セキュリティ インシデントが終結した後、今後のインシデント対応を改善するために行う最善のアクションの 1 つは、すべてのチームでレビューをスケジュールし、何が起こったか、何がうまくいったか、何がうまくいかなかったか、何を改善できるかを話し合うことです。このレビューは、教訓セッションまたは事後レポートとも呼ばれます。このレビューの目的は、インシデントの根本原因を特定し、インシデント対応プロセスの有効性を評価し、セキュリティ制御のギャップや弱点を文書化し、将来のインシデントに対する是正措置または予防策を推奨することです。

ファイアウォール証明書の有効期限が切れています。ファイアウォールが証明書を使用してフィード認証と暗号化を行っている場合、証明書の有効期限が切れると、証明書が更新または置き換えられるまでフィードは機能しなくなります。これは、データ強化プロセスとセキュリティ分析に影響を与える可能性があります。参考資料: CompTIA CySA+ 学習ガイド: 試験 CS0-003、第 3 版、第 4 章: セキュリティ運用と監視、161 ページ。

説明
SOAR (セキュリティ オーケストレーション、自動化、対応) は、セキュリティ チームが個別のツールを統合して調整し、合理化された脅威対応ワークフローを作成し、反復タスクを自動化できるようにするソフトウェア ソリューションを反映しているため、アナリストが推奨事項を実装するのに役立つ最適なオプションです。SOAR は、セキュリティ インシデント対応プラットフォーム、セキュリティ オーケストレーションおよび自動化プラットフォーム、脅威インテリジェンス プラットフォームの機能を 1 つの製品に統合するテクノロジを表すために、2015 年に Gartner によって造られた用語です。
SOAR ソリューションは、セキュリティ チームが EDR エージェント、ファイアウォール、SIEM システムなどのさまざまなソースから入力を収集し、人間とマシンのパワーを組み合わせて分析とトリアージを実行するのに役立ちます。また、SOAR ソリューションを使用すると、セキュリティ チームは、自動化を使用して IP アドレスのブロックやデバイスの隔離などの低レベルのタスクまたはアクションを実行し、デジタル ワークフロー形式でインシデント対応手順を定義および実行できます。SOAR ソリューションは、セキュリティ チームが運用の効率、一貫性、およびスケーラビリティを向上させるとともに、脅威に対する平均検出時間 (MTTD) と平均対応時間 (MTTR) を短縮するのに役立ちます。その他のオプションは、推奨事項の説明や目的と一致しないため、SOAR ほど適切ではありません。SIEM (セキュリティ情報およびイベント管理) は、ログ、イベント、アラートなどのさまざまなソースからデータを収集して分析し、セキュリティ監視、脅威検出、およびインシデント対応機能を提供するソフトウェア ソリューションです。 SIEM ソリューションは、セキュリティ チームがセキュリティ データの可視性、相関関係、コンテキストを取得するのに役立ちますが、SOAR ソリューションのような自動化やオーケストレーション機能は提供しません。SLA (サービス レベル アグリーメント) は、サービスの品質、可用性、パフォーマンスなど、サービス プロバイダーと顧客間の期待と責任を定義するドキュメントです。SLA は、顧客の期待を管理し、コミュニケーションを形式化し、生産性と関係を改善するのに役立ちますが、SOAR ソリューションのような技術的な推奨事項の実装には役立ちません。IoC (侵害の兆候) は、IP アドレス、ファイル ハッシュ、レジストリ キーなど、システムまたはネットワークが脅威アクターによって侵害されたことを示すデータまたは証拠です。IoC は、悪意のあるアクティビティやインシデントの特定と分析には役立ちますが、SOAR ソリューションのような対応アクションの実装には役立ちません。

nessie.explosionは、CVSSv3.1の悪用可能性スコアが最も高いため、修復を優先する必要があります。
8.6. 悪用可能性スコアは、CVSSv3.1 ベース スコアのサブスコアであり、脆弱性を悪用する容易さと技術的手段を反映します。悪用可能性スコアは、攻撃ベクトル、攻撃の複雑さ、必要な権限、およびユーザー操作の 4 つの指標に基づいて計算されます。悪用可能性スコアが高いほど、攻撃者による脆弱性の悪用の可能性が高まり、実現可能性が高くなります12。
nessie.explosion は、4 つのメトリックすべてにおいて最も低い値を持っているため、最も高い悪用可能性スコアを持っています。
ネットワーク (AV:N)、低 (AC:L)、なし (PR:N)、なし (UI:N) です。これは、この脆弱性がネットワーク経由でリモートから悪用される可能性があり、ユーザーの操作や権限を必要とせず、複雑さが低いことを意味します。したがって、nessie.explosion はエンドユーザーのワークステーションにとって最大の脅威であり、最初に修復する必要があります。vote.4p、sweet.bike、great.skills は、隣接ネットワーク (AV:A)、高 (AC:H)、低 (PR:L)、必須 (UI:R) などの一部のメトリックの値が高いため、悪用可能性スコアが低くなっています。これは、物理的な近接性、ユーザーの関与、または何らかの権限を必要とするため、脆弱性が悪用される可能性が低いことを意味します34。参考資料: CVSS v3.1 仕様書 - FIRST、NVD - CVSS v3 Calculator、CVSS v3.1 ユーザー ガイド - FIRST、CVSS v3.1 の例 - FIRST