ランサムウェア攻撃に備え、戦う方法

ランサムウェアは破壊的で高額であり、増加しています。私たちのガイドを使って感染から自分を守ってください。しかし、最悪の事態にも備えてください。ランサムウェアが襲った場合に、迅速かつ清潔に回復できるようにしてください。

ランサムウェアの増加

ランサムウェア攻撃は、恐ろしい速さで増加しています。Bitdefenderの2020年中間報告書によると、世界中のランサムウェア報告件数は前年同期比で715％増加しました。攻撃件数でランキングすると、アメリカ合衆国が第一位に立っています。第二位はイギリスです。

ランサムウェア攻撃は、あなたのファイルとデータを暗号化し、ビジネスとして機能できなくします。システムを通常の運用状態に戻すには、サーバーとコンピュータを消去し、バックアップから復元する必要があります。または、ファイルとデータのロックを解除するための復号キーを使用します。復号キーを取得するには、身代金を支払う必要があります。

ランサムウェアは、ビジネス運営を妨害し、永続的なデータ損失につながる非常に大きな影響を引き起こします。ランサムウェアは次のようなことを引き起こします:

ビジネスのダウンタイム。
生産性の低下。
収益の損失。
評判の損失。
ビジネスに関する機密情報の喪失、破壊、または公に公開されること。

もし身代金を支払った場合、その追加コストが発生し、攻撃後には残存するマルウェア感染や混乱が続く可能性があります。

あなたはそれが自分に起こることはないと思うかもしれません。その信念を、あなたが小さすぎて脅威をもたらす者たちにはもっと大きな、そして良いターゲットがあると言い聞かせることで正当化するかもしれません。なぜ彼らがあなたのような会社に気を使うのでしょうか？残念ながら、そうはならないのです。

誰もが標的です。どの配信方法よりも、メールは依然としてランサムウェアの配信メカニズムとして第一位です。悪意のあるメールを配信するフィッシング攻撃は、数百万件のエントリを持つメールリストを使用するソフトウェアによって送信されています。

過去10年ほどの間に発生したすべてのデータ漏洩からのメールアドレスはダークウェブで入手可能です。"Have I been Pwned"というウェブサイトでは、10億以上のメールアドレスが一覧されています。新しいメールアドレスは毎日収集され、これらのメーリングリストに追加されています。これらはフィッシングメールが送られるメールアドレスです。脅威を与える者たちは、それらのメールアドレスが誰に属しているかは気にしませんし、気にも留めません。

非常に少数のランサムウェア攻撃は選択的にターゲットを定めています。他のすべての攻撃の99％は、犠牲者を追跡したり、徹底的な偵察を行ったりしません。悪者たちは狙撃手ではなく、狙いも定めずに発砲する機関銃手です。彼らは無差別にメールをばらまき、その後誰に当たったかを見て座って待っています。

身代金か復元か？

サイバー犯罪者たち、つまり脅威アクターたちは、鍵を提供するために身代金を要求します。身代金は主にビットコインなどの暗号通貨で支払われますが、脅威アクターによって他の暗号通貨が指定されることもあります。執筆時点で、CoinMarketCapによれば、7,500以上のアクティブな暗号通貨があります。

ビットコインの取引を始めるのは比較的簡単ですが、電子ウォレットやその他すべてを整えるのには数日かかることもあります。そして、その期間中はビジネスとして活動できないか、少なくとも効果的に運営できません。

そして、たとえ身代金を支払ったとしても、データが戻ってくる保証はありません。ランサムウェアの復号化部分はしばしば杜撰に作成されていて、あなたにはうまく動作しないかもしれません。たとえファイルが復号化されても、ルートキット、リモートアクセス型トロイの木馬、キーロガーなどのマルウェアに感染したままである可能性が高いです。

