脆弱性が悪用されたエッジ機器へのパッチ適用後：証拠保全、復旧、運用再開の確認

目的

2026年10月25日時点の情報である。悪用されたエッジ機器の脆弱性にさらされた後に、根拠を説明できる復旧記録を作成する。本手順案は、2026年8月25日更新のCISAのトリアージガイダンスと、引用した製品の復旧ガイダンスに基づく。アドバイザリの最新改訂、完全性確認ツールの限界、ハードウェア固有の復元要件を再確認すること。調査により可能性を絞り込めるまでは、機器を侵害された可能性があるものとして扱う。

前提条件

インシデント責任者を指定し、信頼できる管理アクセス、独立した連絡手段、アクセスを制限した証拠保存先、復旧作業時間を確保する。アプライアンス、管理サーバー、クラスター内の他ノード、接続先のIDサービスを一覧化する。該当するベンダー手順と、疑わしいアプライアンスの外部で管理されている設定の基準を用意する。CISAは、機器内の内容を正しい基準とみなすのではなく、設定記録を一元管理することを推奨している。堅牢化ガイダンス。

手順

1. 対象範囲を定めて封じ込める。 インストール済みバージョン、到達可能なサービス、脆弱性にさらされていた期間、連携システムを記録する。証拠収集とサービス継続を考慮しながら隔離を進める。緊急の封じ込めが必要な場合はインシデント責任者が調整し、単にチェックリストを埋めるために有害なアクセスを継続させない。疑わしいインフラの外に連絡手段を確立する。

2. 可能な限り、状態を変える前に収集する。 再起動、アップグレード、リセットの前に、ベンダーがサポートする収集方法で揮発性の証拠を保全する。関連ログ、設定、サポートバンドルを保存し、該当する場合は仮想ディスクの証拠も取得する。取得元の機器、収集者、収集時刻、状態を変えた操作を記録する。すでにパッチを適用した場合は、欠けている証拠を記録し、外部ログを回収する。CISAのトリアージガイダンス。

3. パッチと完全性チェックを個別に検証する。 対象となる全ノードの稼働バージョン、対応するアドバイザリの行、スキャンのバージョン、完了結果を記録する。対応している場合は、ベンダーの信頼できる照合情報と比較してイメージの完全性を確認する。異常と失敗したスキャンの記録を保全する。機器の出力に加えてネットワークとID関連の証拠も利用し、既知の侵害指標がないことを侵害がなかった証明に置き換えない。

4. 復旧方法を選択する。 侵害の疑いがある場合や侵害が確認された場合のベンダー基準に従う。工場出荷時設定へのリセットだけで十分なのは、該当する復旧手順でそう定められている場合に限る。たとえばPAN-OSのハードウェアはサポートの支援を受けた強化復旧を行う一方、仮想アプライアンスでは置き換えが必要である。実際の機種と導入形態を確認する。ベンダーの復旧手順例。

5. 確認済みの設定を復元する。 保全した設定を外部の基準と比較する。対象には管理者アカウント、認証先、ルーティング、アクセスルール、管理サービス、ログ転送を含める。説明のつかない差異は調査する。ベンダーが要求する場合は設定を再作成し、それ以外はベンダーが認める復元手順を使う。再接続する前に、復旧によって脆弱なソフトウェアが再インストールされていないことを確認する。NCSCの復旧原則。

6. 漏えいした可能性のあるアクセス情報と秘密情報を交換する。 機器上にあった管理者・サービス用の認証情報、APIトークン、共有シークレット、秘密鍵を一覧化する。封じ込めに必要なアクセス権の失効は信頼できるシステムから行い、交換用の秘密情報は復旧済みシステムにのみ導入する。証明書の再発行と鍵の交換はベンダーの指示に従う。サポートされた制御手段で、影響を受けたVPN、管理用、IDプロバイダーの各セッションを終了し、セッションの種類ごとに確認する。CISAの認証情報漏えい対応には、セッションの終了とパスワードのリセットの両方が明示的に含まれる。CISAの例。

7. 検証し、監視する。 意図したトラフィックが正常に流れ、管理アクセスが制限され、外部ログが届き、確認済みの設定が維持されていることを確かめる。管理者ログイン、ルール変更、想定外の接続、連携システム上の活動を調査する。確認された事実、解消していない疑い、証拠の欠落を分けて記録し、それぞれの追加対応の担当者を決める。

期待される結果

各機器について、インストール済みの修正、収集した証拠、調査の結論と対応状況、復旧措置、交換した認証情報、セッションへの対応、監視計画を関連付けた、レビュー可能な記録ができる。別の運用担当者が、サービス復旧と侵害調査の終了を区別できる。

限界と検証の根拠

これは文書に基づいてまとめた手順であり、アプライアンスの復旧演習で検証したものではない。CISAの指令は対象の連邦機関に向けたものであり、この手順が他の運用者にその法的義務や期限を課すわけではない。機器固有の収集と復旧ではベンダーの指示が優先される。アップグレード前の証拠が欠けているという制約は、その後の確認が成功しても残る。