IT人材のためのキャリアライフスタイルマガジン

キルチェーン別 初動対応テンプレート：サイバー攻撃の被害を最小化するインシデントレスポンス手順書

更新日：2026年02月20日

ITキャリア

1分でわかるこの記事の要約 サイバー攻撃発生時の被害を最小化するため、迅速かつ的確な初動対応が重要です。 攻撃プロセスを分解する「サイバーキルチェーン」に基づき、インシデントレスポンスの具体的な手順を解説します。 検出・ […]

1分でわかるこの記事の要約
  • サイバー攻撃発生時の被害を最小化するため、迅速かつ的確な初動対応が重要です。
  • 攻撃プロセスを分解する「サイバーキルチェーン」に基づき、インシデントレスポンスの具体的な手順を解説します。
  • 検出・分析から封じ込め、根絶・調査、回復・事後対応まで、各フェーズでの役割とアクションを明確化しました。
  • 実用的な体制構築には、CSIRTの訓練、外部専門家との連携、NISTフレームワークの活用が不可欠です。
  • 本テンプレートを自社に合わせてカスタマイズし、日頃から準備と訓練を重ねることが事業継続の鍵となります。
サイバー攻撃は、もはや他人事ではありません。ある日突然、PCがランサムウェアに感染したり、サーバーから不審な通信が検知されたりする可能性があります。インシデント発生後の数時間が、被害の規模を大きく左右します。そんな時、パニックに陥らず、冷静かつ迅速に行動できるでしょうか？ この記事では、サイバー攻撃のプロセスを体系化した「サイバーキルチェーン」モデルに基づき、インシデント発生時の「誰が・何を・いつやるか」を明確にした初動対応テンプレートを提示します。この対応フローを理解し、自社の手順書として備えることで、万が一の事態にも的確なインシデントレスポンスを実行できるようになります。

インシデントレスポンスにおける初動対応の重要性

サイバー攻撃におけるインシデントレスポンス、特に「初動対応」の成否は、ビジネスに致命的な影響を与えかねません。迅速な初動が重要な理由は、大きく以下の3つです。

  • 被害拡大の防止 不正アクセスやマルウェア感染が発覚した際、迅速に感染端末をネットワークから隔離するなどの「封じ込め」を行わなければ、攻撃は他のサーバーやPCへと瞬く間に広がり、被害は甚大なものになります。初動の遅れは、攻撃者に内部を自由に偵察・攻撃する時間を与えることと同義です。
  • 正確な調査のための証拠保全 インシデント発生直後の端末やサーバーには、攻撃の痕跡（ログやファイル）が数多く残っています。しかし、不用意なシャットダウンや再起動は、メモリ上の重要な証拠を消去する危険性があります。適切な手順で証拠保全を行うことで、後のフォレンジック調査が円滑に進み、攻撃経路や被害範囲の正確な特定につながります。
  • 事業継続と信頼の維持 迅速な対応でシステムを早期に回復できれば、事業停止期間を最小限に抑えられます。また、インシデント発生時に組織として的確に対応し、関係各所に適切な報告を行うことは、顧客や取引先からの信頼を維持する上で不可欠です。テンプレート化された初動対応フローは、組織の危機管理能力を示す上でも極めて有効です。

サイバー攻撃の構造を理解する「キルチェーン」モデルとは

効果的な初動対応を行うには、攻撃者の行動パターンを理解する必要があります。そのためのフレームワークが「サイバーキルチェーン」です。米ロッキード・マーティン社が提唱したこのモデルは、攻撃プロセスを以下の7つのフェーズに分解します。

  1. 偵察 (Reconnaissance) 攻撃対象の情報を収集する段階。公開情報、SNS、技術スキャンなどを用いて、脆弱性や侵入の足がかりを探します。
  2. 武器化 (Weaponization) 偵察で得た情報を基に、攻撃用のマルウェアやペイロードを作成する段階。脆弱性を悪用するコードとマルウェアを組み合わせたファイル（例：Wordファイル）などを用意します。
  3. 配送 (Delivery) 作成した攻撃ツールを標的に送り込む段階。標的型メールや悪意のあるWebサイト、USBメモリなどが利用されます。
  4. 攻撃 (Exploitation) 送り込んだツールを使い、システムの脆弱性を突いて攻撃を実行する段階。ユーザーがファイルを開いたり、リンクをクリックしたりすることでマルウェアが起動します。
  5. インストール (Installation) 標的のシステムにマルウェアを常駐させ、持続的なアクセス経路を確保する段階。PCが再起動してもマルウェアが活動を続けます。
  6. 遠隔操作 (Command & Control / C2) 攻撃者が外部のC2サーバーから、侵入したシステムを遠隔操作する段階。ここからさらなる内部活動の指示が出されます。
  7. 目的実行 (Actions on Objectives) 攻撃者の最終目的を達成する段階。機密情報の窃取、データの暗号化（ランサムウェア）、システムの破壊などが行われます。

