更新：この投稿は、に最初に公開され 2021年2月12日、PISRL、サイバーセキュリティフレームワーク、および劇的に変化する脅威の状況を反映して更新されました。
進化を続けるデジタル脅威の状況では、サイバーセキュリティの防御を強化し、インシデントに効果的に対応しようとする企業にとって 、インシデント対応(IR)計画 の理解と実装が不可欠です。 そうした方法の1つがPISRLです。このサイバーセキュリティフレームワークは、組織が現在のセキュリティインシデントに対応し、将来発生する可能性のあるインシデントに対する防御を強化するために採用できるものです。
データ侵害、ランサムウェアイベント、その他のサイバー攻撃など、サイバーセキュリティインシデントへの対応は、企業日常業務に劇的な損害をもたらす可能性があります。
効果的なインシデント対応がなければ、セキュリティインシデントは一般の信頼を損ない、ブランド価値を損ない、収益を大きく奪う可能性があります。このブログ
では、その起源の簡単な履歴を含む、すべてのPISRLを調査し、PISRLを他の一般的なサイバーセキュリティモデルと比較し、インシデント管理に関する実際の知見を提供し、PISRLやその他の セキュリティフレームワーク などのプロセスの実装を企業で成功に導くことができます。
サイバーセキュリティにおけるPISRLとは？
PICERLは、 P repare、 I dentify、 C ontain、 E radicate、 R ecover、 L essons Learnedの6ステップインシデント対応プロセスです。
セキュリティ調査と教育を提供するために 1989 年に設立された民間企業SANSによって設立されたPISRLモデルは、インシデント対応の業界標準となっています。 PICERLは、セキュリティインシデントを処理するための構造化された包括的なアプローチであるため、多くの企業が効果的なフレームワークと見なしています。
PICERLに従うことで、組織はインシデントに対する十分な準備をし（準備）、インシデントを迅速に特定するし（識別）、それ以上の損害を防止するための脅威を封じ込め（封じ込め）、システムから脅威を根絶し（根絶）、インシデントから通常の運用に復旧し（復旧）、インシデントから学び、今後の対応を改善できます（学習済みレッスン）。
インシデントの影響を最小限に抑え企業全体的なセキュリティ体制を強化するために、現在実践できる実践可能な重要点を強調しながら、PISRLのステップを詳しく見ていきましょう。
ステップ1。 準備する
準備により、適切なチームの適切な人材が関与し、その役割を理解し、インシデントが発生したときに何をすべきかを把握できます。
準備フェーズでは、 インシデント対応チームが 、組織のバックアップおよびデータリカバリ(DR)手順の実践方法など、実践できる計画を作成する必要があります。
IR計画は、弱点に対処するために定期的にリハーサルする必要があります。 モックIRドリルは、実際のインシデントのプレッシャーの下で実行する自信をチームメンバーに提供します。
[続きを読む: AI vs. 人間: SecOpsが（そうでない）次の戦場になる理由]
模擬演習に参加するIRチームは、次のような質問に答えられるはずです。
- 誰がPR (PR)チームに通知しますか？
- 誰が合法なことを通知しますか？
- 財務部門に通知するのは誰ですか？
- 法強制機関または規制当局に通知する必要があるのはいつですか？
準備フェーズでは、適切なツールがあるかどうかも判断します。 そうでない場合は、調達してチームメンバーにトレーニングを提供するために必要な資金がありますか？ インシデント対応計画が作成されたら、シニアリーダーシップが計画をサポートする予算を含めて、その計画をレビューして承認することが重要です。
ステップ 2。 特定する
インシデントが発生したと判断したら、特定するフェーズでは次のような質問に答えてトリアージを開始します。
- いつ開始しましたか？また、どのように発生しましたか？
- どのエントリポイントでしたか？
- パッチが適用されていない脆弱性でしたか？
- 誰が見つけたのか、そしてどうやって見つけたのか。
