ランサムウェアによる被害が増加しており、 のニュース記事（ ）でも報じられているように、どの業界もその影響を免れることはできません。
米国連邦政府の は、政府機関や企業のリーダーに対し、に記載された基本的なサイバー衛生に関するベストプラクティス を実施することで、自らを守るよう呼びかけています。
IT運用とセキュリティの基本に立ち返ることが、組織が最悪の事態を回避するための第一歩となります。
この短いウェブキャストをご覧いただき、ランサムウェア攻撃の詳細や、その防止策について詳しく学んでください。
https://youtu.be/41n5NaBgF5o
ランサムウェアとは何ですか？
ランサムウェアとは、多くの場合、被害者のネットワーク上のデータやファイルを暗号化するように設計されたマルウェアの一種です。 ランサムウェアの被害に遭った組織は、攻撃者から事実上、最後通告を突きつけられます。身代金を支払って復号鍵を受け取るか、事業に不可欠なデータを永久に失うかの二者択一を迫られるのです。
多くの組織がベストプラクティスのアドバイスに従ってデータをオフラインでバックアップするようになったことを受け、最近、身代金要求犯たちは、データを暗号化する前に機密情報を盗み出すようになっています。 これにより、支払いをしなければ、顧客や従業員の個人情報や企業秘密がインターネット上で公開されてしまうという、さらなるプレッシャーが彼らにかかります。 一部のグループは、DDoS攻撃を行ったり、顧客や株主などに接触してさらに圧力を強めたりするなど、恐喝の手口を拡大させているケースさえあります。
今日、組織が直面している課題は、ランサムウェア・アズ・ア・サービス（RaaS）というモデルによって、「アフィリエイト」と呼ばれる脅威グループの参入障壁が大幅に低下してしまったことです。 被害者が支払いを続ける限り（その費用は多くの場合、サイバー保険によって補償されます）、この分野に参入するサイバー犯罪者の数はますます増えるばかりでしょう。
攻撃はどのように発生するのでしょうか？
脅威グループによって好みは異なりますが、典型的なランサムウェア攻撃には、おおむね4つの主要な段階があります。 それらは以下の通りです：
- ランサムウェアが企業環境に侵入します。
これは、ゲートウェイプロバイダーの検知をすり抜けて届く、 からのフィッシングメール（ ）を通じて、よく発生します。 もう1つの一般的な手口は、開いているリモートデスクトッププロトコル（RDP）ポートをスキャンし、以前に漏洩したログイン情報を利用するか、あるいはパスワードを総当たり攻撃で解読することで、リモートサーバーを乗っ取るというものです。
- ランサムウェアが実行されました。
多くの場合、ユーザーがマクロを含む悪意のあるMicrosoft Office文書をクリックすることが原因となります。
- ランサムウェアは、ある程度の権限を利用して、エンドポイントやネットワークを悪用します。
標的となったユーザーやマシンに、広範囲にわたる横方向の移動を行うのに十分な権限がない場合、攻撃による潜在的な影響は大幅に制限されます。 そのため、攻撃者は通常、システムの脆弱性を悪用するなどして、権限の昇格を試みます。 横方向の移動は、多くの場合、正規のツールや「現地で入手可能な」バイナリを利用して行われ、そのことで検出を回避しています。
- ITセキュリティが対応すべき時が来ました
もし攻撃によって企業のセキュリティが突破されてしまった場合、その影響を迅速に最小限に抑える責任は、インシデント対応チームにあります。 綿密に策定され、頻繁にテストされたインシデント対応計画は、この点において大きな違いをもたらすことができます。
ランサムウェアを防ぐにはどうすればよいでしょうか？
貴組織が上記の手順について十分な準備を整えていれば、ランサムウェアに起因するサイバーリスクを軽減するための良好な態勢が整うことになります。 実行フェーズの早い段階で攻撃を阻止できれば、それだけ良いのです。
ここでは、組織のレジリエンスを向上させるための、管理面、プロセス面、技術面における対策をまとめた簡単なチェックリストをご紹介します。
