IT人材のためのキャリアライフスタイルマガジン

【テンプレート付】サイバーキルチェーン別インシデント対応プレイブック｜7段階ごとの手順・役割を解説

更新日：2026年02月26日

ITキャリア

1分でわかるこの記事の要約 サイバーキルチェーンに基づくインシデント対応プレイブックは、サイバー攻撃の被害を最小化するために不可欠です。 攻撃者の7段階の行動フェーズ（偵察から目的実行）ごとに、検知、対応手順、役割、証拠 […]

1分でわかるこの記事の要約
  • サイバーキルチェーンに基づくインシデント対応プレイブックは、サイバー攻撃の被害を最小化するために不可欠です。
  • 攻撃者の7段階の行動フェーズ（偵察から目的実行）ごとに、検知、対応手順、役割、証拠保全のポイントを具体的に解説します。
  • プレイブックは、属人化を防ぎ、初動対応の迅速化・標準化を実現し、CSIRTやSOCの運用効率を向上させます。
  • 効果的なプレイブック運用には、自社体制へのカスタマイズ、定期的な訓練、SOARによる自動化が重要です。
  • 適切な証拠保全は、攻撃の全貌解明、被害範囲の特定、そして対応の正当性を証明するために不可欠となります。
メタディスクリプション: サイバー攻撃の被害を最小化する「インシデント対応プレイブック」を、サイバーキルチェーンの7段階に沿って徹底解説。検知、担当、対応手順、証拠保全まで網羅したテンプレート付で、実用的なCSIRT/SOC運用を実現します。
サイバー攻撃を受けた際、場当たり的な対応になっていませんか？インシデント発生時に誰が何をすべきか不明確なままでは、初動対応が遅れ、被害が甚大化する恐れがあります。担当者によって対応品質にばらつきが出る「属人化」も大きな課題です。 こうした問題を解決するために不可欠なのが、攻撃者の行動フェーズ「サイバーキルチェーン」に基づいた「インシデント対応プレイブック」です。本記事では、各段階で必要な対応手順、担当者の役割、証拠保全のポイントを網羅した、すぐに使える実践的なテンプレートを解説します。

なぜ今、キルチェーンに基づいたプレイブックが必要なのか？

巧妙化・高度化するサイバー攻撃に対し、事後対応だけでは限界があります。攻撃者の行動を予測し、プロアクティブ（積極的）な防御体制を築くことが、現代のサイバーセキュリティ対策の鍵です。その中核を担うのが、キルチェーンの概念を取り入れたインシデント対応プレイブックなのです。

インシデント対応の課題とプレイブックの重要性

多くの組織では、インシデント対応が特定の担当者の経験やスキルに依存しがちです。これでは、担当者不在時に対応が滞ったり、対応品質が均一にならなかったりする「属人化」のリスクを抱えることになります。また、緊急事態の混乱の中で、どの情報（ログ）を保全し、誰に報告すべきかといった判断が遅れることも少なくありません。

プレイブックは、こうしたインシデント対応プロセスにおける課題を解決するための「標準化された手順書」です。事前に役割分担や具体的なアクション、判断基準を明確にしておくことで、有事の際にも冷静かつ迅速な対応が可能になります。これにより、対応の迅速化、品質の向上、そしてSOC（Security Operation Center）やCSIRT（Computer Security Incident Response Team）といった専門チームの運用効率を大幅に高めることができるのです。

サイバーキルチェーンとは？攻撃者の思考を理解する7段階のフレームワーク

サイバーキルチェーンとは、米国のLockheed Martin社が提唱した、サイバー攻撃のプロセスを7つの段階にモデル化したフレームワークです。攻撃者が目標を達成するまでの一連の行動フェーズを可視化することで、防御側はどの段階で攻撃を検知し、阻止すべきかを戦略的に検討できます。