- その範囲を知っているか？ 1つか2つの個人または資産に限定されていますか？それとも広範囲に広がっていますか？
- ビジネスを継続できますか？
- どのような手順を取るかは、当社の事業部門の1つに影響しますか？
多くの場合、侵入口は資格情報の侵害です。 そこからインシデントがエスカレートし、攻撃者は環境内のあらゆる機会を利用します。
[こちらもお読みください：脆弱性スキャンの必須事項と、それが最新のサイバーセキュリティにとって重要である理由をご覧ください]
Taniumは、エンドポイントに関する深い洞察を使用して脅威を徹底的に調査します
脅威の特定の成功を改善するため、組織は対応プロセスの準備とテスト をギャミファイし始め ています。 例、 フィッシングメール を見つけたチームにアワードを提供したり、チェックリスト計画を迅速かつ明確に実行したりできます。 ゲーミフィケーションは、初心者レベルのセキュリティ専門家にとって特に有用です。
ステップ 3。 封じ込め
インシデントが宣言されると、封じ込めは不要な動作が拡散するのを防ぐために計画を実行することです。 封じ込め方法に関する一般的な考え方は2つあり、それぞれに長所と短所があります。
短期的な封じ込め戦略 は、セキュリティツール以外のものと侵害されたシステム、IT資産、またはアプリケーションが通信しないようにするための隔離コマンドを発行するのと同じくらい簡単です。 これには、より永続的なソリューションの開発中にさらなる損害を防ぐために、影響を受けたシステムの隔離、悪意のあるトラフィックのブロック、侵害されたアカウントの無効化などの迅速な対策が含まれます。短期的な封じ込め戦略
を持つことは、セキュリティインシデントの即時影響を制限する上で重要なステップです。 インシデント管理の初期段階では、事業運営を維持し、中断を最小限に抑えることができます。
[Read also: IT Asset Managementとは？ ITAMの説明]
長期封じ込め は企業に実装された修正ですが、インシデントの根本原因を完全に修正できないと考えられます。 インシデント対応における長期的な封じ込め戦略は、セキュリティ侵害に持続可能なソリューションを提供し、脅威が一時的に制御されるだけでなく、再発を防ぐように設計されています。 これには、システムのアップグレード、 パッチ管理、ネットワークセグメンテーション、高度なセキュリティプロトコルの実装が含まれる場合があります。
例、インシデントに関連するパッチが適用されていない脆弱性がありますか？ その場合は、Questionソフトウェアであるアプリケーションまたはオペレーティングシステムのパッチスケジュールの加速は、長期的な封じ込め戦略の一部として含める必要があります。封じ込めプロセス中に含めるべき
もう一つの重要なタスクは、管理者アクセス権を持つユーザと、次のようなシステムを再検討することです。
- ADに対する攻撃対象領域は何ですか？
- 多要素認証を有効にしましたか？
データのバックアップおよびリカバリシステムに接続した長期的な封じ込め戦略を用意することをお勧めします。そうすることで、データが適切に複製され、インシデントが発生する前の状態に簡単に回復できる可能性が高まります。
ステップ 4。 消去
これで、侵害の原因であるルートと拠点を排除しようとしています。 これは何を意味しますか？ たとえば、マルウェアが見つかったインスタンス場合は、特定するできるすべてのインスタンスを安全に削除できます。 必要に応じてシステムを強化し、パッチを適用しました。 強化できないシステムを再イメージ化しました。 脅威インテリジェンスを更新して、侵害に関連する痕跡特定するできるようにしました。
インシデント処理プロセスが展開されている間、作業の範囲が変わる可能性があります。 例、ランサムウェア攻撃の後、前回の既知の良好なバックアップから再イメージングして復元する必要があるシステムがたくさんあることがあります。 また、攻撃に関連する痕跡をすべて検出できなかったり、悪用された脆弱性に対処できなかったりすると、再び攻撃される可能性があります。
