イベント

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習

管理番号

E01

発生日時

2018年9月8日（土） 16:05
ウイルス対策ソフトの管理サーバから、検知アラートが通知されました。

イベントの内容

検知日時

2018年9月8日 16:05

脅威名

MAL_OTORUN2

検出ファイル名E:¥autorun.inf （補足：外部記憶媒体のドライブ名）

検査の種類

リアルタイムスキャン

処理結果

削除

検出コンピュータ名

PC0012 IPアドレス：172.16.0.130［営業所の社員Aさんが利用しているパソコン］

P1

対応
管理番号

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習

E01-A（メモ欄：発生した事象や想定されるリスクなどについて推測した結果などを記載）

状況推測（メモ欄：対応すべき事項と優先順位などを記載）

対応方針（以下の選択肢から一つだけ選択し、選択した順番を記載。実技以外は、同じアクションを2回選択することはできない）（1） 社員Ａさんに電話連絡し状況を確認（USBメモリの所有者、他のパソコンへの接続有無など、取り扱いの状況）
アクション（2）社員Ａさんに電話連絡し、パソコンをネットワークから切り離すよう指示（3） 対応不要・状況終了

P2

対応結果
管理番号

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習

E01-A-R01（1） 利用者に電話連絡し状況を確認（USBメモリの所有者、他のパソコンへの接続有無など、取り扱いの状況）

社員Ａさんから以下の回答がありました。
•対応結果

••
•

健康セミナー講演のためにお招きした外部講師の先生が、当社が準備した発表用パソコン（社員用パソコン）にプレゼン資料をコピーするため、持参したUSBメモリを接続した際に、ウイルス検知アラートが発生した。
当該USBメモリは、他のパソコンなどには接続していない。
USBメモリは先生の私物であり、当社で調査することはできない。
先生とは委託関係はなく、当社の業務データはお渡ししていない。今回の講演料は、謝礼金という形でお渡しする。

（メモ欄：対応結果を踏まえ、発生した事象や想定されるリスクなどを記載）

状況推測（メモ欄：対応結果を踏まえ、追加で対応すべき事項などを記載）

次のアクション

P3

対応結果
管理番号

E01-A-R02

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（2） 社員Ａさんに電話連絡し、パソコンをネットワークから切り離すよう指示

社員Ａさんに連絡し、検知アラートが通知されたパソコンをネットワークから切り離してもらいました。
対応結果（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次のアクション

P4

対応結果
管理番号

E01-A-R03

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（3） 対応不要・状況終了

特に何も起こりませんでした。
対応結果（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次のアクションP5

イベント

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習

管理番号

E02

発生日時

2018年9月8日（土） 16:15
営業所の社員Bさんからユーザーサポート部門に電話連絡がありました。
••

パソコンが突然、真っ黒な画面になり、英語のメッセージが表示された。
パソコンに格納しているファイルが全て壊れてしまい、困っている。

イベントの内容

P6

対応
管理番号

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習

E02-A（発生した事象や想定されるリスクなどについて推測した結果のメモ欄）

状況推測（対応すべき事項と優先順位などのメモ欄）

対応方針（以下の選択肢から一つだけ選択し、選択した順番を記載。実技以外は、同じアクションを2回選択することはできない）（1） 社員Ｂさんに電話連絡し状況を確認（事象が発生した前後の状況、英語のメッセージの内容）（2） 営業所のシステム担当者に電話連絡し、WANネットワークを切り離すよう指示（営業所外部との通信を全て遮断）（3） 社員Ｂさんに電話連絡し、パソコンをネットワークから切り離すよう指示
アクション（4） 不審メールを受信した社員に電話連絡し、不審メールを開封しないよう指示［選択の前提条件］ 不審メールを受信した社員を特定できていること（5） システム運用会社に連絡し、メールサーバログを調査し、不審な添付ファイルが付いたメールを受信した社員を特定するよう指示［選択の前提条件］ 不審な添付ファイルの名前を特定できていること（6） 営業所のシステム担当者に連絡し、事象発生パソコンの簡易証拠保全を実施
し、エビデンスを本社の調査用共有フォルダに格納するよう指示（7） 対応不要・状況終了
P7

