侵入からデータ流出までたった6.55日　最新ランサムウェア被害から対策を考える

最新型ランサムウェア対抗のポイントは「防御」と「検知」

　では高度化するランサムウェアに対し、どのような対策が有効なのか。

　その前に現状を見てみよう。岡本氏によるとランサムウェア対策は「EDR（Endpoint Detection and Response）」（56.7％）と「NDR（Network Detection and Response）」（56.2％）が多いが、7.4％が「いずれも利用していない」と回答するなど、手付かずの状態にある企業も少なからずいる。

　だが対策を取っていても、最新型のランサムウェアを効果的に検出できているとは言えないことがデータから明らかになった。検出できるタイミングとして最も多いのは、「ランサムウェア実行時」だ。

　この場合、「既にシステム内の探索が進んでおり、重要なデータが持ち出されてしまっている可能性が高い」（岡本氏）ということになる。「企業やシステムへの影響を考えると、初期侵入や内部探索の段階で攻撃を検出できることが理想的」と岡本氏は指摘する。

　取るべき対策を考えるに当たって岡本氏は、すべてのステップ（初期導入、アンチウイルスなどセキュリティソフトウェアの無効化、遠隔操作の通信（コールバック）、認証の取得、内部探索、データ持ち出し、ランサムウェア実行）で取るべき対策は異なるとしながら、ポイントとして「防御」と「検知」を挙げる。

　「様々な攻撃に対する防御はもちろん、データを関連づけながら早期に攻撃に対処する検知を組み合わせた仕組みを構築することが重要」と岡本氏。

　さらに防御においては、1製品で複数のセキュリティ機能を備える「多層防御」により対策を効率化できるという。既にセキュリティ製品を導入している場合、足りない部分だけを新しいセキュリティ製品で補うアプローチでも良いとのことだ。

　検知は、EDRはデータの収集範囲がエンドポイントに限定されるのに対し、エンドポイントだけでなく、メール、サーバー、クラウドワークロード、ネットワークなど複数のレイヤーのデータを収集できるXDR（Extended Detection and Response）の方が「より横断的、俯瞰的な分析ができる」と岡本氏。

　特にサーバー環境でのEDRの必要性については、「最新型ランサムウェアの最終目的地はエンドポイントではなくシステム内のサーバーであり、この場合、攻撃が行われているサーバーの情報をもとに分析することが効果的」との見解を示す。初期侵入からデータ持ち出しまでの平均所要日数が6.55日であることを考慮すると、「EDRよりもXDRの方が望ましい」と続けた。

　なおサーバーEDRの必要性については、ランサムウェアが攻撃対象をLinuxにも広げていることも要因に挙げている。