根絶の鍵は徹底性です。 この究極的なQuestionは、すべてを見つけたかどうか、どんな「それ」でもです。 専門的な専門知識サードパーティを持つパートナーまたは第三者は、多くの場合、クリーンアップに役立ちます。
ステップ 5。 回復
根絶から回復への移行は、手術から生まれるようなものです。 被害は終わったので、今は回復に重点を置きます。
インシデント対応の観点から、次のことに答えて、正直に話してください。
- 影響を受けるシステムを本番環境に戻すことができるのはいつですか？
- パッチを適用、強化、テストしましたか？
- 社内の レッドチーム を使用して、攻撃者と同じ手法を使用して、これらのシステムに対する模擬攻撃を実行しましたか？
リカバリは、影響を受けるシステムとプロセスを侵害前の機能に復元できる速度によって測定されます。 リカバリとは、インシデント後に監視範囲を変更する方法を定義することを意味します。 侵害の原因となったアクティビティを監視する期間( 30 日、3か月、6か月例）と、探しているものを正確に特定します。
ここでも、レッドチームのテストと封じ込め中に収集された痕跡が役立ちます。 回復フェーズの最後に、「脆弱性に対処しました」と言えるはずです。
セキュリティ専門家の間では、 平均修復時間(MTTR)数、または識別、封じ込め、根絶フェーズを通過するのに要する時間を短縮する傾向が強くなっています。 IR計画が成熟し、チームがIR計画の実践に長くなるにつれて、MTTRと 平均Detect時間(MTTD) は減少します。 これらの指標を経時的に追跡することで、PISRLフレームワークが企業にとって効果的なインシデント対応モデルであるかどうかを把握できます。
ステップ 6。 学んだ教訓
この手順は、インシデント対応チームおよび情報セキュリティ、コンプライアンス、法務、PRなどの関連部門の全員を含む事後対応ミーティングから始める必要があります。 ここでは、次のようなインシデントについて学んだことを確認および文書化できます。
- IR計画のどの部分がうまくいきましたか？ 何がそうでしたか？
- 追加の人員が必要なギャップはありましたか？ リソースのリストに記載されていないサードパーティまたは社内チームに連絡する必要がありましたか？
- インシデントに基づいて、運用方法を変更する必要がありますか？
- 効果的にツールを使用しましたか？ それらは適切に設定されましたか？
- チーム間の通信はどうでしたか？ 改善できますか？
- ソーシャルエンジニアリング攻撃 や不適切なデータ処理など、侵害に対する従業員の側面はありましたか？ これはトレーニングで対処できますか？
- 脆弱性は、組織全体のビジネスラインに固有でしたか、それとも流行しましたか企業？
- 別の運用構造またはプロセスを使用して脆弱性に対処できますか？
IR計画の柔軟性が高いほど、インシデントが発生したときにそのインシデントから学ぶことができます。 その後、学習したすべての内容を準備フェーズにフィードバックして、改善と改善を図る必要があります。
[続きを読む: Taniumが進化するサイバー脅威やデータ侵害から企業を保護する 7 の方法]
PICERLはNISTと異なりますか？
PICERLと NIST サイバーセキュリティフレームワークは、インシデント対応の一般的な手法ですが、構造と焦点は異なります。
[こちらもお読みください：Taniumを使用したNISTサイバーセキュリティフレームワーク 2.0 の運用]
PICERLは、6つのフェーズを使用してセキュリティインシデントを管理するシーケンシャルアプローチを提供します。 これに対し、NISTは、サイバーセキュリティリスクの管理に役立つ5つのCore機能（特定する、保護、Detect、対応、回復）を中心に構築された、より広範で柔軟性の高い一連のガイドラインです。
PICERLはインシデント対応の詳細プレイブックであり、NISTフレームワークは全体的な サイバーセキュリティリスク管理のためのより包括的なガイドです。 しかし、NISTフレームワークは一般的に規範的ではなく、サイバーセキュリティの大レベルサイバーセキュリティ成果の分類と、その成果を達成するためのリソースへのリンクのみを提供します。
