フォレンジック調査｜インシデント対応サービス

対応事例

以下のようなセキュリティインシデントへの対応を支援します。

• 外部からの攻撃による情報の窃取
• 情報が漏洩した可能性がある
• Webサイトの改竄
• 外部から侵入された
• マルウェアに感染した
• 不正な通信を検知した
• 不正なアクセスを検知した

フォレンジック調査のアプローチ

クライアントPCの調査

ディスクやメモリに残されているOS特有の痕跡やログ等を元に、マルウェアを始めとした不正プログラムなどの実行履歴を始め、情報窃取の有無などを行います。また、調査により判明した攻撃者による不正行為の状況を時系列に分析し、攻撃の全容把握に努めます。

サーバーの調査

ディスクやメモリに残されている攻撃の痕跡から、外部からどのような攻撃が行われたか（どのサービスに対して、どの脆弱性が突かれたか等）の観点で調査を進め、併せて情報窃取の有無等についても調査を致します。また、攻撃者により設置された不正プログラムファイルやプログラム実行履歴などの痕跡等から、サーバ上でどのような行為があったか等の調査を実施します。

ネットワーク機器、セキュリティ製品のログ調査

ファイアウォールやプロキシサーバなどのセキュリティ機器から出力されたログを元に、外部からどのような攻撃が行われたかを始め、クライアントPCやサーバ等の調査で判明した事項との相関分析などから、情報窃取の有無等の評価を行います。

パケット解析

お客様環境に設置されたネットワークセキュリティ機器などで収集されたネットワークパケットのデータを解析し、攻撃者によってどのような攻撃が行われたか、ネットワーク侵入後にどのような活動を行ったかなどの分析を行うとともに、クライアントPCやサーバ等の調査で判明した事項との相関分析なども行い、情報窃取の有無等の評価を行います。

マルウェア解析

お客様が収集したマルウェア検体を始め、弊社によるクライアントPC、サーバ等の調査で発見したマルウェア検体、パケットの解析により抽出したマルウェア検体などを対象に動的解析または静的解析を実施し、マルウェアが有する機能の分析を始め、セキュリティ機器等での検知、攻撃の有無の調査に資する情報の分析を行います。

フォレンジック調査方針

• ファストフォレンジック

  標的型攻撃が疑われるケースなど、侵害可能性が広範囲に及んでいる可能性のあるインシデントの初動調査向けの調査方針です。Windowsマシンを主な調査対象として、限られた時間と予算の範囲で、なるべく多くのホストを調査し、被害概要を把握することを重視します。解析プラットフォームにはCDIR-Aを使用しており、お客さまご自身によるCDIR-Cを用いたデータ収集を行って頂くことで、インシデント対応の迅速化が可能です。

• アドバンスフォレンジック

  ディスク、メモリ、ログ、マルウェアなどあらゆるエビデンスを総合的に解析し、侵害の全容を明らかにします。情報の窃取や侵入がほぼ確実なケースにおいて、被害に至った経緯を含め精緻な調査が必要な場合に推奨する方針です。

インシデントレスポンスツール

CDIR - インシデント対応支援ツール

CDIRは適切な初動対応を支援することを目的としたツールです。 調査対象端末の汚染や業務への影響を最小限に抑えながら調査対象データを安全に収集し、インシデントの影響範囲と被害内容を迅速に把握することが出来ます。