IPA インシデント対応・CSIRT・フォレンジックス — 頻出論点と過去問

頻出論点

1. この分野は何か

セキュリティ上の事故であるインシデントが起きたと気づいてから収束させるまでを、誰が受け付け、何を先に決め、何を記録に残すかという組織の段取りとして学ぶ分野です。社内システムの事故と自社製品の弱点では受け持つ機能が違い、同じ事故でも受付・優先順位付け・対応のどの段階かで、すべきことが変わります。

2. 実際の出題のされ方

平時の備えから発生直後の初動対応まで、基本的な体制と行動を問う問題が出題されています。業務用PCがマルウェアに感染した疑いがあるときの最初の行動を選ぶ問題や、ISMSにおけるインシデント管理の記述を選ぶ問題、CSIRTの活動例を選ぶ問題、デジタルフォレンジックスの定義を選ぶ問題など、ITパスポートの問題は利用者や担当者の行動と基本用語を問うものです。

社内のどの機能が対応するかを選ぶ問題は、応用情報技術者の午前と情報処理安全確保支援士の午前IIに出ています。自社製品の脆弱性に起因するリスクをどの社内機能が受け持つかを選ぶ形と、PSIRTが受け持つインシデントを選ぶ形があります。

CSIRTガイドが六つに分けたCSIRTの類型について、指定した類型の機能とサービス対象の組を選ぶ問題は、応用情報技術者の午前とITストラテジストの午前IIにあります。

対応の手順そのものを問う問題は高度試験の午前IIにあり、データベーススペシャリストでは手順の進む順序を、プロジェクトマネージャではインシデントハンドリングに含まれる業務、侵入されたサーバから証拠を保全する順序、演習でのレッドチームの役割を選ぶ問題が出ています。

ITサービスマネージャではCSIRTの説明をほかの組織の説明と見分ける問題が、情報処理安全確保支援士ではインシデント管理の成熟度を評価するモデルの名前を選ぶ問題が出題されました。

3. 学習のポイント

CSIRTとPSIRT（Product Security Incident Response Team）は、守る対象で分かれます。CSIRTが社内で使う情報システムの事故に対応するのに対し、PSIRTは自社が顧客に出した製品の弱点や事故に対応します。JPCERTコーディネーションセンターのCSIRTガイドの類型は、誰のために（サービス対象）何をするか（機能）の組で決まるので、名前とその組を一緒に覚えます。

インシデントハンドリングは、事故が起きてから動く事後の対応を指し、手順書の整備や訓練のように平時に備える活動とは分けて考えます。

証拠を保全する順番は、その記録がどれだけ早く消えたり書き換わったりするかで決めます。サイバーセキュリティ演習のレッドチームは、攻撃する側を受け持つチームです。インシデント管理の成熟度を測るモデルとして、SIM3の名前も確認しておきます。

4. 間違えやすいところ

ISMSのインシデント管理で、事象を評価を待たずに報告の時点でインシデントに分類するとした誤答肢がありました。報告された段階はまだ事象で、評価して初めてインシデントかどうかが決まります。

CSIRTの活動例を選ぶ問題では、OSやアプリケーションに修正プログラムを定期的に当てる日常業務を挙げた誤答肢がありました。定期的な修正の適用は平時のシステム運用の仕事で、事故に備える体制としてのCSIRTの活動例には当たりません。

マルウェア感染が疑われるPCの利用者が最初に取るべき行動として、「マルウェア対策ソフトのマルウェア定義ファイルを最新にする」とする誤答肢がありました。ネットワークにつないだまま定義ファイルを更新すると、その間に社内のほかの端末へ感染が広がったり、外部と通信されたりするおそれがあります。

インシデントハンドリングの進行順序を問う問題では、検知／連絡受付の直後にインシデントレスポンス（対応）を行い、最後にトリアージを行うとする誤答肢がありました。トリアージを飛ばして対応を始めると、限られた要員や機材をどの事故に向けるかを決められません。