インシデント対応の段階

SY0-701 の出題範囲では、準備（Preparation）、検知（Detection）、分析（Analysis）、封じ込め（Containment）、根絶（Eradication）、復旧（Recovery）、教訓（Lessons learned）の順で進めます。

準備と訓練

手順書（プレイブック）を作り、机上演習（テーブルトップ）や実際に動く模擬訓練（シミュレーション）で確かめます。原因を根本までさかのぼる根本原因分析、まだ見つかっていない攻撃を探しに行く脅威ハンティングも出ます。

封じ込めから復旧へ

まず広がりを止め（封じ込め）、次にマルウェアや攻撃者の入口を取り除き（根絶）、安全を確かめてから元に戻します（復旧）。最後に、何が良く何が悪かったかを振り返ります。

フォレンジックの基本

• リーガルホールド … 裁判などに備えて、データを消さずに保つ
• 管理の連鎖（Chain of custody） … 誰が、いつ、証拠を扱ったかを記録する
• 取得と保全 … 元のデータを変えずに写しをとり、ハッシュ値で同じことを示す

調べる材料

ファイアウォール、アプリ、端末、OS、IDS・IPS、ネットワークのログ、ファイルのメタデータ、通信の記録（パケットキャプチャ）、脆弱性スキャンの結果を突き合わせます。

• インシデント対応の7つの段階と、その順番
• 手順書と、机上演習・模擬訓練・脅威ハンティング
• リーガルホールド・管理の連鎖・証拠の取得と保全
• 調べる材料になるログとデータの種類