インシデント対応パターン


Well-Architected Trust → セキュリティ インシデント対応の詳細

セキュリティインシデントは、予防措置にもかかわらず発生します。Trustアーキテクチャでは、検出可能性、迅速な対応、フォレンジック調査、グレースフル リカバリのための設計が必要です。このページには、Trust支柱の[Incident Response]セクションのインシデント対応パターンが統合されており、検出アーキテクチャ、対応手順、フォレンジック機能、インシデント後の学習がカバーされています。

パターン

参照すべき場所外観
イベントモニタリング✅ イベント監視を有効にして、ログインパターン、一括データエクスポート、権限の変更、API アクティビティを SIEM プラットフォームに転送してネイティブの保持制限を超えて保持
トランザクションセキュリティポリシー✅ 疑わしいアクションをブロックしたり、ステップアップ認証を要求したり、行動のベースラインに基づいて通知をトリガーしたりするように、イベントをリアルタイムで評価するポリシーを設定する
Setup Audit Trail✅ 180日間の保持で不正な変更を検出できる管理設定の変更の監視
カスタムアプリケーションログ✅ Apexでセキュリティ関連のイベント ログを実装し、認証失敗、認証拒否、疑わしい入力パターンを把握
状態チェックの監視✅ 未承認の変更を示す可能性があるセキュリティベースラインからの設定ドリフトの自動検出を設定する
SIEM インテグレーション✅ イベントモニタリングログをエンタープライズ SIEM プラットフォームに転送して、エンタープライズセキュリティテレメトリや行動分析と相関
アラートルール✅ 偽陽性を最小限に抑えるための行動ベースラインを使用して、疑わしいパターン (営業時間外の一括アクセス、新しい地域からのログイン、迅速な権限のエスカレーション) を検出するアラートルールを設計する
行動分析✅ 異常なデータアクセス量、業務時間外の管理活動、API 消費パターンの異常検出を可能にする行動ベースラインを確立する
マルチチャネル検出✅ イベント監視、トランザクションセキュリティ、監査履歴の設定、カスタムログ、複数の独立した検出信号を提供する状態チェックによる検出の実装
不変ログストレージ✅ システム管理者が Salesforce にアクセスしても攻撃者が変更できない不変の外部ストレージにログを転送し、フォレンジック証拠の整合性を確保

アンチパターン

参照すべき場所どんな悪い感じか
ネイティブログ保持のみ⚠️ 外部アーカイブを使用せずに、Salesforce のネイティブ監査履歴保持期間 (イベント監視のネイティブ制限、180 日間の監査履歴の設定) のみを使用し、調査で履歴分析が必要な場合に期限切れのログを検出する
動作ベースラインなし⚠️ 異常検知のための行動ベースラインがなく、セキュリティチームが通知を無視するようにトレーニングする過剰な偽陽性アラートを生成する
SIEM インテグレーションなし⚠️ エンタープライズ SIEM インテグレーションがなく、他のシステムのセキュリティテレメトリとの相関関係の機会を逃し、より広範な侵害パターンが露呈する
手動ログ確認⚠️ 自動アラートではなく、定期的な手動ログレビューにより、被害が広範囲に及ぶ場合に発生から数週間または数か月後にインシデントを発見
トランザクションセキュリティポリシーなし⚠️ リアルタイムのトランザクションセキュリティポリシーがなく、疑わしいアクションをブロックして被害を未然に防ぐ機能がない
Incomplete Coverage (不完全な補償)⚠️ セキュリティ関連イベントのサブセットのみを監視する (ログインはするがデータアクセスは監視しない、設定変更は監視するが権限の変更は監視しない) 死角を作成する
アラート疲労⚠️ チューニングなしで過剰な偽陽性アラートを生成し、正当なセキュリティイベントを含む通知を無視するようにチームをトレーニングする

