【日本語】初心者から学べるCISSP講座：CBK Domain 7

• デジタルフォレンジックとは、デジタルデータを後で証拠として使えるように安全に保管しておくことであり、コンピュータ犯罪の解決に向けたデジタルデバイスから発見されたデータの証拠の適切な収集と保護を整えます。

• 攻撃者の目的や戦略を理解することが重要です。

• デジタルフォレンジックは大きく収集、検査、分析、報告の４つのフェーズからなります。

• 証拠保全プロセスを誤ると、証拠能力が失われます。

• 企業は  e-Discovery（電子証拠開示）対策をしなければならない。

• 保存するデジタルデータには、電子メールなど広範囲にわたります。

• 操作としては削除していたとしても、物理的にはデータが残っている場合があります。

• データカービングとは、ファイルデータの固有のビット配列を頼りに、ディスクからファイルデータを復元する方法です。

• ディスクデータには、スラックスペースや不良セクターなどにデータを隠す場合もある。 

• ネットワークトラフィックは、すべて保管するか、ある程度解析後に保管する2つの方法がある。

• IoTの情報は、人間行動を推測することができる。

• システム上ではさまざまなイベントが起こり、イベントがある状態に達するとシステム障害が起きていると判断し、インシデントとして認識します。

• インシデントの中には簡単に解決できない問題もありますから、根本原因分析が行われます。

• インシデントの原因は、自然、人間、環境に分かれます。

• 緊急、災害、大惨事と被害規模に応じて災害対策のレベルも上がっていきます

• インシデントは早く検知するほど早く対応することができる。

• まずはインシデントの影響が広がらないようにします。

• 根本の原因が分かっていないと再発する可能性が高いでしょう。

• インシデント対応に終わりはなく、常に改善していくことが重要です。

• 侵入検知システムは検知した後に報知、侵入防止システムは検知した後に防止します。

• ネットワークにおける検知では、データは暗号化されている可能性があります。

• マルウェアパターンを照合するだけでは十分ではありません。異常と思われる行動も検知の対象となります。

• 検知条件を厳しく過ぎると、正規のユーザーにとっても使いにくいものになります。

• 検知条件を緩くし過ぎると、悪意のユーザーが攻撃をしやすくなります。検知しにくくなります。

• 静的な解析による検知では、ファイル内の記載の一部に悪意のある記載が含まれているかどうかで検知する方法です。

• 動的な解析による検知では、閉鎖されたサンドボックス環境にて実際の挙動を確認する方法です。

• 静的な検知では、パターンの一致で検知するため、最新の脆弱性や複雑な文法で書れた場合、検知することが困難になります。

• 動的な検知では、一定の条件や一定時間がたたないと攻撃に転じない場合に、検知を逃れる可能性があります。

• 攻撃者とホワイトハッカーは、イタチごっこの状態です。

• 攻撃者はマルウェアを難読化し、検知を逃れようします。

• LOL攻撃(Living Off the Land)とは、標的の環境内にすでに存在する正当なツールを使用することで、攻撃を目立たなくし、検知を回避する手法です。

• バックドア (Backdoor) とは、コンピュータシステムやネットワークに秘密裏にアクセスできるように設けられた経路や仕組みを指します。

• ボットネット (Botnet) とは、マルウェアに感染した複数のコンピュータやデバイスが、攻撃者によって遠隔操作されるネットワークのことを指します。

• SIEMとSOARはインシデント対応の効率化させる管理システムです。

• UEBAとして、ビックデータからユーザーの行動を分析します。

• SIEMやSOARでは、最新の脅威インテリジェンスを取得します。

• SOARはインシデント対応の自動化を行います。

• SIEMやSOARが常に最適な運用方針になるとは限りません。

• Egress Monitoringは、ネットワークから出ていくアウトバウンドトラフィックを監視し、潜在的なデータ漏洩や損失を発見するプロセスです。

• Steganographyは、データ隠蔽技術の一つで、画像や音声、動画ファイルに秘密のメッセージを埋め込む方法です。

「運用管理」において取り扱う範囲を説明いたします。

• サービス内容に合わせた運用の最適化が行われます。

• 既存の基盤に新しいシステムやサービスを導入した時、既存の基盤を新しい基盤に更改する時に運用ルールは見直されます。

• アプリケーション開発を行う際には運用しやすい設計、開発環境から運用環境への迅速なパイプラインの確保しておきます。

• 運用フロー・運用手順書は、誰が行っても同じ結果になる明瞭さが求められます。

• 変更管理（Change Management）とは、システムの安定性やセキュリティを維持しつつ、必要な変更を安全かつ効率的に実施するためのプロセスや手法を指します。

• 構成管理（Configuration Management）とは、システム内のハードウェア、ソフトウェア、ネットワーク設定、ドキュメントなどの構成アイテム（Configuration Items, CI）を特定し、それらの状態を継続的に記録・管理するプロセスを指します。

