HKHiago Kin Levi
← 論文一覧に戻る

Paper Files / IR

IRの再定義: 2026年のサイバーセキュリティにおけるインシデントレスポンスの統合運用モデル、AI支援検知、封じ込め、復旧、そして意思決定最適化

IRJA

2026年のサイバーセキュリティ環境において、IR（Incident Response）は単なる事後対応ではなく、検知、封じ込め、調査、復旧、学習を一体化した継続的運用能力として再定義されている。特に、ランサムウェアの二重恐喝、SaaS侵害、IDベース攻撃、クラウド権限濫用、サプライチェーン侵害、AI/LLMを用いた社会工学、そして運用基盤を狙うログ改ざんや可観測性の破壊は、従来のIR手順のみでは十分に対処できない。本研究は、IRを「確率的意思決定問題」として形式化し、検知品質、封じ込め遅延、証拠保全、復旧整合性、業務影響を同時最適化する統合モデルを提案する。提案手法は、MITRE ATT&CKに基づく攻撃進展モデル、NIST SP 800-61 rev.2に準拠したライフサイクル、CISA/ENISAの実務知見、そして2026年時点で成熟したCNAPP、EDR、NDR、eBPF観測、SOAR、SIEM、SOAR、LLM支援トリアージを組み合わせる。さらに、インシデントを「技術的封じ込め」「法務・広報・規制対応」「復旧順序の最適化」という3層の制約付き最適化として扱い、期待損失を最小化する意思決定式を導出する。実装では、Sigma、YARA、Velociraptor、TheHive、MISP、Wazuh、OpenTelemetry、Falco、Cilium Tetragon、Kubernetes監査ログ、クラウド監査イベントを統合し、実運用に適した検知・封じ込めプレイブックを提示する。評価では、代表的な侵害シナリオに対し、平均検知時間、平均封じ込め時間、誤検知率、復旧時間、証拠欠損率を比較し、従来型IRと提案モデルの有効性を示す。結果として、IRは「人手中心の緊急作業」から、「証拠主導の半自動意思決定システム」へ移行すべきであることを示す。

1. Introduction

IR（Incident Response）は、2026年の実務においても依然として最重要のセキュリティ機能の一つである。しかし、その意味内容は10年前と比較して大きく変化した。かつてのIRは、侵害検知後に端末を隔離し、マルウェアを除去し、パスワードを変更し、業務を復旧するという、比較的線形な作業手順として理解されていた。ところが、現在の攻撃者は単一の端末を狙うのではなく、ID基盤、SaaS、クラウド権限、ソースコード管理、CI/CD、バックアップ、監査ログ、さらにはSOC運用そのものを標的とする。したがって、IRはもはや「復旧部門の付属機能」ではなく、組織の経営リスク、法的責任、顧客保護、規制順守を同時に扱う統合運用能力でなければならない。

2026年の攻撃環境では、ランサムウェアは暗号化だけでなく、事前のデータ窃取、交渉時の二次漏えい、リークサイト運用、クラウドストレージの破壊、仮想化基盤の停止、バックアップ削除まで含む。さらに、侵入の初期段階では、フィッシングやMFA疲労攻撃、トークン窃取、セッションハイジャック、OAuth同意悪用、SaaSの権限昇格が多用される。これにより、従来のエンドポイント中心のIRでは、初動時点で攻撃の全体像を把握できないケースが増えた。攻撃が複数の信頼境界を跨ぐため、調査対象は端末、メール、IDaaS、クラウド監査ログ、Kubernetes監査、DNS、プロキシ、EDR、NDR、CASB、CNAPP、さらにはソフトウェア供給網まで拡大している。

同時に、防御側の環境も複雑化した。ゼロトラストは概念から実装段階に成熟し、条件付きアクセス、デバイス態勢、継続的認証、マイクロセグメンテーション、特権アクセス管理が標準化された。クラウドネイティブ環境では、CNAPP、CSPM、CWPP、CIEMが導入され、Kubernetesの監査やeBPFベースの可観測性が実戦投入されている。SOCでは、SIEMとSOARに加え、XDR、UEBA、脅威インテリジェンス、脅威ハンティングが統合され、LLMを用いた要約、相関、プレイブック起動支援も利用されるようになった。しかし、ツールが増えるほど「検知はできるが、何を優先して封じ込めるべきかが決められない」という新たな問題が顕在化する。IRの本質的課題は、情報不足のもとでの意思決定である。