パターン

参照すべき場所外観
隔離境界✅ 重要なビジネス機能を中断することなく、権限セットの取り消し、IP 制限の変更、セッションの終了によって侵害されたコンポーネントを分離できるようにアーキテクチャを設計します。
セッション管理✅ 侵害されたアカウントのセッションの迅速な終了機能を実装します。これには、すべての有効なセッションでの強制ログアウトやセッションの無効化が含まれます。
権限の取り消し✅ ベースラインプロファイルではなく権限セットを使用して権限を付与するため、権限セットの割り当ての削除が迅速です。プロファイルまたはその他の割り当てで同じ権限を個別に付与していない場合、権限セットの割り当てを削除するとアクセス権が取り消されます。
IP 制限✅ 特権アカウントのプロファイルレベルのログイン IP アドレスを設定して、他のアドレスからのログインを完全に拒否し、既知の管理場所へのネットワークレベルの迅速な分離を可能にする
ユーザーアカウントの凍結✅ 侵害されたアカウントを削除することなく、調査用のデータを保持しながら認証を防止するアカウント凍結手順を実装する
API アクセスコントロール✅ 侵害されたインテグレーションアカウントの迅速な分離を可能にするトークン取り消し機能を使用した API 認証の設計
複数組織の分離✅ 価値の高い資産の場合、運用の複雑さが増しているにもかかわらず、重要なコンポーネントを最も強力に分離する複数組織アーキテクチャを評価する
緊急破損ガラス処置✅ 使用後の監査と検証を使用して、緊急時の管理者アクセスのための文書化されたガラス破損時のアクセス手順を維持する

アンチパターン

参照すべき場所どんな悪い感じか
隔離境界なし⚠️ すべてのビジネス機能を中断するために完全なシステムシャットダウンを必要とするアーキテクチャの分離境界がない
Overly Permissive Access (権限超過アクセス)⚠️ 広範な「すべてのデータの編集」権限の付与により、複数のビジネスプロセスを中断することなく詳細な権限の取り消しを防止
共有サービスアカウント⚠️ 複数のシステムで 1 つの共有「API ユーザー」または「インテグレーションユーザー」アカウントを使用することで、すべてのインテグレーションを破損することなく、侵害された特定のインテグレーションを隔離できます。
IP 制限なし⚠️ 特権アカウントの IP 許可リストがなく、アカウントが侵害された場合のネットワークレベルの封じ込め機能がない
セッション管理なし⚠️ パスワードのリセットが必要なセッション終了機能がないため、強制的にログアウトでき、重要な応答時間中に遅延が発生する
緊急処置なし⚠️ ガラスの破損や緊急時のアクセス手順が文書化されていないため、有効なインシデント中に重要な意思決定を即興で行う

パターン

参照すべき場所外観
イベント監視ログ✅ ユーザーアクション、API コール、認証イベント、データアクセスパターンなど、フォレンジック分析に必要な詳細を含む詳細な活動ログを取得する
項目監査履歴✅ 保持が規制要件に一致する [制限付き] 項目と [機密] 項目のデータ変更履歴を保持する項目監査履歴を有効化 (無期限保持をサポート、規制要件に対して必要な期間を確認)
不変ストレージ✅ 攻撃者が変更できない外部不変ストレージにログを転送し、調査全体でフォレンジック証拠の整合性を確保
Setup Audit Trail✅ 管理設定の変更履歴を保持し、不正なシステム変更の調査が可能 (180 日間保持)
範囲評価✅ 侵害されたアカウント権限に基づいてデータ公開範囲を迅速に評価できる権限モデルとデータアクセス制御の設計
変更の相関関係✅ [設定] [監査履歴] 設定変更と [イベント監視] 活動パターンの相関関係を維持し、攻撃者の手法を調査
データアクセスログ✅ 制限された機密データへのすべてのアクセスを記録し、侵害期間中に漏洩したデータを調査できるようにする
Integration Audit Trail (インテグレーション監査履歴)✅ 統合システムの API 認証、承認、データ交換パターンを把握し、システム間の侵害を調査
証拠保全✅ ログと監査証跡を変更不可能な外部ストレージに継続的に転送して、フォレンジック証拠が保持され、インシデントが調査されたときに使用可能

