triaging-security-incident

セキュリティインシデントのトリアージ

使用する場面

• SIEM または EDR のアラートが発生し、エスカレーション前に人による分類が必要な場合
• 複数のアラートが同時に届き、SOC が対応の優先順位を決める必要がある場合
• エンドユーザーから不審なアクティビティが報告され、インシデントの初期分類が必要な場合
• 脅威インテリジェンスフィードが、環境内で観測された IOC と一致した場合

使用しないでください：アクティブなセキュリティインシデントを示さない、通常の脆弱性スキャン結果やコンプライアンス監査の所見には使用しないでください。

前提条件

• 最新のアラートデータを含む SIEM プラットフォーム（Splunk、Elastic、Microsoft Sentinel）へのアクセス
• NIST SP 800-61r3 のカテゴリに準拠したインシデント分類体系
• 資産の重要度と脅威の種類を対応付ける、事前定義済みの重大度マトリックス
• エスカレーション経路（Tier 1 から Tier 3 および CIRT）の連絡先一覧
• ビジネス上の重要度評価を含む資産インベントリ

ワークフロー

ステップ 1：初期アラートデータを収集する

分類を決定する前に、トリガーとなったアラートから入手可能なすべてのコンテキストを収集します。

• アラートの発生元：アラートを生成した検知システム（EDR、SIEM、IDS/IPS、ファイアウォール、ユーザー報告）
• タイムスタンプ：イベントの発生時刻と検知時刻（滞留時間の差）
• 影響を受けた資産：関連するホスト名、IP アドレス、ユーザーアカウント
• アラートの精度：この検知ルールの過去の真陽性率
• 生の証拠：ログエントリ、パケットキャプチャ、プロセス実行チェーン

Example SIEM alert context:
Source:       CrowdStrike Falcon
Detection:    Suspicious PowerShell Execution (T1059.001)
Host:         WORKSTATION-FIN-042
User:         [email protected]
Timestamp:    2025-11-15T14:23:17Z
Severity:     High (detection rule confidence: 92%)
Process:      powershell.exe -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoA...
Parent:       outlook.exe (PID 4812)

ステップ 2：インシデントの種類を分類する

NIST SP 800-61r3 に従い、アラートを標準的なインシデントカテゴリに対応付けます。

カテゴリ	例
不正アクセス	認証情報の侵害、権限昇格、IDOR
サービス拒否	大量の DDoS、アプリケーション層へのフラッド、リソース枯渇
悪意のあるコード	マルウェアの実行、ランサムウェアの起動、クリプトマイナー
不適切な使用	ポリシー違反、内部関係者によるデータ流出、シャドー IT
偵察	ポートスキャン、ディレクトリ列挙、認証情報のスプレー攻撃
Web アプリケーション攻撃	SQL インジェクション、XSS、SSRF の悪用

ステップ 3：影響度マトリックスを使用して重大度を割り当てる

資産の重要度と脅威の重大度を組み合わせて、重大度を算出します。

Severity = f(Asset Criticality, Threat Type, Data Sensitivity, Lateral Movement Potential)

Critical (P1): Crown jewel systems compromised, active data exfiltration, ransomware spreading
High (P2):     Production system compromise, confirmed malware execution, privileged account takeover
Medium (P3):   Non-production compromise, unsuccessful exploitation attempt, single endpoint malware
Low (P4):      Reconnaissance activity, policy violation, benign true positive

対応 SLA の目標：

• P1：15 分以内に受領確認、1 時間以内に封じ込め
• P2：30 分以内に受領確認、4 時間以内に封じ込め
• P3：2 時間以内に受領確認、24 時間以内に調査
• P4：8 時間以内に受領確認、72 時間以内に調査

ステップ 4：初期のコンテキスト情報を付加する

エスカレーション前に、コンテキストデータを付加してアラートを拡充します。

• 脅威インテリジェンス：IOC（IP、ハッシュ、ドメイン）を脅威インテリジェンスプラットフォーム（VirusTotal、OTX、MISP）で確認します
• 資産のコンテキスト：CMDB を照会して、資産の所有者、ビジネス機能、データ分類を確認します
• ユーザーのコンテキスト：ID プロバイダーで最近の認証異常と MFA の状態を確認します
• 過去の相関関係：過去 30 日間に同じホスト／ユーザーで発生した関連アラートを検索します
• ネットワークのコンテキスト：送信元／宛先 IP が内部、既知のパートナー、外部の脅威アクターのいずれかを確認します