対応結果
管理番号

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習

E02-A-R01（1） 利用者に電話連絡し状況を確認（事象が発生した前後の状況、英語のメッセージの内容）

社員Ｂさんから以下の回答がありました。
••

突然、パソコンの画面に英語のメッセージが表示された。何をしてそうなったのか分からない。
デスクトップに保管していた「業務情報.txt」が壊れてしまい、ランダムなファイル名となってしまった。内容を確認したが文字化けしている。
パソコンの画面コピー

対応結果（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測
次のアクション

（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

P8

対応結果
管理番号

E02-A-R02

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（2） 営業所のシステム担当者に電話連絡し、WANネットワークを切り離すよう指示（営業所と外部との通信を全て遮断）

営業所のシステム担当者に作業を指示しました。作業完了まで30分程度かかるとのことです。
対応結果（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次のアクション

P9

対応結果
管理番号

E02-A-R03

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（3） 社員Ｂさんに電話連絡し、パソコンをネットワークから切り離すよう指示

社員Ｂさんに連絡し、事象が発生したパソコンをネットワークから切り離ししました。

対応結果（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次のアクション

P 10

対応結果
管理番号

E02-A-R04

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（4）不審メールを受信した社員に電話連絡し、不審メールを開封しないよう指示［選択の前提条件］ 不審メールを受信した社員 【Ｃさん、Ｄさん】 を特定できていること

社員Ｃさん、Ｄさんに連絡し、不審メールを開封する前に削除してもらいました。
対応結果（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次の
アクション

P 11

対応結果
管理番号E02-A-R05

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（5） システム運用会社に連絡し、メールサーバログを調査し、不審な添付ファイルが付いたメールを受信した社員を特定するよう指示［選択の前提条件］ 不審な添付ファイルの名前 【請求書.zip】 を特定できていることシステム運用会社に連絡し、調査を指示しました。
対応結果

調査の結果、社員Ｃさん、Ｄさんも不審メールを受信していることが判明しました。
アクション（4）を選択できるようになりました。

（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次の
アクション

P 12

対応結果
管理番号E02-A-R06

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（6）営業所のシステム担当者に連絡し、事象発生パソコンの簡易証拠保全を実施し、エビデンスを本社の調査用共有フォルダに格納するよう指示

営業所のシステム担当者から、今ほどエビデンスを共有フォルダに登録したとの報告がありました。

対応結果

［実技］
エビデンス（/var/samba/public/exercise）を解析し、感染原因を推測してください。
（注記）実習データ準備の都合上、2018年8月25日（土） 11:00頃に利用者から通報を受けたという前提で調査してください。

感染原因となった可能性がある「不審なメール添付ファイル」の名前を特定すると、アクション（5）を選択できるようになります。
（対応結果を踏まえ、発生した事象や想定されるリスクなどのメモ欄）

状況推測（対応結果を踏まえ、追加で対応すべき事項のメモ欄）

次のアクション

P 13

対応結果
管理番号

E02-A-R07

仙台CTF2018 Day1 セキュリティ技術勉強会
サイバー防御演習（7） 対応不要・状況終了［アクション（4）を実行済みの場合］
皆さんの対応により、ランサムウェアの感染被害を最小限に抑えることができました。
社員Ｂさんのパソコンに格納されていたデータはランサムウェアにより破壊されたものの、バックアップから復旧することができました。
［アクション（4）を未実行の場合］
社員Ｃさん、社員Ｄさんからも、画面に不審なメッセージが表示され、ファイルを開けなくなったとの通報がありました。
対応結果

サイバー防御演習は終了です。
お疲れさまでした。

P 14