ランサムウェアから身を守るための8つの実証済みの対策
今日、ランサムウェアは、規模や業界を問わず、あらゆる組織が直面する最も一般的な脅威となっています。実際、2021年に ランサムウェア攻撃による被害額は200億ドル以上に上る が世界中で引き起こした被害額は、2031年までに2,650億ドルに達すると予測されています。
ランサムウェアに感染すると、データの損失、金銭的・評判上の損害、さらには組織の完全な機能停止につながる可能性があります。しかし、状況は一見したほど悲観的なものではありません。 攻撃が成功する確率を最小限に抑える方法があり、さらに重要なことに、万が一システムがランサムウェアに感染した場合でも、スムーズに復旧する方法が存在します。
本記事では、ランサムウェア感染からの保護を確保し、サイバー侵害のリスクを低減するのに役立つ、実証済みの8つのベストプラクティスを紹介し、解説します。
ランサムウェア対策とは何ですか？
ランサムウェア対策は通常、ランサムウェアが組織のITインフラストラクチャや収益に長期的な損害を与えるのを防ぐために組織が講じるあらゆる措置を対象とします。包括的なランサムウェア対策計画には、保護対策、監視活動、復旧戦略を含める必要があります。
- ランサムウェアの予防策
ランサムウェアからの防御は、組織の最優先事項であるべきです。ランサムウェア攻撃の影響を軽減したり、感染したデータの復旧を試みたりするより、攻撃を未然に防ぐ方が望ましいです。必要な対策を実施し、適切なツールを使用することで、ランサムウェアがシステムに侵入する可能性と、その侵害による影響を最小限に抑えられます。
- ランサムウェアの検出策
マルウェアやランサムウェアに対する環境の監視は、早期発見に不可欠です。侵害を特定するのが早いほど、阻止できる可能性が高まります。ランサムウェアから保護するために実装できる検知ツールとベストプラクティスがいくつかあります。
- ランサムウェアからの復旧策
ランサムウェア攻撃が防御を突破した場合、データが暗号化またはロックされ、その結果、通常の業務が中断される可能性があります。多数のランサムウェアからの復旧対策を活用すれば、ワークロードを迅速に復旧し、データ損失とダウンタイムを最小限に抑えられます。このプロセスは困難で時間がかかる場合があるため、以下に挙げる予防策を講じてください。
ランサムウェア対策のベストプラクティス
ランサムウェア対策として最適なのは、多層的な戦略を採用することです。このモデルには、従業員のトレーニング、エンドポイントの保護、必要なテクノロジーの導入、包括的なインシデント対応計画の策定などが含まれます。
-
従業員をトレーニングする
現在、サイバーセキュリティ上の問題の95％は、人為的ミスに起因しているおよびすべての侵害の43%は、悪意によるものか偶発的なものかを問わず、組織内部からの脅威です。1台のデバイスが、会社全体を標的とする攻撃の発端となる可能性があります。
そのため、従業員を採用したらすぐに、サイバー衛生について教育することをお勧めします。また、ユーザーが常に最新の脅威を認識し、必要な指示を実行していることを確認するため、定期的にトレーニングを実施してください。
以下のベストプラクティスは、ランサムウェアから保護し、人的ミスによるインシデントを減らすうえで不可欠です:
- 不審な送信元からの電子メールを開いたり、不審な添付ファイルをクリックしたりしないでください。
- 広告バナーや、知らないウェブサイトにある安全でないリンクをクリックしないでください。
- 強力なパスワードを使用し、頻繁に変更してください。また、複数のアカウントで同じパスワードを使用しないでください。
- 2要素認証を有効にしてください。
- 個人情報を共有したり、簡単にアクセスできる場所に保存したりしないでください。
- 見知らぬUSBメモリを接続しないでください。
- 公共のWi-Fiネットワークの使用を避けてください。
- 組織のセキュリティポリシーに従い、悪意のある活動を速やかに報告してください。
- マルウェアの駆除に役立つ手動での対処法やソフトウェアについて、従業員に詳細はこちらを提供してください。
-
ネットワークセグメンテーションを導入する
