封じ込め・根絶・復旧とは？

封じ込め・根絶・復旧の意味

インシデント対応の中核となる3段階。被害拡大を止める封じ込め、原因となったマルウェアや不正アカウント・侵入経路を除去する根絶、業務を安全な状態で再開させる復旧の順に進み、最後に再発防止として教訓を反映する。

封じ込め・根絶・復旧の具体例

侵害サーバをVLANで隔離して通信を遮断（封じ込め）、悪用された脆弱性の修正と作成されたバックドアアカウントの削除、全管理者パスワードの変更（根絶）、クリーンな環境へ再構築して監視を強化したうえで再開（復旧）。

封じ込め・根絶・復旧は試験でどう引っ掛けられる？

根絶をせずに復旧すると同じ経路で再侵入される。またバックアップからの復元は、そのバックアップが侵害後に取得されたものだと侵入の痕跡ごと戻してしまうため、取得時期と侵害開始時期の前後関係の確認が要る。

封じ込め・根絶・復旧と関連する用語

• インシデントのトリアージ
• 揮発性データの収集順序
• CSIRT

封じ込め・根絶・復旧が出た過去問

• CSIRTの説明として、適切なものはどれか。

  正解：企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称である。

  要点：CSIRTはセキュリティ事故の受付・調査・対応を担うチーム

  CSIRT（Computer Security Incident Response Team）は、組織内で発生した情報セキュリティ事故の届出を受け付け、原因を調査し、封じ込めや復旧、再発防止までの対応を担うチームの総称である。企業内、政府機関、地域単位など設置形態は様々で、平時には脆弱性情報の収集や注意喚起も行う。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問42（IPA）

• 情報セキュリティに関する専門組織の説明のうち，CSIRTの説明として，最も適切なものはどれか。

  正解：発生したセキュリティインシデントに対し，インシデント対応を行う組織

  要点：CSIRTは発生したインシデントへの対応を担う組織

  CSIRTは、実際に発生したセキュリティインシデントに対応することを主な役割とする組織である。検知後の初動対応、被害の封じ込め、復旧、再発防止まで一連の対処を担う。日常的な監視・分析を担うSOCや、自社製品の脆弱性に対応するPSIRTとは役割が異なる。

  出典：令和8年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）