ランサムウェア、不正アクセス、標的型メール、アカウント乗っ取りなどのサイバー攻撃が発生した場合、システムを復旧するだけでは十分とはいえません。攻撃者がどこから侵入し、どの端末やアカウントを操作し、情報が外部へ持ち出された可能性があるのかまで確認する必要があります。

とくに、侵害された端末をすぐに初期化したり、ログを削除したりすると、攻撃者の操作を確認するための証拠が失われるおそれがあります。また、目立った被害が発生している端末だけを復旧しても、別の端末やクラウドアカウントに侵入経路が残っていれば再び攻撃を受ける可能性があります。

そのため、サイバー攻撃の調査では、端末やサーバー、ネットワーク、クラウド、認証基盤などに残る記録を保全し、「いつ・どこから・どのIDで・何が行われたか」を時系列で確認することが重要です。

そこで本記事では、サイバー攻撃が疑われる場合の初動対応、調査対象となる主なログや証拠、侵入経路と被害範囲を確認する方法、フォレンジック調査会社へ相談するタイミングまでを解説します。

サイバー攻撃の調査で最初に行うこと

サイバー攻撃が疑われる場合は、復旧を急ぐ前に被害拡大の防止と証拠保全を進めます。進行中の攻撃を止めながら、後から原因を確認できる状態を残すことが重要です。

侵害が疑われる端末・サーバーを隔離する

不審な通信やマルウェア感染、ファイル暗号化などが確認された場合は、対象端末をネットワークから隔離します。

有線接続であればLANケーブルを抜き、必要に応じてEDRやネットワーク機器側から通信を遮断します。これにより、攻撃者との通信や他端末への横展開を抑えます。

ただし、端末の電源断や再起動によってメモリ上の情報が失われる可能性があります。進行中の破壊行為がない場合は、現在の状態を記録したうえで判断することが重要です。

画面や現在の状態を記録する

警告画面、ランサムノート、不審なプロセス、ファイルの状態、エラーなどを記録します。

異常を発見した日時、最初に気づいた利用者、直前に行っていた操作なども残しておくと、後から攻撃のタイムラインを作成しやすくなります。

ログやディスクを証拠保全する

EDR、ファイアウォール、VPN、認証基盤、メール、プロキシ、クラウドなどのログを保存します。

端末やサーバーでは、必要に応じてディスクイメージやメモリを取得し、取得日時、担当者、ハッシュ値、保存場所などを記録します。

侵害された可能性がある認証情報を整理する

攻撃者が認証情報を取得している場合、端末を隔離してもクラウドやVPNへ別経路からログインされる可能性があります。

一般ユーザーだけでなく、管理者、サービスアカウント、APIトークン、VPN証明書なども確認し、必要に応じてセッション失効や認証情報のローテーションを行います。

影響を受けたシステムの範囲を確認する

最初に異常が見つかった端末だけでなく、同じアカウントを利用している端末、共有サーバー、クラウド、Active Directoryなども確認します。

サイバー攻撃では、一台の端末から認証情報を取得し、複数のシステムへ横展開するケースがあります。そのため、最初に見つかった端末だけで被害範囲を判断しないことが重要です。

復旧前にどの証拠を残すかを判断できるかが、その後の原因調査を大きく左右します。

サイバー攻撃の調査対象となる主なログ・証拠

侵入経路や被害範囲を確認するには、一つの端末だけを見るのではなく、複数のログを組み合わせて分析します。

Windows端末・サーバーのログ

Windows環境では、Security、System、PowerShellなどのイベントログが重要な調査対象になります。

加えて、Sysmon、Prefetch、Amcache、Shimcache、タスクスケジューラ、Windowsサービス、RDP・SMBの利用履歴などから、不審なプログラムの実行や横展開の痕跡を確認します。

