手順とは？
|
「よいシステムとは何か」を考えていくと最後に突き当たるのは「よい手順書（マニュアル）とは何か」になる。システムとは「相互に関連し、又は相互に作用する総体」であるから、複雑な業務をいかにして手順化（マニュアル化）しておくかに行きつくのである。 マニュアルには何を書くのか、誰を対象に書くべきか、どのくらいの細かさで書くのか、いつ読むのか、いつ読ませるのか。これらは当然組織によって異なる。しかし、何か一般原則があるのではないか。 １０．手順書制定指示が不徹底ないので、品質システムにどんな決め事が存在するのか明確になっていない。 ISO9001による品質マネジメントシステム構築には、どんな成果が期待されているのか。組織はいろいろな要素の集まりである。要素とは人、設備また製品（構成部品を含む）等である。これらの要素はお互いが複雑に絡み合っている。ルール（手順）なしでは期待される成果に結びつかない。 このお互いが複雑に絡み合った要素に最低限のルールを与え、トップの期待する効果を上げさせようとするのがISO9001による品質マネジメントシステムである。しかし、組織の人々は時々最低限のルールを守らないことがある。システムの維持は、決められたルールを全員が守ることで達成されていくから、このルール無視が多いとマネジメントシステムの維持はされていかない。 （２）手順の存在は知っているが自分たちのやり方と異なってる。手順どおり実施せずとも目的は達成できる。 （３）チェック又は注意されない。最初は上司も関心を持っていたが段々と無関心になり、今や業務のやり方は部下任せである。 この内（１）（２）は手順の定め方に問題があると思われる。実際に業務を実行する人に対して、有効な働き掛けをしていないことから発生している問題である。手順を定める時には業務実施者と共同で、あるいはやり方をよく聞いて制定しなければならない。もし、実際に業務を行わないスタッフが机上で考え手順を制定すると、多くの場合このような状況に陥ることになる。 （３）はマネジメントの問題であろう。部下が手順と異なった仕事をしてもチェックしない上司が多いと思われる。果たして上司が部下の手順を知っているのか疑問に思われる場合もある。 （４）（５）は難しい問題である｡制定された手順をどのように守らせるのかという課題である。しかし、難しいといって放置しておくわけにはいかない。何らかの対策を考えなければならない。原理原則からいえば、ルール無視の仕事はシステムのメカニズムによって先に進まないようにすればよい。同僚、上司のチェックが一番有効であろうが、状況によっては自動的に、例えばコンピュータ等の活用による手順の確立もあるであろう。 と二つに分けることが出来る。以下、ルールの決め方の問題を中心に、ルールを守らせる問題についても述べてみたい。 手順書は、一般にマニュアルと呼ばれている。言葉の使用例としては、我々に最も身近なものとしてコンピュータの「操作手順書（マニュアル）」がある。コンピュータの操作手順書にはコンピュータを操作する場合の順序、方法が記載されており、操作が分からなかったりトラブルが生じたりした場合には、手順書を読めば誰にでも操作が分かるようにとの目的で作成されている。 しかし現実にはコンピュータの操作手順書を読んでも、直ちに知りたいことが分かるようになるとは限らない。最近は大分改善されてきたが、コンピュータの操作手順書は関係者の多大な努力にも関わらず、分厚くて説明がわかりづらいということで評判のよくないものが多かった。使いづらいとの批判にもかかわらず操作手順書のわかり易すさはなかなか改善されない。理由は、記述内容の中に操作の順序と方法が混在しているからである。順序と方法は「ニワトリと卵」のような関係でどちらが先で、どちらが後か明確でない場合が多い。したがって順序と方法の相互関係を分析しなければならない。手順書の書き方、表現の仕方はかように分析、工夫を要するものである。 しかし、手順書が存在することによって、それがたとえ分かりづらいものであっても多くの人がコンピュータを使用できるようになることに多大な貢献をしてきた。多くの人が手順書を読むことによって同じ操作ができるようになる訳である。 この例からも理解できるように手順書は、コンピュータの使用順序と使用方法の２つを伝えると同時に、コンピュータの使い方を標準化する役目を負っている。手順書使用の目的の一つはこのような標準化にあるといってよい。 手順書は標準化のツールとして、順序と方法を規定する以外に、ノウハウ保存用のツールとしても用いられている。これを手順書と呼ぶかどうかは組織にもよる。