アンチパターン

参照すべき場所どんな悪い感じか
可変ログストレージ⚠️ 管理者アクセス権を持つ攻撃者がフォレンジック証拠を削除または変更できる Salesforce 内でのみログを保存する
ログの詳細がありません⚠️ 調査に十分な詳細がない概要レベルのイベントの取得 (ログインは記録されるが IP アドレスは記録されない、データアクセスは記録されるが特定のレコードは記録されない)
データアクセスログなし⚠️ 制限された機密データへのアクセスの詳細なログが欠落しており、侵害通知時のデータ漏洩範囲を評価できない
項目監査履歴がありません⚠️ 機密項目の項目監査履歴を有効にしていないため、侵害時に公開されたデータ値を判断できない
変更なし相関関係⚠️ [設定] [監査履歴] の設定変更と後続の [イベント監視] 活動パターン間の相関関係がない
削除された監査履歴⚠️ 規制保持前に監査履歴の期限が切れると、リリースの規制セットが最小限になり、コンプライアンス違反が発生します。

パターン

参照すべき場所外観
目標復旧時間✅ ディザスター リカバリー シナリオだけでなく、セキュリティ インシデント シナリオのRTO(目標復旧時間)とRPO(目標復旧時点)を定義してテストする
テスト済み復旧手順✅ 四半期ごとのテストを使用して、侵害されたアカウント、一括データの持ち出し、不正リリース、権限のエスカレーション、パッケージ侵害の復旧プロセスを文書化します。
バックアップ検証✅ バックアップの整合性を定期的に検証し、運用上の障害だけでなく、セキュリティ インシデント時にもリストア機能が機能するようにします。
ロールバック機能✅ 不正なコードリリースや悪意のある設定変更のテスト済みロールバック手順を使用してリリースパイプラインを設計する
ログイン情報の循環✅ 侵害されたインテグレーションアカウント、API ユーザー、指定ログイン情報の迅速なログイン情報の循環手順の実装
権限の復元✅ インシデント対応中に過度に広範囲な分離アクションを行った後に適切なアクセス権を復元する手順を文書化する
データ復元✅ ディザスターリカバリーとは別に、セキュリティインシデントに起因するデータの破損や削除に対処するデータリカバリー機能を設計します。
サービス継続性✅ セキュリティインシデント対応手順が調査と修正中に重要なビジネス機能の継続性を維持できるようにソリューションを設計
復元検証✅ 四半期ごとにリカバリ手順をテストし、リストアされたシステムが正常に機能し、リストア後も侵害が維持されていないことを確認する

アンチパターン

参照すべき場所どんな悪い感じか
テストされていない手順⚠️ 課題でテストしたことのない回復手順を文書化し、実際のインシデント中に手順が不完全または不正確であることを発見する
セキュリティの RTO/RPO なし⚠️ 異なる復旧手順を必要とするセキュリティインシデントシナリオを考慮しない、ディザスターリカバリーのみの復旧時間目標の定義
ロールバック機能なし⚠️ 不正なコードリリースのリリースロールバック手順がなく、悪意のある変更を削除するために完全な再開発が必要
未検証のバックアップ⚠️ バックアップの復元をテストしないこと、バックアップが破損しているか不完全であることをインシデント中に発見すること
ログイン情報の循環手順なし⚠️ 侵害されたインテグレーションアカウントの迅速なログイン情報の循環手順がなく、侵害されたログイン情報が調査中に有効なままになっている
手動リカバリプロセス⚠️ インシデント中の手動回復手順に完全に依存し、迅速性が重要な場合にエラーや遅延が発生する
復元テストなし⚠️ 復元されたシステムがリカバリ後に正常に機能することを検証できず、侵害やデータの破損が再発生する可能性がある

