対処されていない
インシデントが実際にどれほどのコストを招くか。
2024年から2025年にかけての、当社内部のインシデント対応データおよび検証済みの公開レポート（多業種・多地域）に基づいています。
パニックになる前に、
事態の規模を把握しましょう。
4つの質問に答えてください。リアルタイムの深刻度スコアと、誰かが怒りに任せてキーボードを叩く前に、チームが今すぐ取るべき最初の4つのアクションを提示します。
▸ 最初の4つのアクション
- 影響を受けたホストをネットワークから隔離する — 電源を切らないでください。
- 少なくとも 1 台のホストで、メモリとボリュームシャドウコピーを保存しておく。
- 過去 72 時間に使用された認証情報を無効化し、サービスアカウントをローテーションする。
- バックアップに手を加える前に、PWN•ALL と対応ブリッジを開設する。
4つのフェーズ。
1つのブリッジ。
すべてのインシデントを、監査済みの単一のレスポンス・ブリッジ上で処理します。お客様のチーム、当社のDFIRアナリスト、共有タイムライン、そして各ステップでの記録がすべて含まれます。
封じ込め
証拠を破壊することなくネットワークレベルで隔離します。スイッチレベルで横方向の移動を阻止し、C2通信を遮断し、特権アカウントを凍結し、ピボットホストのメモリを保全します。
スコープ
暗号化されたすべての資産、初期侵入経路、持続化手法、および情報流出の痕跡に対するフォレンジック・トリアージを実施します。亜種、オペレーターのTTP（戦術・技術・手順）、および潜伏期間を特定します。
復旧
クリーンルーム環境での再構築、バックアップの整合性チェック、社内ライブラリとの照合による復号ツールの特定、および（鍵が存在する場合）本番データの段階的な復号化。
強化
根本原因の是正、IDのクリーンアップ、未導入のEDR/MFAの導入、そして取締役会、保険会社、規制当局が実際に読める書面による報告書の作成。
あらゆる亜種には
弱点があります。私たちはそれを見つけ出します。
当社の復号ツール研究ライブラリと交渉情報は、毎週解決する実際の事例から常に更新されています。支払いをせずに復旧する方法があるなら、私たちが真っ先にそれを見つけ出します。
LockBit • BlackCat • Play
- ドメインコントローラーおよびVeeamの標的
- vssadmin/WMI経由でのシャドウコピーの消去
- MEGA/Rclone 経由での段階的なデータ流出
- 該当する場合のキーの一部復元
Akira • Royal • Rhysida
- ESXiのVMFSレイヤーでの停止および暗号化
- アプライアンス上のLinux ELFランサムウェア
- データストアレベルのボリューム復旧
- ハイパーバイザー側の整合性監査
Cl0p • Karakurt • RansomHub
- 純粋なデータ窃取（暗号化なし）
- リークサイトの監視および削除
- 法的開示の調整
- 当社によるオペレーターとの通信管理
あるアナリストはすでに
時計を注視しています。
電話をかけた瞬間、タイムスタンプ付きのアクション、証拠の保管、リアルタイムの深刻度ボードを備えた共有ブリッジが立ち上がります。保険会社や法務チームは読み取り専用で参加できます。
不透明さもなく、沈黙もありません。
すべてのPWN-ALLインシデントは、規制当局やサイバー保険会社がすでに承認しているのと同じブリッジテンプレート上で実行されます。私たちが見ているものを、あなたも確認できます。破壊的なアクションはすべてあなたの承認が必要です。あなたの承認なしに、暗号化、削除、または支払いが行われることはありません。
封じ込め後、お客様には、スクリーンショットだらけのPDFではなく、証拠保全の連鎖レポート、MITRE ATT&CKにマッピングされたタイムライン、および30/60/90日間のセキュリティ強化計画が提供されます。
午前3時に
午前3時に寄せられる質問。
身代金を支払うべきでしょうか？
ほとんどの場合、これは正しい最初の対応ではありません。我々は、復旧オプションの評価が行われている間、最終手段としての手段としてのみ交渉を行い、かつ法的および制裁上の承認を得た場合に限ります。我々のケースの約94％において、支払いを伴わずに完全または部分的な復旧が可能です。
ブリッジへの接続はどのくらい速くできますか？
当社のSLAでは、最初の連絡からアナリストがお客様のチームと共有するブリッジに参加するまで60分以内を保証しています。通常、最初の15分以内に封じ込めのガイダンスを開始し、並行して被害範囲の特定を行います。
すでにすべての電源を切ってしまったのですが、問題でしょうか？
理想的とは言えませんが（揮発性メモリには鍵、注入されたプロセス、オペレーターの痕跡が残っているため）、復旧は可能です。当社が接続するまでは、いかなる機器も再起動しないでください。コールドトリアージの手順を用意しています。
御社のサイバー保険会社とは連携していますか？
はい。PWN-ALLは標準的なIRパネルに連携できるよう設計されています。保険会社には、タイムスタンプ付きの対応記録、コスト管理情報、およびほとんどの保険会社が受け入れる形式の最終報告書を提供します。
データが暗号化されただけでなく、盗まれた場合はどうなりますか？
データの流出については別途調査を行います。何が、どこから、どのくらいの期間にわたって持ち出されたかを特定します。その後、情報開示、法務対応、そして必要に応じて流出サイトの監視や攻撃者との交渉を調整します。
月曜の朝まで
月曜の朝を待ってはいけません。
対応を遅らせるごとに、バックアップは消去され、証拠は失効し、犯人はさらに深く潜り込んでいきます。PWN-ALLは平日、週末、祝日を問わず対応します。時間は容赦しません。私たちも同様です。
攻撃の50%は依然として暗号化で終わります。どちらの半数に属するか、確認するのを待ってはいけません。