サイバーキルチェーンの7段階

  • 偵察 (Reconnaissance): 攻撃対象の情報を収集する。
  • 武器化 (Weaponization): マルウェアなど攻撃用のツールを作成する。
  • 配送 (Delivery): 攻撃ツールを標的に送り込む。
  • 攻撃 (Exploitation): 脆弱性を利用してコードを実行させる。
  • インストール (Installation): マルウェアなどを標的システムに常駐させる。
  • 遠隔操作 (Command & Control / C2): 外部からシステムを不正に操作する。
  • 目的の実行 (Actions on Objectives): データの窃取や破壊など最終目的を遂行する。

この各攻撃フェーズで防御策を講じることが、侵害の連鎖を断ち切る上で極めて重要です。プレイブックをこのフレームワークに沿って作成することで、網羅的かつ効果的なインシデント対応体制の構築が可能となります。

【テンプレート付】サイバーキルチェーン7段階別インシデント対応プレイブック

ここからは、サイバーキルチェーンの各段階に沿ったインシデント対応プレイブックの具体的なテンプレートをご紹介します。「検出すべき事象」「担当部署・役割」「具体的な対応手順」「証拠保全のポイント」を明確にすることで、すぐに自社の体制に合わせてカスタマイズできるように構成しています。

段階1：偵察 (Reconnaissance)

攻撃者が標的組織のネットワーク構成、利用システム、公開メールアドレスなどの情報を外部から収集するフェーズです。直接的な侵害はまだ発生していませんが、攻撃の予兆を捉える重要な機会となります。

  • 検出すべき事象:
    • 特定のIPアドレスからの大量のポートスキャンやネットワークスキャン
    • 自社ドメインに対する異常なDNSクエリの増加
    • 従業員情報収集を目的としたSNSやWebサイトのクロール活動
    • フィッシング攻撃の準備段階として、偽ドメインの取得や証明書の申請
  • 担当部署・役割:
    • SOC: 監視、ログ分析、脅威インテリジェンスの活用
    • ITインフラ担当: ファイアウォール、IDS/IPSの運用管理
  • 具体的な対応手順:
    • 検知: ファイアウォール、IDS/IPS、WAFのアラートを監視し、不審なスキャン活動を検出する。SIEMを活用し、複数のログを相関分析して異常を特定する。
    • 分析: 攻撃元IPアドレスの評価を行う。脅威インテリジェンス情報を参照し、既知の攻撃者インフラかどうかを確認する。
    • 防御: 分析の結果、悪意のある活動と判断されたIPアドレスからのアクセスをファイアウォールやIPSでブロックする。
  • 証拠保全のポイント:
    • ファイアウォール、プロキシ、DNSサーバーのアクセスログ
    • IDS/IPSのアラートログ
    • パケットキャプチャデータ（可能であれば）
    • 注意点: これらのログは、攻撃の初期段階を証明する重要な証拠です。タイムスタンプとともに正確に記録・保管してください。

段階2＆3：武器化 (Weaponization) ＆ 配送 (Delivery)

武器化は攻撃者がマルウェアを作成する段階で、防御側が直接観測することは困難です。そのため、対策は次の「配送」フェーズに重点が置かれます。配送は、マルウェアがメール添付ファイルや悪意のあるURLリンク等で組織内に送り込まれる段階です。

  • 検出すべき事象:
    • 実行形式ファイル（.exe, .scrなど）が添付された不審なメールの受信
    • パスワード付きZIPファイルと、パスワードを記載した別メールの受信（PPAP）
    • 公的機関や取引先を装った標的型メール（スピアフィッシング）
    • 短縮URLなど、偽装されたリンクへのアクセス
  • 担当部署・役割:
    • SOC/CSIRT: アラートの分析、インシデントハンドリング
    • メール/ネットワーク担当: フィルタリング設定、通信ログの調査
    • 従業員: 不審なメールやリンクの報告（第一の防御線としての役割）
  • 具体的な対応手順:
    • 検知: メールセキュリティゲートウェイ、サンドボックス、EDR（Endpoint Detection and Response）のアラートを監視する。従業員からの通報も重要な検知ソースです。
    • 分析: 疑わしい添付ファイルをサンドボックスで実行し、挙動を分析する。メールヘッダを調査し、送信元情報を確認します。記載されたURLのリンク先を安全な環境で調査します。
    • 封じ込め: 悪意のあるメールが多数の従業員に配信されている場合、メールサーバーから該当メールを検索・削除する。悪意のあるドメインやIPアドレスへの通信をプロキシやファイアウォールでブロックする。
  • 証拠保全のポイント:
    • 対象のメールデータ（.eml形式での保全が望ましい）
    • 添付されていたマルウェアの検体
    • サンドボックスの分析レポート
    • 関連する通信ログ（メールサーバー、プロキシ）