キルチェーンの各フェーズを理解すれば、「攻撃が今どの段階か」を把握し、チェーンを断ち切るための最も効果的な対策を講じられます。例えば、「配送」フェーズならメールフィルタの強化、「遠隔操作」フェーズなら不審通信の遮断が有効なインシデントハンドリングとなります。この考え方は、より詳細な攻撃手法を分類したMITRE ATT&CKフレームワークを理解する上でも基礎となります。

キルチェーン別｜インシデント初動対応テンプレート

それでは、キルチェーンを念頭に、インシデント検知後の具体的な初動対応テンプレートを見ていきましょう。「検出と分析」「封じ込め」「根絶と調査」「回復と事後対応」の流れに沿って、「誰が（役割）」「何を（アクション）」「いつ（タイミング）」を行うべきかを解説します。

【前提】インシデント対応の役割分担

  • インシデント対応はCSIRT（Computer Security Incident Response Team）やSOC（Security Operation Center）が中心となりますが、情報システム部門、法務・広報、経営層まで含めた組織的対応が不可欠です。
  • 事前に役割分担を明確にしておきましょう。

フェーズ1：検出と分析（攻撃の初期段階）

インシデントレスポンスは「検出」から始まります。EDRやSIEMのアラート、従業員からの「不審なメールを開いた」という報告などがきっかけです。

役割分担:

  • SOC/セキュリティ担当者: アラートの一次分析、脅威分析、トリアージ
  • 情報システム部門: 対象端末・サーバーの特定、利用者へのヒアリング
  • CSIRTリーダー: インシデント全体の指揮、関係者への連絡体制の確立

直後（〜1時間）

  • アクション: アラート内容を精査し、誤検知か判断。インシデント管理票を起票し、発生時刻、検知内容、対応者などの記録を開始する。
  • 担当者: SOC/セキュリティ担当者
  • ポイント: この記録が後の公式報告書の基礎となります。

数時間以内（〜3時間）

  • アクション: インシデントの緊急度と影響範囲を評価（トリアージ）。CSIRTリーダーへエスカレーションし、緊急対応を開始するか判断する。
  • 担当者: SOC/セキュリティ担当者、CSIRTリーダー
  • ポイント: 事前に定めた報告ルートに従い、関係部署へ第一報を入れます。パニックを起こさず、事実に基づいた情報を簡潔に共有することが重要です。

半日以内（〜12時間）

  • アクション: 影響が疑われる端末やユーザーを特定し、初期のログ（EDR、認証ログ、プロキシ等）収集を開始する。
  • 担当者: 情報システム部門、CSIRT
  • ポイント: マルウェアの挙動や外部通信履歴などの脅威分析を進め、攻撃がどのキルチェーンフェーズにあるかを見極めます。

フェーズ2：封じ込め（攻撃の内部活動段階）

分析の結果、マルウェア感染や不正アクセスが確実となった場合、最優先で被害拡大を防ぐ「封じ込め（Containment）」を実施します。

役割分担:

  • CSIRT/情報システム部門: ネットワークからの隔離措置の実行
  • ネットワーク管理者: 不審な通信の遮断
  • セキュリティ担当者: 侵害されたアカウントの権限停止

検知・判断後すぐ

  • アクション: 感染が確定または濃厚な端末をネットワークから隔離（Quarantine）する。
  • 担当者: CSIRT/情報システム部門
  • ポイント: 最も確実なのは物理的にLANケーブルを抜くことですが、EDRでの論理的隔離も有効です。フォレンジック調査のため、自己判断でのシャットダウンは原則禁止とし、CSIRTの指示を待ちます。