• 脆弱性管理とは、システムやアプリケーション、ネットワークに存在する潜在的なセキュリティ上の弱点（脆弱性）を特定し、それらのリスクを評価・管理するプロセスを指します。

• パッチ管理とは、ソフトウェアやシステムに適用される更新プログラム（パッチ）を計画的かつ効率的に管理し、適用するプロセスのことを指します。

• 公開された脆弱性は、攻撃者も知っています。

• ゼロディ攻撃に対しては、早急にセキュリティパッチを適用することが有効です。

• 運用管理方法は、継続的に改善していかなければなりません。

• 特権アカウント管理（PAM）は、特権アカウントのアクセス制限や監視を行い、セキュリティを強化するソリューションです。

• PAMソリューションを活用し、特権アクセスを厳格に管理することで、セキュリティリスクを軽減できます。

• Service Level Agreement（SLA）は、サービス提供者と顧客の間で合意される契約で、提供されるサービスの品質やパフォーマンスに関する具体的な基準を定めたものです。

• Memorandum of Understanding（MOU）は、当事者間の合意事項を簡易的に文書化したものです。法的拘束力がない場合が一般的ですが、特定の条件では法的効力を持つこともあります。

• 全体のシステムダウンにつながる障害ポイントを少なくしましょう。

• 障害が起きた時のために、セカンダリーサイト、セカンダリーサーバーを用意し、切り替わるようにしましょう。

• クラスター化し、耐障害性を強化することができます。

• バックアップサイトは、本運用環境から地理的に距離を取り、地理的リスクを分散させます。

• バックアップにはフルバックアップ、差分バックアップ、増分バックアップがあります。

• バックアップ量は、リストアの時間に影響します。

• ソフトウェア・エスクロウ（Software Escrow）は、ソフトウェアのソースコードや関連資料を第三者機関（エスクロウ・エージェント）に預託する仕組みです。

• RAIDはディスクを冗長化する技術です。

• RAID制御には、ディスクストライピング、ディスクミラーリングという技術が使わます。

• パリティによって、耐障害性とディスク利用量を調整が可能です。

• 災害時には、人命は最も優先すべきことです。

• 事業継続計画は事業を継続するための計画、災害復旧計画は災害からの復旧するための計画です。

• 上級管理職も巻き込み組織全体の活動として、事業継続計画チームを作る必要があります。

• 作成した事業継続計画に対して、部署の代表者や他の事業継続計画チームからのレビューをもらいましょう。

• 業務に関連したサービスのサービスレベル契約を再確認しましょう。

• 事業継続計画を作成するにはフレームワークを活用しましょう。

• Disaster Recovery（DR）サイトとは、企業や組織が自然災害やシステム障害などの予期せぬ事態（災害）から迅速に復旧し、業務を継続するために構築された代替のITインフラや物理的な施設を指します。

• DRサイトの災害復旧能力を上げるほど、維持費も上がります。

• データベースシャドウイング（レプリケーション）は、データベースの内容をリアルタイムまたは定期的に別の場所に複製（コピー）する技術です。

• リモートジャーナリングとは、データベースやファイルシステムの変更記録（ジャーナル）をリアルタイムまたは近いタイミングでリモート（別の場所）に転送し、保存する技術です。

• レスキューチーム（Rescue Team）とは、災害や緊急事態発生時に、現場での即時対応を行うチームです。

• リカバリーチーム（Recovery Team）とは、災害後に業務やシステムを元の状態に復旧させるための活動を行うチームです。

• サルベージチーム（Salvage Team）とは、災害後の現場から物理的な資産やデータを回収し、可能な限り再利用可能な状態にするための作業を行うチームです。

• コールツリー（Call Tree）とは、緊急時に情報を迅速かつ確実に伝達するための連絡網です。

• 災害対策計画は、他の部署や技術者とも認識を合わせることが大事です。

• 災害復旧計画は、定期的に訓練しましょう。

• 災害訓練では、完全なプライマリーの中断を控え、並行稼働による検証があります。

• セキュリティ対策は、組織目標に加え、個々の状況やリスクに柔軟に対応できるよう設計することが重要です。

• 出張時には、安全なネットワーク利用と会社外でのコンピューター使用ルールの確認が重要です。

• 脅迫時に相手に気づかれず異常を伝えるため、非常ボタンや合言葉で本部や関係者に異常事態を知らせる仕組みが必要です。

• インサイダー脅威対策の課題は知識不足や過信にあり、近年は従業員教育やセキュリティポリシー強化が重視されています。

• セキュリティ知識を持つことで、システムの機能を理解し、異常事態や攻撃に気づき、アカウントを守ることができる。

• ソーシャルメディア利用には、情報漏洩や偽情報拡散のリスクが伴うため、慎重な情報管理とセキュリティ意識が重要です。

• 分からなくても正答率が高いと思われる答えにフォーカスしていく力

• 各ドメインのポイントを押さえる

• 企業目標を達成するための達成するセキュリティ。

• 安全な状態などない。

• すべてはお金で説明。

• マネージャーとしての判断です。