そのため、身代金の支払いができるようになるまで数日かかるかもしれません。さらに、他の暗号通貨を使ってしか購入できない暗号通貨で支払いを求められる場合、もっと長くかかるでしょう。また、あなたのシステムは復号化された後でもクリーンで信頼できるものにはなりません。明らかに、思い切ってバックアップからシステムを復元する方が良いです。結局のところ、イギリスやアメリカでは身代金の支払いは勧められていません。

バックアップから復元するということですね。しかし、急いではいけません。それは、堅牢なバックアップ手順が整備されていて、手順が遵守され、バックアップがドライランやシミュレートされたインシデントでテストされている場合にのみ可能です。

さらに、最も高度なランサムウェアの背後にいる脅威 actores は、バックアップが感染するようにする方法を持っています。サーバーやコンピューターを初期化して復元した瞬間、すでに感染しているのです。

それでも、バックアップは依然として解決策です。しかし、バックアップを計画し、それを保護する方法を考え、必要なときにその整合性を保証する必要があります。

予防は治療よりも良い

誰も職場での事故を望んでいません：負傷者、大量の書類作成、可能な責任請求。しかし、それでも現場には応急処置キットが必要です。はい、予防は治療よりも優れていますが、それでもいつの日かその応急処置キットと訓練を受けた応急処置の応答者が必要になると仮定しなければなりません。

サイバーセキュリティに関しても同様です。誰もランサムウェアの被害に遭いたくはなく、それを防ぐためにできることをします。しかし、マルウェアに襲われた際に対応できるインシデントレスポンスプランを用意しておく必要があります。プランに精通し、プランをリハーサルしたチームが必要であり、実際にそのプランに従う必要があります。

計画がその瞬間の熱意で捨てられてしまうのはあまりにも簡単です。それは起こってはいけません---事件に対するあなたのすべての反応は、体系的かつ調整されている必要があります。それはあなたのインシデント対応計画に従うことでのみ達成できます。

私たちは皆、自動車保険を持っており、それを使用する必要がないことを望んでいます。インシデント対応計画もそれと同じです。必要ですが、それを展開しなければならない状況にはなりたくありません。車両を維持管理し、訓練を受けた運転者だけが運転することを許可することで、事故に遭う可能性を減らすことができます。

以下のポイントは、インシデント対応計画を実行する必要があるリスクを軽減します。

スタッフ意識トレーニング

ほとんどのランサムウェア感染は、誰かがフィッシング攻撃に引っかかることによります。あなたの従業員がメールの最前線にいます。彼らは毎日、何百通ものメールや添付ファイルを開いて対処しています。見逃されて通り抜けるフィッシングメールはたった1通だけで、あなたは感染してしまいます。

明らかに、あなたのスタッフはフィッシングメールやその他のメールを介した詐欺や脅威を特定できるように、サイバーセキュリティ意識トレーニングを受ける必要があります。そして、これを定期的に補強し、強化する必要があります。ランサムウェアはあなたのサイバーセキュリティリスク評価リストに含めるべきであり、スタッフの意識トレーニングはあなたの緩和策の一つであるべきです。

メールの量を減らす一つの方法は、内部メールを減らすことを試みることです。内部メールが少ないほど、外部メールに集中し注意を払うのが容易になります。リスクを伴うのは外部メールです。Microsoft TeamsやSlackなどのビジネスチャットアプリケーションは、この点で非常に効果的です。

スタッフ感受性テスト

トレーニングは素晴らしいですが、ケーキのアイシングはテストです。無害なフィッシングキャンペーンを実施するセキュリティ会社やオンラインサービスを見つけるのは簡単です。

偽の悪意のあるメールを認識できない従業員は、トレーニングのリフレッシャーセッションの明らかな候補者です。従業員がフィッシングメールに引っかかる脆弱性を測定することは、スタッフの意識トレーニングの効果を測る尺度でもあります。

