# インシデント調査報告書作成時のチェックリスト（レポーター向け）

## チェックリストの位置づけ

本チェックリストは、インシデント調査や報告書の完全な正しさを保証するものではなく、インシデントレスポンスにおける報告作業に最低限必要な事項をチェックするためのものです。

## 1. 調査開始前の合意

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 1-1 | インシデント調査のための事前ヒアリングを実施しているか | 必須 | インシデント発見に至った経緯、発覚日時、初動対応、対象システムの構成、被害の疑いがある範囲、業務上の緊急度、調査依頼事項を確認します。 |
| 1-2 | 調査目的について合意しているか | 必須 | 侵入経路特定、侵害範囲特定、情報漏えいの有無確認、封じ込め方法確認、復旧方法のサポートなど、何を目的とするかを合意します。復旧を優先する場合は、証拠保全のみを先に行って詳細調査を後日実施することや、侵入経路の特定・封じ込めに重点を置くこともあります。調査目的は、最終的な報告内容に関わるため、必ず事前に合意します。 |
| 1-3 | 優先確認事項について合意しているか | 推奨 | 優先して確認する事項を合意します。侵入経路特定、侵害範囲特定、情報漏えいの有無確認、封じ込め方法確認、復旧方法のサポートなどの選択肢について、業務への影響、証拠保全への影響、調査期間を説明します。 |
| 1-4 | 報告書作成の要否と形式について合意しているか | 必須 | 外部説明、被害公表、法的対応、経営判断、監査などを踏まえ、正式報告書、簡易報告、口頭説明のいずれとするかを合意します。正式報告書を作成しない場合は、その理由、最終成果物として共有する内容について合意します。 |
| 1-5 | 調査対象システム、対象ログ、対象期間について合意しているか | 必須 | 調査対象、選定理由を説明します。調査対象外とするシステム、ログ、期間がある場合は、その理由と、調査結果に与える影響を説明します。侵入したと推定される時期が不明な場合は、より長期間のログ確認が必要になることがあります。 |
| 1-6 | 調査手法の選定理由と制約を説明しているか | 必須 | 各調査手法について、選定理由、確認できる事項、確認できない事項を説明します。インシデントによっては、ディスクフォレンジックまで実施せず、ファストフォレンジック、ログ調査、EDR調査などで目的を達成できる場合もあります。 |
| 1-7 | 調査で判断できない可能性がある事項を説明しているか | 必須 | 何を判断できない可能性があるか、不足するログ（保存期間やシステム）など、それらが調査結果に与える影響、追加調査の可能性等を説明します。 |
| 1-8 | 報告項目について合意しているか | 必須 | エグゼクティブサマリー、インシデント概要、初期侵入、影響範囲、被害内容、再発防止策など、報告する項目（章構成）を合意します。ランサムウェア、標的型攻撃、アカウント侵害、Web侵害、クラウド侵害、内部不正などインシデントによって必要な項目は異なります。合意時には、インシデント調査報告書サンプルや章立ての例を提示すると、認識合わせがしやすくなります。 |
| 1-9 | 報告の形式、定例頻度、期限、手段について合意しているか | 必須 | 中間報告、最終報告、速報などの方法と期限を合意します。定例報告は事案の緊急度と調査体制に応じて設定し、過度な報告で調査作業を妨げないようにします。連絡・報告手段（メール、オンライン会議ツール等）もあらかじめ決めておきます。 |
| 1-10 | 報告書の共有範囲について確認しているか | 推奨 | 監督官庁、保険会社、取引先、親会社などへの提供予定を確認し、報告書の利用範囲、第三者提供、二次利用の可否について合意します。 |
| 1-11 | 合意事項を文書化して共有しているか | 必須 | 合意事項について認識の齟齬が発生しないように口頭だけでなく、メール等記録の残る形で共有します。 |

