インシデント対応とは？

インシデント対応の意味

準備、検知・分析、封じ込め、根絶、復旧、教訓の反映という段階で進める一連の対応。インシデントとは、サービスの品質を低下させる、または低下させるおそれのある計画外の事象を指す。

インシデント対応の具体例

Web改ざんを検知後、まず該当サーバを回線から切り離して封じ込め、設置されたバックドアを除去（根絶）し、健全なバックアップから復旧した。事後レビューで公開前の脆弱性診断が手順から抜けていたと分かり、教訓として運用手順へ反映した。

インシデント対応は試験でどう引っ掛けられる？

サービスを早く戻す暫定対応（インシデント管理）と、根本原因を突き止めて再発を防ぐ活動（問題管理）は別プロセス。原因を除去する処置が「是正処置」。

インシデント対応と関連する用語

• CSIRT
• デジタルフォレンジックス
• 問題管理

インシデント対応が出た過去問

• SOAR(Security Orchestration, Automation and Response)の説明はどれか。

  正解：脅威インテリジェンスの活用,セキュリティ運用の自動化及びインシデント対応の効率化を行う技術

  要点：SOARは製品連携と自動化でインシデント対応を効率化する

  SOARは、脅威インテリジェンスを取り込みつつ、複数のセキュリティ製品の操作をプレイブックとして連携(オーケストレーション)・自動化し、インシデント対応を効率化する技術・製品群である。よってアが正しい。ログの集約と相関分析を担うのはSIEMで、SOARはその先の対応工程まで自動化する点が異なる。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）