EP 19 / EPISODE BRIEF
侵害範囲の境界線
複数の証拠でconfirmedを定義する
Northstar Labのasset inventory、identity、DNS、proxy、endpoint証拠を読み取りで照合します。confirmed・suspected・clearedを区別し、封じ込めの優先順位と事業影響を報告します。攻撃者の手順や変更操作は扱いません。
このエピソードで学ぶこと
資産台帳は対象のownerや重要度を整理した記録です。confirmedは証拠で確認した範囲、suspectedは仮説、not-observedは調べた記録で観測していない範囲として使います。
何を確認したかだけでなく、どのログや期間をまだ確認していないかも記録します。
ミッション
- 資産の重要度を確認するasset inventoryから対象資産のowner・criticality・環境を確認する
- identity証拠を照合するidentity.jsonから関連ユーザー・資産・認証状態を確認する
- DNSの期待値を確認するDNS証拠でns-web-02の名前と予約IPの対応を照合する
- proxyとendpointを突き合わせる同一requestIdのproxy・endpoint記録から観測事実と未確定事項を分ける
- 境界と封じ込めを報告するconfirmed・suspected・未観測を根拠付きで分類し可用性と優先順位を報告する