数時間以内

  • アクション: 攻撃者に悪用された可能性のあるアカウント（ドメイン管理者など）のパスワードを強制リセット、または一時的に無効化する。
  • 担当者: 情報システム部門
  • ポイント: 攻撃者の内部活動（ラテラルムーブメント）を阻止する上で極めて効果的です。

半日以内

  • アクション: C2サーバーなど、特定された攻撃者の通信先IPアドレスやドメインをファイアウォール等でブロックする。
  • 担当者: ネットワーク管理者
  • ポイント: 外部からの遠隔操作や追加マルウェアのダウンロードを防ぎます。事業影響も考慮し、措置の範囲を判断します。

フェーズ3：根絶と調査（攻撃の最終目的実行段階）

封じ込めに成功したら、攻撃の根本原因を排除する「根絶（Eradication）」と、被害の全容を解明する「調査分析」を進めます。

役割分担:

  • CSIRT/フォレンジック専門家: デジタルフォレンジック調査の実施、証拠保全
  • 情報システム部門: 脆弱性へのパッチ適用、システムのクリーンアップ
  • セキュリティ担当者: ログの相関分析、攻撃シナリオの解明

封じ込め後（〜数日）

  • アクション: マルウェア本体の駆除、不正アカウントの削除、侵入経路となった脆弱性へのパッチ適用などを行う。
  • 担当者: 情報システム部門、CSIRT
  • ポイント: 単にマルウェアを削除するだけでなく、攻撃者が仕込んだバックドア等をすべて排除し、再侵入されない状態にすることが目的です。

並行して実施（数日〜数週間）

  • アクション: デジタルフォレンジック調査を開始。メモリダンプやディスクイメージを取得し、詳細な分析を行う。
  • 担当者: フォレンジック専門家
  • ポイント: 法的な証拠保全の手順に則り、「いつ、誰が、どこから侵入し、何を盗んだのか」を特定します。

調査期間中

  • アクション: 収集した各種ログ（SIEM, EDR, OS等）を時系列で整理し、相関分析によって攻撃者の行動をストーリーとして可視化する。
  • 担当者: セキュリティ担当者、SOC
  • ポイント: この分析結果が、最終的な被害状況の確定と報告書の根拠となります。

フェーズ4：回復と事後対応

根絶が完了し、システムの安全性を確認したら、事業を再開する「回復（Recovery）」に移ります。同時に、インシデント対応全体のレビューと再発防止策を策定します。

役割分担:

  • 情報システム部門: システムの復旧作業、バックアップからのデータリストア
  • CSIRT/セキュリティ責任者: インシデント報告書の作成、経営層への報告
  • 広報・法務部門: 監督官庁への報告、必要に応じた顧客への公表
  • 全部門: 再発防止策の検討と実施

根絶確認後（〜数日）

  • アクション: クリーンな状態のサーバーやPCを業務ネットワークに再接続。バックアップからデータをリストアし、正常動作を検証する。
  • 担当者: 情報システム部門
  • ポイント: 復旧は優先順位をつけて段階的に行い、復旧させたシステムが本当に安全か、再度脆弱性診断を行うことも重要です。

1週間〜1ヶ月以内

  • アクション: インシデントの公式報告書を作成。発生経緯、被害状況、原因、対応プロセス、恒久対策を明記する。
  • 担当者: CSIRT/セキュリティ責任者
  • ポイント: 報告書は経営層への説明責任を果たすだけでなく、組織のナレッジとして蓄積し、今後のセキュリティ対策に活かす重要な資産です。

事後対応として継続的に

  • アクション: インシデント対応の反省会（Lessons Learned）を実施し、対応フローや手順書を改訂する。今回の教訓を基に、セキュリティ対策（多要素認証の導入、従業員教育など）を計画・実行する。
  • 担当者: 関係者全員
  • ポイント: 組織全体のリスク管理体制を継続的に強化します。

実用的なインシデントレスポンス体制を構築する3つのポイント

今回紹介したテンプレートはあくまで雛形です。これを自社で機能させるためには、以下の3つのポイントが不可欠です。

  1. CSIRTの役割明確化と定期的な訓練 インシデント発生時に指揮権限をCSIRTに集中させ、迅速な意思決定ができる体制を整えます。また、机上の空論で終わらせないため、定期的なサイバー演習や訓練を実施し、インシデントハンドリングの練度を高めましょう。
  2. 外部専門家との連携体制 自社だけですべてに対応するのは困難な場合も多いため、高度なフォレンジック調査や法的アドバイスが必要な際に相談できる外部セキュリティベンダーや法律事務所と、あらかじめ連携体制を築いておくことが有効なリスク管理戦略です。
  3. フレームワークの活用 NISTが提唱するサイバーセキュリティフレームワークの「特定、防御、検知、対応、復旧」というサイクルを回し、組織のセキュリティレベルを継続的に向上させるプロセスを意識することが重要です。

