記録して、共有する
- 発見日時と症状、警告文、影響のある業務
- 対象機器・システムの種類と台数の目安
- すでに行った再起動・削除・設定変更
- バックアップ・ログの有無と保存期間
概要だけで相談できます。正確に分からない項目は「不明」で構いません。
FORENSICS / CONTAINMENT / RECOVERY
状況をつかみ、被害を抑え、
復旧の道筋をつくる。
改ざん・不正アクセス・マルウェア感染の疑いがあるとき、証拠保全と調査を踏まえて、無害化・復旧を支援します。作業を段階に分け、各段階で実施内容・費用・判断事項を共有します。
侵害対応は個別見積もり / ASKNDA・実施許可対応可否を事前確認
BEFORE THE FIRST CALL
まずは、被害拡大と記録の消失を抑える。
以下は初動の一般的な考え方です。機器・業務への影響を管理者と確認し、状況に応じて判断してください。管理者と対応をそろえる
- 安全に行える範囲で影響機器をネットワークから隔離
- 健全なバックアップを保護し、不審ファイルを開かない
- 再起動・初期化・削除等は、記録への影響を確認してから
- 連絡には侵害の疑いがない端末・アカウントを利用
初動の参考：経済産業省「中小企業のためのセキュリティインシデント対応の手引き」、JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」。個別の操作手順は対象環境に合わせて決定します。
STEP BY STEP
7つのステップと、各段階の判断。
緊急性に応じて工程は前後・並行します。調査範囲や業務停止の影響を確認しながら進めます。- 01
状況確認・受け入れ判断
いま起きていることと、優先する業務を確認
発見日時、症状、停止中の業務、対象機器・クラウド、すでに実施した操作、バックアップ・ログの有無を確認。連絡に使う端末やアカウントも、侵害の疑いがないものを選びます。
被害の規模と必要な専門性、アクセス方法、対応開始可能時期を確認します。当社だけで対応できない場合は、その理由と専門機関への相談が必要な範囲をご案内します。
判断・合意：対応可能な範囲、連絡体制、初動で優先する事項。受付のみで作業開始・即時対応を確約するものではありません。 - 02
NDA・権限・段階見積もり
調査と復旧を分け、費用と権限を明確に
NDA、管理権限・実施許可、調査対象、保全方法、データ共有先・保管期限、作業記録の扱いを合意します。保守ベンダー、ホスティング会社等との役割も確認します。
初動・調査、無害化・復旧、再発防止を段階ごとに見積もります。停止・削除・再構築・認証情報変更等の影響がある作業は、お客様の権限ある担当者の承認を得て進めます。
判断・合意：作業計画、費用、緊急時の承認手順、中止条件。追加の対象・工数は実施前に再協議します。 - 03
封じ込め・証拠保全
被害の拡大防止と、後から調べられる状態の確保
管理者と協議して、影響機器・ネットワーク・不正アカウント等を隔離・制限し、健全なバックアップを保護します。被害拡大の状況により、保全と封じ込めを並行して行います。
合意した範囲でアクセスログ、認証・監査ログ、ファイル、ディスクやクラウドのスナップショット等を取得します。取得日時・対象・担当者・方法を記録し、可能な範囲でハッシュ等による同一性確認を行います。
原本を保護し、解析は複製を基本とします。電源操作やライブ取得が証拠・稼働へ与える影響を検討し、操作順序を記録します。すべてのデータを必ず保全できるとは限りません。
確認・成果物：隔離・変更記録、保全対象一覧、取得条件・制約。証拠保全より緊急の被害抑制を優先した場合も、その判断を記録します。 - 04
フォレンジック調査
事実・推定・未確認を分けて、原因と影響を整理
ログやファイルの時系列を突き合わせ、不正ログイン、改ざん、不正な管理者・タスク、外部通信等を調査します。侵入経路、残存するアクセス手段、影響を受けた範囲を絞り込みます。
情報漏えいは、アクセス・転送等の記録を確認し、確認できた事実と疑いを区別します。記録がないことだけで「漏えいなし」「侵害なし」とは判断しません。重大な発見は最終報告を待たず共有します。
確認・成果物：暫定報告、タイムライン、根拠、影響範囲と調査上の限界。状況に応じて追加調査・専門機関への相談を判断します。 - 05
