自社のサーバーに不審な通信が出ていると言われても、どのログのどこを見れば侵入の手がかりになるのか、すぐには答えられない。調べ方を知らないまま時間だけが過ぎると、被害の範囲が分からず、報告も対応も後手に回る。『実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け』は、ログ、通信データ、メモリ、ディスクに残った痕跡から攻撃を読み解く、守る側の調査手順を順番に追える本だ。
「狙われたら」の第1章から、調査の全体像が見える
本書は、もし自社が狙われたらという場面を想定したブルーチームの役割の章から始まる。そのあとテキスト処理コマンドでログから侵入の手がかりを探る章、PCAPの解析、アクセスログから攻撃の流れを可視化する章へと進む。ツールの使い方を並べるより、調査の流れそのものを順に体験していく構成になっている。
メモリとディスクの章まで進むと、ランサムウェアの調べ方が分かる
後半ではメモリ上のランサムウェアの解析、メモリに潜むマルウェアの調査、ディスクフォレンジックによるアーティファクト解析を扱う。ニュースで目にするランサムウェア被害が、実際の調査では何をどう追うことになるのか、具体的にイメージしやすくなる。最後の章は、守る側として次に何を身につけていくかで締めくくられる。
読んでおきたい理由
- ログから不審な動きを拾うとき、テキスト処理コマンドで絞り込む手順を、自分の環境の調査に置き換えて考えられる
- PCAPを開いたとき、どの通信から確認していくかの優先順位を持てる
- アクセスログから攻撃の流れを時系列でたどる発想が、障害調査にも使える
- ランサムウェアやマルウェアをメモリ上で調べる流れを知っておくと、インシデント報告を読む目が変わる
- 調査の結果を整理して、守る側として次に何を強化するかへつなげる視点が持てる
まとめ
攻撃の手口を知るだけでなく、攻撃された後に何を調べるかを知っておくと、日々のログの見え方が変わる。まず自分の担当システムで、どのログがどこに残っているかを確認するところから始めてみてほしい。ブルーチームの調査を一通り体験したい人は、本書の第2章から手を動かしてみるのがおすすめだ。