よくある質問（FAQ）

  1. Q1: インシデントを発見したら、まず最初に何をすべきですか？

    A1: まずは落ち着いて、事前に定められた連絡体制に従い、CSIRTや情報システム部門へ速やかに報告してください。自己判断で端末をシャットダウンしたりネットワークから切断したりする前に、専門家の指示を仰ぐことが重要です。特にシャットダウンはメモリ上の重要な証拠を消す可能性があるため、証拠保全の観点から避けるべきです。

  2. Q2: 専門のCSIRTチームがいない中小企業はどう対応すればよいですか？

    A2: 専任チームがなくても、情報システム担当者を中心に、インシデント発生時の役割分担を事前に決めておくことが極めて重要です。「誰が責任者か」「誰が外部専門家に連絡するか」といった報告ルートと役割を明確にした簡易的な対応フローを作成しましょう。インシデント発生時に緊急対応を支援してくれるベンダーのサービスを事前に契約しておくことも有効な選択肢です。

  3. Q3: フォレンジック調査は必ず必要ですか？どこまでやるべきですか？

    A3: 被害の規模や情報漏洩の可能性によって判断が分かれます。ランサムウェアによる広範囲な暗号化や、顧客情報・機密情報の窃取が疑われる場合は、攻撃経路や被害範囲を正確に特定するためにフォレンジック調査が不可欠です。どこまで調査するかは、個人情報保護法などの法的要件、事業への影響、コストなどを総合的に考慮し、経営層や法務部門と相談の上で決定します。

まとめ

サイバー攻撃を受けた際の初動対応は、まさに時間との戦いです。本記事では、攻撃者の行動モデル「キルチェーン」を軸に、インシデントレスポンスの各フェーズで「誰が・何を・いつやるべきか」を具体的に示したテンプレートをご紹介しました。

最も重要なのは、このテンプレートを自社の実情に合わせてカスタマイズし、いざという時に迷わず動けるよう、日頃から準備と訓練を重ねることです。組織的な対応フローを確立し、役割分担を明確にすることが、被害を最小限に抑え、迅速な事業復旧を実現する鍵となります。今日の準備が、明日のビジネスを守る最強のセキュリティ対策となるのです。

この記事のまとめ
  • サイバー攻撃発生時の被害を最小化するため、迅速かつ的確な初動対応が最も重要です。
  • 本記事では、サイバーキルチェーンモデルに基づいた具体的なインシデントレスポンス手順をテンプレートとして解説しました。
  • 検出から回復までの各フェーズで「誰が・何を・いつ行うか」を明確にし、組織的な対応フローを確立することが必須です。
  • テンプレートの自社へのカスタマイズ、定期的な訓練、外部専門家との連携により、実践的な対応力を高めましょう。
  • 日頃からの準備と継続的な体制強化が、万一の事態における事業継続を確実にサポートします。

マモリスのご紹介

マモリス（Mamoris）は、企業の情報資産を守るためのセキュリティサービスです。
端末上の操作や各種ログをもとに、社内不正や情報漏えいにつながりやすいリスクの“兆し”を可視化し、状況に応じた対策につなげます。
セキュリティと業務効率のバランスを大切にしながら、現場で運用しやすい形で「見える化 → 判断 → 改善」を進められるのが特長です。
詳しくは公式サイトをご覧ください：mamoris-secure.com
初回公開日：2026年02月20日

記載されている内容は2026年02月20日時点のものです。現在の情報と異なる可能性がありますので、ご了承ください。また、記事に記載されている情報は自己責任でご活用いただき、本記事の内容に関する事項については、専門家等に相談するようにしてください。

関連する記事

アクセスランキング

個人情報保護方針
外部送信に関する公表事項
Mayonez [マヨネーズ]｜IT人材のためのキャリアライフスタイルマガジン
Copyright (C) 2025 Mayonez
Privacy Mark