封じ込め・根絶・復旧とは？ふうじこめこんぜつふっきゅう
封じ込め・根絶・復旧とは、インシデント対応の中核をなす3段階で、NIST SP 800-61では検知・分析の次に置かれるフェーズにあたる。まず被害の拡大を止める封じ込め、次に侵入経路と設置されたマルウェアや不正アカウントを取り除く根絶、最後に業務を安全な状態で再開させる復旧の順に進み、その後に教訓を反映する事件後の活動が続く。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
初動には「まず止めるか、まず調べるか」という対立が常につきまとう。感染端末の電源を落とせば横展開は止まるがメモリ上の証拠が消え、侵入経路が特定できないまま根絶に進めなくなる。逆に調査を優先すれば被害が広がる。この板挟みを、通信の遮断と原因の除去と業務再開に分けて順序づけたのが3段階である。支援士の記述では、その時点でどの段階の行為をすべきかを根拠つきで説明させる形で問われる。
具体例
JPCERT/CCが公開するインシデントハンドリングマニュアルでも、初動の切離しと証拠の保全は分けて扱われる。実務では、感染端末をネットワークから切り離しつつ電源は落とさずにメモリイメージを取得し、悪用された脆弱性の修正と作成された管理者アカウントの削除、全管理者資格情報の変更を経て、再構築した環境へ戻し監視を強めたうえで業務へ返す。
試験での引っ掛け
根絶を飛ばして復旧すると同じ経路から再び侵入される。またバックアップからの復元は、そのバックアップの取得時期が侵害の開始より後だと侵入の痕跡ごと戻すことになるため、取得時期と侵害開始時期の前後関係の確認が要る。封じ込めを即時の電源断と同一視するのも誤りで、揮発性の証拠を失う。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。