段階4：攻撃 (Exploitation)

配送されたマルウェアが実行され、OSやアプリの脆弱性を悪用し、システム上で不正なコードが実行される段階です。ここでの迅速な対応が、本格的な侵害（インストール）を防ぐ鍵となります。

  • 検出すべき事象:
    • アンチウイルスソフトやEDRからのマルウェア検知アラート
    • IDS/IPSからの脆弱性を悪用する通信の検知
    • アプリケーションの異常終了やシステムの不安定化
    • PowerShellなど正規ツールを利用した不審なコマンドの実行
  • 担当部署・役割:
    • CSIRT: インシデントのトリアージ、初動対応の指揮
    • セキュリティ担当: EDRの操作、端末の隔離
    • サーバー/クライアント管理者: パッチ適用、システムの調査
  • 具体的な対応手順:
    • 初動対応（封じ込め）: 侵害が疑われる端末を直ちにネットワークから隔離する。物理的にLANケーブルを抜く、またはEDR等の機能で論理的に隔離します。これにより、マルウェアの水平展開（ラテラルムーブメント）を防ぎます。
    • 調査・分析: EDRのプロセスログやイベントログを分析し、どの脆弱性が悪用され、何のプロセスが実行されたかを特定する。
    • 駆除・復旧: 脆弱性が特定された場合、緊急パッチを適用する。マルウェアの駆除を試みるが、完全なクリーンアップが困難な場合は、OSの再インストールを検討する。
  • 証拠保全のポイント:
    • 侵害された端末のメモリダンプ（電源を切る前に取得することが最重要）
    • 侵害された端末のディスクイメージ（フォレンジック調査の基本）
    • OSのイベントログ、アプリケーションログ
    • EDRが記録したプロセス実行ログやファイル操作ログ

段階5：インストール (Installation)

攻撃に成功した攻撃者が、システムへの持続的なアクセスを確保するため、マルウェアを常駐させる段階です。バックドアやRAT（Remote Access Tool）がインストールされることが多く、再起動後も活動を継続しようとします。

  • 検出すべき事象:
    • 未知の実行ファイルやスクリプトがスタートアップフォルダやタスクスケジューラに登録される
    • レジストリの自動実行キー（Runキーなど）に不審な値が追加される
    • 正規のシステムファイルに偽装したマルウェアの作成
    • ルートキットによるファイルの隠蔽
  • 担当部署・役割:
    • CSIRT/フォレンジック担当: 詳細なマルウェア解析、永続化メカニズムの調査
  • 具体的な対応手順:
    • 調査: 隔離した端末のディスクイメージをフォレンジックツールで詳細に分析し、マルウェア本体と永続化の手法を特定する。
    • 分析: 発見されたマルウェアをリバースエンジニアリングし、機能や通信仕様を解明する。これにより、C2サーバーの情報を特定できる場合があります。
    • 水平展開の調査: 同じマルウェアが他の端末にも感染していないか、EDRやログ分析を通じて全社的に調査する。
  • 証拠保全のポイント:
    • ディスクイメージとメモリイメージ（段階4で取得したもの）
    • レジストリのハイブファイル
    • 不審なファイルのハッシュ値（脅威インテリジェンスとの照合に利用）

段階6：遠隔操作 (Command & Control / C2)

