インシデントレスポンス（IR）とデジタルフォレンジックの実践

1. 「侵害ゼロ」は不可能。「侵害を前提」とした防御へ

どんなに強固なファイアウォールや最新のEDR（Endpoint Detection and Response）システムを導入しても、ゼロデイ脆弱性の悪用や、標的型攻撃による従業員のフィッシング、あるいは内部不正などにより、「システムに侵入される確率を完全にゼロにすることは不可能」です。

重要なのは、侵入を防ぐ（Prevention）ことだけでなく、侵入された後に「いかに早く検知し（Detection）、被害の拡大を防ぎ（Containment）、迅速に復旧（Recovery）するか」です。これをインシデントレスポンス（Incident Response = IR）と呼びます。

2. インシデント発生時の「初動」の鉄則

マルウェア感染や情報漏洩の発覚時、パニックに陥った現場がやりがちな「最悪の初動」は以下の2つです。

• NG① 感染したPCまたはサーバーの電源を即座に落とす（強制終了する）
  揮発性メモリ（RAM）上にある重要な証拠（実行中のマルウェア、復号キー、ネットワーク接続履歴など）が全て消滅し、その後のデジタルフォレンジック（原因究明のための鑑識活動）が不可能になります。
• NG② 原因が分からないまま、とりあえずアンチウイルスでファイルだけを削除する
  感染の「根本原因（Root Cause）」が特定されていないため、バックドア（裏口）が残されたままであり、数日後に再びランサムウェアが実行され、より甚大な被害を受ける結果になります。

正しい初動（Isolation）

まずは感染が疑われる端末をネットワークから論理的または物理的に分離（LANケーブルを抜く、またはWi-Fiを切断）し、電源は入れたまま（スリープもさせない）保存することが鉄則です。
同時に、直ちにCSIRT（緊急対応チーム）や外部のセキュリティ専門家（Localhost等）にエスカレーションします。

3. デジタルフォレンジックと根本的解決

Localhostの専門チームが現場に急行（またはリモート接続）した後、以下のプロセスで鎮圧を図ります。

1. メモリフォレンジック及びディスク保全:
   Volatility等のツールを使用し、端末のメモリダンプやディスクのクローン（保全）を行い証拠を固めます。
2. IoC（Indicators of Compromise）の抽出:
   マルウェアの通信先（C&CサーバーのIPやドメイン）や特徴的なファイルハッシュ等、侵害の痕跡（IoC）を特定します。
3. 横展開（Lateral Movement）の調査:
   EDRログやWindowsイベントログ（sysmon等）を解析し、攻撃者がネットワーク内の他の端末やサーバー（Active Directory等）に権限を昇格し横展開していないか、全容を解明します。

そして最後に、完全にクリーンな状態からシステムを再構築し、発見された脆弱性（侵入経路）を塞いだ上でネットワークに再接続します。「パッチを当てて終わり」ではなく、恒久的な再発防止策と事業継続のサポートを提供します。