パターン

参照すべき場所外観
侵害されたユーザーアカウントの応答✅ 手順の文書化: ユーザーの凍結、ログイン情報のリセットの強制、侵害期間に関する [設定] 監査履歴とデータアクセスログの確認、データ公開範囲の評価、アクセス制限されたデータがある場合の侵害通知の実行
一括データ持ち出し応答✅ 手順の文書化: セッションを直ちに取り消し、権限を制限し、影響を受けるレコードと分類レベルを特定し、リリースの規制セットに従って規制違反通知をタイムライン内で実行します。
不正なコードリリース応答✅ 手順を文書化する: リリースをすぐにロールバックし、侵害されたログイン情報からすべての変更を監査し、承認バイパスのパイプラインセキュリティを確認し、リリース済みコードをスキャンして永続的なバックドアがないかどうかを確認します。
権限のエスカレーション応答✅ 手順の文書化: エスカレーション済み権限の即時取り消し、昇格済みアクセス権で実行された活動の監査、エスカレーションによる承認コントロールの回避方法の調査、補償コントロールの実装
AppExchange パッケージの侵害への対応✅ 手順の文書化: パッケージ権限の分離、パッケージでアクセスされるデータの評価、パッケージ置換オプションの評価、パッケージ評価条件の教訓の文書化
検知信号✅ 侵害されたアカウントのログイン異常、持ち出し用のレポートエクスポート量、不正コードのリリース監視、エスカレーション用の権限変更監視など、各シナリオを検出する監視を設定します。
机上の課題✅ 机上演習を実施し、チームの準備状況と手順の完全性を検証するプラットフォーム固有のシナリオの応答手順をテストします。
対応の自動化✅ リアルタイムトランザクションセキュリティポリシーにより、疑わしいアクションを自動的にブロックしたり、ステップアップ認証を要求したり、信頼性の高い検知シグナルで応答者に通知したりして、応答時間を短縮する自動抑制を実現します。

アンチパターン

参照すべき場所どんな悪い感じか
Generic Response Plans Only (汎用応答プランのみ)⚠️ Salesforce 固有のガイダンスがなく、一般的なインシデント対応手順のみを使用し、有効なインシデント中にプラットフォーム固有のアクションを即興で実行する
検出設定なし⚠️ プラットフォーム固有のシナリオ (一括エクスポート、権限のエスカレーション、不正リリース) を検出する監視が設定されていない、ユーザーレポートまたは監査によるインシデントの検出
机上の課題なし⚠️ チームがプラットフォーム固有の対応手順に精通していることを確認する机上の演習は実施せず、実際のインシデント中にKnowledgeギャップを発見
自動化なし⚠️ 自動化された封じ込めのためのリアルタイムのトランザクションセキュリティポリシーがないすべてのインシデントに完全手動対応し、即時ブロックで被害を軽減できる場合に遅延を導入
Missing Response Playbooks (欠落している回答プレイブック)⚠️ 一般的なシナリオ (侵害されたユーザーアカウント、データの持ち出し、不正なコードリリース) の文書化された対応プレイブックがない
侵害通知手順なし⚠️ 規制違反通知要件の手続きがなく、スケジュールが厳しい実際のインシデント中の義務の理解に苦労している

パターン

参照すべき場所外観
アウトオブバンド通信✅ 対応を調整するために侵害される可能性のあるシステム (電話ツリー、外部メッセージングプラットフォーム) に依存しないコミュニケーションチャネルを確立する
エスカレーション手順✅ 最初の検出から役員への通知までのエスカレーションパスを連絡先情報とエスカレーション条件と共に文書化
通知テンプレート✅ 一般的なインシデント種別の事前作成済みの通知テンプレートを保持し、関係者、顧客、規制当局への迅速なコミュニケーションを実現
関係者の特定✅ 役員、法務、コンプライアンス、影響を受けるユーザー、規制当局など、さまざまなインシデント種別の通知が必要な関係者を特定する
規制通知タイムライン✅ タイムリーなコンプライアンスを確保する手順を使用して、リリースの規制に照らして確認された各管轄の規制通知要件を文書化する
内部調整✅ ロールと責任（インシデントコマンダー、テクニカルリード、コミュニケーションリード、法務連絡）を指定してインシデント調整手順を設計する
外部調整✅ 必要に応じて、Salesforce サポート、外部フォレンジック調査担当者、弁護士、法執行機関との調整手順を確立する
Status Communication (状況コミュニケーション)✅ アクティブなインシデント中に定期的な状況連絡ケイデンスを実施し、調査チームが圧倒することなく関係者に最新情報を提供します。

