セキュリティインシデント / 不審なアクセス

不審なアクセス、予期しない権限変更、データ漏洩の可能性に対し、症状に応じて適切な対応手順 (アカウントのロック、過剰な権限の取り消し、接続の切断、影響範囲の特定) とインシデント後の恒久的な強化策に導く診断フロー。

何に気付いたか?

インシデントの種類を選択する。症状は不審なログインまたはログイン失敗の急増か、予期しない権限 (GRANT/ロール) 変更か、データ漏洩 / 異常なエクスポートの可能性か、それともインシデントは収束しており恒久的な強化を行うのか? 最初の観察に基づき、最も適切な分岐を選択する。まず、インシデントの発生時刻と影響を受けたアカウント/リソースを記録する。

• 不審なログイン / ログイン失敗の急増
• 予期しない権限 (GRANT/ロール) 変更
• データ漏洩 / 異常なエクスポート
• インシデント後の恒久的な対策 (強化)

認証インシデント: どの症状か?

大量のログイン失敗は、ブルートフォース / クレデンシャルスタッフィング攻撃を示す。一方、成功したものの予期しないログイン (通常と異なる IP/時間帯) は、アカウントが侵害された可能性を示す。いずれの場合も、まず証拠を収集してから対応する。

SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;

• ログイン失敗の急増 (ブルートフォース)
• 成功したが予期しないログイン (侵害)

ブルートフォース → 発信元をブロックし、アカウントを保護する

ログイン失敗が急増している段階では、まだアクセスを許していない可能性がある。目的は、発信元をブロックし、ロックアウト/遅延でアカウントを保護し、侵入の成功がないことを確認すること。

侵害されたアカウント → 停止、調査、認証情報のローテーション

予期しないログイン成功は、アカウントが侵害されたことを示す。まずアカウントとそのセッションを停止し、何を行ったかを調査してから、パスワードをリセットしてアクセス元を絞り込む。

権限昇格 → 監査し、過剰な権限を取り消す

予期しない GRANT、ロール割り当て、高権限の新規アカウントは、侵害の第 2 段階 (永続化/権限昇格) である可能性がある。最近の権限変更を監査し、正当でないものを取り消して、最小権限の原則に戻す。

データ漏洩 → アクセスを遮断し、影響範囲を特定する

異常に大きなクエリ/エクスポートや予期しない外部接続は、データ漏洩を示す。まずアクティブな危険な接続を切断し、監査証跡/ログで影響範囲 (どのデータに、誰が、いつアクセスしたか) を特定する。

インシデント後の恒久的な強化

緊急対応の後、再発防止のために恒久的な管理策を適用する: 監査の有効化、最小権限の徹底、ネットワークアクセスの制限、インシデントの完全な記録。