ランサムウェアは、複雑で多段階にわたる攻撃です。
医療従事者を守るための特効薬など存在しません。
その代わりに、この脅威に対抗するための包括的な一連のセキュリティ対策を策定しなければなりません。
そして、彼らはこうした能力を迅速に身につけなければなりません。
この記事では、医療従事者の皆様に、その具体的な方法をご紹介いたします。
このブログ記事は、医療業界に対するランサムウェアの脅威に関する3回シリーズの第 2 回です。
本シリーズの第1部「 」（）では、以下の内容について取り上げました：
- 犯罪者がなぜ医療従事者をランサムウェアの標的にするのか。
- なぜ、ランサムウェア対策における現在のアプローチは効果がないのでしょうか。
- 医療従事者がランサムウェアに対して積極的な対応を講じる必要がある理由。
この記事では、以下の点について解説していきます：
- 典型的なランサムウェア攻撃の様相と、その進行過程について。
- ランサムウェアの被害を、身代金を支払わずに解決するために、プロバイダーはどのような対策を講じる必要があるのでしょうか。
- サービスプロバイダーが5つのステップでランサムウェアに対する効果的な防御体制を構築する方法。
それでは、話を続けましょう。
ランサムウェアの理解：身代金要求メッセージの背後にある実態
一見すると、ランサムウェア攻撃は単純に見えます。
ある医療従事者が、自分のワークステーションにログインしようとします。
彼らのシステムはロックされています。 彼らはログインできません。 その代わりに、通知が表示されます。
この通知は攻撃者からのものであります。 このメッセージは、攻撃者に身代金を支払えば、システムを復旧し、データを救うことができるとプロバイダーに伝えています。
プロバイダーは、身代金を支払うか、直近のバックアップからサービスを復旧しようと試みますが、これには、直近のバックアップの経過期間や復旧可能性といった、さらなる課題が伴います。
この種のランサムウェア攻撃は一般的ですが、攻撃者が最終目標を達成するために、相当数の代替手順を実行しなければならない場合があるため、その手口は変化していく可能性があります。
場合によっては、要求された身代金が支払われた後も、攻撃者が攻撃活動を継続する事例が見受けられます。
ランサムウェア攻撃のより詳細な状況は、次のようなものです。
攻撃前の「ロー＆スロー」
攻撃者は、プロバイダーを困難な立場に追い込むために必要な情報、支配力、および影響力を築き上げます。
そのため、彼らは次のようにしました：
- プロバイダーのネットワークをスキャンして、脆弱性を検出します。
- 「 」のようなフィッシング詐欺（ ）といった標準的な攻撃を仕掛けたり、パッチが適用されていない資産など、既知の脆弱性を悪用したりします。
- 相手の脆弱なシステム内を横方向に移動してください。
- その環境の中で足場を築くことです。
- 相手の重要システムに関する情報を収集してください。
- 可能な限り多くの機密データを外部へ持ち出します。
- システムを自在に操作できる能力を身につけることです。
攻撃の最中
攻撃者は、プロバイダーにできるだけ多くの問題を引き起こし、プロバイダーに身代金要求書を送付します。
そのため、彼らは次のようにしました：
- 彼らが制御権を掌握した重要なシステムをすべてロックしてください。
- 盗んだ機密データを流出させると脅す。
襲撃の後
攻撃者は、さらなる攻撃を仕掛けてくる可能性があります。 多くの場合、身代金を支払うと、攻撃者が再び攻撃を仕掛けてくる可能性が高まります。
そのため、彼らは次のようにしました：
- その環境内に、目立たない足場を維持してください。
- ネットワーク内で発見したその他の脆弱性を悪用します。
- さらに多くのデータを外部へ持ち出してください。
- 結局、ロックシステムが再び、データを消去すると脅し、さらなる身代金を要求してくることになります。
要するに、攻撃者が身代金を要求してくる頃には、すでに手遅れになっていることがよくあります。
彼らは、その瞬間に備えて、すでに数日、数週間、あるいは数ヶ月もの間、準備を重ねてきました。
そしてその瞬間、医療従事者は厳しい現実に直面せざるを得ません。
彼らは、攻撃の進行中にどのように防御すべきかについて洞察を得るための可視性を欠いていました。
おそらく、攻撃者を確実に排除するための可視性や実用的なデータは、彼らにはないでしょう。