ステップ 5：記録してエスカレーションする

構造化されたトリアージ記録を作成し、適切な対応ティアに引き継ぎます。

Incident Triage Record
━━━━━━━━━━━━━━━━━━━━━
Ticket ID:       INC-2025-1547
Triage Analyst:  [analyst name]
Triage Time:     2025-11-15T14:35:00Z (12 min from alert)
Classification:  Malicious Code - Macro-based initial access
Severity:        P2 - High
Affected Assets: WORKSTATION-FIN-042 (Finance dept, handles PII)
Affected Users:  [email protected]
IOCs Identified: powershell.exe spawned by outlook.exe, encoded command
TI Matches:      Base64 payload matches known Qakbot loader pattern
Escalation:      Tier 2 - Malware IR team
Recommended:     Isolate endpoint, preserve memory dump, block sender domain

ステップ 6：封じ込めの保留措置を開始する

重大度が P1 または P2 の場合、調査が完了するまで待たずに、直ちに封じ込め措置を開始します。

• EDR を使用して影響を受けたエンドポイントをネットワークから隔離します（CrowdStrike contain、Defender isolate）
• Active Directory または ID プロバイダーで侵害されたユーザーアカウントを無効にします
• 特定された悪意のある IP／ドメインをファイアウォールおよび DNS シンクホールでブロックします
• 修復の前に揮発性の証拠（メモリダンプ）を保全します

主要な概念

用語	定義
トリアージ	重大度とビジネスへの影響に基づいて、セキュリティインシデントを分類し、優先順位を付ける迅速な評価プロセスです
PICERL	SANS のインシデント対応フレームワークです。Preparation（準備）、Identification（特定）、Containment（封じ込め）、Eradication（根絶）、Recovery（復旧）、Lessons Learned（教訓）で構成されます
潜伏期間	最初の侵害から検知までの期間です。Mandiant M-Trends 2025 によると、平均は 10 日です
真陽性率	検知ルールによるアラートのうち、実際のセキュリティインシデントを示すものの割合です
重要資産	ビジネス運用に不可欠なシステムやデータです。侵害された場合、組織に深刻な影響を及ぼします
アラート疲れ	精度の低いアラートや誤検知アラートが大量に発生することで、アナリストのパフォーマンスが低下することです
平均確認時間（MTTA）	アラートの生成からアナリストによる確認までの平均時間です。SOC の主要なパフォーマンス指標です

ツールとシステム

• Splunk Enterprise Security：アラートの集約、相関分析、トリアージワークフロー管理を行う SIEM プラットフォームです
• CrowdStrike Falcon：エンドポイントテレメトリ、検知、ワンクリックでのホスト封じ込め機能を提供する EDR プラットフォームです
• TheHive：ケース管理、タスク追跡、チームコラボレーションを行うオープンソースのインシデント対応プラットフォームです
• MISP：トリアージ中の IOC のエンリッチメントに使用する、脅威インテリジェンス共有プラットフォームです
• Cortex XSOAR：エンリッチメントのプレイブックとトリアージの判断ツリーを自動化する SOAR プラットフォームです

よくあるシナリオ

シナリオ：メールクライアントから起動されたエンコード済み PowerShell

状況：SOC アナリストが、財務部門のワークステーションで outlook.exe の子プロセスとして起動した powershell.exe に Base64 エンコードされたコマンドが含まれることを示す P2 アラートを受け取ります。

対応方法：

1. Base64 ペイロードをデコードして、コマンドの意図を特定します
2. 親プロセスの連鎖を確認して異常がないか調べます（Outlook が PowerShell を起動するのは異常です）
3. デコードしたペイロードのハッシュを VirusTotal で照会します
4. メールゲートウェイのログと相関させて、該当するメールと送信者を特定します
5. 組織内の他の受信者にも同じメールが届いているか確認します
6. エンドポイントを隔離し、トリアージの全情報を添えて Tier 2 にエスカレーションします

注意点：

• ペイロードをデコードせずに、エンコードされた PowerShell を誤検知として却下する
• 同じフィッシングメールを受信した他の宛先へのラテラルな拡散を確認しない
• 揮発性メモリの証拠を取得する前にエンドポイントを修復する

出力形式

INCIDENT TRIAGE REPORT
======================
Ticket:          INC-[YYYY]-[NNNN]
Date/Time:       [ISO 8601 timestamp]
Triage Analyst:  [Name]
Time to Triage:  [minutes from alert to classification]

CLASSIFICATION
Type:            [NIST category]
Severity:        [P1-P4] - [Critical/High/Medium/Low]
Confidence:      [High/Medium/Low]
MITRE ATT&CK:   [Technique ID and name]

AFFECTED SCOPE
Assets:          [hostname(s), IP(s)]
Users:           [account(s)]
Data at Risk:    [classification level]
Business Unit:   [department]

EVIDENCE SUMMARY
[Bullet list of key observations]

ENRICHMENT RESULTS
TI Matches:      [Yes/No - details]
Historical:      [Related prior incidents]
Asset Criticality: [rating]

RECOMMENDED ACTIONS
1. [Immediate action]
2. [Investigation step]
3. [Escalation target]

ESCALATION
Routed To:       [Team/Individual]
SLA Target:      [Containment deadline]