インシデント対応
CoddyのCybersecurityジャーニー「セキュリティの基礎」セクションの一部。レッスン 38/43。
攻撃者が会社のアカウントに侵入したら、まず被害が広がらないようにする必要があります。その後、調査を行い、攻撃者が残したものをすべて取り除き、スタッフが安全に業務へ戻れるよう支援します。このプロセスをインシデント対応と呼びます。
攻撃者は、コンピューターからブラウザーのセッションを盗むことがあります。そのセッションではすでにサインイン済みのため、攻撃者はパスワードを入力したり、MFAを再度通過したりする必要がない場合があります。たとえば、Leeから、下記の外部セッションは自分のものではないと報告があったとします。
seclab sessions lee次のように表示されます。
user address machine since
lee 203.0.113.77 mail 2026-10-25 21:04:00調査中はLeeのアカウントを無効にしてください。これにより、新たなサインインを阻止し、すでに開いているセッションを終了できます。
seclab disable lee次のように表示されます。
Disabled lee. They can no longer log in.アカウントが無効になっている間、Leeはこのアカウントを使って業務を行えません。調査できるようアカウントの記録は保持し、問題に対処したらアクセスを復旧してください。
チャレンジ
簡単Sam（IT責任者）からのチケット
システムを移行している最中に、新しい管理者アカウントのアラートが発生しました。攻撃者はすでに注文データの一部をコピーしており、顧客リスト全体をコピーしようとしています。攻撃者が使用しているスタッフアカウントを特定し、これ以上データが持ち出される前に無効化してください。そのアカウントの記録、私のアカウント、そして承認済みのバックアップサービスは残してください。
自分で試してみよう
ターミナル