インストールされたマルウェアが、外部のC2サーバーと通信を確立し、攻撃者からの命令を受け取れる状態になる段階です。この通信を検知・遮断することが被害拡大を防ぐ上で極めて重要です。

  • 検出すべき事象:
    • 業務で利用しない国や、不審なIPアドレスへの定期的な通信
    • HTTP/HTTPS以外の異常なプロトコルでの通信
    • DNSクエリにおけるDGA（Domain Generation Algorithm）の特徴を持つドメインへの問い合わせ
    • 隠蔽されたC2通信（DNSトンネリングなど）
  • 担当部署・役割:
    • SOC: 通信ログの監視、異常な通信パターンの検出
    • CSIRT: C2通信の分析、遮断措置の実施
    • ネットワーク担当: ファイアウォール、プロキシの設定変更
  • 具体的な対応手順:
    • 検知: プロキシ、ファイアウォール、DNSサーバーのログを監視し、不審な宛先への通信を特定する。SIEMやNDR（Network Detection and Response）ツールが有効です。
    • 分析: 通信先のIPアドレスやドメイン名を脅威インテリジェンスと照合し、既知のC2サーバーでないか確認する。パケットキャプチャを行い、通信内容を分析する。
    • 封じ込め: 特定したC2サーバーのIPアドレスやドメインを、ファイアウォールやプロキシで即座にブロックする。これにより、攻撃者からの遠隔操作を無力化し、情報窃取やさらなる攻撃活動を阻止します。
  • 証拠保全のポイント:
    • ファイアウォール、プロキシ、DNSの通信ログ（対象期間を広めに確保）
    • パケットキャプチャデータ
    • NDRやIDSのアラートログ

段階7：目的の実行 (Actions on Objectives)

攻撃者が最終目的を達成しようとする最終段階です。目的は、機密情報の窃取（データ漏洩）、ファイルの暗号化（ランサムウェア）、システムの破壊、他の攻撃への踏み台利用など多岐にわたります。

  • 検出すべき事象:
    • 管理者アカウントによる短時間での大量のファイルアクセス
    • ファイルサーバー上のデータが圧縮ファイル（.zip, .rarなど）にまとめられる
    • 外部のクラウドストレージなどへの大量のデータアップロード
    • Active Directoryのデータベース（ntds.dit）への不正アクセス
    • システム上のファイルが次々と暗号化される（ランサムウェアの兆候）
  • 担当部署・役割:
    • CSIRT: 被害範囲の特定、インシデント対応全体の統括
    • フォレンジック担当: データ窃取の痕跡調査
    • 事業部門/法務/広報: 事業影響の評価、対外的なコミュニケーション、当局への報告
  • 具体的な対応手順:
    • 被害範囲の特定: どのサーバーの、どのデータが、いつアクセスされ、外部に持ち出されたか（または暗号化されたか）をログから特定する。影響を受けるシステムと業務を洗い出す。
    • 復旧: 窃取されたアカウントのパスワードを強制的に変更し、セッションを無効化する。バックアップからデータをリストアし、システムを正常な状態に戻す。
    • 事後対応: 経営層への報告、必要に応じて監督官庁や警察への届け出、顧客への通知を行う。原因分析の結果を基に、恒久的な再発防止策を策定し、実施する。
  • 証拠保全のポイント:
    • ファイルサーバーやデータベースのアクセスログ
    • Active Directoryのセキュリティイベントログ
    • データ転送の証拠となるネットワークトラフィックログ
    • ランサムウェアの場合は、身代金要求のメッセージ（ランサムノート）

インシデント対応におけるフォレンジック調査と証拠保全の重要性

インシデント対応の全フェーズにおいて、フォレンジックの観点に基づいた証拠保全は不可欠です。適切な証拠がなければ、攻撃の全体像を正確に把握することはできません。

なぜ証拠保全が必要なのか？

  • 正確な原因究明: なぜ、どのように侵害が発生したのかを特定するために必要です。根本原因を理解しなければ、効果的な再発防止策は立てられません。
  • 被害範囲の特定: どの情報が、どの程度漏洩したのかを正確に把握するために不可欠です。これにより、影響を受ける顧客や取引先への適切な通知が可能になります。
  • 対応の正当性の証明: インシデント対応プロセスが適切であったことを、後から第三者（経営層、株主、監督官庁など）に説明するための客観的な記録となります。

