本連載は、クライアントが運用するWebサーバで、公開サイトの障害と不審な兆候が同時に発生した際の対応を、再現可能な手順としてまとめたものです。

実在の環境を基にしていますが、クライアント名、ドメイン名、IPアドレス、アカウント名、認証情報、具体的な設定値は匿名化・一般化しています。

また、残されたログや証跡だけでは、マルウェア感染や侵入経路を100%断定できない場合があります。本連載では「侵害が疑われる事象」と表現し、断定できない点は断定しません。その代わり、原因が確定しなくても安全な状態へ戻すために必要な対応を扱います。

全6回

  1. サイト障害を起点に、最初に何を守るべきか
  2. 侵害の痕跡とバックドアをどう探すか
  3. 侵入経路をどう考えるか――断定できないときの安全な判断
  4. 復旧の実務――アカウント、鍵、外部サービスの総入れ替え
  5. 復旧後の総点検――バックドアを残さないための確認
  6. 再発防止を運用に組み込む――小規模チームの現実的な対策

各回は単独でも読めますが、実際の対応は「初動 → 調査 → 封じ込め → 復旧 → 検証 → 予防」という順に進めることを前提にしています。