本稿では使用目的別に手順書を次のように分類している。しかし、総ての手順書が用途別にきれいに区別できるわけではない。 要領書とも呼ばれるもので、作業の一つ一つについて実施の方法を説明したものである。作業の説明用または訓練用に使用される。例えば、何も分からない新人に作業の一つを教えようとすると、手順書（指示書）にはどんなに煩雑になろうと、作業のステップ一つ一つを順序を追って記述しなければならない。新人の訓練は、まず手順書を読ませて理解させて、その後実際にやらせてみて徐々に習熟度を高めていくことでおこなわれる（職場内訓練：OJT；On the Job Training）。作業ステップの一つ一つを総て記述するといっても、職場内訓練（OJT）のやり方によって手順書の記述の詳細度は異なる。何が誰によってなされるべきか、それがいつ、どこで、どのようになされるべきか、どのような原材料、設備及び文書が使われるべきか、並びにそれがどのように管理され、記録されるべきかが含まれているのがよい。次に述べる標準手順（指示）書との記述範囲の分担は組識それぞれが判断すればよい。なお、作業方法を変更する場合には、必ず手順書を改訂しなければならない。この場合責任ある者が確認、承認することが大切である。確認、承認するまでは決して作業方法を変更してはならない。 業務のステップ順序を正式なものとして規定したもの。業務ステップの中味は作業手順（指示）書で説明するとして、即ち引用で済ませることが多い。組織によっては、２段階に分けず標準手順書の中に要領も記述してしまうところもある。 業務に従事する者全員がこれに従わなければならない。ステップの順序をあまり細かく分けると、手順書が冗長かつ煩雑になり誰も読まなくなる。業務プロセスのポイントのみを要領よく記述する工夫をしていかなければならない。業務ステップを変更する場合には、必ず手順書を改訂しなければならない。この場合責任ある者が確認、承認することが大切である。確認、承認するまでは決して業務ステップを変更してはならない。 組織によっては「ノウハウ集」「技術資料」と呼称されているものである。日本の組織も時代により次第に変化をしてきており、従来の終身雇用制度が崩れつつある。このような情勢下では、一人の仕事に対する従事期間が短くなる傾向が強く、技術技能が次世代に継承されづらい。今までの技術技能を集大成して主要な技術技能を次世代に継承しようとして編集されるものである。 手順書の作成は、適正に教育・訓練された者が行わなければならない。手順書は要点を簡潔に、できるだけチェックリストスタイルで作成する、となると誰でもできる仕事ではない。長い文章を読みたい人間は少ない。必ずやらなければならない作業のみを抽出する。こうしたことができるのは、その仕事をしたことのある経験者ということになる。作業手順書は文書の性格上、比較的長い記述、説明にならざるをえない。 �〆邏伴蟒隋併惻─暴颪砲靴蹇↓�標準手順書にしろ、業務の進め方が記述される訳であるが、誰のために作成するのか、その読み手が理解しやすいような手順書を作成するには、以下の点を考慮しなければならない。 どのレベルの人々に照準を合わせて記述したらよいのか、を決めなければならない。コンピュータの操作手順書の例においては読み手が不特定な場合が多く、この特定は極めて難しい。初級用、中級用、上級用とグレード別に手順書を作成することでこの問題を解決している。企業組織においては、誰が読み手なのか特定しやすい。担当者、上司、管理者が読み手になるはずである。初級の人には作業手順（指示）書（work 用語の意味するところが明確でないために混乱を与えることが多い。社会一般に使用されている用語と組織内で使用されている用語の定義が異なることがある。そればかりか、社会一般に使用されている用語が組織内では全く使用されていなかったり、逆に組織内のみで使用している用語であったり、用語の定義に関しては注意を要する。 操作方法が記述されていても、実際にどのように行ったらよいのかが理解できないことがある。最近のコンピュータの操作手順書においては、実践する場面がコピーされており、実際の場面が浮かび上がるような工夫をしている。実践する場面が浮かび上がってくるような手順書を作成するためには、手順書の表し方に工夫が必要である。 中でも帳票（フォーマット）、図示を上手に工夫すると、簡便で確実な手順書になるので、研究してみる価値がある 手順書化する対象事項は、業務全体のプロセスの中で重要度の高いものを選択しなければならない。重要度の高いものを手順書化から落としてはならない。