ネットワークを保護し、ランサムウェアから防御する最善の方法は、ネットワークセグメンテーションを導入することです。これは、クラウド環境やハイブリッド環境で特に重要です。複数のサブネットとルーターを適切に接続すると、1台のデバイスが侵害された場合でも、マルウェア感染が組織全体に広がるのを制限できます。
サポートされている認証方式に対応したIEEE 802.1X規格の使用を検討し、ネットワークへのアクセス制御を設定してください。これにより、ネットワークに接続して認証を通過し、暗号化された接続を確立するには、署名済み証明書と有効な資格情報が必要になります。このアーキテクチャは、クライアント、認証器、認証サーバーの3つの主要なコンポーネントで構成されます。有線イーサネット接続でユーザーを認識するには、RADIUSサーバーと802.1X対応スイッチが必要です。802.1Xは有線ネットワークとWi-Fiネットワークの両方で使用できます。
さらに、可能であればネットワーク侵入テストを実施してください。ネットワークへのアクセスに悪用される可能性のある脆弱性を検出できます。発見した問題を修正して、ランサムウェアから保護し、潜在的な攻撃を防いでください。
-
ルーターとポートの設定を構成する
設定が不適切なルーターは攻撃経路として悪用される可能性があります。サイバー犯罪者は、悪用できる開放ポートがないか、ネットワークを絶えずスキャンしているためです。未使用のポートへのアクセスをブロックし、標準のポート番号を独自の番号に変更すると、ランサムウェアから身を守るのに役立ちます。
組織内のユーザーにインターネットアクセスを提供するルーターでは、URLフィルタリングや広告ブロックを設定することもできます。最新のソフトウェアでは、既知の悪意のあるサイトをコンテンツフィルターに自動的に追加して、URLフィルタリングシステムを最新の状態に保つことができます。.
-
基本的および高度な保護技術の導入
ランサムウェアの亜種の多くはよく知られており、基本的なセキュリティツールを使用して検出できます。ただし、新しい種類のマルウェアが定期的に発見され、既存の亜種もますます巧妙化しているため、高度なセキュリティソフトウェアも導入する必要があります。
以下のリストには、ランサムウェア攻撃から身を守るために使用できる、さまざまな保護技術が含まれています。
- ファイアウォールによる保護。 サイバー侵害に対する最初の防御線です。Webアプリケーションファイアウォールは、Webサービスとの間で送受信されるHTTPトラフィックを監視およびフィルタリングします。また、ルーターのファイアウォールを設定して、ランサムウェアの侵入リスクを軽減することもできます。
- ウイルス対策ソフトウェア。 WindowsまたはmacOSで悪意のある動作が検出された場合、ウイルス対策ソフトウェアは疑わしいファイルを直ちにブロックし、通知します。新しいバージョンのランサムウェアを識別できるよう、ウイルス対策ソフトウェアを常に最新の状態に保ってください。一部のウイルス対策ソリューションは、vShieldおよびvSphereと統合して、ESXiホスト上で実行中の仮想マシン(VM)をVMware仮想マシンの保護できます。
- エンドポイントの検出と対応(EDR)。 最新のEDRソリューションは、リアルタイムの脅威インテリジェンスと分析を実施し、侵害の前および発生中にランサムウェア攻撃から保護します。対応および緩和のプロセスを自動化して、被害を可能な限り最小限に抑えることができます。
- 電子メールのセキュリティ。 電子メールサーバーでスパム対策フィルターとマルウェア対策フィルターを適切に設定すると、有害なリンクやファイル添付を含む電子メールメッセージがユーザーに届くのを防止できます(少なくとも、その可能性を大幅に低減できます)。攻撃者は通常、悪意のあるWebサイトへのリンクを共有したり、マクロを含むWordやExcelの文書を添付したりして、ランサムウェアに感染させます。
GoogleやMicrosoftなど、信頼できるベンダーのデータベースを使用して、フィルターの設定を定期的に更新する必要があります。セキュリティポリシーに応じて、マルウェア対策フィルターとスパム対策フィルターを設定し、警告メッセージを表示したり、ユーザーに届く前にメッセージを削除したりできます。
