影響があるのか判断できない
不審なログインやアラートがあるが、影響範囲や深刻度を判断できない。
インシデント対応
何が起きたか、根拠で説明できますか？
インシデントの兆候や情報漏えいの可能性について、専門アナリストがログやダークウェブを含む情報源を調査し、確認できた事実と次に取るべき対応を整理します。範囲を限定した初期調査から始め、必要な場合のみ追加調査をご提案します。
こんな懸念はありませんか
判断に必要なのは、情報の量ではなく、確認できた事実です。
情報漏えいを指摘された
自社の情報がダークウェブに出ていると指摘されたが、真偽や関連性がわからない。
何を説明すべきか整理できない
社内や取引先に、何をどこまで説明すべきか整理できていない。
調査の進め方
大量のログから、根拠のある事実へ。
関連する痕跡を抽出し、兆候どうしの関係を整理して、確認できた事実・推定・未確認を区別した報告にまとめます。
調査メニュー
追加調査は、範囲と費用をご承認いただいてから着手します。自動的な移行や追加請求はありません。
料金は、調査範囲に応じてご案内します。お気軽にお問い合わせください。
ダークウェブ調査で扱う情報源と収集する情報
攻撃者が実際に情報を共有・売買している場所を、多言語で継続的に確認しています。
主な情報源（一例）
- ロシア語圏・中国語圏のハッカーフォーラム
- ダークウェブのフォーラム・リークサイト
- ペーストサイト
- 多言語のTelegramハッカーチャネル（非公開チャネルを含む）
- インフォスティーラーのログ（マルウェア感染端末から流出した情報）
- APT（標的型攻撃）に関する有償の脅威インテリジェンス
収集・確認する情報
- 攻撃者が言及した被害企業の情報、スクリーンショットなどの証拠
- 従業員・利用者のIDとパスワードの漏えい
- 悪用されているゼロデイ・脆弱性
- データ漏えい、企業ネットワークへのアクセス権の売買
- 侵害された監視カメラ・IoT機器の情報
- クレジットカード情報の漏えいへの言及
- 改ざん・侵害されたWebサイトの一覧
情報源は一例であり、これに限りません。調査は法令および弊社ポリシーに沿って許可された範囲で行います。具体的な情報源の詳細は、ご相談時にご説明します。
「被害はなかったのか」と聞かれて、根拠をもって答えられますか？
調査で確認すること・ご報告内容
技術担当者だけでなく、経営層や関係者への説明にも使いやすい形で整理します。
事実の確認
提供されたログや合意した情報源をもとに、何が確認できるかを整理します。
根拠の明示
主な確認事項ごとに、根拠となるログや情報源、確認日時を示します。
確度の区別
「確認済み」「推定」「未確認」を区別して記載します。漏えい情報の掲載と、実際の侵害を混同しません。
次の対応
すぐに取るべき対応と、追加調査が必要な場合の確認事項をご提案します。
調査の一例（架空の事例）
Webシェルが見つかった。では、使われたのか？
1発見
正規のプラグインに偽装したWebシェル
セキュリティスキャンで、Webサイトに不審なファイルが見つかりました。設置から数か月が経っていました。
2調査
ログを突き合わせ、操作を一つずつ確認
アクセスログ・エラーログ・管理画面のログイン履歴を照合。侵入経路は、委託先から漏えいした管理者パスワードでした。
3結論
設置されたが、使われていない
コマンドの実行はゼロ件、個人情報へのアクセスもなし。その結論を、ログの根拠とともにご報告しました。
「大丈夫か」に、根拠をもって答えます。
実際の調査の構成をもとにした架空の事例です。下の報告書サンプルも同じ事例をもとにしています。
インシデント調査報告書
#SAMPLE-0001 関係者限り
Webサイトへの不正ログインとWebシェル設置
調査結果（結論）
設置を確認。ただし使用の痕跡はなし。
攻撃者の操作は、設置直後の動作確認1回のみ。コマンド実行・個人情報へのアクセス・追加の不審なアカウントは確認されませんでした。
タイムライン
- 1日目委託先アカウントへのフィッシング制作委託先のクラウドアカウントが侵害され、保存されていたWebサイト管理者のパスワードが窃取される。
- 7日目管理画面への不正ログイン（4回）攻撃者が4つの異なるIPアドレスから、窃取したパスワードで管理画面にログイン。
- 7日目 13:21Webシェルの設置バックドアを正規のプラグインに偽装してアップロードし、直後に動作を確認。
- 9日目アカウントの削除侵害された管理者アカウントは削除されたが、サーバ自体は調査されなかった。
- 数か月間潜伏バックドアは一度も操作されず、正規プラグインとして残り続けた。
- 発見・除去定期スキャンで検知、除去セキュリティスキャンで検知。バックアップ取得後に除去し、当社がログを独立して検証。
侵入の経緯（7日目）
| # | 時刻 | 接続元IP | 操作 | 結果 |
|---|---|---|---|---|
| 1 | 09:12 | 192.0.2.41 | プラグイン画面を閲覧 | 変更なし |
| 2 | 10:47 | 198.51.100.17 | 会員データを探索 | 該当なし（403） |