コンピュータ操作手順書の例でいえば、操作全体の中でどんな事柄が重要なのかをよく検討することになる。コンピュータ操作にもいろいろある。入力の仕方、出力の仕方、ホルダーの開き方、ファイルの開き方、コピーの仕方、消し方、周辺機器（キーボード、プリンター、フロッピー等）の操作の仕方等沢山ある。 即ち、コンピュータ操作のプロセスを分析して、どの業務が重要な対象事項となるのか、決めなければならない。そして重要な対象事項は手順書化から落とさないようにしなければならない。しかし、重要度は経験的に決まることが多いので、時系列的に手順書の内容、量に増減があるのが普通である。最初はある程度多く選択して、それから時間を掛けて絞り込んでいくのがよい。 どこまでの細かさで手順書の記述をするのかは極めて重要である。総てのことをできるだけ詳細に記述するのか、クリティカルポイント（重要致命点）のみを記述するのか、これは手順書の性格によって決まる。即ち、�〆邏伴蟒隋併惻─暴� ��標準手順書かによって、どの程度の詳細さで記述すべきかが決まってくる。次に読み手のレベルによっても決まってくる。クリティカルポイントの決め方は次のとおりである。 コスト、スケジュール、品質システム上必須な作業を抽出する必須な作業の抽出の根拠を明確にしておく。例えば、次のような例； 手順書には、担当部署または担当者が実施すべき項目（品質、コスト、スケジュール、安全、環境）は全て網羅する。 �ゞ般海里笋衒�が変更になった場合（例えば、効率化の観点から）、責任者の承認のもと手順書を改訂する。 ��必須な業務が新たに明らかになった場合、責任者の承認のもと手順書の管理項目を追加する。 �Ｃ甘�者の習熟が上がり問題がなくなったからといって、管理項目を削除したりはしない。ルールを変更するには責任者の 手順書を「いつ読ませるのか」については、�〆邏伴蟒隋併惻─暴� ��標準手順書かによって異なる。まずは一人の社員が入社してから順を追って次のステップに上がるまで、幾つもの段階の、どんな状況下で手順書を読むことが必要になるかの例を一覧にしてみよう。いつ、状況、手順書の種類、に分けて一覧にしてみた。 作業手順（指示）書を日常の実務、即ち作業遂行時にどのように読ませるかは重要なポイントである。担当者の作業習熟度によって読ませる頻度が変わってくる。最初は作業をする都度、次第に頻度をおとし、一人前と認められるようになれば、不定期に作業を実施する時とか、なにか課題に突き当たった時に読む、というように決めておくことが必要であろう。 また、作業の性質によってはいくら習熟したといっても必ず毎日読む、又は聞かせることが必要な場合がある。製品の品質が作業の一つ一つによって作り込まれ、かつ今作っている製品が唯一なものであるといった場合は、始業時に必ず聞かせることが有効である。 作業時に必ず指差確認をするという方法もある。建設業、サービス業、組立産業においてはこの様な方法を取っているところも多いであろう。 担当者は、理想的には自分の意志で、決められた頻度で作業手順（指示）書を読むべきであるが、現実にはプレッシャーがないと決められたとおりに読まない。如何に上手にこのプレッシャーを与えるかが上司の役割である。役割を理想的に果たすには、人と人のコミュニケーション技法を活用しなければならない。この場合、「上司が作業手順（指示）書の内容を熟知していること」がコミュニケーション成立の最低条件である。 業務のステップ、すなわち順序を決めた標準手順書は、作業手順（指示）書と異なって担当者に毎日読ませることはない。しかし、部門の業務実施基準として決められた頻度で読まれることが必要である。担当者が読むと同時に、管理者も読まなければならない。 このように手順書が使用されない原因の多くには、文書化を要求しているISO9001:2000規格にあるのではない。ISO9001：2000版においては、手順書として次の６つしか要求していない。 組織はこれらの重要な対象事項に関して手順書を作成、維持しなければならい。組織がこれ以上の手順書を作成するのは、自由であるが冒頭掲げたコメントのような状況は避けなければならない。 組織の多くの方は、「手順書は紙に書かれたもの」と思っているようである。しかし、最近のように人の出入りが激しい、人員派遣、請負など人材が多様化している状況にあっては、もっと簡単に仕事の手順、責任、仕事の相互関係を教える方法を採用しなければいけないようである。 コンピュータグラフィックで可視化した ３次元の業務フロー図 が、手順書に悩む方々にとって、今後必須のツールになっていくのではないかと思う。 テクノファでは、従来の紙ベースの手順書に変わる、この『３次元の業務フロー図』を作成し、各人のPC上で活用できるソフトウエアを開発しました。 |