アンチパターン

参照すべき場所どんな悪い感じか
アウトオブバンド通信なし⚠️ 侵害される可能性のあるメールまたはインシデント調整用の内部メッセージングに完全に依存し、プライマリチャネルが侵害されるとコミュニケーション機能を失う
不明瞭なエスカレーションパス⚠️ エスカレーション手順が文書化されていないため、誰にいつ通知する必要があるかが遅れ、混乱している
通知テンプレートなし⚠️ 時間的制約のある有効なインシデント中にインシデント通知を即興で実行し、コミュニケーションが不完全または不正確になる
欠落している関係者リスト⚠️ 事前に特定された関係者リストがなく、インシデント中に重要な関係者 (法務、コンプライアンス、役員) に通知されていないことが判明した
規制タイムライン認識なし⚠️ インシデント対応中にリリースに適用される規制通知タイムラインに気付かず、期日を過ぎ、追加のコンプライアンス違反が発生する
あいまいなロール⚠️ インシデント対応の役割と責任が明確でなく、封じ込めに関する意思決定の権限を誰が持っているか混乱する
外部調整手順なし⚠️ 必要に応じて Salesforce サポート、フォレンジック調査官、法執行機関とエンゲージするための関係や手順が確立されていない

パターン

参照すべき場所外観
非難されない文化✅ インシデント後のレビューを個人の責任ではなくシステムの改善に集中させ、影響を恐れずに組織的な学習が可能
インシデントタイムラインドキュメント✅ 最初の侵害、検知、対応アクション、解決を含む完全なインシデントタイムラインを正確なタイムスタンプで文書化する
制御障害分析✅ インシデントを防止または検出できなかった予防および刑事統制を特定し、アーキテクチャの改善を通知する
アーキテクチャの弱点に関するドキュメント✅ インシデントによって明らかになったアーキテクチャの弱点を、セキュリティの変更を取得するアーキテクチャ決定レコード (ADR) に文書化する
是正の優先順位付け✅ リスク削減の可能性に基づいて、症状ではなく根本原因に対処し、改善に優先順位を付ける
レッスンの共有✅ 組織の他の部分で同様のインシデントが発生しないように、チームやビジネスユニット間で教訓を共有する
検出ルールの更新✅ 調査中に確認された攻撃手法に基づいて、検知ルールと行動ベースラインを更新する
対応手順の調整✅ 実際のインシデント対応中に機能した内容と機能しなかった内容に基づいてインシデント対応手順を更新する
総計値追跡✅ アーキテクチャ投資が必要なトレンドを特定するために、平均検出時間 (MTTD)、平均応答時間 (MTTR)、影響範囲を経時的に追跡する
ケイデンスの確認✅ 詳細が更新され、改善の機運が高まる中で、インシデント後レビューをタイムリーに実施する

アンチパターン

参照すべき場所どんな悪い感じか
スキップされたレビュー⚠️ インシデント後のレビューをスキップし、教訓やアーキテクチャの改善を取得せずに次のインシデントに直接移行する
非難の文化⚠️ システムの改善ではなく個人の責任に焦点を絞り、インシデントを隠蔽し、組織学習を防止する
アーキテクチャドキュメントなし⚠️ インシデント学習によって発生したセキュリティアーキテクチャの変更をアーキテクチャ決定レコード (ADR) に文書化していない
症状の治療⚠️ 根本原因 (MFA の欠如) を修正せずにインシデントの症状 (パスワード侵害) のみに対処し、同様の攻撃を成功に導く
レッスンの共有なし⚠️ インシデントの学習を組織全体で共有するのではなく、対応チーム内で保持し、他のビジネスユニットで同様のインシデントを許容
検出の更新なし⚠️ 観測された攻撃手法に基づく検知ルールまたは行動ベースラインを更新できず、同様の攻撃に対して脆弱なままである
総計値追跡なし⚠️ 平均検知時間 (MTTD)、平均応答時間 (MTTR)、範囲トレンドを追跡していないため、システムの弱点を特定する機会を逃している
遅延レビュー⚠️ インシデント解決から数か月後に詳細が忘れられ、改善の機運が失われた場合に事後レビューを実施する
是正フォロースルーなし⚠️ インシデント後のレビューで改善点を特定したが、実行できず、類似インシデントが再発する