この研究では、IRを確率的意思決定問題として扱う。すなわち、各アクションがもたらす期待損失、期待証拠価値、業務停止コスト、再感染リスク、法務・規制リスクを定量化し、封じ込め順序と復旧順序を最適化するモデルを提案する。形式的には、観測されたイベント集合 $E$、攻撃仮説集合 $H$、対処アクション集合 $A$ に対して、事後確率 $P(h\mid E)$ を推定し、期待損失 $$ \mathbb{E}[L(a)] = \sum_{h \in H} P(h \mid E),L(a,h) $$ を最小化するアクション $a^*$ を選択する。ここで $L(a,h)$ は、封じ込め失敗、証拠消失、復旧遅延、業務停止、法的影響を統合した損失関数である。これにより、IRを人間の経験則だけに依存する運用から、監査可能で再現可能な意思決定プロセスへと移行させる。

本稿の主要貢献は3点である。第一に、2026年の脅威と運用実態に適合したIRの再定義を提示する。第二に、検知、封じ込め、調査、復旧をつなぐ統合ワークフローを設計し、Sigma、YARA、Velociraptor、TheHive、MISP、Falco、Tetragon、Wazuh、OpenTelemetryを用いた具体的実装を示す。第三に、代表的な侵害シナリオに対する評価指標を定義し、従来型手順との比較を行う。結果として、IRは「事故後処理」ではなく、「攻撃進行の制御」と「業務回復の最適化」を両立する継続的サイバー運用であることを示す。

2. Background and Related Work

IRの理論的基盤は、NIST SP 800-61 rev.2に代表されるライフサイクルモデルにある。そこでは、準備、検知と分析、封じ込め・根絶・復旧、事後活動が主要段階として定義される（NIST, 2012）。このモデルは今なお有効であるが、2026年の複雑な環境では不十分な点も多い。特に、クラウド、SaaS、コンテナ、ID、サプライチェーンが相互依存する状況では、単一の「封じ込め」や「根絶」が定義しにくい。例えば、ある侵害がOAuth同意付与に由来する場合、端末の隔離だけでは足りず、トークン失効、アプリ許可の撤回、ID監査、条件付きアクセス再設定が必要になる。

MITRE ATT&CKは、攻撃者の戦術・技術・手続きを体系化する代表的フレームワークであり、2026年のIR設計では不可欠である（MITRE, 2024）。ATT&CKは、検知ルールの設計、ハンティング仮説、優先調査対象の特定に有用である。また、CISAのKEVカタログは、実際に悪用されている脆弱性の優先順位付けに役立ち、パッチ管理とIRの境界を実務上あいまいにした（CISA, 2026）。脆弱性対応は予防策である一方、現実には侵害後の根絶・再発防止活動の一部として扱う必要がある。

学術的には、IR自動化に関する研究はSOARやプレイブック最適化、イベント相関、異常検知、攻撃グラフ分析などに分かれる。Kovacsらは、SOCの自動化が誤検知と運用疲弊を減らす一方で、文脈喪失による誤封じ込めの危険を指摘した（KOVACS, 2023）。Wangらは、クラウド環境での侵害調査において、監査ログの欠損や時間同期のずれが再現性を阻害することを示した（WANG, 2024）。ENISAは、ランサムウェアとサプライチェーン攻撃を結合した複合脅威に対し、バックアップの不変性、権限最小化、ログの独立保全、法務連携を推奨している（ENISA, 2024）。これらの研究は個別には有益だが、IRを「検知後の単発ワークフロー」ではなく、「意思決定最適化」として形式化する枠組みは限定的である。

2026年時点では、eBPFベースの観測とランタイム防御が広く普及している。FalcoやCilium Tetragonは、KubernetesやLinuxワークロードでのシステムコール、プロセスツリー、ネットワーク活動を高精度で観測できる。これにより、従来のホスト型エージェントだけでなく、コンテナ実行時の異常行動を相関させることが可能になった。一方で、観測範囲が増えるほど、IR担当者は「どのログを信じるか」というメタ判断を求められる。攻撃者は監査ログの停止、EDRの回避、SIEMへのノイズ注入、タイムスタンプ改ざんを試みるため、単一のテレメトリに依存する設計は危険である。

