EDRアラートを起点とする複数ログの突合せと初動対応

S社は化粧品の通信販売会社であり，サーバの保守をT社に委託している。情報システム課のRさんは，CSIRTのメンバーである。

〔S社のシステム構成〕

S社の主な機器を表1に示す。

表1　S社の主な機器（抜粋）

注記1　サーバとPCにはEDRを導入している。EDRの“ネットワーク隔離”は，EDRの管理サーバとの通信以外の通信を遮断する機能であり，隔離中も端末の電源は入ったままである。

注記2　Windowsのプロセス作成のイベントには，コマンドラインも記録する設定にしている。

注記3　機器の時刻はNTPで同期している。ログの時刻は，VPN装置だけがUTC（協定世界時）で記録し，その他は日本時間（UTC＋9時間）で記録する。

情報システム課の小野さんは，ドメイン管理者グループに所属する管理者アカウント adm-ono を使って作業する。10月6日の夕方，小野さんはMS1にリモートデスクトップでログオンして作業した後，ログオフせずに接続を切断したまま退社した。

〔インシデントの発生〕

10月7日 03:12（日本時間），EDRがFS1で“不審なアーカイブの作成と外部への大量送信”のアラートを発報した。Rさんが関係する機器のログを抽出したものを表2〜表5に示す。

表2　VPN装置のログ（抜粋）

2026-10-06 11:58:03  auth-fail   user=tanaka-k  src=198.51.100.77
2026-10-06 11:58:41  auth-fail   user=ito-y     src=198.51.100.77
  （同じ送信元から，異なる29個のアカウントに対する auth-fail が 12:05:20 まで続く）
2026-10-06 12:06:12  auth-ok     user=vendor-m  src=198.51.100.77  assigned=10.10.200.15  mfa=exempt
2026-10-06 18:52:40  disconnect  user=vendor-m  src=198.51.100.77  assigned=10.10.200.15

表3　WebサーバのWAFのログ（抜粋）

2026-10-06 20:50:14  block  rule=SQLi  src=192.0.2.44  uri=/item/search
  （同じ送信元からの同種の通信が 20:58:02 まで計214件。全て遮断）

表4　MS1及びFS1のWindowsセキュリティログ（抜粋）

注記　4624はログオンの成功，4688はプロセスの作成を表し，ログオン先（実行先）の機器で記録される。ログオンタイプ3はネットワークから，10はリモートデスクトップによるログオンを表す。

表5　プロキシのログ（抜粋）

注記　st.example.net はクラウドストレージサービスのドメインである。S社はこのサービスを業務で利用していない。

Rさんは，ログの分析結果を図1のメモにまとめた。

図1　ログの分析結果（Rさんのメモ）

1. 攻撃者は，多数のアカウントに対してパスワードを試行した後，多要素認証が除外されている vendor-m でVPN接続に成功した。S社のネットワークに最初に侵入した時刻は，日本時間の10月6日【 a 】と判断する。
2. 攻撃者は，VPNで払い出されたアドレスから vendor-m でMS1にログオンし，lsass.exe のメモリをファイルに書き出した。lsass.exe のメモリには，ログオン中の利用者の認証情報が含まれる場合がある。
3. FS1への横展開には，【 b 】が使われたと判断する。
4. FS1上で共有フォルダ“問合せ記録”をパスワード付きのアーカイブにまとめ，プロキシ経由でクラウドストレージに送信した。通信はHTTPSであり，送信された内容そのものはプロキシのログからは確認できない。

〔初動対応の方針〕

CSIRTの会議で，Rさんは次のように提案した。

「攻撃者は 03:52（日本時間）にVPNを切断しているが，同じ認証情報で再び侵入されるおそれがある。まず【 c 】。次に，MS1とFS1について，揮発性の高いものから順に，【 d 】の順で証拠を保全する。」

小野さんは，「顧客の個人データが外部に送信されたおそれがあるので，個人情報保護委員会への報告の要否を今日中に判断したい」と述べた。