Microsoft 365・Entra IDのログ

Microsoft 365やEntra IDを利用している場合は、サインインログや監査ログを確認します。

不審な国・IPアドレスからのログイン、MFA設定変更、OAuthアプリ同意、メール転送ルール、Inbox rule、条件付きアクセスの変更などは重要な調査ポイントです。

ネットワーク機器のログ

VPN、DNS、Proxy、Firewall、NetFlow、NDRなどの記録から、外部との不審な通信や社内ネットワーク上の横展開を確認します。

特定端末から普段利用しない宛先へ大量の通信が行われている場合は、C2通信やデータ持ち出しの可能性を確認します。

クラウドの監査ログ

AWSではCloudTrail、AzureではActivity Log、GCPではCloud Audit Logsなどが主な証拠になります。

IAMの変更、アクセスキーやトークンの利用、ストレージへのアクセス、仮想マシンの操作などを確認し、クラウド上で攻撃者が行った操作を整理します。

EDR・セキュリティ製品の記録

EDRには、プロセス実行、ファイル作成、ネットワーク接続など、攻撃調査に有用な情報が記録される場合があります。

検知アラートだけを見るのではなく、その前後でどのプロセスが起動し、どの通信やファイル操作が行われたかを確認します。

ランサムウェア特有の痕跡

ランサムウェア被害では、暗号化開始時刻、ランサムノート、バックアップ削除、横展開に使用されたツール、外部への通信などを確認します。

ファイルが暗号化されたことだけでなく、その前に情報が外部へ持ち出されていないかを調べることも重要です。

複数のログを時系列で照合する

単一のログだけでは、攻撃の全体像を把握できないことがあります。

たとえばVPNへの不正ログイン後に、PowerShellが実行され、管理者権限が取得され、ファイルサーバーへ大量アクセスが発生していた場合、それぞれの記録を時間軸で結び付けることで攻撃の流れを確認できます。

サイバー攻撃の侵入経路と被害範囲を調査する方法

フォレンジック調査では、初期侵入から攻撃者の活動、情報流出までを一つのタイムラインとして再構成します。

最初の侵入経路を確認する

VPN、公開サーバー、フィッシングメール、脆弱性、漏えいした認証情報など、最初に攻撃者が侵入した可能性のある経路を確認します。

侵入経路を特定できなければ、端末を復旧しても同じ経路から再侵入される可能性があります。

侵害されたアカウントを特定する

攻撃者が利用したユーザーIDや管理者アカウントを確認します。

ログイン日時、接続元IP、利用端末、MFAの状況などを照合し、正規利用者の操作と切り分けます。

永続化・権限昇格の痕跡を確認する

攻撃者が再びアクセスするために、ユーザー追加、タスク登録、サービス追加、OAuthアプリ登録などを行う場合があります。

また、一般ユーザーから管理者権限へ昇格していないかも確認します。

他端末への横展開を確認する

RDP、SMB、PowerShellなどを利用して他端末へアクセスしていないかを調査します。

同じ認証情報を利用するサーバーやPCに不審なログインがないかも確認し、侵害範囲を特定します。

情報流出の有無を確認する

不正アクセスが確認されても、それだけで情報漏えいが発生したとは断定できません。

ファイルアクセス、大量ダウンロード、アーカイブ作成、クラウド共有、外部通信などを確認し、攻撃者がデータへアクセス・持ち出しを行った可能性を調査します。

侵入経路や情報流出の範囲が分からない場合はフォレンジック調査会社に相談する

サイバー攻撃では、最初に異常が見つかった端末だけを確認しても、攻撃の全体像を把握できない場合があります。

フォレンジック調査会社では、端末、サーバー、ネットワーク、認証基盤、クラウドなどに残る記録を横断的に分析し、最初の侵入から権限昇格、横展開、データアクセスまでを時系列で整理します。

端末の初期化やログ削除を先に進めると、攻撃経路や情報流出を判断するための重要な証拠が失われるおそれがあります。原因や被害範囲を正確に確認したい場合は、復旧作業の前に専門会社へ相談することが重要です。

