Explanation
The best action for the incident response team to recommend in this scenario is to perform no action until HR or legal counsel advises on next steps. This action can help avoid any potential legal or ethical issues, such as violating employee privacy rights, contractual obligations, or organizational policies. This action can also help ensure that any evidence or information collected from the employee's system or network is admissible and valid in case of any legal action or dispute. The incident response team should consult with HR or legal counsel before taking any action that may affect the employee's system or network.

* ルートキットやファームウェア レベルの脅威などの一部の高度なマルウェアは、従来のスキャンや削除では生き残ることができるため、デバイスの再イメージ化は、永続的なマルウェアを排除する最も効果的な方法です。
* システムがクリーニング後も再感染し続ける場合、次のような場所に深く根付いた持続的な脅威が存在する可能性があります。
* マスター ブート レコード (MBR) または EFI ファームウェア。
* 侵害されたシステム復元ポイント。
* マルウェアによって残された隠されたバックドア。
他の選択肢はなぜないのか?
* A (セーフ モードで更新してスキャンする) # 役立つ可能性がありますが、マルウェアが永続的である場合は、再び発生する可能性があります。
* C (OS のアップグレード) # 必ずしもマルウェアが削除されるわけではありません。一部のマルウェアは OS のアップグレード後も残ります。
* D (セカンダリ スキャナー) # 検出には役立ちますが、完全な削除は保証されません。
ベストプラクティス:
* ファームウェア レベルの感染を排除するには、ハード ドライブを交換します。
* 正常なソースからシステムのイメージを再作成します。
* ネットワークに再接続する前に、OS とセキュリティ パッチを更新してください。
参考資料: CompTIA CySA+ CS0-003、第 4 章「インシデント対応とフォレンジック」、セクション「マルウェアの削除とシステムの回復」。

偵察はサイバーキルチェーンの最初の段階であり、侵入テストを実施する前に潜在的な標的を調査するものです。偵察段階では、潜在的な標的の特定、脆弱性の発見、接続している第三者（およびアクセスできるデータ）の特定、既存の侵入ポイントの調査、そして新たな侵入ポイントの発見などが含まれます。偵察はオンラインでもオフラインでも実施できます。今回のケースでは、アナリストは社外ネットワークの外部にあるIPアドレスが、外部に公開されている資産全体にわたってネットワークスキャンと脆弱性スキャンを実行するために使用されていることを発見しました。これは、アナリストが攻撃者による偵察活動を目撃していることを示しています。公式参考資料：
https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

同じ会社と地域に属する異なるソース ネットワークからの可能性のあるネットワーク アドレスを識別するのに役立つシェル スクリプト関数は次のとおりです。
function y() { dig $(dig -x $1 | grep PTR | tail -n 1 | awk -F ".in-addr" '{print $1}').origin.asn.cymru.com TXT +short } この関数はIPアドレスを引数として受け取り、digコマンドを使用して2つのDNSルックアップを実行します。最初のルックアップでは、-xオプションを使用して逆DNSルックアップを実行し、IPアドレスに関連付けられたホスト名を取得します。2番目のルックアップでは、origin.asn.cymru.comドメインを使用して、自律システム番号（ASN）と、国コード、レジストリ、割り当て日などのIPアドレスに関連するその他の情報を取得します。
この関数は、IPアドレスとASN情報を出力します。これにより、同じASNまたはリージョンに属するネットワークアドレスを識別することができます。

ステップバイステップの解決策の説明を参照してください
Explanation:
ステップ1: 脆弱性修復のタイムフレームの確認
修復標準では、CVSS スコアに基づいてサーバーにパッチを適用する必要があります。
CVSS > 9.0: 7日以内にパッチを適用
CVSS 7.9 - 9.0: 14日以内にパッチを適用
CVSS 5.0 - 7.9: 30日以内にパッチを適用
CVSS 0 - 5.0: 60日以内にパッチを適用
ステップ2: 出力タブの分析
出力タブから:
サーバー 192.168.76.5 は、サポートされていない Microsoft IIS バージョンに対して CVSS スコア 9.2 であり、7 日以内にパッチを適用する必要がある重大な脆弱性があることを示しています。
サーバー 192.168.76.6 は、HTTPS クッキーのセキュリティ属性が欠落しているため CVSS スコアが 7.4 で、5.0 ～ 7.9 の範囲に該当するため、30 日以内にパッチを適用する必要があります。
質問では 14 日以内にサーバーにパッチを適用するよう求められているため、CVSS 7.9 - 9.0 のサーバーに焦点を当てる必要があります。
どのサーバーも CVSS スコアが 7.9 ～ 9.0 の範囲に正確に収まりません。
ただし、CVSS スコアが 9.2 の 192.168.76.5 には、迅速な対応を必要とする脆弱性があり、最短期間 (14 日を含む 7 日間) 内にパッチを適用する必要があるため、該当します。
標準的な方法に基づくと、14 日間の緊急度に適合するサーバーは 192.168.76.5 になります。
ステップ3: 環境タブの確認
環境タブには、192.168.76.5 の追加コンテキストが表示されます。
これは開発環境にあり、内部的なものであり、一般にはアクセスできません。
MFA が必須であり、セキュリティ対策がすでに存在していることを示します。
ステップ4：適切な技術と緩和策の選択
192.168.76.5 の場合、Microsoft IIS がサポートされていないバージョンの場合:
パッチ: IIS を現在のリリースにアップグレードすることが最も適切なオプションです。IIS をアップグレードすると、サポートされているバージョンに更新され、サポートされていないソフトウェアの脆弱性が解決されます。
この手法は、パッチが適用されていない古いソフトウェアという根本的な原因に対処します。
まとめ
14日以内にパッチを適用するサーバー: 192.168.76.5
適切な手法と軽減策: パッチの適用、IIS の最新リリースへのアップグレード このアプローチにより、最も重大な脆弱性が速やかに解決され、セキュリティ コンプライアンスが維持されます。