泥棒に入られた！その時、あなたはどう動く？：現場で役立つインシデント初動対応の心得
こんにちは。日々、システムの守りを固める最前線に立っているセキュリティエンジニアです。
今日は少しスリリングな話をしましょう。もし、あなたが大切に育てているWebアプリケーションに「泥棒（攻撃者）」が入ってしまったら……。パニックになりますよね。「ログを消さなきゃ！」「サーバーを再起動しよう！」と焦ってしまう気持ちは痛いほど分かります。
しかし、実はその行動が、犯人を捕まえるための決定的な証拠を消し去ってしまう最大のミスになり得るのです。
今日は、OWASP Top 10（Webアプリの危ない場所トップ10）のような脆弱性を突かれた際、プロはどうやって証拠を残し、再発を防いでいるのか。その「現場の泥臭い手順」を、身近な例えを交えてお伝えします。
—
1. なぜ「すぐに再起動」してはいけないのか？
泥棒があなたの家に侵入したとします。あなたが真っ先にすべきことは何でしょう？
「とりあえず鍵を閉めて掃除をする」ことではありませんよね。まずは「誰がどこから入ったのか」「何を盗んだのか」を記録（証拠保全）することです。
コンピューターも同じです。攻撃者は「メモリ（作業台）」の上で複雑なプログラムを動かして、隠れて悪さをします。ここでサーバーを再起動してしまうと、「メモリ上にあった攻撃の痕跡」がすべて消えてなくなってしまうのです。これをセキュリティの世界では「揮発性データの喪失」と呼びます。
—
2. 現場でやるべき「証拠保全」の3ステップ
もし攻撃の兆候を見つけたら、以下の手順で「証拠」を確保します。
ステップ①：メモリのダンプ（作業台を写真に撮る）
メモリの内容をまるごとファイルとして保存します。Linuxであれば `LiME` や `AVML` といったツールを使います。
AVMLを使ってメモリをダンプする例（イメージ）
./avml memory_dump.raw
このmemory_dump.rawには、攻撃者が実行した怪しいコマンドや暗号キーが残っています
ステップ②：ログの抽出（犯人の足跡をコピーする）
Webサーバー（NginxやApache）のアクセスログを、別の安全な場所にコピーします。
注意： ログファイル自体を直接編集してはいけません。「コピーして、そのコピーを解析する」のが鉄則です。
ログファイルを安全なディレクトリへバックアップ
cp /var/log/nginx/access.log /mnt/evidence/access_backup.log
証拠の改ざんを防ぐため、ハッシュ値（指紋）を取っておきます
sha256sum /mnt/evidence/access_backup.log > evidence_hash.txt
ステップ③：ネットワークトラフィックの保存
もし攻撃が進行中なら、パケット（通信データ）をキャプチャします。
tcpdumpで怪しい通信をファイルに保存する
tcpdump -i eth0 -w suspect_traffic.pcap ‘host 192.168.1.100’
192.168.1.100からの通信をすべて記録します
—
3. 「チェーン・オブ・カストディ」という考え方
「チェーン・オブ・カストディ（証拠の保管連鎖）」という言葉を聞いたことはありますか？ 難しそうに聞こえますが、要は「この証拠は、誰の手にも触れられず、正当に管理されてきました」と証明するための履歴書のことです。
あなたが採取した証拠は、後で警察や専門機関に提出する可能性があります。その際、「実は採取した後に改ざんしたのでは？」と疑われないように、以下の情報を記録しておきましょう。
- 誰が採取したか
- いつ採取したか
- どこで採取したか
- ハッシュ値（改ざん検知のため）
先ほど紹介した `sha256sum` で取ったハッシュ値が、あとで照合した時に一致すれば、「この証拠は採取した瞬間から一ビットも変わっていない！」という強力な証明になります。
—
4. 攻撃から身を守るための「防御ヘッダー」
事後の対応も大事ですが、そもそも「泥棒に入られない」ための備えも大切ですよね。Webアプリ開発者が設定すべき、もっとも基本的な「防御ヘッダー」を一つだけ紹介します。
Content-Security-Policy (CSP)
これは、あなたの家（Webページ）で「誰がどの荷物を持ち込んでいいか」を決めるルールです。
HTTPレスポンスヘッダーの例
Content-Security-Policy: default-src ‘self’; script-src ‘self’ https://trusted.cdn.com;
- `default-src ‘self’`: 基本的に、自分のサーバーにあるものしか読み込まない。
- `script-src ‘self’ …`: 怪しい外部サイトからプログラムを勝手に読み込ませない。
これを通すだけで、悪意のあるスクリプトがWebページ上で勝手に動く（XSS攻撃）のを大幅に防ぐことができます。
—
最後に：怖がる必要はありません
セキュリティは「完璧」を目指すものではなく、「適切に対応する」ものです。
最初はログの見方も分からないかもしれません。でも、何か変な通信があったら「おっ、これは何だろう？」と興味を持ち、ログを保存する癖をつける。その小さな積み重ねが、あなたを世界で一番信頼されるエンジニアに育て上げます。
もしインシデントに遭遇したら、まずは深呼吸。「焦らず、証拠を保存し、プロに相談する」。これが、世界最高峰のセキュリティ現場で働く私の、一番伝えたい教訓です。
また分からないことがあれば、いつでも聞いてくださいね。一歩ずつ、一緒に強くなっていきましょう！
コメント