[ 109] よいシステムは、よい手順書に行き着く
[引用サイト] http://www.technofer.co.jp/convini/hotnews/hotky_02.html
|
一度感染すると、外部の悪意の第三者からあなたのパソコンが遠隔コントロールされ、スパムの送信感染拡大、DDoS攻撃など他の人への迷惑行為を行うばかりか、あなたのパソコン内のあらゆる情報を盗み出す危険なウイルスです。 （例：市販のワープロソフトや表計算ソフト、画像編集ソフト、データベースソフト、プレゼンテーションソフト、ゲーム、電子メールソフト、ウイルス対策ソフトなど） ボットウイルス等が感染を拡げる手法で最も多いものは、パソコンのセキュリティホール（ぜい弱性）を外部から攻撃し、パソコン に不正なプログラムを埋め込む手法です。このためパソコンのセキュリティホール（ぜい弱性）を常に修復することが重要です。ここでは、そのボットウイルス感染の原因の一つであるMicrosoft Windowsのセキュリティホール（ぜい弱性）を修復するために「Windows Update」を実施します。 「hostsファイルのクリア手順」のページを参考に、hostsファイルの確認、修正を行ってみてください。 ウイルスに感染しているホームページを閲覧したことが過去にあった場合、そのウイルスは、ブラウザのキャッシュファイルとして一時的に保存されてしまいます。 「CCCクリーナー」は簡易ツールであるため、ブラウザのキャッシュファイルに存在するファイルは、ウイルス検出しても削除されません。このため、事前にブラウザの一時ファイル（キャッシュファイル）を削除しておく必要があります。 下記よりご使用のブラウザを選択し、クリックしてください。ブラウザの一時ファイル（キャッシュファイル）の削除方法が記された画面が、別ウィンドウで立ち上がります。手順に従って一時ファイルを削除し、それから次の手順３に進んでください。 駆除ツール「CCCクリーナー」（以下「本ソフトウェア」という。）を利用して、駆除を行うためには、下記記載の使用許諾書のすべての条項に同意いただく必要があります。本ソフトウェアを利用された方は、本使用許諾書の各条項に同意したものとみなされます。本使用許諾書を十分お読みいただき、ご理解いただいた上で本システムをご利用ください。 iframe対応のブラウザでしか表示できません。iframe対応のブラウザをお使いでないかたは、右上の「使用許諾書を拡大して見る」をクリックし、使用許諾書の内容をご確認ください。 WindowsXP、Vistaをお使いの方は、Windowsの「システムの復元」をウイルスを駆除した以前の復元ポイントで実施すると、駆除したウイルスも復元される場合がございますのでご注意下さい。 現在のウイルスは、パソコンのセキュリティホール（ぜい弱性）を利用しインターネットに接続しただけで感染するタイプが主流です。また、他人のホームページに不正アクセスし、悪意のコードを埋め込むことによりホームページを見ただけでウイルスをダウンロードさせるなど、昔のように注意をすれば感染を防げるという状況ではありません。 お客様が加入のプロバイダ、もしくは回線提供会社が月額版のウイルス対策ソフト製品を販売している場合は、そのサービスをご利用下さい。 もしくは、製品版を提供するウイルス対策ソフト会社ではオンライン販売も行っておりますので、そちらをご利用下さい。 ※Windows 2000の方は、ウイルス対策ソフトの最新バージョンでは対応していない場合がございますので、購入の際はご注意ください。 ウイルス対策ソフトを導入していても、最新のウイルスに対応するためには、ウイルス定義ファイルの更新期限が有効になっていることが重要です。更新期限が切れていますと最新のウイルスには、対応できませんので更新期限が切れていないか確認してください。 ウイルス対策ソフトも未知のウイルスに対して、防ぎきることはできません。外部からの感染攻撃を遮断し感染しにくい環境を作ることが重要です。 このためには、ブロードバンドルータの導入が有効です。ブロードバンドルータをxDSLモデムまたは光終端装置とパソコンの間に入れることにより、ルータがこの感染攻撃を防いでくれます。 ルータ機能の有無をこちらの「ルータ機能の有無確認と手配方法」で確認しルータ機能のない場合は、今すぐルータの購入、又はルータ機能付のモデム（ADSLの場合）への変更を行ってください。 ルータ機能がなかった場合は、今すぐルータの購入、又はルータ機能付のモデム（ADSLの場合）への変更を行ってください。 ウイルスに感染されていた方は、入力及び設定してあったID、パスワードを盗まれている可能性があります。下記のサイト等のパスワードを変更して下さい。 |