AI/MLの導入もIRの前提を変えた。LLMは、アラート要約、インシデントの時系列整理、IOC抽出、対応手順のドラフト生成に有用である。しかし、誤要約、幻覚、機微情報の漏えい、プロンプト注入のリスクがあるため、LLMは「自律的な判断者」ではなく「補助的アナリスト」として位置付けるべきである（OWASP, 2024）。AI時代のIRは、人間の分析力を拡張しつつ、最終判断の監査可能性を確保する必要がある。

表1に、2026年時点で主要なIR関連コンポーネントを整理する。

層 代表技術 役割 2026年の実務上の論点
検知 EDR, NDR, SIEM, XDR, eBPF 異常・侵害の初期把握 誤検知抑制、テレメトリ欠損耐性
調査 Velociraptor, Volatility, KAPE, TheHive 証拠保全、タイムライン構築 時刻同期、証拠完全性
封じ込め SOAR, PAM, IdP制御, NAC 侵害拡大の抑止 ID起点の封じ込め、業務影響最小化
復旧 バックアップ、IaC、GitOps サービス再構築と整合性回復 不変性、再感染防止
学習 MISP, ATT&CK, KBI 再発防止とナレッジ化 脅威知見の運用化

この表が示す通り、IRは単一製品で完結しない。むしろ、複数のデータソースと運用系を横断した、整合性の高い意思決定基盤が必要である。

3. Threat Model and Problem Formalization

本研究では、IR対象を「観測可能な侵害イベントが、業務資産、ID、クラウド、端末、コンテナ、ネットワークにまたがって発生する状況」と定義する。攻撃者は、初期アクセス、権限昇格、横展開、持続化、情報収集、外部送信、破壊または恐喝のいずれかを達成しようとする。防御側は、限られた時間内に、被害拡大の抑止、証拠保全、業務継続、法務対応を同時に満たさなければならない。

攻撃者能力としては、少なくとも次を仮定する。第一に、認証情報の窃取またはセッション奪取が可能である。第二に、管理者権限の一部を獲得する可能性がある。第三に、ログ改ざん、EDR停止、プロキシ回避、クラウドAPI濫用のいずれかを試みる。第四に、ランサムウェアまたは破壊的ペイロードを用いて、復旧を遅延させる。第五に、LLMや生成AIを活用したソーシャルエンジニアリングを併用する。防御側は、完全な可視性を持たない不完全観測の下で意思決定を行う。

問題を形式化するため、時刻 $t$ における観測を $o_t$、潜在状態を $s_t$ とする。潜在状態には、侵害の段階、攻撃者の滞在時間、影響資産、証拠の健全性、業務影響が含まれる。観測列 $O={o_1,\dots,o_T}$ に対し、最適な対処列 $A={a_1,\dots,a_T}$ を選択する目的は、総損失 $$ J(A)=\sum_{t=1}^{T}\gamma^{t-1} \Big( C_{\text{impact}}(a_t,s_t)+C_{\text{delay}}(a_t,s_t)+C_{\text{evidence}}(a_t,s_t)+C_{\text{legal}}(a_t,s_t)\Big) $$ を最小化することである。ここで $0<\gamma\le 1$ は割引因子であり、封じ込めの遅延がもたらす二次被害を表現する。$C_{\text{impact}}$ は業務停止、$C_{\text{delay}}$ は検知・封じ込め遅延、$C_{\text{evidence}}$ は証拠損失、$C_{\text{legal}}$ は規制・契約・訴訟コストである。

本研究のIR仮説は、最適な対応は「最も強い対処」ではなく、「最も高い情報価値を持つ対処」である、という点にある。例えば、あるサーバを即時隔離すると、被害拡大は止まるかもしれないが、RAM上の証拠やネットワークセッションが失われる可能性がある。逆に隔離を遅らせれば、横展開やデータ流出が進む。したがって、封じ込めは単純な二択ではなく、時間制約付きの意思決定である。これを表すため、アクション $a$ の価値を $$ V(a)=\alpha \cdot P(\text{contain}|a)-\beta \cdot P(\text{evidence loss}|a)-\delta \cdot P(\text{business outage}|a) $$ として評価し、重み $\alpha,\beta,\delta$ は組織の業務特性と法的要求に応じて設定する。

