マルウェア感染！！そのときあなたがやるべきこと、やってはいけないこと

［2018/10/24に開催した「Lead Initiative 2018 Technical TRACK」の講演資料です］ マルウェアの感染は誰にでも起こりうるものです。しかし、感染発覚の直後にウイルススキャンを実行するなどの間違った対応により、マルウェアが何を行ったかの「痕跡」を消失させてしまうなど、その後の調査に支障をきたしてしまうことがあります。マルウェアによる被害を調査するためには、皆様の正しい初動が大切です。本講演では、感染直後にとるべき対応について、実際にノートPCをマルウェアに感染させるデモを交えながらご紹介します。 ▼講演者 鈴木 博志（セキュリティ本部 セキュリティ情報統括室 マルウェア＆フォレンジックアナリスト） 梨和 久雄（セキュリティ本部 セキュリティ情報統括室 スレットアナリスト） 六田 佳祐（セキュリティ本部 セキュリティビジネス推進部 セキュリティオペレーシ

[mztnex]

これ理想としては完全にその通りって感じなんだけど、実際ビジネスの継続性などを考えた時に現在進行形のマシンとかを調査の為にそのままにしておけるか？というのは前職の時にも議論があったな

[maetes]

どう対応するかは体制とか組織のポリシーにも依存しそう。おもしろい。

[dogusare]

侵入経路・証跡確保のために現状保全しろは、分からんでもないが、ユーザ心情としてなかなか厳しいなぁ。社内体制「お前は悪くないよ、慌てずあとは任せて、とにかく早く手を挙げて」って事前に周知できているか？

[ionis]

cdir-collector, autoruns, ntfs log tracker。なんとなく辿り着けたツール達が、他社でも使われてると知れてホッとしているなど（