[ 110] サイバークリーンセンター ｜ ボットの駆除手順
[引用サイト] https://www.ccc.go.jp/flow/index.html
|
本記事では、セキュリティ関連の非営利団体JPCERT/CCが、基本的におさえておくべきセキュリティ技術やコンピュータセキュリティ・インシデント（不正アクセス）に関する情報を紹介する。（編集局） 第2回と第3回の2回にわたり、インシデントを発見する方法を紹介した。今回はそこで紹介したような方法で何らかのインシデントを発見した、または外部からの通報でインシデントが発生していることに気が付いた場合の一般的な対応手順を紹介する。 まずは落ち着くことが大切である。一般に、インシデントと思わしき事象を発見すると、人は冷静さを失ってしまうものである。しかし冷静さを失ってしまったがために、そもそもインシデントでも何でもなかったものをインシデントと勘違いしたり、また、さほど深刻ではないインシデントの被害や影響範囲を無用に拡大してしまうこともあるのだ。十分に注意してほしい。 すでに手順が決められている場合は、その内容を確認する。セキュリティポリシーや作業マニュアルは、参照しやすい場所に用意しておく。 この作業記録は、作業時の手順を後日評価する際の資料に用いられるだけでなく、作業中に副次的に障害が発生した場合などには、 作業手順のポリシーなどを見直すための重要な資料となる。 発見者がインシデント対応担当でない場合には、事前に定められた連絡手順に従い、組織内のインシデント対応チーム（CSIRT）などの担当者に連絡し、指示を仰ぐ。また、インシデントの内容や程度によっては、組織内のほかの部署とも協力して対応を行わなければならない場合がある。その場合は、事前に定められた各部署の担当者などにも連絡する。 あらかじめ想定されるインシデントを大まかにリストアップし、それぞれに応じた責任者や担当者を定め、連絡網を整備しておくことをお勧めする。インシデントの種類については、文末のコラムを参考にしてほしい。 外部からの不審なアクセスが、必ずしもすべて悪意によるアクセスとは限らないことに注意してほしい。自らの操作ミスや管理者による作業の可能性もある。あるいはシステム自体のバグなどによる障害の可能性も否定できない。注意深く確認してほしい。 特に注意しなくてはいけないのは、113/tcp（ident、auth）へのアクセスである。これは、何らかのサーバにアクセスした際に、そのサーバがアクセス元に対して、アクセスしてきたクライアントを実行しているユーザーのユーザー名を取得するために逆にアクセスしてくるものである。 identのように、自サイトからのアクセスの波及効果として外部からアクセスを受けた場合、その外部からのアクセスを「外部からの（何らかの）攻撃」と誤解してしまうことが多々ある。 システム自体に、ある程度の影響が想定される場合には、後々の調査に備えてインシデント発生時のシステムのスナップショットを保存する。 保存する項目はインシデントの内容によって異なる。例えば、ログイン状況（who）や履歴（last）、各種サーバのログ（/var/log/*など）、ネットワーク接続の状況（netstat -a）やプロセステーブル（ps）といったシステムの稼働状況に関する記録を保存したり、HDのイメージをそのまま外部記憶装置（テープなど）に保存するといったことが考えられる。 ただし、システムにおいて何らかの改ざんが行われている場合は、システム上のコマンド自体も改ざんされている可能性が高い。コマンドを用いて上記のような情報を取得する場合には、チェックサムを確認する、または外部メディア（CD-ROMやFDなど）に保存したコマンドを用いるなど、十分に注意したうえで作業を行ってほしい（詳細は「第3回 DDoS（分散型サービス運用妨害）攻撃用ツール（Agent）を設置されたり、ワームに感染した場合などは、自システムが他サイトの攻撃に（踏み台として）悪用されることになる。このような形で被害が拡大する恐れがある場合には、ネットワークやシステムの全体もしくは一部を遮断または停止する。 しかし、ただやみくもに遮断／停止すればいいというわけではない。