そして、彼らは身代金を支払わざるを得ず、犯人が再び襲撃してこないことを願うしかありません。
医療従事者がこのような事態を防ぐには、次のような方法があります。
ランサムウェアへの対策：特効薬など存在しません
ランサムウェアを防ぐための単一の対策など存在しません。
効果的な防御とは、攻撃そのものと同様に複雑で、多段階のものでなければなりません。
医療提供者は、攻撃者の攻撃キャンペーンのあらゆる段階で、攻撃的および防御的な幅広い対策を確立し、活用しなければなりません。
効果的なランサムウェア対策には、以下の要素が含まれていなければなりません：
襲撃の前
プロバイダーは、自社のネットワークへの参入障壁を高め、機会主義的な攻撃を受ける可能性を低減しなければなりません。
そのためには、彼らは以下のことを行わなければなりません：
- すべてのエンドポイント（そこに稼働しているアプリケーションを含みます）およびそれらで行われるすべてのアクティビティについて、常に可視性を確保します。
- すべての資産について、定期的なパッチ適用、更新、および設定を行うことで、既知の脆弱性をすべて解消してください。
- 進行中の攻撃がさらに深刻化する前に、侵害の兆候を積極的に探り出します。
攻撃の最中
被害者は、身代金を支払うことを余儀なくされないよう、速やかに攻撃への対策を講じ、攻撃者を排除しなければなりません。
そのためには、彼らは以下のことを行わなければなりません：
- 攻撃を調査し、その根本原因、横方向への拡散、および攻撃者が接触したすべての対象を特定してください。
- 環境内に残っているすべての脆弱性を修正し、攻撃のさらなる拡大を食い止めてください。
- 攻撃への対応を行い、攻撃者を排除し、大きなデータ損失を招くことなくシステムの制御権を取り戻します。
襲撃の後
彼らは環境のセキュリティを強化し、攻撃者が確実に排除され、二度とネットワークを侵害できないようにしなければなりません。
そのためには、彼らは以下のことを行わなければなりません：
- 攻撃者が悪用した各脆弱性のすべての発生箇所を特定し、すべての資産においてそれらを修正してください。
- 攻撃者がその環境内にまだ残している可能性のある足場をすべて見つけ出し、完全に排除してください。
- 新たな攻撃を防ぐため、エンドポイント環境全体の健全性とセキュリティを継続的に向上させていきます。
要するに、医療従事者はランサムウェアから身を守るために、やるべきことが山積みです。
多くの医療従事者は、こうした手法のうち少なくともいくつかは実践できていません。
医療従事者の中には、これらの処置を一切行えない方もいらっしゃいます。
しかし、すべての医療従事者は、少なくとも、ランサムウェアから身を守るために必要な対策をすべて講じているかどうかを、少し時間を割いて確認する必要があります。
医療従事者がそのプロセスを開始するには、次のような方法があります。
対処法：効果的なランサムウェア対策の構築に向けた5つのステップ
以下の手順に従うと、次のようになります：
- 現在のランサムウェア対策体制における課題を特定してください。
- 発見される可能性のある最も重要な不足点を補ってください。
- たとえゼロからのスタートであっても、強固なランサムウェア対策戦略を策定しましょう。
それでは始めましょう。
ステップ1：現在のランサムウェア対策の状況を評価する
まず、ランサムウェアの攻撃の各段階において、現在どの程度の防御能力があるかを確認するために、自分自身にいくつかの質問をしてみてください。
自分自身に問いかけてみてください：
- 当社の環境内にあるすべての資産について、正確なカタログは整備されていますか？
- それらの資産を監視し、特定のIOCを検索することは可能でしょうか？
- これらの資産は、常に最新のパッチが適用され、更新され、適切に設定されていますか？
- 侵害された資産やその他の脅威を、どれくらいの速さで検知できるでしょうか？
- 攻撃者が接触したすべての資産やデータを特定することは可能でしょうか？
- インシデントをどのくらいの速さで封じ込め、復旧させることができるでしょうか？
- 攻撃者を、 100％の確信を持って完全に排除することはできるでしょうか？
- 同様の攻撃に対して、私たちの環境をどのくらいの速さで強化できるでしょうか？
最後に――自分自身に問いかけてみてください：
- ランサムウェア攻撃が、患者への医療提供能力に支障をきたす前に、それを検知して対処することはできるのでしょうか。それとも、身代金を支払わざるを得ないのでしょうか。