特に、初動対応における不適切な操作は、ディスク上のタイムスタンプの変更やログの上書きなど、貴重な証拠を破壊してしまう可能性があります。

フォレンジック調査の初動対応：やるべきことリスト

  • 状況の記録: 発見日時、発見者、インシデントの概要、現在の状況、対応者名などを時系列で正確に記録します。
  • ネットワークからの隔離: 端末をネットワークから切り離し、被害の拡大を防ぎます。ただし、シャットダウンはメモリ上の揮発性データが失われるため、原則として行いません。
  • メモリダンプの取得: メモリ上には、実行中のプロセス、ネットワーク接続、暗号化キーなど、ディスクには残らない重要な情報が含まれています。専用ツールを用いてメモリイメージを取得します。
  • ディスクイメージの保全: オリジナルのハードディスクには一切変更を加えず、読み取り専用装置（ライトブロッカー）を介して、ビット単位の完全なコピー（ディスクイメージ）を作成します。以降の調査はすべてこのコピーに対して行います。
  • 関連ログの収集: 影響を受けたシステムだけでなく、周辺のファイアウォール、プロキシ、認証サーバーなど、関連するあらゆる機器からログを収集・保全します。

実践的なプレイブックを作成・運用するための3つのポイント

1. 自社の体制に合わせたカスタマイズ

本記事のテンプレートは一般的な雛形です。これを自社の組織体制、役割分担、導入しているセキュリティツール（SIEM, EDRなど）、緊急時の連絡網（エスカレーションフロー）に合わせて具体的に記述する必要があります。「担当者」の欄には、単に「CSIRT」と書くだけでなく、具体的なチーム名や役職まで落とし込むことが理想です。誰が見ても同じアクションが取れるレベルまでプロセスを明確に定義しましょう。

2. 定期的な見直しと訓練の実施

サイバー攻撃の手法は日々進化しています。一度作成したプレイブックも、数ヶ月後には陳腐化する可能性があります。少なくとも半年に一度、あるいは新たな脅威情報（例：新しいAPTグループの攻撃手法）が得られたタイミングで、プレイブックの内容を見直すプロセスを定着させましょう。

また、プレイブックが実際に機能するかを検証するために、定期的なインシデント対応訓練が不可欠です。攻撃シナリオを想定した机上訓練や、擬似的な攻撃を仕掛ける実地訓練（レッドチーム演習など）を通じ、問題点を洗い出して改善を繰り返すことが、組織全体の対応能力を向上させます。MITRE ATT&CKのようなフレームワークを参考に、現実的な攻撃シナリオを作成するのも有効です。

3. ツール連携による対応の自動化 (SOARの活用)

近年、インシデント対応の効率化と迅速化を目的として、SOAR（Security Orchestration, Automation and Response）ツールの導入が進んでいます。SOARは、プレイブックに定義された一連の対応プロセスを自動実行するプラットフォームです。

例えば、「不審なIPアドレスを検知したら、脅威インテリジェンスで評価し、悪質と判断されればファイアウォールで自動的にブロックする」といった一連のワークフローをプログラムできます。これにより、アナリストはより高度な分析や意思決定に集中でき、初動対応の時間を大幅に短縮することが可能になります。

まとめ：準備された計画こそが最大の武器

サイバー攻撃への備えとして、攻撃者の行動をフェーズごとに分析する「サイバーキルチェーン」の概念は非常に有効です。そして、その知識を組織の実践的な防御力に変えるのが、「インシデント対応プレイブック」です。

本記事では、キルチェーンの7段階それぞれにおいて、「何を検出し」「誰が」「何をすべきか」、そして「どの証拠を保全すべきか」を具体的に示したテンプレートを解説しました。