最小特権の原則

プロセスとユーザーには、役割に定義された機能を実行するために必要最小限のアクセス権が与えられていることを確認してください。最小特権の原則は、ユーザーアカウントが侵害された場合にマルウェアが引き起こす可能性のある損害を制限します。

管理者アカウントへのアクセスを制限し、それらのアカウントが管理以外の目的で使用されないようにします。共有やサーバーへのアクセスを制御し、特定の役割に必要のない人が機密エリアにアクセスできないようにします。

スパムフィルター

スパムフィルターはすべての悪意あるメールを捕まえるわけではありませんが、いくつかはキャッチするため、大きな利点があります。彼らは通常の安全でありながら煩わしいスパムの大部分を検出し、隔離します。これにより、あなたのワークフォースが対処しなければならないメールの量がさらに減ります。針のサイズを小さくすることで、針を見つけやすくなります。

エンドポイント保護

もちろん、ウイルス対策およびマルウェア対策のパッケージ、または統合エンドポイント保護パッケージを展開すべきであり、中央で管理され、シグネチャが定期的に更新されるように設定されるべきです。ユーザーは更新を拒否したり、延期したりすることはできません。

パッチ、パッチ、パッチ

オペレーティングシステム、ファームウェア、およびアプリケーションは、メーカーのサポートサイクル内にあり、エンドオブライフであってはいけません。それらは、セキュリティとバグ修正パッチの最新の状態にパッチを適用する必要があります。パッチがもはや利用できない場合は、それを使用するのをやめてください。

ネットワークアーキテクチャ

最もシンプルなネットワーク設計を除き、重要なコンピュータ、部門、チームを隔離するためにネットワークをセグメント化してください。彼らは潜水艦を長く開放的なチューブとしては作りません。漏れが発生した部分を封じ込めるために、耐水性の隔壁ドアを持つ隔壁を組み込んでいます。

マルウェアの拡散を制限するために、分割された領域を持つネットワークトポロジーを使用してください。感染したセグメントは、全体のネットワークと比較して管理が非常に簡単です。

バックアップ戦略

バックアップは堅牢なビジネス継続計画の中心です。サイバーに基づくかどうかにかかわらず、予想される危機に対処できるような方法でデータをバックアップするべきです。古いバックアップのマントラは3-2-1ルールでした。

データは3つのコピーを用意するべきです：稼働中のシステムと2つのバックアップです。
あなたの二つのバックアップは異なるメディアに保存するべきです。
そのバックアップの一つはオフプレミスで保管されるべきです。

明確に言えば、データの別のコピーを持っているだけではバックアップとは言えません。何もないよりは良いですが、バックアップは非常に重要なので、予算の範囲内でできる限り最良のものであるべきです。実際のバックアップはバックアップソフトウェアによって作成され、バージョン管理機能を備えています。バージョン管理により、特定の時点でのファイルを復元することができます。つまり、昨日の1時の状態のファイルを復元したり、先週や先月のどこかから復元したりすることができます。保持期間とバックアップストレージの容量によって、どれくらい過去に遡れるか、またその詳細度が決まります。

バックアップは暗号化されるべきです。

イメージベースのバックアップは、オペレーティングシステムを含むハードドライブ全体のイメージを取得します。ライブシステムへの変更は、数分ごとにバックアップイメージに追加されるため、バックアップはライブシステムのリアルタイムスナップショットに非常に近いです。すべての主要なバックアップソリューションは、バックアップイメージを仮想マシンイメージに変換できます。災害が発生した場合、新しいハードウェア上で仮想マシンを立ち上げることができます。これにより、新しいサーバーハードウェアを展開することや、ライブシステムをダウンさせた問題を解決しながら、バックアップは代替のライブシステムとして機能し、会社が運営を続けることができます。

もちろん、オフサイトのバックアップソリューションもあり、あなたの事業所から安全に遠く離れた場所にバックアップを取ることができます。そのため、3-2-1ルールは好きな数字を使って書き換えることができます。快適に感じるために必要なバックアップのコピーを持ち、異なる場所に分散し、異なるハードウェアデバイスに保存してください。

