インシデントレスポンス & フォレンジック（DFIR）

コンテナ環境のフォレンジック：消えゆく「証拠」をどう掴むかこんにちは。SOCで日々、攻撃者といたちごっこを繰り広げているチーフエンジニアです。さて、最近の現場で耳にする「コンテナを使っているから、インシデントが起きてもコンテナを破棄して作り...

現場で数多の「公開バケットからの機密漏洩」案件を鎮火させてきた経験から言わせてもらう。クラウドストレージは便利だが、設定を一つ間違えれば、世界中にあなたの会社の重要データを「無料公開」しているのと同義だ。今日は、S3やBlobストレージを狙...

現場の泥臭い戦い：VPCフローログを「ただの保存用ログ」で終わらせないためにインシデントレスポンスの現場に立つと、常に痛感させられることがある。「ログを取っていること」と「ログが役に立つこと」の間には、深くて暗い谷があるということだ。多くの...

現場で泥をすすりながらインシデント対応をしていると痛感するんだが、「ログ」ほど信用できず、かつ「ログ」ほど裏切られるものはない。攻撃者がシステムに侵入した直後に何をするか知っているか？ rm -rf なんて派手なことはしない。静かに、実に丁...

ログの山から攻撃者の「足跡」を読み解く：SQLi検知と封じ込めの極意現場でインシデントレスポンスに当たっていると、往々にして「ログは取っているが、誰も見ていない」という事態に直面します。攻撃者はあなたのサーバーが吐き出す何ギガバイトものアク...

VPNログとAD認証ログの「不協和音」を見逃すな：侵害検知の最前線現場のエンジニア諸君、お疲れ様。今日も「ログイン成功」のログを眺めて安心しているなら、その考えは今すぐ捨てたほうがいい。多くの企業で導入されているVPN。テレワーク全盛の今、...

LAN内の「透明な盗聴者」を見抜け：ARPスプーフィングと戦うための実践的DFIR現場でインシデント対応をしていると、意外なほど「ネットワークの信頼」を前提とした設計が仇になっているケースに出くわす。特に、ローカルネットワーク（LAN）内で...

現場の最前線で語る：SMB経由の横展開（Lateral Movement）を「見逃さない」ための鉄則インシデントレスポンスの現場で、侵入された後の調査を行うと、攻撃者がいかに「静かに」ネットワーク内を移動しているかに驚かされる。特に、多くの...

現場の警鐘：User-Agentは「名刺」ではない、攻撃者の「迷彩」だインシデントレスポンスの現場に立っていると、多くの運用者がHTTPヘッダー、特に User-Agent を「単なるブラウザ情報のログ」程度にしか捉えていない現実に冷や汗を...

ログの海に潜む「偽りの信号」を見抜け：DGAによるC2通信の検知と封じ込め現場でインシデントレスポンスをしていると、決まって「異常なトラフィック」の正体に行き着く。特に、昨今の洗練されたマルウェアは、ハードコードされたIPアドレスなんて使わ...