重要なのは、このテンプレートを自社の環境に合わせてカスタマイズし、形だけの文書で終わらせないことです。定期的な訓練を通じてプレイブックを評価・改善し、SOARなどのツール活用で対応プロセスを効率化していくことで、組織のサイバーレジリエンスは飛躍的に向上します。

まずは本記事を参考に、自社のインシデント対応プロセスの現状を可視化し、プレイブック作成の第一歩を踏み出してみてはいかがでしょうか。準備された計画こそが、有事の際に組織を守る最大の武器となります。

この記事のまとめ
  • サイバーキルチェーンに基づくインシデント対応プレイブックは、被害最小化と初動対応の迅速化・標準化に不可欠です。
  • 攻撃の7段階（偵察、武器化、配送、攻撃、インストール、遠隔操作、目的実行）ごとの具体的な対応手順と役割を明確化しましょう。
  • フォレンジックの観点から適切な証拠保全を行うことで、原因究明と被害範囲の特定が可能になります。
  • プレイブックは、自社環境へのカスタマイズ、定期的な訓練、SOARツールによる自動化を通じて実効性を高めます。
  • 有事の際に組織を守るためには、事前に準備されたインシデント対応計画と訓練が最も重要な武器となります。

よくある質問（FAQ）

Q1: プレイブックとインシデント対応手順書の違いは何ですか？

A1: 一般的に、手順書は特定の手順（例：マルウェア駆除の手順）を詳細に記述したものを指します。一方、プレイブックは、特定のシナリオ（例：ランサムウェア感染）に対して、検知から復旧までの一連のプロセス、関係者の役割、意思決定のポイント、コミュニケーションフローなど、より広範な対応活動をまとめたものを指します。プレイブックは複数の手順書を内包する、より戦略的な文書と言えます。

Q2: 中小企業でもキルチェーンに基づいたプレイブックは必要ですか？

A2: はい、必要です。攻撃者は企業の規模を問わず、脆弱な組織を狙います。大企業のように専任のSOCやCSIRTを設置できなくても、キルチェーンの考え方を理解し、簡略化されたプレイブックを準備しておくことは極めて重要です。例えば、「誰が外部の専門家に連絡するか」「どのPCから隔離するか」といった最低限のルールを決めておくだけでも、被害の拡大を大きく防ぐことができます。

Q3: プレイブックの作成にはどのくらいの時間がかかりますか？

A3: 組織の規模や成熟度によって大きく異なります。既存の対応プロセスがある程度文書化されている場合は数週間でドラフトが完成することもありますが、ゼロから作成する場合は、関係部署との調整を含め、数ヶ月単位のプロジェクトになることも珍しくありません。重要なのは、最初から完璧を目指すのではなく、まず主要な脅威（例：標的型メール、ランサムウェア）に対するプレイブックから作成し、徐々に対象範囲を広げていくアプローチです。

マモリスのご紹介

マモリス（Mamoris）は、企業の情報資産を守るためのセキュリティサービスです。
端末上の操作や各種ログをもとに、社内不正や情報漏えいにつながりやすいリスクの“兆し”を可視化し、状況に応じた対策につなげます。
セキュリティと業務効率のバランスを大切にしながら、現場で運用しやすい形で「見える化 → 判断 → 改善」を進められるのが特長です。
詳しくは公式サイトをご覧ください：mamoris-secure.com
初回公開日：2026年02月26日

記載されている内容は2026年02月26日時点のものです。現在の情報と異なる可能性がありますので、ご了承ください。また、記事に記載されている情報は自己責任でご活用いただき、本記事の内容に関する事項については、専門家等に相談するようにしてください。

関連する記事

アクセスランキング

個人情報保護方針
外部送信に関する公表事項
Mayonez [マヨネーズ]｜IT人材のためのキャリアライフスタイルマガジン
Copyright (C) 2025 Mayonez
Privacy Mark