サイバー攻撃をフォレンジック調査するメリット

フォレンジック調査を行うことで、攻撃の有無だけでなく、侵入経路、影響範囲、情報流出の可能性などを整理できます。

侵入経路を特定できる

脆弱性、VPN、フィッシング、漏えいした認証情報など、攻撃者が最初に利用した可能性のある経路を調べます。

被害を受けた端末・アカウントを確認できる

侵害されたPCだけでなく、攻撃者がアクセスしたサーバー、クラウド、管理者アカウントなどを確認できます。

情報漏えいの可能性を調べられる

ファイルアクセスや外部通信などを分析し、どのデータが閲覧・持ち出された可能性があるかを整理します。

攻撃の流れを時系列で整理できる

初期侵入、権限昇格、横展開、データアクセス、暗号化などの記録を時間軸で整理します。

再発防止策を具体化できる

侵入原因が分かれば、脆弱性修正、MFA、権限管理、EDR、ログ監視など、必要な対策を具体化できます。

サイバー攻撃調査後の復旧と再発防止

調査後は、IOCを削除するだけではなく、侵入経路となった原因そのものを是正してから復旧します。

侵害された認証情報を失効・変更する

パスワードだけでなく、管理者ID、APIキー、OAuthトークン、VPN証明書、既存セッションなどを必要に応じて失効させます。

脆弱性や設定不備を修正する

侵入に使われた脆弱性、外部公開設定、弱い認証などを是正します。

原因が解消されていない状態でサービスを再開すると、再侵入される可能性があります。

侵害端末を再構築する

端末内に攻撃者の永続化設定が残っている可能性がある場合は、クリーンな環境からの再構築を検討します。

バックアップから復旧する場合も、侵害前の安全な時点のデータであることを確認してください。

ログ監視と検知ルールを強化する

今回の攻撃で確認された挙動をもとに、EDR、SIEM、ネットワーク監視などの検知ルールを改善します。

再発防止策を組織全体へ展開する

一台の端末だけに対策するのではなく、同じ脆弱性や設定を持つシステムがないかを確認し、組織全体へ対策を展開します。

サイバー攻撃調査を専門会社へ依頼する際のポイント

専門会社へ調査を依頼する場合は、単にマルウェアの有無を確認するだけでなく、侵入経路や被害範囲まで調べられるかを確認します。

調査できる機器やクラウドの範囲を確認する

PCだけでなく、サーバー、ネットワーク機器、Microsoft 365、AWSなど、被害環境全体を調査できるか確認します。

証拠保全から対応できるか確認する

ログやディスクの保全方法を誤ると、調査結果へ影響する場合があります。証拠保全から支援できる会社を選ぶことが重要です。

侵入経路と情報漏えいまで分析できるか確認する

「マルウェアがあった」という確認だけでなく、攻撃者がどこから入り、どこまで操作したかを分析できるかを確認します。

調査報告書の内容を確認する

調査対象、確認した証拠、侵入経路、被害範囲、再発防止策などが整理された報告書を受け取れるか確認します。

緊急対応できる体制を確認する

サイバー攻撃では時間が経つほどログが失われたり、被害が拡大したりする可能性があります。

インシデント発生直後から相談できる体制があるかも重要な比較ポイントです。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

サイバー攻撃の調査では、被害端末を復旧するだけでなく、侵入経路、侵害されたアカウント、横展開、情報流出の可能性まで確認することが重要です。

攻撃が疑われる場合は、まず端末やサーバーを隔離し、EDR、Windows、VPN、ファイアウォール、Microsoft 365、クラウドなどのログを保全します。その後、複数の証拠を時系列で照合し、攻撃者の行動を整理します。

侵入経路や被害範囲が分からない場合は、復旧や初期化を先に進めると重要な証拠が失われる可能性があります。原因究明と再発防止につなげるためにも、必要に応じてフォレンジック調査会社へ早めに相談することが重要です。