説明
保管の連鎖
保管の連鎖とは、物理的証拠または電子的証拠の保管、管理、転送、分析、処分の順序を記録する文書です。保管の連鎖は、訴訟における証拠の完全性と許容性を保証するために重要です。インシデント対応チームによって分析された物理ディスクを受け取ったクラウド管理者は、保管の連鎖を更新して、ディスクがいつ、どのように、誰によって取り扱われたか、また、ディスクに対してどのようなアクションが実行されたかを記録する必要があります12。
インシデント分類法は、インシデントの性質、影響、意図、根本原因、公開されたデータなど、インシデントに関する追加情報を提供する分類システムです。インシデント分類法は傾向やパターンを識別するのに役立ちますが、証拠の移動や操作を追跡することはできません3。
リスク レジスタは、プロジェクトまたは組織内の潜在的なリスクを識別、記録、および評価するドキュメントです。リスク レジスタは、リスクの優先順位付けと軽減、および緊急時対応計画の作成に役立ちます。リスク レジスタは、インシデント対応チームによる物理ディスクの分析とは直接関係ありません4。
インシデント プレイブックは、インシデントに対応して解決するための一連の規定手順とガイダンスを提供するドキュメントです。インシデント プレイブックは、対応プロセスを簡素化および標準化し、人的エラーを削減するのに役立ちます。インシデント プレイブックには、対応アクションの詳細や結果は記録されません5。

説明
アプリケーション ホワイトリスト ポリシーを実装することは、ユーザーが複数の IaaS コンピューティング インスタンスでマルウェアを実行するのを防ぐ最善の方法です。アプリケーション ホワイトリストは、承認されたアプリケーションまたは信頼されたアプリケーションのみをシステムまたはデバイスで実行できるようにし、他のすべてのアプリケーションをブロックまたは制限するセキュリティ手法です。アプリケーション ホワイトリストを使用すると、ユーザーがクラウド インスタンスでマルウェアや不要なソフトウェアを実行するのを防ぐことができるほか、システムの攻撃対象領域と脆弱性を減らすことができます。

説明
パブリック サブネット内の Web サーバーが安全な通信のみを許可し、起こりうる問題を修正できるようにするには、アナリストはステートフル構成からルール 1、2、および 5 を削除する必要があります。これらのルールは、Web サーバーとの間の安全でないトラフィックや不要なトラフィックを許可しているため、セキュリティ リスクやパフォーマンスの問題が発生する可能性があります。ルールは次のとおりです。
ルール 1: このルールは、任意の送信元から任意の送信先へのポート 80 (HTTP) の受信トラフィックを許可します。HTTP は暗号化されていない安全でないプロトコルであり、Web トラフィックが傍受、変更、またはなりすましの危険にさらされる可能性があります。アナリストはこのルールを削除し、Web トラフィックを暗号化して保護する HTTPS (ポート 443) を代わりに使用する必要があります。
ルール 2: このルールは、任意の送信元から任意の宛先へのポート 25 (SMTP) の送信トラフィックを許可します。SMTP は、電子メール メッセージを送信するために使用されるプロトコルです。パブリック サブネット内の Web サーバーは、電子メール メッセージを送信する機能ではないため、電子メール メッセージを送信する必要はありません。アナリストはこのルールを削除し、送信 SMTP トラフィックをブロックする必要があります。これにより、侵害された Web サーバーからのスパムやフィッシング攻撃を防ぐことができます。
ルール 5: このルールは、任意のソースから任意の宛先へのポート 22 (SSH) の受信トラフィックを許可します。SSH は、コマンド ライン インターフェイスを使用してシステムまたはデバイスにリモート アクセスして管理できるようにするプロトコルです。パブリック サブネット内の Web サーバーは、不正アクセスや悪意のあるアクセスにさらされる可能性があるため、どのソースからの SSH アクセスも許可する必要はありません。アナリストはこのルールを削除し、管理者のワークステーションや要塞ホストなどの特定のソースへの SSH アクセスを制限する必要があります。