無害化・再構築
侵入経路と残存する仕組みを、両方確認
保全後、不正ファイル・アカウント・タスク等を除去し、脆弱性や設定不備を修正。侵害された可能性のあるパスワード・鍵・トークン・セッションを見直します。
ファイルを削除するだけで安全とみなさず、環境の信頼性を確認できない場合はクリーンなOS・アプリケーションへの再構築を検討します。外部連携や更新による業務影響と切り戻し方法も合意します。
判断・合意：除去・修正・再構築の範囲、認証情報の更新、残存リスク。完全な無害化の保証ではありません。 - 06
復旧判定・段階再開
データを戻す前に、復旧元と環境を確認
バックアップの取得時点、侵害の可能性、破損・暗号化の有無を確認し、分離した環境で復元と動作確認を行います。戻せないデータや期間、代替運用も整理します。
侵入経路の対策、認証情報の更新、主要機能・データ整合性、監視・ログ取得、切り戻し方法を確認します。確認結果と残存リスクを提示し、お客様の承認後に段階的な再接続・公開を行います。
判断・合意：復旧チェック結果、再開承認、未解決事項、戻す条件。再開は事業上の判断を含めてお客様と決定します。 - 07
最終報告・再発防止・終了
復旧後に残すべき判断と、継続する対策を共有
調査・処置・復旧の記録、確定した事実、推定、未確認事項、残存リスクを報告します。パッチ適用、権限、監視、ログ保存、バックアップ・復元テスト等の改善を優先順位付きで整理します。
再開後の確認期間、監視担当、追加対応が必要になる条件を合意。権限の返却・失効、保全データの返却・合意期間後の削除を確認します。長期監視や追加調査は別途契約です。
確認・成果物：最終報告、対応記録、再発防止計画、引き継ぎ事項。外部への説明資料の技術面も、合意範囲で支援します。
LIMITATIONS & DISCLAIMER
対応限界・免責事項
本サービスは、合意した範囲で調査と復旧に向けた作業を行うもので、すべての事案の解決や復旧結果を保証するものではありません。
- ランサムウェア・暗号化データ復号手段や健全なバックアップがなく、データを復旧できない場合があります。復号・完全復元を保証しません。身代金の交渉・支払い代行は提供しません。
- 調査で分かる範囲ログの欠落、保存期間の超過、削除・初期化、暗号化、クラウド事業者の取得制約等により、侵入経路、行為者、漏えいの有無・全範囲を特定できない場合があります。
- 無害化と再侵害不正ファイルを除去しても、すべての残存するアクセス手段を発見できるとは限りません。完全な無害化・安全性・再発防止は保証せず、再構築や追加調査が必要になる場合があります。
- お引き受けできないケース管理権限・実施許可が確認できない対象、必要なログ・環境へアクセスできない事案、当社の体制・専門性を超える規模では、一部または全部をお引き受けできない場合があります。大規模ネットワーク、現地作業、高度なマルウェア解析等は別途協議します。
- 復旧時期・費用・中止被害状況で所要時間・復旧範囲が変わり、希望時期に復旧できない場合があります。復旧に至らない場合も調査・保全等の実施済み作業の費用が発生することがあり、費用・中止条件は契約前に明示します。追加作業は事前合意後に実施します。
- 法的判断・専門調査の範囲当局への報告義務や法的責任の判断、対外公表の決定、訴訟用の鑑定・証拠能力の保証は標準サービスに含みません。必要に応じて弁護士・専門調査機関と連携する体制を協議します。責任範囲は個別契約と適用法令に従います。
DELIVERABLES & HANDOVER
復旧後に使える、記録を残します。
合意範囲に応じた成果物
- 保全対象一覧・取得方法・調査の制約
- 事象のタイムラインと根拠
- 影響範囲・事実／推定／未確認事項
- 無害化・修正・復旧の作業記録
- 残存リスク・再発防止・運用引き継ぎ
証拠・機密情報の取り扱い
- NDAと合意した安全な経路で受け渡し
- アクセス権限と保管期間を限定
- 原本を保護し、複製での解析を基本に実施
- 同意なく機密情報を外部AIへ送信しない
- 終了後は合意に従って返却・削除、権限を失効
分かる範囲の状況から、ご相談ください。
初回は症状・発見日時・影響の概要だけで構いません。パスワード、顧客データ、証拠ファイルや不審ファイルは一般フォームへ送らないでください。
侵害後の調査・復旧を相談する