深刻なサイバーインシデントに対応することは、ストレスが非常にかかり、時間もかなり費やすことになります。攻撃に対処するプレッシャーを完全に軽減することはできませんが、インシデント対応の専門家からのこれらの重要なヒントを把握しておくことで、組織を守る際にチームが優位な立場になることができます。このドキュメントでは、サイバーセキュリティのインシデントへの対応に関して、誰もが学ぶべき最大の教訓について説明します。チームの実際の経験に基づいています。1:できる限り早く取り掛かる組織が攻撃を受けている時は、一刻を争います。チームが取り掛かるのに時間がかかりすぎる理由はいくつかあります。一般的な理由は、自分自身が直面している状況の深刻さを理解していないこと、そして意識の低さが緊急性の欠如につながっています。タイミングの悪い時に行われる傾向があります。ほとんどのインシデント対応チームでは人員がかなり不足していることは理解できますが、「明日、取り掛かりましょう」という態度につながる可能性があります。残念ながら、明日になってから攻撃の影響を最小限に抑えようとしても遅すぎるかもしれません。困惑したチームは、警告疲れにも悩まされるため、攻撃の指標への反応が遅くなる可能性が高くなります。これにより、シグナルが意味を失うことになります。最初にケースが作成された時でも、可視性とコンテキストが不足しているため、正しい優先順位が付けられない可能性があります。これでは、時間がかかります。インシデント対応では、防御側には時間がありません。セキュリティチームが攻撃を受けていることに気付いて、すぐに何かを実行する必要がある状況にいたとしても、次に何をすべきか分からず、そのため対応に時間がかかる場合もあります。これに対処する最善の方法は、あらかじめインシデントに対する計画をしておくことです。ステップなどを学ぶことができます。ケースでファイルを暗号化することに成功しました。2:「ミッション達成」をすぐに宣告しないインシデント対応に関しては、症状を抑えるだけでは不十分です。その根本を治療することも重要となります。脅威が検出された時にまず最初に実行することは、即時攻撃を優先順位付けすることです。これは、ランサムウェアの実行ファイルやバンキング型トロイの木馬をクリーンアップしたり、データの流出をブロックしたりすることを意味します。多くの場合、チームは最初の攻撃は阻止しますが、根本原因を実際に解決していないことに気付いていません。マルウェアの削除と警告のクリアに成功したからといって、攻撃者が環境から排除されたわけではありません。検出されたものはただの攻撃者によって実行されたテストであり、どのような防御策を講じているかを確認しただけである可能性もあります。攻撃者がまだアクセスできる場合、攻撃者は再び攻撃をする可能性がありますが、さらに破壊的になるでしょう。インシデント対応チームは、軽減した最初のインシデントの根本原因を確実に対処する必要があります。波の開始に準備していますか?何千もの攻撃を修復してきたインシデント対応オペレーターは、より深く調査するタイミングと場所を把握しています。オペレーターは攻撃者がネットワーク上で実行していること、してきたこと、これから実行を計画する可能性のあるものを探し、それらも無効化します。3回の別々の攻撃を試みるのを確認しました。700台のコンピュータを標的にし、1500万米ドルの身代金要求を行っていました。チームの高度なインシデント対応スキルを活用しました。(コマンド&コントロール)通信をブロックします。2つの追加攻撃の波から防御することが出来ました。1つとなった可能性があります。チームは潜在的なランサムウェアの脅威に対応しましたが、すぐにランサムウェアの証拠がないことに気付きました。この時点で、一部のチームはケースをクローズして、他の作業に移ったかもしれません。チームは引き続き調査を行い、悪名高いバンキング型トロイの木馬を発見しました。このお客様にとって幸いなことに、脅威はもはやアクティブではありませんでした。広範な攻撃の指標となる可能性があるため、根本原因を完全に特定するために初期症状の後にやってくる状況を見越すことがなぜ重要であるかという一例として役立っています。攻撃を受けている最中でも、何も見ずに行動することほど、組織を守ることを難しくするものはありません。攻撃の潜在的な指標を正確に特定し、根本的な原因を特定することを可能にする、適切な高品質のデータにアクセスすることが重要です。優れたチームは、シグナルを確認するために適切なデータを収集し、ノイズからシグナルを分離し、どのシグナルが最も重要で優先順位が高いかを知ることができるのです。環境の可視性が制限されていると、攻撃を確実に見逃すことになります。長年にわたり、多くのビッグデータのツールが、この特定の課題を解決するために市場に投入されてきました。ログイベントのようなイベントベースのデータに依存するものもあれば、脅威ベースのデータを利用するもの、そしてハイブリッドアプローチに依存するものもあります。いずれにしても、目標は同じです。十分なデータを収集して、それ以外の方法では見逃されていたであろう攻撃を調査および対応するのに重要な情報を生成します。完全に可視化できます。しないと、攻撃の一部しか把握できない可能性があります。すべてのデータを収集することは簡単ではありません。必要以上にデータを集めることで本当に必要なものを見つけるのが難しくなっています。これにより、データ収集とストレージの費用が増加するだけなく、多くのノイズも発生し、警告による疲弊と誤検出の追跡に費やす無駄な時間が発生します。脅威の検出と対応専門家の間では、次のような格言があります。両方とも、効果的なインシデント対応プログラムを実行するには必要です。シグナルに関連した意味のあるメタデータを適用することで、アナリストはそのようなシグナルが悪意のあるものか無害なものかを判断できます。1つは、最も重要なシグナルに優先順位付けすることです。ソリューション)、AI、脅威インテリジェンス、および人間のオペレーターの知識ベースによって提供されるコンテキストの組み合わせです。コンテキストは、シグナルの発信元、攻撃の現在の段階、関連したイベント、およびビジネスへの潜在的な影響を特定するのに役立ちます。思う組織はありません。インシデント対応に関しては、対応経験に勝るものはありません。チームとセキュリティチームは、単に対処するスキルがないという状況、つまり、ビジネスに甚大な影響を与えるという状況にたびたび置かれます。インシデントの調査や対応をする熟練した人材の不足は、今日のサイバーセキュリティ業界が直面している最大の問題の一つです。いる」ことが分かりました。サービスという新しい代替手段により解決できます。サービスは、スペシャリストのチームが提供する外部委託されたセキュリティ運用であり、お客様のセキュリティチームの拡張として機能します。このサービスは、アナリスト手動の調査、脅威ハンティング、リアルタイム監視、インシデント対応をテクノロジースタックと組み合わせて、インテリジェンスを収集、および分析します。このことは、組織が、完全なセキュリティ運用とインシデント対応プログラムを実行するためには支援が必要であることに気付いているという傾向を示しています。サービスを採用しておらず、積極的な攻撃に対応している組織にとって、インシデント対応スペシャリストのサービスは最適なオプションです。インシデント対応担当者は、セキュリティチームが圧倒され、外部の専門家を必要とするときに動員され、攻撃の優先順位付けし、攻撃者を無力化にします。熟練したセキュリティアナリストを揃えたチームを持つ組織でさえ、カバレッジのギャップを埋めたり、インシデントに対応する時に必要な専門的な役割を補うためにインシデント対応サービスと協力することでメリットを得ることができます。