これはインシデント対応計画にとって何を意味しますか？ 通常、組織はNISTフレームワークの広範なコンテキスト内でインシデント対応にPISRLを使用してサイバーセキュリティリスクを効果的に管理します。
PICERLは最良のインシデント対応モデルか？
PICERLはインシデント対応に詳細かつ構造化されたアプローチを提供しインシデント対応、大規模な組織や複雑なIT環境を持つ組織にメリットをもたらします。 しかし、PISRLフレームワークは、広範な準備の必要性、インシデントの特定と封じ込めの複雑さの可能性、すべてのスタッフが適切にトレーニングされていることを確認するなどの課題もももたらします。
これらの課題は、PISRLのようなアジャイルプロセスを持つフレームワークと比較してより柔軟なアプローチを提供するように設計された新しいインシデント対応モデルへの道を開き、効果的なインシデント対応を実行するために必要な戦略を再考する上で重要な転換点を示しています。
このようなモデルの1つは、SOAR、または S ecurity O rchestration、 A utomation、および R esponseです。 SOARは応答の自動化に重点を置いており、リソースが限られている組織では、即時応答が必要なインシデントに対処するために特に有用です。
同様に、 DAIR、または D ynamic I ncident R esponseへのアプローチも人気が高まっています。これは、PISRLのような順序で発生する必要がない、ウェイポイントやマイルストーンを使用したインシデント対応へのアプローチを重視するためです。 DAIRモデルは、段階的なアプローチではなく、結果と結果の達成に役立つ活動に焦点を当てる指針となります。
サイバー脅威の混沌とした性質により、ますます巧妙化する攻撃に迅速に対処する能力は、最新のインシデント対応計画と、脅威を迅速にピボットして修正するし、予算や サイバー人材のギャップを縮小して対応できる必要があることを意味します。
今日のセキュリティインシデントはルールブックに従っていないため、インシデント対応計画を立てるべき理由は何ですか？
インシデント対応フレームワークの選択方法
この記事では、インシデント対応の詳細なロードマップを提供することで、セキュリティモデルランドスケープにおいてPISRLが従来どのように際立ってきたかを学びました。 ただし、各インシデント対応モデルには長所と課題があります。
最終的には、企業順守するインシデント対応計画は、業界の特定のサイバーセキュリティ問題に合わせてカスタマイズする必要があります。 IR計画を効果的に行うには、利用可能なリソース、ツール、人員を効率的に活用しながら、現実のシナリオで実行可能であり、新しい脅威が出現するたびに対応できることを証明する必要があります。
インシデント対応計画の継続的な改善と進化は、サイバーセキュリティの一歩先を行くために不可欠です。 PICERL、DAIR、または企業のニーズに応えるために独自に設計された別のモデルのいずれであっても、重要なのは、現在のセキュリティニーズに対処し、将来のサイバー脅威に自信を持って直面するための計画を企業ることです。
Taniumは、すべてのフレームワークに比類のないサイバーセキュリティサポートを提供します Tanium Incident Responseは、異種のポイント製品ツールを統合ソリューションに置き換え、組織が脆弱性を迅速に特定する、管理、修正するできるようにします。
Taniumは、現在のSIEMおよびEDRツールの機能を強化し、脅威検知とインシデント対応の取り組みをプロアクティブな防御手段に変換することで、ユーザーの生産性の中断を最小限に抑え、サイバーレジリエンスを強化します。
Tanium Automateとともにリアルタイムに可視化と包括的なエンドポイントデータを活用することで、コーディングの専門知識をほとんど必要としない複雑なタスクをスケールに自動化するために構築された当社の最新テクノロジを活用することで、あらゆる規模とスキルレベルチームがより効果的、生産的、効率的になることができます。
カスタムライブデモをスケジュールして、 ご使用の環境でTaniumを確認します。