| 3 | 13:05 | 198.51.100.92 | プラグインのアップロードを試行 | 失敗（500） |
| 4 | 13:21 | 203.0.113.66 | Webシェルをアップロード | 成功 |
ご質問への回答（抜粋）
- Q1. Webシェルは使われましたか？
- いいえ。アクセスは設置直後の動作確認1回のみで、コマンド実行（POST）は調査期間中ゼロ件、エラーログにも実行の痕跡はありません。
- Q2. 個人情報や会員限定資料にアクセスされましたか？
- 痕跡はありません。攻撃者のセッションは会員一覧やダウンロード領域を一度も開いておらず、該当ファイルは既知の関係者のアドレスからのみ取得されています。
- Q3. ほかに不審なファイルやアカウントはありますか？
- 見つかっていません。不審なプラグインは当該のものだけで、攻撃者のアドレスから作成・権限昇格されたアカウントもありません。
侵害の痕跡（IOC）
| 指標 | 種別 | 説明 |
|---|---|---|
| 203.0.113.66 | IPアドレス | Webシェルをアップロードしたログイン元 |
| 198.51.100.92 | IPアドレス | アップロード試行（失敗）のログイン元 |
| site-optimizer-lite | プラグインフォルダ | Webシェル本体。正規プラグインに偽装 |
| GET 200（固定の短い応答） | シグネチャ | Webシェルの動作確認 |
| POSTパラメータ "x" | シグネチャ | コマンド実行の経路（ログ上は未使用） |
AI支援と専門家による検証
AIはログの整理、パターン確認、時系列作成、報告書作成を支援します。最終的な評価は、PIPELINEのアナリストが根拠となるログに基づいて確認します。AIによる示唆を確定した調査結果として扱うことはありません。お客様のログは承認された安全な方法で受領し、管理されたワークフローで取り扱います。
ご利用の流れ
ご相談
発生した事象、対象システム、確認したい事項を伺います。
範囲の確認
対象・期間・情報源・成果物を合意します。ログは安全な方法で受領します。
調査・検証
専門アナリストがAI支援を活用して調査し、重要な根拠を再確認します。
報告・判断
結果をご報告し、次の対応を一緒に整理します。追加調査は必要な場合のみ。
ご契約プラン
備え方に合わせて選べる、2つのご契約形態
年間で対応体制を確保する「年間契約（リテイナー）」と、必要な分だけ利用できる「チケット制」。どちらも事前に範囲と費用を合意し、ご予算と社内手続きに合わせてお選びいただけます。
- 営業時間内4時間以内の初動対応ご契約のお客様からのご連絡に、営業時間内（平日9:00〜18:00）であれば4時間以内に初動対応します。
- 24時間365日の対応もご相談可能夜間・休日の対応が必要な場合は、SLA（サービス品質の合意）を定めたうえで承ります。
- 追加費用は事前合意のみ着手前に範囲と費用をご提示します。自動的な追加請求はありません。
- 掛け捨てにならない使い切れなかった調査枠・チケットは、予防策やセキュリティ教育に振り替えられます。
年間契約のプラン
ライト
まず対応体制を整えたい企業に
- 事前契約・オンボーディング
- 営業時間内4時間以内の初動対応
- 調査はご依頼時に範囲と費用を合意（別途）
スタンダード
調査と予防を一体で備えたい企業に
- ライトの内容すべて
- 年間の調査枠
- 未使用分はRiskSensor ERIによる外部リスク確認などに振替
プレミアム
監視から調査まで任せたい企業に
- スタンダードの内容すべて
- 脅威監視サービス（ThreatIDR）による継続監視
- SOCパートナーと連携した24時間365日の監視
- 机上訓練（インシデント対応演習）
どちらを選べばよいですか？
| 年間契約（リテイナー） | チケット制 | |
|---|---|---|
| おすすめの企業 | 有事の体制を年間で確保したい／監視から調査まで任せたい | まずは小さく始めたい／必要なときに必要な分だけ依頼したい |
| 費用の考え方 | 年間定額で予算化 | チケット単位で、使った分だけ |
| 事前準備 | オンボーディングで環境を事前に把握 | ご依頼の都度、対象と範囲を確認 |
| 脅威監視（ThreatIDR） | プレミアムプランに含まれます | ご相談に応じて組み合わせ可能 |
| 未使用分の扱い | 予防策（外部リスク確認・訓練）に振替 | セキュリティ教育・勉強会に振替 |
料金は対象範囲に応じてお見積りします。どちらがよいか迷われる場合は、状況を伺ったうえで最適な形をご提案します。試行導入（PoC）からのご相談も承ります。
監視サービス
社内の端末が攻撃者のサーバと通信していないと、言い切れますか？
脅威監視サービス（ThreatIDR）
C2サーバとの通信やマルウェア感染の兆候など、悪性通信をDNSレベルで継続的に監視します。世界中の脅威情報を60秒ごとに更新し、検知した不正通信は自動で遮断。兆候が見つかった場合は、PIPELINEのアナリストが調査に移行します。
悪性通信の検知・遮断
