Indicators of Compromise (IoCs)

#### Network Artifacts
| Type | Value | Context |
|------|-------|---------|
| IP Range | 192.0.2.0/24 | Source (spoofed) |
| ASN | AS12345 | Amplification source |
| Port | UDP/427 | SLP Amplification |
| Signature | \x00\x00\x00\x00SLP | Payload pattern |

#### System Artifacts
| Type | Value | Hash (SHA256) |
|------|-------|---------------|
| Modified File | /var/www/shell.php | a1b2c3... |
| New User | backdoor_admin | N/A |
| Cron Job | /tmp/.hidden/beacon | d4e5f6... |

### Root Cause Analysis (5-Whys)
1. Why did the attack succeed? → Amplification ports were exposed
2. Why were ports exposed? → Firewall rules not updated after migration
3. Why weren't rules updated? → No automated validation in deployment
4. Why no automation? → Security review not in CI/CD pipeline
5. Why not in pipeline? → Technical debt, prioritized features

**Root Cause**: Missing security validation in deployment pipeline

4. DDoS 事後分析

指標テーブル
指標値しきい値ステータス
最大帯域幅45 Gbps10 Gbps超過
最大パケット数/秒12M PPS5M PPS超過
最大リクエスト数/秒850K RPS100K RPS超過
一意の送信元 IP 数145,000N/A増幅
攻撃時間45 minN/A-
地理的な広がり89 か国N/Aグローバルボットネット
攻撃ベクトルの分類
ベクトルトラフィックの割合種類緩和策
UDP フラッド60%ボリューム型Null-route
SYN フラッド25%プロトコル型SYN cookies
HTTP フラッド15%アプリケーション型レート制限
マルチベクトル検知
Was this a smoke-screen attack?
├── Volumetric attack started: 14:32
├── Application-layer probing detected: 14:38
├── Login brute-force attempts: 14:40-14:45
└── Conclusion: Coordinated multi-vector attack

5. DDoS における CVE の関連付け

脅威インテリジェンスのため、攻撃シグネチャを既知の脆弱性に対応付けます。

増幅ベクトル CVE テーブル
攻撃タイプポート増幅率CVE説明
NTP MonlistUDP/123556xCVE-2013-5211NTP mode 7 monlist
MemcachedUDP/1121151,000xCVE-2018-1000115UDP リフレクション
CLDAPUDP/38970xVariousLDAP リフレクション
SLPUDP/4272,200xCVE-2023-29552Service Location Protocol
DNSUDP/5354xVariousオープンリゾルバーの悪用
SSDPUDP/190030xVariousUPnP リフレクション
ChargenUDP/19358xCVE-1999-0103文字生成サービス
分析例
## CVE Correlation Analysis

Traffic analysis shows 40% of UDP flood originated from port 427.
Deep Packet Inspection confirmed payloads typical for CVE-2023-29552.

**Conclusion**: Botnet leveraging unpatched VMware ESXi instances as
SLP reflectors. Recommend:
1. Verify our infrastructure is not acting as reflector
2. Block UDP/427 at edge
3. Report to upstream provider

6. 影響評価マトリックス

運用への影響
カテゴリレベル説明
可用性重大15 分間の完全な停止
パフォーマンス高30 分間で 50% の性能低下
波及影響中API ゲートウェイに影響
金銭的影響
カテゴリ推定コスト
収益損失$15,000
スクラビング超過料金$2,500
インシデント対応$5,000（8 人時）
合計$22,500
評判への影響
チャネル重大度必要な対応
ソーシャルメディア中発表文を準備
B2B パートナー低直接通知
報道機関なし外部報道なし

7. 非難しない事後検証

原則
  1. 個人ではなくシステムに焦点を当てる：「誰が X をしたのか？」ではなく「なぜプロセスが X を許したのか？」
  2. 善意を前提とする：全員が、入手可能な最善の情報に基づいて行動しました
  3. 処罰ではなく学習を重視する：目標は非難ではなく改善です
  4. オープンに共有する：組織として学ぶため、社内で公開します
事後検証テンプレート
## Post-Mortem: [Incident Title]

### What Happened
[Factual description of the incident]

### What Went Well
- Detection was automated (0 min TTD)
- On-call responded within SLA
- Communication was clear

### What Went Wrong
- Firewall rules were outdated
- No alerting for UDP traffic spikes
- Runbook was incomplete

### Action Items
| ID | Action | Owner | Due Date | Status |
|----|--------|-------|----------|--------|
| 1 | Add security validation to CI/CD | @devops | 2026-02-01 | Open |
| 2 | Update runbook with DDoS procedures | @security | 2026-01-28 | Open |
| 3 | Implement UDP traffic alerting | @sre | 2026-02-05 | Open |

### Lessons Learned
- Automated security gates prevent configuration drift
- Regular runbook reviews are essential
- Multi-vector attacks require layered defense

8. レポートの配布

機密区分
レベル対象者内容
経営層C レベル、取締役会概要、ビジネスへの影響、是正状況
技術セキュリティチーム、SOCすべての IoC、TTP、フォレンジックの詳細
法務法務、コンプライアンスデータへの影響、規制上の影響
公開顧客、報道機関サニタイズ済みの概要、技術的な詳細なし
保管要件
文書の種類保管期間保管場所
インシデント報告書全文7 年暗号化アーカイブ
IoC データ2 年Threat Intelligence Platform
ログと証拠1 年改ざん不可能なストレージ

9. チェックリスト

インシデント発生前の準備
  • インシデント対応ランブックを文書化済み
  • オンコールのローテーションを確立済み
  • コミュニケーション用テンプレートを準備済み
  • 証拠収集ツールを用意済み
  • ステークホルダーの連絡先リストを更新済み
インシデント発生中
  • インシデントを宣言し、記録済み
  • タイムラインの記録を開始済み
  • 証拠を保全済み（ログ、パケット）
  • ステークホルダーに通知済み
  • ステータスページを更新済み
インシデント発生後
  • インシデント報告書全文を作成済み
  • 事後検証ミーティングを予定済み
  • 対応項目を割り当て、追跡済み
  • 得られた教訓を文書化済み
  • コントロールを検証・改善済み

参考資料

クレジットと帰属

このスキルは、「Handbuch für Advanced Security Incident Reporting」の方法論に基づき、 NIST SP 800-61、SANS のフレームワーク、業界のベストプラクティスの要素を取り入れています。

webconsulting.at が Claude スキルコレクション向けに開発しました。

出典：https://github.com/dirnbauer/webconsulting-skills

コメント

Markdown 対応