5. 検知・対応・復旧：発見後の一時間を設計する

5.1 検知は「アラート」ではなく意思決定能力

ランサムウェアに対する検知の価値は、通知の数ではなく、侵害の可能性を判断し、影響を限定し、証拠を保全し、事業への影響を説明できる速度にある。ログをSIEMに集めても、資産名、担当、通常状態、操作承認、連絡経路が不明なら、夜間の高重大度アラートを処理できない。

優先すべきログ面

• ID：認証成功・失敗、MFA変更、特権ロール、アプリ同意、条件付きアクセス例外。
• 端末・サーバー：EDR検知、保護機能停止、管理者権限変更、異常なプロセス・ファイル操作。
• ネットワーク：外部公開サービス、管理経路、DNS、プロキシ、VPN、境界機器。
• クラウド・SaaS：管理操作、監査ログ、データ共有、メールルール、ストレージ操作。
• バックアップ・仮想化：保持変更、削除、暗号鍵、管理者ログイン、ジョブ失敗。

保持期間は「コンプライアンスで最低何日」だけで決めない。侵害を発見してから、どこまで遡って範囲を見たいか、契約・規制・保険が何を求めるか、調査者が時刻を相関できるかで決める。

5.2 初動の原則

1. 人命・安全・重要業務への直近影響を確認する。
2. 変更を止め、必要な証拠を保全する。
3. 侵害が疑われるID・端末・接続を、影響と証拠を考慮して隔離する。
4. 正常な管理経路を仮定しない。侵害済みの可能性を前提に、別経路の連絡・管理を確保する。
5. 事実、仮説、未確認を分けたタイムラインを開始する。
6. 技術・経営・法務・広報の指揮系統を起動する。

「すぐに全部の電源を落とす」は万能な初動ではない。拡大を止める必要がある一方、揮発性情報、通信記録、メモリ、ログ、稼働中サービスへの影響を考える必要がある。隔離・停止・電源断の判断は、環境の性質と専門家の助言を含めて行う。

5.3 インシデント対応のフェーズ

図7　対応の流れ

準備 → 検知・分析 → 封じ込め → 根絶・再構築 → 復旧・監視 → 振り返り・改善、という循環で進める。振り返りの成果は、連絡網、資産台帳、検知、復元、例外管理へ戻す。

準備

連絡網、契約、外部支援、法務相談先、バックアップ、特権緊急アクセス、管理端末、ログ、演習を整える。これらは有事に購入・発見できないものが多い。対応が長時間・複数日に及ぶ場合に備え、交代要員と引継ぎ手順も平時に用意しておく。

検知・分析

何が起きたか、いつからか、どのID・端末・データ・業務に影響があるかを調べる。初期情報は不完全であるため、断言よりも「確認済み」「可能性」「未確認」を明示する。

封じ込め

目的は攻撃者の活動と被害の拡大を止めること。侵害が疑われるアカウント無効化、端末のネットワーク隔離、外部公開面の制限、管理経路の一時停止などを、業務影響とともに決定する。封じ込めは一回の操作では終わらず、追加情報により更新される。

根絶・再構築

悪性ファイルの削除だけではなく、侵入経路、悪用されたID、設定変更、永続化、横展開の経路を取り除く。特に管理プレーンが疑わしい場合は、信頼できる基盤からID・端末・設定を再構築する範囲を決める。

復旧・監視

優先業務を限定的に再開し、監視を強化しながら段階的に戻す。復旧成功は「画面が開く」ではなく、データ整合性、認証、連携、性能、監視、事業手順が検収できることによる。

振り返り・改善

原因だけを一つに固定せず、なぜ入口が許され、なぜ検知が遅れ、なぜ権限が広がり、なぜ復旧が難しかったかを分解する。改善項目には所有者、期限、検証方法、残存リスクを付ける。

5.4 証拠保全とタイムライン

後で最も役に立つのは、感想ではなく時刻付きの事実である。監査ログ、認証ログ、ネットワークログ、EDRイベント、設定変更、チケット、関係者の聞き取りを同じ時刻基準にそろえ、原本保全と作業コピーを分ける。

この区別は、後日の説明責任だけでなく、対応中に誤った前提が事実扱いされることを防ぐ。

5.5 外部連携

インシデントで外部専門家、保険会社、法務、捜査機関、クラウド・SaaS・通信事業者、委託先を呼ぶ場合、最初に共有するべきは憶測ではなく、環境図、連絡先、確認済みタイムライン、影響業務、実施済み措置、ログの保全状況である。FBI IC3は、苦情情報が関係機関への照会・捜査に役立つことを示している。[S02]

国・業界・契約により通知先・期限は異なるため、本書は法的助言を提供しない。平時に、個人情報、医療、決済、重要インフラ、委託契約、海外拠点の要件を法務と整理しておく。

5.6 復旧演習の実効性を高める

演習の成熟度は、次の順で上げられる。

1. 連絡網と意思決定権限を机上で検証する。
2. バックアップから単一システムを隔離環境に戻す。
3. ID、ネットワーク、アプリ、データ、監視を含む業務単位で戻す。
4. 管理者ID侵害やバックアップ管理面の障害を仮定して戻す。
5. 経営・法務・広報・委託先を含む全社演習を行う。

演習の結果は、「成功」と一言で閉じない。予定時間、実際の時間、詰まった前提、手順の属人性、アクセス権、ログ不足、復旧後の欠落、未解決のリスクを記録し、次回までに直す。これが実効性の証拠になる。

5.7 よくある失敗と代替策