C2通信、マルウェア・ランサムウェア、フィッシング、ボットネット通信、DGA攻撃などを検知し、端末に届く前に遮断します。
24時間365日の監視
SOCパートナーと連携し、24時間365日の監視体制を提供します。
検知から調査へ
重要な兆候は、PIPELINEの専門アナリストがログ分析による調査で影響範囲と次の対応を整理します。
Dashboard● DNS Firewall Active
- DNS QUERIES TODAY
- 4,821,390
- THREATS BLOCKED
- 12,847
- ACTIVE POLICIES
- 238
+2.3% vs yesterday
↑ +18% vs last week
3 pending review
DNS Query Volume Last 24 hours · 15-min intervals
Threat Distribution Today · by category
- Malware C&CCommand & Control
- PhishingCredential harvest
- DGA DomainGenerated domain
- BotnetKnown botnet infra
- SuspiciousLow confidence
Live Threat Feed Real-time · auto-refresh 30s
| TIMESTAMP | DOMAIN | CATEGORY | ACTION | CLIENT IP |
|---|---|---|---|---|
| 14:32:08.142 | update-sys32.win-patch.example | Malware C&C | BLOCKED | 10.11.22.31 |
| 14:31:55.887 | account-verify.bank-login.example | Phishing | BLOCKED | 10.11.15.4 |
| 14:31:41.220 | xkj3kzpabc.example | DGA | MONITOR | 10.10.4.18 |
調査を支える基盤
DatalaiQ
大量のログを横断的に検索・分析するデータレイク。Interop Tokyo 2022 Best of Show Award（セキュリティ部門）受賞。PIPELINEの調査でも活用しています。
RiskSensor
調査後の再発防止に。外部から見えるリスクの変化を継続的に確認し、改善を記録します。
よくあるご質問
何を用意すればよいですか？
発生した事象、対象システム、発生時期、確認したい事項、取得済みのログの種類をお知らせください。初期調査の進め方をご案内します。
初期調査だけで終わることはできますか？
はい。初期調査は範囲を限定した調査です。追加調査は必要な場合のみ、目的と根拠をご説明したうえでご提案し、ご承認後に着手します。
ログはどのように受け渡しますか？
お客様と事前に取り決めた安全な方法で受領し、受領後は管理されたワークフローで取り扱います。ログの種類や量、社内規程にあわせて、受け渡し方法をご相談ください。
AIが調査結果を判断するのですか？
いいえ。AIはログの整理や時系列作成を支援しますが、最終的な評価はPIPELINEのアナリストが根拠に基づいて確認します。
夜間や休日も対応できますか？
はい、ご契約内容に応じて対応します。夜間・休日を含む24時間365日の初動対応は、SLAを定めたご契約で承ります。標準のご契約では、営業時間内（平日9:00〜18:00）に4時間以内で初動対応します。脅威監視サービスは、SOCパートナーと連携して24時間365日監視しています。
年間契約とチケット制は、どちらがよいですか？
有事の体制を年間で確保したい場合は年間契約、まずは小さく始めたい場合や必要なときだけ依頼したい場合はチケット制がおすすめです。状況を伺ったうえで最適な形をご提案します。
使い切れなかった調査枠やチケットはどうなりますか？
ほかのサービスに振り替えられます。年間契約の調査枠は外部リスクの確認や机上訓練などの予防策に、チケットはセキュリティ教育や勉強会に充てられます。
その不審な動き、本当に大丈夫ですか？
インシデント調査のご相談を受け付けています。まずは状況をお聞かせください。発生した事象や指摘された内容、確認したい事項を伺い、適した調査の進め方をご案内します。
メールでのご相談：[email protected]
ご入力いただいた個人情報は、プライバシーポリシーに基づき適切に取り扱います。
対象範囲と留意事項
- 調査は、事前に合意した対象・期間・情報源および目的の範囲内で実施します。調査結果はログの有無、網羅性、品質に依存し、根本原因の特定や侵害の全容把握を保証するものではありません。
- 別途合意がない限り、エンドポイント／ディスクフォレンジック、マルウェア解析、大規模・複数システムのフォレンジック、復旧・設定変更、緊急オンサイト対応、法的見解は含まれません。
- ダークウェブ調査は、漏えいした情報の回収や削除をお約束するものではありません。
- 調査範囲、必要データ、所要期間、納品形式、データ保持、費用はお見積書または作業範囲記述書（SOW）にて確認します。