EC-Councilのインシデントハンドラー（ECIH）カリキュラムでは、インシデント対応において準備が最も重要な段階であることを強調しています。組織は、インシデントが発生する前に、明確に定義された役割、コミュニケーションチャネル、エスカレーション手順、および文書化された対応ワークフローを確立する必要があります。このシナリオでは、レジリエンス訓練中の混乱、特に利害関係者の責任の不明確さ、コミュニケーションの断絶、ベンダーとの連携およびログ取得における不確実性に焦点を当てています。
ECIHは、現実的なシミュレーション、机上演習、レッドチーム／ブルーチーム演習を実施することで、組織の準備態勢が強化されると強調しています。これらの演習は、エスカレーション経路の検証、第三者との連携手順の明確化、診断ログの取得などの証拠収集手順が運用チームに十分に理解されていることの確認に役立ちます。
オプションA（自動アラート）は検出精度を向上させますが、役割の曖昧さを解消するものではありません。オプションB（ファームウェアパッチ適用）は脆弱性管理に対応しますが、コミュニケーションのギャップは解消されません。オプションD（手動フォールバックモード）は事業継続性をサポートしますが、訓練で明らかになった責任分担やエスカレーション経路の混乱を解消するものではありません。
ECIHのガイドラインでは、効果的な初期対応は、文書化された手順書、明確に定義された関係者の責任、ベンダー間の連携手順、およびインシデント対応計画の継続的なテストに依存すると明確に述べています。シミュレーションベースのトレーニングは、手順上の弱点を明らかにし、各部門がそれぞれの運用およびコミュニケーション上の責務を確実に理解できるようにします。
したがって、現実的なシミュレーションを実施し、各関係者の責任を明確に文書化することが、演習中に明らかになった準備上のギャップを埋めるための最も適切な是正措置である。

永続的サービス拒否（PDoS）攻撃（「フラッシング」とも呼ばれる）は、ハードウェアを標的とした攻撃の一種で、ハードウェアコンポーネントに修復不可能な損傷を与え、交換または大規模なハードウェア介入なしにはデバイスを使用不能にします。Zaimasoftで説明されているシナリオでは、攻撃者がハードウェアコンポーネントに損傷を与えた行為は、PDoS攻撃の特徴と一致しています。分散型サービス拒否（DDoS）攻撃やサービス拒否（DoS）攻撃は、一般的にシステムのリソースを一時的に過負荷にすることを目的としており、また、サードパーティのサーバーを使用した増幅技術を伴うDRDoS（分散型反射型サービス拒否）攻撃とは異なり、PDoS攻撃は物理的なハードウェアに直接損傷を与えるため、交換または再インストールが必要になります。このため、PDoSは標的組織のハードウェアインフラストラクチャに永続的な影響を与えるため、特に深刻な攻撃となります。参考資料：インシデントハンドラー（ECIH v3）の教育リソースでは、PDoSを含むさまざまな種類のサービス拒否攻撃について詳しく説明し、各攻撃の特異な性質と影響を受けるシステムへの影響を強調しています。PDoSは、ハードウェアコンポーネントに物理的で修復不可能な影響を与えることで知られています。

このシナリオは、ECIHカリキュラムで概説されている、インシデント発生後の復旧および報告段階を反映している。
封じ込めと根絶の後、組織は、特に金融詐欺や経営幹部の不正行為が関与している場合、法的、規制的、および捜査上の要件に対処しなければならない。
選択肢Aが正解です。詳細なインシデントレポートを政府のサイバー犯罪対策機関に送付することは、法的措置の拡大と捜査支援に相当します。ECIHは、詐欺、金銭的損失、または国境を越えた犯罪行為に関わる事件において、法執行機関との協力が重要であることを強調しています。適切な文書化は、訴追、賠償請求、および規制遵守を後押しします。
オプションB、C、Dは、法的措置とは無関係な技術的な復旧措置です。
検証済みの証拠を当局に提示することで、組織は技術的な修復にとどまらず、復旧義務を果たし、ECIHのベストプラクティスに沿った活動を行う。

高度な持続的脅威（APT）への対応には、連携のとれた、情報に基づいた対応が不可欠です。ECIHは、APT調査によってエンドポイント、ネットワーク、クラウドプラットフォーム全体にわたる膨大な量のテレメトリデータが生成されることを強調しています。
選択肢Dが正解です。インシデント対応自動化・オーケストレーション（IRAO）ツールは、異なるデータソースを関連付け、データエンリッチメントを自動化し、脅威ハンティングを加速します。これにより、対応者は隠れた永続化メカニズムや攻撃者のTTP（戦術、技術、手順）を効率的に特定できます。
選択肢A、B、Cは重要ではあるが、直ちに調査を行うべきものではない。
ECIHは、APT攻撃のような複雑で複数の攻撃経路が絡むインシデントに対して、オーケストレーションプラットフォームを明確に推奨しています。