遮断や停止の結果として、システムに甚大な2次被害を与えたり、またほかのシステム（自サイトおよび他サイト）にも影響を与えてしまう可能性がある。遮断や停止については、事前に意思決定プロセスや判断基準を整理しておくとともに、具体的な作業手順についても明確に定めておく必要がある。 これからの対応を判断する前提として、どのような種類の影響が、サイト内外のどの範囲にまで、どの程度生じているかを調べる。 例えば、ほかのシステムとの通信履歴などから、関連するサイトを調べたり、ファイルへのアクセス状況（最終アクセス時刻など）から機密情報の漏えいがなかったかどうかを調べる。特に、持ち出されたり、参照された可能性のあるファイルが、自サイトにとってどれだけ「機密」に当たるものかを確認し、以後の対応を検討する。 また、踏み台として他サイトへのアクセス（攻撃）に使われた可能性がある場合には、実際に自サイトから外部に対して「いつ」「どのような」アクセスが行われたかを、システムのログやルータなどのネットワーク機器のログなどから整理しておく。 インシデントの影響の程度により、サイト内外への事情説明や謝罪などが必要とされることがある。広報や渉外などの担当者と調整し、必要な情報を提供する。 また、ほかのサイトがインシデントに関係している可能性がある場合（例えば、アクセス元）には、それらのサイトに必要な情報を提供し、協力して解決に取り組めないかどうかを検討する。しかし関係するサイトへの連絡にはリスクも伴うため、注意が必要である。 ※ このような「関連サイト」に連絡する際の注意事項や手順については次回に紹介する。 インシデントの再発を防ぐための再発防止策について検討するために、インシデントが発生した要因（原因）を特定する。 例えば、システムの設定に問題がなかったかどうか、また使用しているOSやソフトウェアのセキュリティ上の弱点で対策を講じていなかったものがなかったかどうか、などをベンダや配布元の提供する情報を参照して確認する。またJPCERT/CCや米国CERT/CCなどのCSIRTが提供する情報も参考になるであろう。 ※ JPCERT/CCからの情報としては、前の週のセキュリティ関連情報の要約である「JPCERT/CCレポート」、深刻な脆弱性の発見やワームの感染の広まりなどについての緊急告知である「注意喚起」、実際に多くの被害が発生しているインシデントに関するレポートである「緊急報告」の3つの文書がある。いずれもJPCERT/CCのWebサイト（http://www.jpcert.or.jp/）から閲覧できるので、参考にしてほしい。 何らかの改ざんやデータの破壊が行われた場合には、バックアップメディアあるいは配布メディアからシステムを復旧する。 バックアップデータを保存した時点で、すでにシステムが改ざんされていた可能性がある場合には、意図しない設定やプログラムが記録されていると考えられる。バックアップメディアからの復旧に際しては、それらの意図しない情報を書き戻さないように注意する必要がある。 最悪の場合、バックアップメディアからの復旧をあきらめ、配布メディアによる初期インストールが必要となる場合もある。 例えば、使用しているOSやソフトウェアのセキュリティ上の弱点が悪用された（と考えられる）場合には、ベンダや配布元の提供する情報を参照し、問題を修正するために必要なパッチなどの情報を確認する。パッチの適用やソフトウェアの更新などによる対策が困難もしくは不可能な場合には、可能な回避策を調査する。 また、パスワードデータベースの情報が盗まれた可能性がある場合には、全ユーザーのパスワードを変更しておく必要がある。 一度、攻撃に成功し、脆弱なサイトとして情報が流されると、引き続き何らかの攻撃を受ける可能性が飛躍的に高まる。インシデントの再発に備え、監視体制を強化する必要がある。 作業終了後、記録に基づいて、作業内容や作業にかかったコスト（時間、費用など）、また（確認された範囲内での）損失をまとめ、責任者に報告する。 作業報告に基づいて、セキュリティポリシーに定められた手順に不十分な点がなかったかどうかを確認し、必要に応じてポリシーを見直す。またこれまでの運用体制や運用手順、さらに今回実際に行ったインシデント対応作業に問題がなかったかどうかを確認する。 JPCERT/CCへのインシデント報告については、以下のURLで示されるページを参照。 今回は、インシデントを発見した後の一般的な対応手順を紹介した。紹介した内容はあくまで一般的なものであり、インシデントの内容やサイトの運用形態によって詳細は異なる。