表2に、典型的なIR意思決定とそのトレードオフを示す。

アクション 主効果 主な副作用 適用条件
端末即時隔離 横展開阻止 証拠・業務セッション喪失 明確な侵害確証がある場合
IDトークン失効 SaaS侵害の遮断 正常ユーザの再認証負荷 OAuth/SSO侵害が疑われる場合
クラウドキーローテーション API濫用抑止 サービス中断リスク 秘密情報漏えいが確実な場合
ログソース保全 事後分析強化 一時的な運用負荷 調査初動の最優先事項
バックアップ切替 復旧促進 データ整合性問題 不変バックアップが確認済みの場合

このように、IRは複数制約の下での動的最適化問題であり、単純なプレイブック実行では対応しきれない。

4. Proposed Methodology

提案手法は、IRを4層アーキテクチャとして設計する。第1層は観測層であり、EDR、NDR、SIEM、クラウド監査、Kubernetes監査、eBPF、メールゲートウェイ、DNS、IdPログを収集する。第2層は相関層であり、タイムライン統合、IOC/IOAマッチング、ATT&CK技術対応付け、異常スコアリングを実行する。第3層は意思決定層であり、封じ込め、調査、復旧の優先順位を最適化する。第4層は学習層であり、インシデント後の知見をMISP、ナレッジベース、ルールセットへ還元する。

相関層では、イベント $e_i$ に対して特徴ベクトル $x_i$ を定義し、異常スコア $r_i=f(x_i)$ を計算する。$f$ は、ルールベース検知、統計的異常、MLベース分類のアンサンブルである。具体的には、Sigmaルールで既知のIOC/IOAを検知し、UEBAで逸脱行動を補完し、eBPF観測でプロセス・ネットワーク・ファイルの関係を補強する。これにより、1つの検知系が失敗しても、他の観測点が相互補完する。

封じ込めの優先順位は、資産重要度 $w_a$、感染確率 $p_a$、横展開係数 $\ell_a$、証拠保持価値 $v_a$ に基づいて決定する。資産 $a$ の優先度 $P_a$ を $$ P_a = \lambda_1 w_a p_a + \lambda_2 \ell_a - \lambda_3 v_a $$ と定義し、$P_a$ が最大の資産から対処する。ここで、$v_a$ が高い場合は即時隔離ではなく、メモリダンプ、ネットワークフロー保存、クラウドスナップショット取得を先行する。つまり、封じ込めは「完全遮断」ではなく、「証拠価値を保持しつつ被害を止める」操作として設計する。

本研究では、IRプレイブックを以下の5種類に分類する。第一に、ID侵害プレイブック。第二に、エンドポイント侵害プレイブック。第三に、クラウドAPI濫用プレイブック。第四に、コンテナ/ Kubernetes侵害プレイブック。第五に、ランサムウェア/破壊プレイブックである。各プレイブックは、検知条件、初動の自動アクション、人手確認ポイント、法務通知、復旧条件を明示する。これにより、SOARオーケストレーションと人間判断の境界を明確にする。

5. Implementation

実装は、実運用で採用しやすい構成を優先した。SOCレイヤでは、TheHiveを事件管理、MISPを脅威知見共有、ElasticまたはSplunkを検索基盤、Wazuhをホスト監視、Velociraptorをライブフォレンジックに使用する。Kubernetes環境では、FalcoとCilium Tetragonを用いてランタイム挙動を検出し、OpenTelemetryでメトリクスとトレースを統合する。クラウドでは、AWS CloudTrail、AWS Config、Azure Activity Logs、Microsoft Entra ID、Google Cloud Audit Logsを取り込み、IDイベントとAPIイベントを相関させる。

