目次

[[TOC]]

IR プレイブック

このリポジトリには、当社SOCのすべてのインシデント対応（IR）プレイブックとワークフローが含まれています。

各フォルダーには、NIST - 800.61 r2 に従って6つのセクションに分割されたプレイブックが含まれています。

1- 準備

このセクションには以下の情報を含める必要があります。

• _すべての_アセットのリスト
  • サーバー
  • エンドポイント（重要なものを含む）
  • ネットワーク
  • アプリケーション
  • 従業員
  • セキュリティ製品
• ベースライン
• コミュニケーション計画
• どのセキュリティイベント
• しきい値
• セキュリティツールへのアクセス方法
  • アクセス権の付与方法
• プレイブックの作成
• 演習の計画
  • テーブルトップ
  • ハンズオン

2- 検知と分析

このセクションには以下の情報を含める必要があります。

• 情報の収集
• データの分析
• 検知の構築
• 根本原因分析
• 攻撃の深さと広がり
  • 管理者権限
  • 影響を受けたシステム
• 使用された手法
• 侵害の痕跡 / 攻撃の痕跡
  • 戦術、技術、手順（TTP）
  • IPアドレス
  • メールアドレス
  • ファイルハッシュ
  • コマンドライン
  • など

3- 封じ込め、根絶、復旧

このセクションには以下の情報を含める必要があります。

• 影響を受けたシステムの隔離
• 脅威の侵入口へのパッチ適用
• 事前定義されたしきい値
  • 顧客向け
  • 内部システム向け
  • エスカレーション向け
• 事前承認されたアクション
  • 顧客ごと
  • 環境ごと
    • Prod
    • QA
    • インターネット公開
• 影響を受けたすべてのシステムから脅威を除去する方法
• システムを運用可能な状態に戻す
• 再構築してサービスを再開する

4- インシデント後の活動

• 学んだ教訓
• 新しい検知
• 新しい堅牢化
• 新しいパッチ管理
• など

ディレクトリ構造

顧客

このフォルダーには、顧客に関する以下のようなすべての情報が含まれています。

• 連絡先
  • 名前
  • 電話番号
  • メールアドレス
• エスカレーション窓口
  • 営業時間
  • 時間外
• アカウントマネージャー
• 事前承認済みのアクションとしきい値
• ブラックアウト/ブラウンアウトのスケジュール

製品

このフォルダーには、インシデント発生時に使用するさまざまな「商用」製品に関する情報が含まれています。 例：

• JIRA
• Remedy
• Service-Now
• ArcSight
• Elastic Stack
• RSA NetWitness
• Splunk
• AMP
• CrowdStrike
• McAfee
• Microsoft ATP
• Symantec
• Firepower
• Fortigate
• など

IRP-*

これらは、プレイブック自体を含む個々のフォルダーです。各ディレクトリ内には、監査人や閲覧を必要とする顧客向けにPDF版（自動生成）が利用可能なPDFフォルダーがあるはずです。

新しいプレイブックの作成

フォルダーとファイル

新しいプレイブックを作成するには：

• 新しいフォルダーを作成します（例：IRP-DDoS）
• 新しいフォルダー内に README.md というファイルを作成します
• IRP-TEMPLATE.md の内容を貼り付けます
• ドキュメント全体で、文字列 -NAME- をプレイブック名（例：DDoS）に置き換えます
• セクションを編集します。

ワークフロー

ワークフローを作成するには：

• 新しいフォルダー内に Workflows というフォルダーを作成します
• WORKFLOW-TEMPLATE.drawio を Draw.io で開きます
• すべてのタブが完了するまでローカルに保存します
• すべてのタブ/フェーズが完了したら、コピーを新しい Workflows フォルダーにアップロードします
• Draw.io の File -> Export as -> PNG 機能を使用して、各ダイアグラムのフェーズを個別に保存します
  • Include a copy of the diagram のチェックを必ず外してください
  • Export をクリックします
  • ローカルに保存します
• 各 .PNG ファイルを新しい Workflows フォルダーにアップロードします