インシデント報告書

インシデントの発生後、何が起きたのかをほかの人が理解できるようにする必要があります。インシデントレポートでは、事実を説明します。攻撃者がいつ侵入したのか、どのように侵入したのか、どのアカウントを使ったのか、どの情報を持ち出したのかを記録します。

たとえば、証拠からLeeが盗まれたパスワードを使い回していたことがわかったとします。最初にログインに成功したのは08:12:04で、攻撃者は仕入先の連絡先をコピーしました。これらの事実は個別に記録します。

seclab answer first 08:12:04

次のように表示されます。

Recorded your answer to first.

seclab answer entry reused password

次のように表示されます。

Recorded your answer to entry.

seclab answer accounts lee

次のように表示されます。

Recorded your answer to accounts.

seclab answer loss supplier contacts

次のように表示されます。

Recorded your answer to loss.

攻撃者が最初に侵入した時刻を使います。これはアラームが鳴った時刻より早い場合があります。データの損失については、実際に持ち出されたものを報告してください。より大きなダウンロードが起きる前に阻止した場合、それを攻撃者が受け取った情報として数えてはいけません。