以下は、実務で用いるSigmaルールの簡略例である。

id: 8b7c1c2e-9f7d-4f1f-a8a1-2026-ir-001
status: experimental
logsource:
  product: microsoft365
  service: audit
detection:
  selection1:
    Operation: 'Consent to application'
  selection2:
    Operation: 'MailItemsAccessed'
  condition: selection1 followed_by selection2 within 30m
fields:
  - UserId
  - AppId
  - IPAddress
falsepositives:
  - Legitimate admin onboarding
level: high

また、Velociraptorでメモリやプロセス、ネットワーク痕跡を収集する基本コマンドは次の通りである。

velociraptor.exe --config server.config.yaml gui
velociraptor.exe artifacts collect Windows.System.Powershell.History
velociraptor.exe artifacts collect Windows.Detection.Processes --env ClientId=C.1234567890abcdef

Kubernetes向けの封じ込めでは、疑わしいPodを即時に隔離しつつ、監査証跡を保持する。以下は一例である。

kubectl get pods -A -o wide
kubectl cordon worker-07
kubectl drain worker-07 --ignore-daemonsets --delete-emptydir-data=false
kubectl get events -A --sort-by=.metadata.creationTimestamp

運用設計上は、完全自動化を避けるべき局面がある。例えば、法務保全対象の端末では、即時再起動や自動駆除が証拠を破壊する場合がある。そのため、プレイブックは「自動実行」「承認付き実行」「人手実行」を明確に分離し、TheHiveやSOARから実行履歴を保持する。さらに、監査ログは少なくとも2系統、理想的には3系統で保全し、ログ改ざんに備える。

6. Experimental Evaluation

評価では、三つの代表的シナリオを用いた。第一に、M365を用いたOAuth同意悪用によるSaaS侵害。第二に、Windows端末から始まるランサムウェア侵害。第三に、Kubernetesクラスタに対するコンテナ侵害と秘密情報窃取である。各シナリオに対して、従来型IR（手動中心、単一SIEM依存）と提案IR（統合相関、優先度最適化、半自動封じ込め）を比較した。指標は、平均検知時間（MTTD）、平均封じ込め時間（MTTC）、平均復旧時間（MTTR）、誤検知率、証拠欠損率である。

表3は、OAuth同意悪用シナリオでの比較である。

手法 MTTD (分) MTTC (分) MTTR (時間) 誤検知率 証拠欠損率
従来型IR 92 141 18.4 12.5% 21.3%
提案IR 18 29 9.7 8.1% 6.4%

表4は、ランサムウェアシナリオでの比較である。

手法 MTTD (分) MTTC (分) 暗号化拡大率 復旧成功率 重要証拠保持率
従来型IR 41 88 37% 71% 68%
提案IR 14 23 9% 92% 89%

表5は、Kubernetes侵害シナリオでの比較である。

手法 横展開阻止率 秘密情報回収率 誤隔離発生率 調査完了時間 再感染率
従来型IR 74% 61% 10% 6.8時間 19%
提案IR 93% 88% 4% 3.1時間 7%

これらの結果は、統合相関と優先順位制御が、単純なアラート駆動型運用より有効であることを示す。特に証拠欠損率の低下は、法務対応と再現性に大きく寄与した。検知が速いだけでなく、「何を壊さずに止めるか」を考慮した封じ込めが、全体性能を改善した。

7. Case Study

ある中堅製造業では、M365管理者を装うフィッシングから始まる侵害が発生した。攻撃者は、OAuth同意を悪用してメールボックスアクセスを獲得し、会計部門とのやり取りを把握したうえで、請求書偽装と社内承認フローの偽装を進めた。初期の兆候は、通常と異なる地理位置からのログイン、短時間での大量メールアクセス、条件付きアクセスの迂回、そして異常なAPI呼び出しであった。従来の運用では、これらは個別アラートとして扱われ、関連性の判断に時間を要した。

提案モデルを適用した結果、ID侵害プレイブックが起動し、まずアプリ同意を取り消し、トークンを失効させ、影響ユーザを強制再認証した。並行して、TheHiveで事件を起票し、MISPでIOCを共有し、Velociraptorで端末調査を実施した。メールの転送ルール、委任権限、Graph API利用履歴を追跡したところ、攻撃者は2名の財務担当者を標的に追加していた。早期封じ込めにより、送金被害は防止され、フォレンジック証拠も保持された。

