原因調査では、①侵入経路（どこから）、②侵入の時期（いつから）、③攻撃者の行動（何をした）、④被害範囲（どの端末・データ）の4つを明らかにします。調べるのは、VPN機器・ファイアウォール・認証サーバー・端末・クラウドのログです。
よくある侵入経路
- VPN機器・リモートデスクトップの脆弱性や弱い認証（VPNの注意）
- フィッシング・不正なメール添付
- 漏れた認証情報（ID・パスワード）の悪用
- 委託先・取引先との接続経路（サプライチェーン攻撃）
- 公開しているWebサイト・サーバーの脆弱性
調査を難しくするもの
- ログを残していない、保存期間が短い（ログの管理）
- 端末を初期化してしまった
- 攻撃者がログを消した