## 2. 証拠保全

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 2-1 | 「証拠保全ガイドライン」または同等の手順を参考に、証拠保全の記録を残しているか | 任意 | 対象機器の状態、取得日時、取得者、立会者、取得方法、使用機器、取得結果、ハッシュ値、作業ログなどを記録します。 |
| 2-2 | ディスクフォレンジック対象機器について、メーカー名、モデル名、製造番号、ホスト名を記載しているか | 任意 | 対象機器の識別性を確保するため、可能な範囲でメーカー名、モデル名、製造番号、ホスト名、設置場所などを記録します。 |
| 2-3 | 保全情報として、複製開始日時、複製終了日時、作業場所、作業担当者、使用機器、ハッシュ値を記載しているか | 任意 | ディスクイメージ取得やログ取得などの保全作業について、いつ、どこで、誰が、どの機器やツールを使って実施したかを記録します。 |
| 2-4 | 保全時の写真、画面キャプチャ、ハッシュ計算画面、作業ログを記録しているか | 任意 | 対象機器の外観、製造番号、接続状態、取得作業画面、ハッシュ計算結果などを、必要に応じて記録します。 |
| 2-5 | ライブレスポンスを実施した場合、実行コマンド、取得時刻を記録しているか | 推奨 | 対象システムに変更が生じる可能性があるため、実行したコマンド、取得時刻、取得者、取得対象、出力ファイル名を記録します。 |
| 2-6 | ログ保全時の情報を確認・記録しているか | 推奨 | ログ種別、対象機器、ファイル名、保存場所、期間、タイムゾーン、ログローテーションを確認します。 |
| 2-7 | 圧縮ファイルから展開して分析した場合、展開後ファイル名とハッシュ値を記載しているか | 任意 | 圧縮ファイル本体だけでなく、分析に使用した展開後ファイルについても、ファイル名、取得元、ハッシュ値を記録します。 |
| 2-8 | 証拠IDを一意に付与しているか | 推奨 | すべての証拠に一意の証拠IDを付与し、報告書内で調査結果の根拠と対応付けられるように準備します。証拠IDを用いてエビデンスとの対応関係を明確にすることで、被害組織から調査結果の再確認や再現性の説明を求められた場合に対応しやすくなります。 |
| 2-9 | 取得したエビデンスのファイル名、対象機器、取得日時、ハッシュ値が対応しているか | 推奨 | 証拠一覧上で、証拠ID、ファイル名、対象機器、取得日時、ハッシュ値が対応していることを確認します。 |

## 3. 報告書

### 3.1. 基本

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.1-1 | 報告書の取扱い範囲、第三者提供の可否を記載しているか | 推奨 | 報告書の共有可能範囲、第三者提供時の注意点を記載します。 |
| 3.1-2 | 免責事項を記載する必要性について検討したか | 任意 | 調査時点の情報に基づく報告であること、追加情報により評価が変わる可能性があること、責任範囲などの留意事項を検討します。 |
| 3.1-3 | 攻撃に関連するIPアドレス、ドメイン、URLへアクセスしてはいけない旨を注記しているか | 推奨 | 誤アクセスによる感染、攻撃者への調査活動の露見、追加被害を避けるため、注意書きを記載します。 |
| 3.1-4 | 報告書内で使用するタイムゾーンを記載しているか | 必須 | すべての時刻の基準となるタイムゾーンを明記します。複数のタイムゾーンが混在する場合は、UTC+00:00で統一します。 |
| 3.1-5 | 攻撃関連のIPアドレスやドメイン名をdefang形式で記載しているか | 必須 | `203[.]0[.]113[.]10`、`example[.]com`、`hxxps://example[.]com/` のように、自動リンク化を避ける形式で記載します。 |
| 3.1-6 | 報告書に関する問い合わせ先を記載しているか | 必須 | 担当部署、連絡先、問い合わせ可能な期間や範囲を記載します。 |

### 3.2. 調査目的と合意事項

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.2-1 | 事前ヒアリングした内容を記載しているか | 必須 | 発覚日時、発覚理由、初動対応、依頼事項、提供データなどを記載します。 |
| 3.2-2 | 事前合意した調査目的を明記しているか | 必須 | 何を明らかにするか記載します。 |
| 3.2-3 | 事前合意した優先事項を明記しているか | 推奨 | 何を優先して実施するかを記載します。 |
| 3.2-4 | 事前合意した調査対象、調査手法を明記しているか | 必須 | 対象システム、ログ、期間、調査手法、選定理由を記載します。 |

### 3.3. エグゼクティブサマリー

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.3-1 | 経営層や非技術者が理解し、判断できる内容になっているか | 必須 | 何が起きたか、被害対象、影響、未解決事項、直ちに必要な対応（対策）等を簡潔に記載します。 |
| 3.3-2 | 調査目的ごとに回答または回答できない理由を示しているか | 必須 | 合意した調査目的に対して、調査結果、根拠、または判断できない理由を記載します。 |
| 3.3-3 | 影響を受けたシステム、アカウント、データを記載しているか | 必須 | 侵害確認済み、侵害疑い、調査未了、調査対象外を区別して記載します。 |
| 3.3-4 | 事業影響、情報漏えいの可能性、再侵入リスク、残存リスクを記載しているか | 必須 | 確認済み事項、可能性がある事項、判断できない事項を区別します。 |
| 3.3-5 | 調査対象外と調査上の制約を記載しているか | 推奨 | 調査できなかったシステム、期間、事象（ログのローテーション、削除、欠損、未保全、契約範囲外）など、調査結果に影響を与える事項がある場合は記載します。 |
| 3.3-6 | 追加調査が必要な事項を記載しているか | 推奨 | 目的、優先度、必要な情報、追加調査によって確認できる可能性を記載します。 |
| 3.3-7 | 直ちに実施すべき対応を記載しているか | 任意 | 調査事項として合意した場合、封じ込め、認証情報変更・無効化、通信遮断、再構築、監視強化など、緊急度の高い対応を記載します。 |
| 3.3-8 | 脅威インテリジェンスに基づく対策を記載しているか | 任意 | 調査事項として合意した場合、TTP、IoC、類似事例を踏まえた対策や監視方針を記載します。 |
| 3.3-9 | ネットワーク構成図またはインシデント概要図を記載しているか | 推奨 | 被害が複数のシステムを横断して発生している場合は、攻撃の流れ、対象システム、外部通信先、関係するアカウントを示します。 |