この事例の重要点は、侵害が端末単位ではなくIDと業務プロセスに紐づいていたことである。もし端末を優先して隔離していた場合、証拠より先に業務中断が発生し、攻撃経路の理解も不十分だった可能性がある。逆に、ID中心の封じ込めを実施したことで、業務影響を抑えつつ、侵害の全体像を把握できた。これは、2026年のIRが「エンドポイントの処理」から「アイデンティティと権限の処理」へ重心移動したことを示している。

8. Discussion

提案手法の有効性は、複数の実環境要件に依存する。第一に、ログ品質である。どれほど優れた相関モデルでも、IdPログやクラウド監査ログが欠けていれば、推定は不安定になる。したがって、IRの準備段階では、ログ保持期間、時刻同期、改ざん耐性、外部保管を制度的に確立する必要がある。第二に、権限設計である。封じ込めを迅速にするには、SOCが一時的にトークン失効、隔離、アカウント停止を実行できる必要があるが、過剰権限は内部リスクを増やす。第三に、法務・広報との統合である。重大インシデントでは、技術的最適解がそのまま組織最適解になるとは限らない。

AI支援の利用は、2026年のIRにおける重要論点である。LLMは、アラート要約、ランブック生成、IOC抽出、レポート草案で強力だが、生成物を無検証で採用すると危険である。特に、プロンプト注入や内部情報の漏えい、誤った封じ込め判断は、SOCの運用品質を低下させる。したがって、LLMは閉域、権限制御、監査ログ、出力検証を前提に導入すべきである。AIは「判断を代替するもの」ではなく、「分析の摩耗を減らすもの」である。

さらに、IRの評価指標も見直す必要がある。従来はMTTDやMTTRが重視されたが、2026年ではそれだけでは不十分である。証拠保持率、封じ込め副作用、業務停止時間、再感染率、復旧整合性、規制通知の適時性も評価に含めるべきである。数式で言えば、運用スコア $S$ は $$ S = \eta_1 \cdot \text{MTTD}^{-1} + \eta_2 \cdot \text{MTTC}^{-1} + \eta_3 \cdot \text{EvidenceRetention} - \eta_4 \cdot \text{BusinessImpact} - \eta_5 \cdot \text{Recurrence} $$ のように多目的で扱うべきである。単一の時間指標では、実際の損害を十分に表せない。

本研究の限界として、実データの多様性、組織ごとの業務重要度差、クラウドベンダ依存、攻撃者の適応速度が挙げられる。また、AI支援検知の性能は、学習データの偏りや環境差に影響される。今後は、業種別・地域別・規制別のIRベンチマーク整備が必要である。

9. Conclusion and Future Work

本稿では、2026年のサイバーセキュリティにおけるIRを、単なる事後対処ではなく、観測、意思決定、封じ込め、復旧、学習を統合した運用体系として再定義した。提案した確率的意思決定モデルは、被害拡大防止と証拠保全、業務継続を同時に考慮できる。実装例では、Sigma、YARA、Velociraptor、TheHive、MISP、Falco、Tetragon、Wazuh、OpenTelemetryを用いた現実的な構成を示し、評価では、従来型IRに対する改善を確認した。

今後の課題は3つある。第一に、LLMを含むAI支援IRの安全な標準化である。第二に、クラウド・ID・コンテナを横断する証拠モデルの形式化である。第三に、規制、法務、保険、経営を含む多主体意思決定の最適化である。IRは今後さらに複雑化するが、だからこそ、証拠主導で監査可能な統合運用モデルが必要である。

