連載シリーズ
クライアントサーバで起きた「侵害が疑われる事象」への対応記録
クライアントが運用するWebサーバで、公開サイトの障害と不審な兆候が同時に発生した際の対応を、初動・調査・封じ込め・復旧・検証・予防の順に再現可能な手順としてまとめた全6回の連載。
全7回中 7回公開済み
- 第0回
クライアントサーバで起きた「侵害が疑われる事象」への対応記録
本連載は、クライアントが運用するWebサーバで、公開サイトの障害と不審な兆候が同時に発生した際の対応を、再現可能な手順としてまとめたものです。
- 第1回
第1回｜サイトが開かない。そのとき復旧より先に守るべきもの
クライアントのWebサイトで「管理画面には入れるのに、公開サイトが正常に表示されない」という連絡を受けた。
- 第2回
第2回｜侵害の痕跡とバックドアをどう探すか
侵害が疑われるとき、見つけるべきものは「怪しいファイル」だけではない。攻撃者が再び入るための仕組み、つまり永続化の設定まで確認しなければならない。
- 第3回
第3回｜侵入経路を断定できないとき、何を信じて対処するか
「結局、どこから入られたのか」。侵害対応で最も聞かれる質問だが、最も慎重に答えるべき質問でもある。
- 第4回
第4回｜復旧の実務：認証情報を総入れ替えする
侵害の可能性があるとき、復旧作業は「不審なものを削除する」だけでは終わらない。攻撃者がすでに取得しているかもしれない認証情報を無効にし、新しい情報へ安全に切り替える必要がある。
- 第5回
第5回｜復旧後の総点検：バックドアを残さないために
不要アカウントを削除し、認証情報を変更した。ここで「もう大丈夫」と思いたくなるが、侵害対応ではその後の総点検が欠かせない。
- 第6回
第6回｜小規模チームの再発防止策：守りを日常運用に組み込む
侵害対応で最も大きなコストは、復旧そのものより「何が起きたか分からない状態」を解消することにある。だから再発防止では、完璧な防御を目指す前に、侵入されにくく、異常に早く気づき、復旧できる状態を作る。