改ざんサイトの復旧：Incident Recoveryの範囲

何であるのか

本スプリントは、報告された問題、影響を受けたWebサイト、承認いただけるアクセス、本番環境の変更可能時間帯を確認する優先受付から始まります。続いて、入手可能なログ、シグナル、サイト上の証跡を確認し、見えている内容を分類し、確定したアクセスの範囲内で影響を受けたサイトを封じ込めます。除去の対象は、不正なコード、バックドア、不正なユーザーアカウントです。その後、サイトを安全に復旧させ、確認の中で特定した侵入経路を塞ぎます。強化に関する推奨事項を記載した書面の報告書をお渡しします。プランによっては、指摘事項のライブ説明、または合意した対応後の1回のフォローアップ検証レビューも含まれます。本作業は合意した範囲内での復旧に焦点を当て、証拠解析の報告、侵害に関する法的判断、公的な通知、継続的な監視は、適切な専門家が担います。

誰のために

本エンゲージメントは、次のようなチームに有用です。

• WebサイトやWordPressサイトが改ざんされ、実作業による除去と安全な復旧を必要としているチーム
• サイト上に見覚えのないコンテンツ、リダイレクト、スパムページ、不明な管理者アカウントが見られるチーム
• 侵害のあと、ホスティング事業者によってサイトを停止されたチーム
• 影響を受けたサイトとホスティングへのアクセスを承認でき、変更の意思決定者を指名できるチーム

明確にするのに役立つこと

本スプリントで把握できること：

• 報告された問題と入手可能な証跡から何が見えているか、何が未確認のまま残っているか
• 範囲内で、どの不正なコード、バックドア、不正なユーザー、侵入経路が見つかり、対処されたか
• 再度の侵害の可能性を下げるために、次にどの強化策を講じるべきか
• 証拠解析、法務、通知、監視、より広範なセキュリティ作業について、別途のニーズがあるかどうか

含まれる内容

• 報告された問題、影響を受けたWebサイト、承認されたアクセス、本番環境の変更可能時間帯を確認する優先受付
• 問題の初期確認と分類（プランに含まれる場合は、入手可能なログとシグナルを含む）
• 確定したアクセスの範囲内での、影響を受けたサイトの実地での封じ込め
• 不正なコード、バックドア、不正なユーザーの除去
• 安全な復旧と、特定した侵入経路の封鎖
• 強化に関する推奨事項を記載した書面の報告書（プランに含まれる場合は、ライブ説明またはフォローアップ検証を追加）

含まれていないもの

• 常時対応のインシデント対応、緊急対応の待機契約、確定した対応時間、SOC/MDRによるリアルタイム監視
• 書面の範囲で確定していないWebサイト、アカウント、サーバーでの実作業
• デジタル証拠解析、証拠解析の報告書、法的証拠能力を前提とした証拠保全の連鎖に関する作業、侵害の判定、規制当局への通知、法的助言
• 完全な除去、またはあらゆる痕跡の削除の約束
• 別途範囲を定めない限り、ペネトレーションテスト、Red Team Exercise、Threat Hunting

それを選ぶべきとき

WebサイトやWordPressサイトに、想定外のコンテンツ、リダイレクト、スパム、不明なユーザー、ホスティングの停止、管理者アカウントの喪失などの侵害の兆候があり、定めた範囲内でサイトの除去と復旧が必要な場合に、本サービスをお選びください。影響を受けたサイトとホスティングへのアクセスを承認でき、意思決定者を指名し、本番環境の変更可能時間帯に合意できる場合に最も効果を発揮します。懸念がより広範なインフラ、社内システム、規制対象の調査に及ぶ場合は、本スプリントと並行して、またはその代わりに、別途の範囲や、専門の対応・証拠解析・法務の提供者が必要になることがあります。

私たちのアプローチ

まず、Webサイト、アクセス、変更可能時間帯を書面で確認し、実作業が合意した境界内にとどまるようにします。変更を加える前に、入手可能な証跡を確認し、見えている内容を分類します。最初に封じ込めを行い、続いて不正なコード、バックドア、不正なユーザーを除去します。そのうえでサイトを安全に復旧させ、確認の中で特定した侵入経路を塞ぎます。すべての対応を記録し、書面の報告書では、見つかったもの、変更したもの、不確かなまま残るもの、次に推奨する強化策を区別して示します。別のサーバー、証拠解析の必要性、法的義務や通知義務など、範囲外の問いについては、その旨を明確にお伝えし、適切な次のステップをご案内します。プランに含まれる場合は、引き継ぎ後にフォローアップ検証レビューで合意した対応を確認します。

よくある質問

関連記事