### 3.4. 調査方法と分析方法

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.4-1 | 調査対象、提供データ（必要に応じて証拠保全記録）を記載しているか | 必須 | 対象システム、提供データ、ログ、ディスクイメージなど調査対象を一覧化します。 |
| 3.4-2 | 調査を実施した日程と、調査対象とした期間を記載しているか | 必須 | 調査を実施した日程と主な作業内容、ログやデータを確認した期間を記載します。また、その期間を調査対象とした理由を記載します。 |
| 3.4-3 | 調査方法の選定理由と制約を記載しているか | 必須 | 調査目的に対して選定した方法、確認できる事項、確認できない事項等を記載します。 |
| 3.4-4 | 使用ツール名、バージョン、用途を記載しているか | 推奨 | 分析ツールについて、ツール名、バージョン、用途を記載します。 |

### 3.5. 調査結果の品質

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.5-1 | 調査結果は、根拠となるエビデンスと併せて記載しているか | 必須 | 調査結果ごとに、根拠となるログ、イベント、ファイル、アーティファクトなどを記載します。 |
| 3.5-2 | エビデンスと証拠IDの対応関係を記載しているか | 推奨 | エビデンスを再確認できるよう、証拠IDとの対応関係を明確にします。 |
| 3.5-3 | 直接証拠がない事項を断定していないか | 必須 | 直接的なログやエビデンスがない事項は、推測または仮説であることが分かるように記載します。 |
| 3.5-4 | インシデントタイムラインを記載しているか | 必須 | 事象について、日時、対象システム、内容を時系列で記載します。 |
| 3.5-5 | 初期侵入経路の候補・根拠を記載しているか | 必須 | 調査結果から判明した、または候補となる侵入経路を記載します。システムの脆弱性が侵入経路として疑われる場合は、製品のバージョンやCVE番号などを提示します。直接的な根拠を示せない場合は、推測であることを明記します。 |
| 3.5-6 | 初期侵入を断定できない場合、その理由を記載しているか | 必須 | ログの欠損、デバッグログ未取得、通信内容未確認、証拠不足など、断定できない理由を記載します。 |
| 3.5-7 | 侵害または悪用が疑われるアカウントを記載しているか | 必須 | アカウント名、使用先、使用時刻、権限を記載します。 |
| 3.5-8 | 横展開先のホストを記載しているか | 必須 | 被害が複数のシステムを横断して発生している場合は、横展開先、使用アカウント、侵入方法、配置ファイル、実行痕跡等を記載します。横展開先が確認できなかった場合は、その旨を記載します。 |
| 3.5-9 | 確認されたマルウェア、ツール、不審ファイルを記載しているか（ファイル名、パス、ハッシュ値、配置時刻、実行時刻を含む） | 必須 | ファイル名、パス、ハッシュ値、配置時刻、実行時刻、機能概要、検知名などを記載します。 |
| 3.5-10 | マルウェアの機能概要を記載しているか | 推奨 | C2通信、ファイル送受信、コマンド実行、永続化、認証情報取得、プロキシ機能など確認できた機能を記載します。 |
| 3.5-11 | C2サーバーなどの外部通信先が確認できた場合は、通信元、通信先、時刻、プロトコル、ポート、送信量、受信量、通信回数を記載しているか | 推奨 | 外部通信について、通信元、通信先、時刻、プロトコル、ポート、送信量、受信量、通信回数を記載します。 |
| 3.5-12 | 情報漏えいの有無を記載する場合、調査したポイント・エビデンスを提示したうえで調査結果を記載しているか | 必須 | 外部送信が疑われる場合は、通信状況（送信量、通信回数など）、通信先、時刻を記載します。情報漏えいの有無を確認できない場合でも、何を調査し、何が確認できなかったのかを記載します。 |
| 3.5-13 | 攻撃者の実行したコマンド、ツール、専門用語に簡単な説明を付けているか | 推奨 | 読者が意味を理解しづらいコマンドや用語には簡単な説明を付けます。 |
| 3.5-14 | 調査手法を再現するための情報を記載しているか | 任意 | 調査手順やコマンド実行記録などを記載すると、被害組織による調査結果の再確認やレビューに役立つ場合があります。 |

