脅威と脆弱性
社内サーバへの不正アクセスが疑われる通信ログが検知された。証拠保全を終えた後、原因究明のために次に行うべき対応として最も適切なものはどれか。
- A直ちにサーバを再起動し正常性を確認する
- ✓保全したログを解析し、侵入経路や影響範囲を特定する
- C影響の有無に関わらず全システムを即座に一般公開停止し謝罪文を公表する
- Dサーバの設定を初期状態に戻し監視を終了する
解説
証拠保全の後は、保全したデータを解析して侵入経路や影響範囲を特定することが原因究明の次のステップとして適切である。サーバの再起動や初期化は証拠を破壊するおそれがあり、時期尚早な公表は正確な状況把握前に混乱を招く。
根拠シラバス「情報セキュリティインシデントへの対応（原因究明・影響範囲の特定）」