記事の内容を参考にして、自サイトのための対応手順を整理してまとめておくことを強くお勧めする。 次回は、インシデントに関連したサイト （特にアクセス元） に連絡する際の注意事項を紹介する。 インシデントには、システムの改ざんを伴う深刻なものから、弱点探索といったシステム自体には深刻な被害をほとんど与えないものまで、さまざまな種類がある。 インシデントを発見する方法（2）」を参照）や盗聴用ツールといった、攻撃用の「道具（Tool）」だけでなく、物理的な破壊や盗難、さらに「Social 「設定上の脆弱性」としては、パスワードの設定ミスやファイルのアクセス権限の設定ミス、さらに脆弱なサービスの有効化などが含まれる。 プローブ（Probe）やスキャン（Scan）、攻撃先へ過負荷をかけるアクセス（Flood）、パスワードの盗用などによるユーザーへのなりすまし（Authenticate）、代替手段による認証の手続きなどの回避（Bypass）、IPアドレスやドメインネーム情報の偽造や電子メールアドレスの詐称などのネットワークを介したなりすまし（Spoof）、データの読み出し（Read）、複製（Copy）、窃盗（Steal）、改ざん（Modify）、削除（Delete）の11種類に分類される。 ターゲットの特徴（サーバプログラムのバージョン情報など）を知る目的でのアクセス。 ある特定の特徴（脆弱なサーバプログラムを使っているか否かなど）を、一連のターゲットの中のどのターゲットが持っているかを確認するための、連続したアクセス。 何らかの方法で手に入れた他人のパスワードなどを使って「正規のユーザ」と偽るといった「認証（Authenticate）」の手続きを経る行為である。 何らかのセキュリティ上の弱点を悪用するなどして、本来行わなければならない認証の手続きを回避（Bypass）して、ユーザーや管理者の権限を取得するといった行為である。 対象となるデータのオリジナルをそのまま残しておき、複製を作成すること。データの内容を「読む」必要はない。 対象となるデータへの、本来の所有者によるアクセスや使用を不可能にする。例えば、データを「複製」した後に「削除」する、またはデータの収められたメディア（FDなど）を盗み出すといった行為。 Sandiaの報告書におけるインシデントの分類には、上記で紹介した「攻撃」という視点での分類のほかに、Attackers（攻撃者）やObjectives（攻撃の目的）という分類がある。詳細は、Sandiaの報告書を参照してほしい。 Emergency Response Team/Coordination Center（コンピュータ緊急対応センター）の略称。非営利団体で、特定の政府機関や企業からは独立し、中立の組織として活動している。JPCERT/CCは、インターネットを介して発生する、侵入やサービス妨害などのコンピュータセキュリティインシデントについて、日本国内のサイトに関する報告の受け付け、対応の支援、発生状況の把握、手口の分析、再発防止のための対策の検討と助言などを、技術的な立場から行っている。FIRSTに日本で最初に加盟したCSIRT。 トラブルシューティングはCentOS 5におまかせ （2007/11/15） リリースから半年が過ぎたCentOS 5、もう使っていますか？ これにはSELinuxの運用をもっと楽にしてくれる便利なツールが追加されています ヘルスチェックしてる？ 怠ってはならないDNSのケア （2007/11/9） DNSやDHCP、安定稼働しているからといって放っていたりしませんか？ ネットワークを支える要となるサービスにもう一度注目しよう 脆弱なホストを狙った不正中継を見抜く （2007/11/7） 攻撃者は設定ミスや脆弱性を残しているマシンへどのように攻撃してくるのか？ 踏み台にされないために、その見抜きかたを知っておこう 不正を見破り、紙・メール・ファイル状況変化“なし” （2007/11/6） 「守る」という意味が日々変化するセキュリティの世界。あらゆるデータの不正を許さない環境を実現するために、製品も日々進化します ホワイトペーパー利用者に「Amazonギフト券」を抽選で100名様にプレゼント！――TechTargetジャパン リニューアル・キャンペーン ＠ITトップ｜Security&Trustフォーラム トップ｜会議室｜利用規約｜プライバシーポリシー｜サイトマップ |
[ 111] ＠IT：インシデント発見時の対応手順
[引用サイト] http://www.atmarkit.co.jp/fsecurity/rensai/inci04/inci01.html
