Digital Forensics and Incident Response (DFIR)

デジタルフォレンジックとインシデント対応(DFIR)のコンポーネント

DFIRは、次の2つの主要コンポーネントで構成されています。

• デジタルフォレンジック: デジタルフォレンジック とは、電子的に保存された情報を証拠として、または事実認定を裏付けるために収集および分析するために使用される用語です。 受け入れられた方法を使用して収集された証拠、または経験豊富で有能なアナリストによって実行された証拠のコピーは、その後の分析で、およびイベント後の時点で提示されるときに信頼できます。 「フォレンジックレベル」のデータキャプチャからデータを分析すると、コンピュータシステム上の既存のコンテンツのログのレビューでは得られないアーティファクトを明らかにすることができます。 フォレンジック分析は、最近削除された情報や、他の方法では見落とされた可能性のある一連のイベントをつなぎ合わせるために使用できるアーティファクトなど、利用可能なすべての情報を回復しようとします。
• インシデント対応: インシデント対応 には、サイバー攻撃を調査して修復し、企業システムを通常の運用に戻すことが含まれます。 「インシデント対応」中、犯罪現場はライブであるため、デジタル証拠収集方法はシナリオに適応して、証拠の収集と調査のバランスを取り、法的および規制上の義務と安全な運用に戻る必要性に確実に適合させる必要があります。

DFIRの2つのコンポーネントは、ビジネス内で補完的な役割を果たします。 1つは短期的および長期的な使用のための攻撃に関する洞察を提供し、もう1つはセキュリティインシデントがビジネスに及ぼす影響を消去するものです。

DFIRの課題

しかし、DFIRは次のような大きな課題にも直面しています。

• 進化する脅威: サイバー脅威の状況は絶えず進化しており、DFIRチームはこれまでに見たことのないサイバー脅威に直面する可能性があります。 最新のサイバー攻撃キャンペーンに遅れずについていくことは、DFIRにとって大きな課題です。
• 証拠の保存: 会社にとって有用な証拠となるようにするには、証拠を慎重に収集し、必要なときに利用できるようにする必要があります。 フォレンジック証拠を劣化させずに収集することは困難であり、潜在的に関連性のあるデータが膨大な量にあるため、データの保存が困難になる可能性があります。
• コンプライアンスの維持:企業がサイバー攻撃を調査し、報告する方法については、さまざまな規制によって独自のルールが定められています。 それぞれ独自の要件を持つ多様な法律を遵守することは、DFIR チームにとって大きな課題となる可能性があります。
• 証拠ソースをマッピングし、収集計画を検討します。 組織は、証拠ソースを事前にマッピングし、ログに記録される内容、ログの保持期間、ログの検索と生成にかかる時間、侵害が疑われる、または侵害に関与した主要なシステムからのフォレンジックデータ収集またはフォレンジックイメージの実行方法などの問題を検討する必要があります。 準備と練習を行うことで、収集、分析、解決までの時間を短縮できます。

チェック・ポイントによるデジタルフォレンジックとインシデント対応

デジタルフォレンジックとインシデント対応は、組織がサイバー攻撃から回復する能力に不可欠です。しかし、効果的なDFIRには、専門的なツールと専門知識が必要です。 チェック・ポイントは、企業に必要なツールやスキルへのアクセスを提供するDFIRサービスを提供しています。

チェック・ポイントが提供できる洞察の詳細については、サンプルの根本原因分析および侵害評価レポートをご覧ください。 進行中のインシデントの管理については、 専門家にお問い合わせください。