ステップ2：資産に関する包括的な可視性を確立する
優先順位としては、まず特定した可視性のギャップを埋める必要があります。
可視性は、他のあらゆる活動の基盤となり、その効果を倍増させる役割を果たします。
実務上、以下の点について把握しておく必要があります：
- ご使用の環境内のすべてのエンドポイントと、そこにインストールされているソフトウェアを特定してください。
- 各資産について、パッチの適用状況、ソフトウェアのバージョン、設定、管理者権限、および既知の脆弱性の現状を特定してください。
- それらの資産およびユーザーの挙動を継続的に監視してください。
- 各資産の定量化可能なリスクを定義し、万が一ランサムウェア攻撃が成功した場合の想定される展開と影響を整理してください。
管理対象資産と非管理対象資産の両方について、また、オンプレミスにあるかリモートにあるかを問わず、すべての資産に対して、この処理を行う能力を身につける必要があります。
ステップ3：ITセキュリティ対策を万全に整える
次に、ITのセキュリティ管理の向上に注力する必要があります。
ほとんどのランサムウェア攻撃は、環境内の既知の脆弱性を悪用しています。
適切なIT衛生管理を徹底し、高い参入障壁を維持しなければなりません。
実用的な観点から言えば、適切なIT管理を維持するためには、以下のことができる必要があります：
- パッチ適用率を高い水準に維持し、すべての資産に対して新しいパッチを迅速に適用します。
- すべてのソフトウェアおよびオペレーティングシステムを、最新バージョンに更新しておいてください。
- すべての資産に対して、ポリシー、アクセス権、および設定を適用します。
- すべての規制要件を遵守し続けてください。
組織は、これらの措置をリモートで、かつ大規模に実施するとともに、管理措置が適切に適用されていることを保証する閉ループ検証システムの中で実施しなければなりません。
ステップ4：インシデント対応体制の構築
次に、可視化と管理の仕組みが、単なる予防にとどまらないことを確認してください。
また、それらを活用して攻撃を阻止し、攻撃者を迅速に排除できる必要があります。
実務上、ランサムウェアのインシデントに対応するためには、以下のことができていなければなりません：
- 健全な衛生基準を導入し、攻撃の兆候がないか、すべてのシステムの監視体制を強化するよう努めます。
- リアルタイムデータと長期データを組み合わせ、攻撃の全過程を特定します。
- 攻撃者がシステムをロックし、データを盗み出す前に、インシデントへの対応を行ってください。
- インシデントから学び、同様のパターンに対して先手を打って防御策を講じましょう。
最新のランサムウェア攻撃の多くが急速に拡散する状況に効果的に対応するためには、これらの各アクションをほぼリアルタイムで実行できる必要があります。
ステップ5：工具の再評価
最後に、エンドポイント管理ツールを徹底的に見直してください。
この記事で取り上げられているあらゆる能力において、皆様が使用するツールこそが、その原動力となります。
これらの能力のいずれかに不足がある場合、おそらく次のような状況になるでしょう：
- その機能を実現するためのツールは、まだ導入しておりません。
あるいは
- 現代の環境に適さないツールを導入してしまいました。
可視性の確保、IT環境の健全性維持、およびインシデント対応のために導入しているツールをご確認ください。
日々の業務において価値をもたらさないツールをすべてリストアップしてください。
それでは、各ツールについて、最後に一つだけ自問してみてください：
「これらのツールが通常の状況下で価値を提供できないのであれば、ランサムウェア攻撃が発生した最中に、私が必要とする価値を提供できるのでしょうか？」
「いいえ」という答えが返ってくるツールは、どれも置き換えの時期が来ていると言えます。
ランサムウェア攻撃を防ぐために、適切なツールを導入しましょう
このシリーズの次回、そして最終回となる記事では、ツールについて詳しく解説いたします。
ここでは、従来のツールではなぜランサムウェアを阻止できないことが多いのか、また、この現代的な脅威から身を守るためにどのようなツールを活用すべきかについてご説明いたします。
ランサムウェア対策の構築について、早急な専門的なサポートが必要な場合は、 まで、今すぐ および よりご連絡いただき、無料の相談およびギャップ分析をご予約ください。