- オフラインのバックアップを管理する
- 重要なシステムのゴールドイメージを保持し、再構築できるようにしておきます
- インシデント対応計画の維持およびテスト
- 従業員向けのセキュリティ意識向上プログラムを定期的に更新・実施する
- 定期的に脆弱性スキャンを実施してください
- エンドポイントが常にパッチを適用され、最新の状態であることを確認してください
- ブロック SMBv1を設定し、SMBv3+のみを使用してください
- SMBポートへの外部からの接続をブロックする
- インターネットに公開されているRDPエンドポイントを保護する
- 最新のウイルス対策ソフトをすべての場所に導入してください
- アプリケーションのホワイトリスト化をご検討ください
- サプライヤー・リスク管理プログラムを通じて、サードパーティベンダーを管理します
- 可能な限り、多要素認証（MFA） をご利用ください
- 強固でユニークなパスワードを使用してください
- 最新のネットワーク図を活用して、保有している資産とその所在を把握しましょう
- PowerShellの使用を制限し、最新バージョン（5.0）を使用してください。
- ドメインコントローラーのセキュリティ対策とパッチ適用
Taniumがどのように役立つか
の報告によると、Verizonのデータ によると、データ侵害の2021、 10％がランサムウェアによるものであり、これは昨年の2倍の数値となっています。 幸いなことに、Taniumには、組織の攻撃に対する回復力を高め、可視性と制御を強化し、インシデント対応を迅速化するためのさまざまな機能が備わっています。 その方法は以下の通りです：
資産運用
目に見えないものは管理できません。 たった1台の脆弱性のあるホストであっても、ランサムウェア攻撃者にとってネットワークへの侵入経路となり得ます。 Taniumの「 」は、 にあるようなシステムを見つけるのに役立ちます。
パッチの適用
Taniumは、組織が のエンドポイントにパッチを適用し、企業の攻撃対象領域を縮小できるよう支援します。 悪名高い「WannaCry」ランサムウェアの事例のように、攻撃者が新たな脆弱性を悪用した場合でも、Taniumは迅速かつ大規模にパッチを適用し、攻撃の機会を制限することができます。
構成管理
ランサムウェアは、公開されている共有フォルダや設定ミスを悪用することがよくあります。 Taniumは、 これらの 問題を積極的に特定・是正するお手伝いをいたします。また、Tanium Enforce は、エンドポイントが攻撃に対して堅牢化され、企業ポリシーに準拠していることを確保することで、リスクの露出を最小限に抑えることができます。
横方向の動きを制限する
Tanium Impact は、組織が環境内での横方向の移動を制限するのに役立ちます。 オンプレミス外のデバイスを含む、影響を受けたシステムは、特定のファイアウォール技術を使用することなく、エンドポイント層から隔離することができます。 また、ネットワーク機器と連携し、Cisco ISE や Palo Alto を通じてブロックを行います。 Tanium Enforce では、ホストのファイアウォールを設定することで、ネットワークへのアクセスを制限することができます。
機密データの制限・開示
Tanium Revealの は、お客様の環境内で機密データがどこに存在しているかを特定するのに役立ち、ランサムウェアへの曝露リスクを低減するための追加措置を可能にします。
識別
Tanium Signalsは、ランサムウェアの活動の可能性を検知し、管理者に通知して対応を開始できるよう促します。
予防
Tanium Enforce は、AppLocker を使用して許可リスト方式を採用し、エンドポイント上で不正な実行ファイルが実行されるのを防止することができます。
範囲の定義
万が一、組織がすでにランサムウェアに感染している場合でも、Taniumは暗号化されたファイルの数を特定し、「Tanium Live Response」および「Tanium Index」を通じて、それ以上の被害を最小限に抑えることができます。