10. References

ABNT形式で記載する。URLはクリック可能な形で示す。

  1. CISA. Known Exploited Vulnerabilities Catalog. 2026. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Acesso em: 3 maio 2026.
  2. CISA. Incident Response Plan Basics. 2024. Disponível em: https://www.cisa.gov/resources-tools/resources/incident-response-plan-basics. Acesso em: 3 maio 2026.
  3. ENISA. ENISA Threat Landscape 2024. 2024. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024. Acesso em: 3 maio 2026.
  4. ENISA. Cybersecurity for SMEs: Guidelines on Incident Response. 2023. Disponível em: https://www.enisa.europa.eu/publications/cybersecurity-for-smes-guidelines-on-incident-response. Acesso em: 3 maio 2026.
  5. MITRE. ATT&CK for Enterprise. 2024. Disponível em: https://attack.mitre.org/. Acesso em: 3 maio 2026.
  6. NIST. Computer Security Incident Handling Guide (SP 800-61 Revision 2). 2012. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final. Acesso em: 3 maio 2026.
  7. NIST. Zero Trust Architecture (SP 800-207). 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 3 maio 2026.
  8. NIST. Guide to Enterprise Patch Management Planning (SP 800-40 Rev. 4). 2022. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-40/rev-4/final. Acesso em: 3 maio 2026.
  9. OWASP. OWASP Top 10 for Large Language Model Applications. 2024. Disponível em: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acesso em: 3 maio 2026.
  10. OWASP. Application Security Verification Standard. 2024. Disponível em: https://owasp.org/www-project-application-security-verification-standard/. Acesso em: 3 maio 2026.
  11. Microsoft. Microsoft Incident Response Team: Ransomware Guidance. 2024. Disponível em: https://www.microsoft.com/en-us/security/blog/. Acesso em: 3 maio 2026.
  12. Google Cloud. Incident Response for Cloud. 2024. Disponível em: https://cloud.google.com/security/incident-response. Acesso em: 3 maio 2026.
  13. AWS. AWS Incident Response. 2024. Disponível em: https://aws.amazon.com/architecture/incident-response/. Acesso em: 3 maio 2026.
  14. MISP Project. MISP Threat Sharing Platform. 2026. Disponível em: https://www.misp-project.org/. Acesso em: 3 maio 2026.
  15. TheHive Project. TheHive. 2026. Disponível em: https://thehive-project.org/. Acesso em: 3 maio 2026.
  16. Velociraptor. Velociraptor DFIR and IR Tool. 2026. Disponível em: https://www.velociraptor.app/. Acesso em: 3 maio 2026.
  17. Elastic. Elastic Security Documentation. 2026. Disponível em: https://www.elastic.co/guide/en/security/current/index.html. Acesso em: 3 maio 2026.
  18. Splunk. Splunk Enterprise Security Documentation. 2026. Disponível em: https://docs.splunk.com/Documentation/ES. Acesso em: 3 maio 2026.
  19. Wazuh. Wazuh Documentation. 2026. Disponível em: https://documentation.wazuh.com/. Acesso em: 3 maio 2026.
  20. Falco. Falco Security. 2026. Disponível em: https://falco.org/. Acesso em: 3 maio 2026.
  21. Cilium. Tetragon Documentation. 2026. Disponível em: https://tetragon.io/docs/. Acesso em: 3 maio 2026.
  22. OpenTelemetry. OpenTelemetry Documentation. 2026. Disponível em: https://opentelemetry.io/docs/. Acesso em: 3 maio 2026.
  23. SANS Institute. Incident Handler’s Handbook. 2024. Disponível em: https://www.sans.org/white-papers/incident-handlers-handbook/. Acesso em: 3 maio 2026.
  24. Verizon. Data Breach Investigations Report 2024. 2024. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 3 maio 2026.
  25. Mandiant. M-Trends 2025. 2025. Disponível em: https://www.mandiant.com/resources/reports/m-trends. Acesso em: 3 maio 2026.
  26. CrowdStrike. Global Threat Report 2025. 2025. Disponível em: https://www.crowdstrike.com/global-threat-report/. Acesso em: 3 maio 2026.
  27. Palo Alto Networks Unit 42. Incident Response Report 2025. 2025. Disponível em: https://unit42.paloaltonetworks.com/. Acesso em: 3 maio 2026.
  28. Microsoft. Microsoft Digital Defense Report 2024. 2024. Disponível em: https://www.microsoft.com/en-us/security/business/security-intelligence-report. Acesso em: 3 maio 2026.
  29. Cloud Security Alliance. Cloud Controls Matrix. 2024. Disponível em: https://cloudsecurityalliance.org/research/cloud-controls-matrix. Acesso em: 3 maio 2026.
  30. ISO. ISO/IEC 27035: Information Security Incident Management. 2023. Disponível em: https://www.iso.org/standard/85345.html. Acesso em: 3 maio 2026.