### 3.6. 脅威インテリジェンス

脅威インテリジェンスが調査事項として合意されている場合に確認します。

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.6-1 | 攻撃関連のIPアドレス、ドメイン、URL、ハッシュ値を外部・内部情報で照会しているか | 必須 | 脅威情報サービス、公開情報、ベンダーレポート、内部情報などを用いて確認します。 |
| 3.6-2 | 攻撃アクターや攻撃キャンペーンの調査を実施しているか | 必須 | TTP、マルウェア、IoC、被害業種、地理的傾向などを踏まえて調査します。 |
| 3.6-3 | 攻撃アクターや攻撃キャンペーン名を記載する場合、根拠、情報源、判断の確度を記載しているか | 必須 | 攻撃アクター名や攻撃キャンペーン名を記載する場合は、類似事例の記事、ブログ、レポートなどの情報源とともに、判断根拠および判断の確度を記載します。また、可能な場合は攻撃者の動機や目的の説明なども記載します。 |
| 3.6-4 | リークサイト、ダークウェブ、一般公開のWebサイトの確認の有無を記載しているか | 任意 | 確認した範囲、確認時点、確認結果を記載します。 |
| 3.6-5 | 脅威インテリジェンスの結果を追加調査、監視、再発防止策に反映しているか | 必須 | TTPやIoCに基づき、追加調査、検知、監視、遮断、再発防止策に反映します。 |

### 3.7. 封じ込め、根絶、復旧

封じ込め、根絶、復旧が調査事項として合意されている場合に確認します。

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.7-1 | 各対応が調査結果に対応しているか | 必須 | 対応する調査結果、目的、対象を明記します。 |
| 3.7-2 | 優先度、期待する効果、実施上の注意を記載しているか | 必須 | 各対応の優先度および実施による効果、注意点を記載します。 |
| 3.7-3 | 被害組織の現状、システム、業務を十分に把握したうえで提案しているか | 必須 | 業務影響、システム依存関係、復旧優先度、停止可能時間、代替手段などを確認したうえで提案します。業務やシステムを十分に把握できていない場合は、その旨と、提案を実施した場合に想定される影響を記載します。 |

### 3.8. 再発防止策

| 項番 | 項目 | 区分 | 詳細 |
| ---- | ---- | ---- | ---- |
| 3.8-1 | 対策が調査結果に対応しているか | 必須 | 一般論に終始することなく、どの調査結果に対応する対策案なのかを明記します。調査で確認された侵入経路、悪用アカウント、ログの欠損、マルウェア、外部通信、運用上の課題に対応する対策になっているかを確認します。また、その対策から期待される効果も記載します。 |
| 3.8-2 | 再発防止策に優先度を付けているか | 推奨 | 高・中・低などの優先度を付け、優先度の判断基準も記載します。直ちに実施する対策と、中長期的に実施する対策は区別して記載します。 |
| 3.8-3 | 対策対象が記載されているか | 必須 | 対策の対象となるシステム、アカウント、機器などを具体的に記載します。 |
| 3.8-4 | 実施時の注意事項が記載されているか | 必須 | システム停止、設定変更など実施時の注意事項がある場合は記載します。 |

## 4. 付属資料

必要に応じて、以下の付属資料の作成を検討します。

| 項番 | 項目 | 詳細 |
| ---- | ---- | ---- |
| 4-1 | 証拠保全記録 | 保全対象、取得日時、使用機器、ハッシュ値、作業場所、保全時の記録を整理します。 |
| 4-2 | 侵害が確認された、または疑われるアカウント、ホストの一覧 | アカウント名、ホスト名、根拠、推奨対応を一覧化します。 |
| 4-3 | 窃取が確認された、または疑われるデータの一覧 | ファイル名、パス、データ種別（拡張子など）、根拠、確認状況を整理します。 |
| 4-4 | 利用可能なIoC一覧 | コピーして利用しやすい形式で、種別、値、概要を記載します。 |
| 4-5 | YARA、Sigma、SIEM検索クエリなど | 利用環境に応じて、類似脅威を検知するためのシグネチャや検索クエリを提供します。 |
| 4-6 | マルウェア詳細分析レポート | ファイル情報、ハッシュ値、機能、通信先、永続化方法、検知方法を整理します。 |
| 4-7 | MITRE ATT&CK対応表 | 本文の調査結果と対応付けて記載し、対策や検証項目の検討に利用できるようにします。 |