しかし、脅威アクターがあなたのバックアップを感染させることができたら、それらのどれもあなたを救うことはできません。例えば、ランサムウェアがトリガーされる前に28日間遅延するように設定されているとします。あなたは何度もバックアップを取り、すべてのバックアップに保存しているでしょう。

これに対抗するために、不変バックアップを使用できます。これは、一度作成されると書き込むことができないバックアップです。つまり、ランサムウェアや他のマルウェアに感染することができません。堅牢なバックアップソリューションは、層状で多様なアプローチを使用します。

誤って削除したファイルを迅速に回復するために、ローカルネットワーク接続ストレージ (NAS) デバイスにバージョン管理されたバックアップを実装することができます。
あなたの第二のバックアップ層は、ローカルおよびオフプレミスストレージへの画像ベースのバックアップである可能性があります。サーバーが完全にクラッシュしたりハードウェアが故障した場合に、迅速に失敗したサーバーを復元することができます。
もしマルウェアによって決して汚染されることのない不変バックアップでバックアップ体制を強化すれば、堅牢で包括的なバックアップシステムを持つことができます。

ネットワークの規模と複雑さによって、それはすぐに高額になる可能性があります。しかし、失敗の代償と比べると、それは安いです。バックアップのための支払いだと思わないでください。それはビジネスの継続性への投資だと思ってください。

インシデントレスポンス計画

インシデントレスポンス計画は、サイバーインシデントに対する調整された効果的な対応を確保するための重要なツールであるだけでなく、ビジネス活動によっては義務付けられている場合があります。クレジットカードでの支払いを受け付けている場合、支払いカード業界データセキュリティ標準（PCI DSS）に準拠する必要がある可能性が高いです。PCI DSS標準には、インシデントレスポンス計画に関するいくつかの要件があります。

典型的なインシデントレスポンスプランには、各セクションが詳細かつ正確であるべきです。

準備。上記のすべてのポイントに加えて、あなたの状況にふさわしい他の防御策も考慮してください。乾燥訓練で計画を繰り返し練習することによって、あなたの対応チームはその計画に慣れ、短所や問題を特定することができ、計画を洗練させることができます。あなたの対応チームがより準備が整っているほど、必要なときにより良いパフォーマンスを発揮するでしょう。
識別。インシデントが進行中であることを認識し、どの種類のインシデントであるかを特定するプロセスです。何が起こっているのか、誰が影響を受けているのか、問題の範囲はどれくらいか、データが漏洩しているのか？
封じ込め。感染を抑制し、広がりを防ぐ。感染したシステムを隔離する。
根絶。感染したシステムを消去します。すべての侵害された機械からマルウェアが取り除かれていることを確認してください。組織で採用されているパッチやセキュリティ強化手順を適用します。
リカバリー。どのシステムが優先され、最初にサービスに復帰すべきですか？これらをバックアップから復元し、すべてのアカウントの認証情報を変更してください。もしあるなら、変更不可能なバックアップから復元してください。もしない場合は、復元する前にバックアップがマルウェアフリーであることを確認してください。
教訓。感染はどのように発生し、それを何が防ぐことができたのか？それは悪用された脆弱性によるものか、それとも人的なミスだったのか？セキュリティのギャップを埋めるためにどのような手段を講じるべきか？

報告する

ランサムウェアを犯罪として報告することを忘れないでください。地域または国家のデータ保護機関にも事件を報告する必要があるかもしれません。ヨーロッパでは、データが暗号化されている間にデータの管理権を失ったため、たとえ実際にデータが盗まれたり失われたりしなくても、ランサムウェア攻撃は一般データ保護規則（GDPR）の下でデータ侵害と見なされます。また、1996年の米国の医療保険の携行性と責任に関する法律（HIPAA）のように、この概念を支持する法律があるかもしれません。