DFIR(デジタルフォレンジックとインシデントレスポンス).

DFIR チームはセキュリティインシデントの発生中および発生後に活動し、事実関係の把握、影響範囲の特定、攻撃者の排除、そして証拠能力のある所見の作成を行います。手順は、インシデント対応の NIST SP 800-61 と、証拠取扱いの NIST SP 800-86 / ISO/IEC 27037 に整合し、必要に応じて EDR クエリや KAPE・Velociraptor によるトリアージ収集などのライブレスポンスと、完全な取得(イメージング)を組み合わせます。アナリストはエンドポイント・メモリ・ネットワーク・クラウドのテレメトリを横断し、MITRE ATT&CK にマッピングした TTP を再構成します。成果物は IoC、根本原因、改善ガイダンス、検知と予防を強化する教訓です。