- サンドボックス。 サンドボックスを使用すると、並列ネットワーク上の隔離された環境でコードやリンクを分析できるため、セキュリティをさらに強化できます。疑わしいメッセージが電子メールフィルターを通過した場合は、ネットワークに届く前に検査およびテストできます。
- 侵入検知システム(IDS)。 IDSは、ネットワークやシステムを監視し、悪意のある活動やポリシー違反を検知する高度なツールです。脅威が検出されると、侵入検知システム(IDS)は自動的にセキュリティ管理者にレポートを送信し、管理者が必要な措置を講じてランサムウェアからシステムを守ることができるようにします。
- デセプション技術。 他の手段がすべて失敗した場合でも、デセプション技術を活用すれば、データの盗難や暗号化を防ぐことができます。この技術を使用することで、実際のデータやサーバーを模倣したおとりを作成し、サイバー犯罪者に攻撃が成功したと錯覚させることができます。これにより、損害やデータ損失が発生する前に、脅威を迅速に検知することも可能です。
- IT監視ツール。 リアルタイム ITインフラの監視 ネットワークのパフォーマンスに基づいて、侵害を迅速に特定することができます。 不審なプロセッサ負荷、異常なディスクアクティビティ、および大量のストレージ消費は、ランサムウェア感染の明らかな兆候です。
ネットワーク上で不審な動作を検出した場合に備え、ハニーポット(またはトラップ)の設定を検討してください。ハニーポット(またはトラッピング)は、異常な活動を捕捉するために使用される技術です。これは、サーバー上の非標準的な場所に保存された一連の特別なファイルです。これらのファイルにアクセスされた場合、通常の運用では起こり得ないことであるため、システム管理者に通知されます。
-
ゼロトラストセキュリティによる権限の制限
その名前が示す通り、ゼロトラストモデルとは、ネットワークへの接続を試みる内部・外部を問わず、あらゆるユーザーを信頼できず、潜在的な脅威であると見なすべきであることを意味します。 徹底的な検証と認証プロセスを経て初めて、アクセスが許可されます。このアプローチにより、不正アクセスを排除し、ランサムウェアや情報漏洩からシステムを保護します。
セキュリティポリシーをさらに強化するには、”最小権限の原則”に基づき、ユーザーが業務を遂行するために具体的に必要な権限のみを付与する必要があります。 たとえば、一般ユーザーには管理者権限を与えてはなりません。機密データを含むバックアップリポジトリにアクセスするには、専用のアカウントを作成する必要がある点に留意することが重要です。
-
セキュリティパッチをインストールし、システムを最新の状態に保つ
オペレーティングシステムやアプリケーションのセキュリティパッチを適時にインストールすることで、攻撃者に悪用される可能性のあるセキュリティ上の隙間や脆弱性を軽減できます。 パッチ管理プログラムを導入し、可能な限り自動更新を有効にすることをお勧めします。
-
対応計画を策定する
ランサムウェア攻撃に成功された場合に備え、すべての組織が対応計画を準備しておくことが不可欠です。 事業継続および災害復旧(BCDR)計画 はランサムウェアを防ぐものではありませんが、ダウンタイムを短縮し、失われたデータを迅速に復旧するのに役立ちます。
侵害発生後にチームが実行すべき一連の行動を明確に定義しておいてください。これらのタスクには以下が含まれます:
- 感染したデバイスをネットワークから切り離す
- ランサムウェアおよび感染したファイルを削除する
- バックアップを使用してデータを復元する
- 可能であれば復号ツールを使用する
どのような状況であっても、身代金を支払ってはいけません！支払いは犯罪者によるさらなる攻撃の動機となり、データが確実に返還される保証はありません。
-
定期的にバックアップを実行する
万が一、ランサムウェア攻撃によってネットワークが感染した場合でも、バックアップを利用すれば、被害やダウンタイムを最小限に抑えて復旧できます。バックアップからの復旧は、破損または暗号化されたデータやワークロードを復元するための最も効果的な方法です。
以下に、円滑な復旧を確保するために従うべきベストプラクティスをいくつか示します:
- 3-2-1バックアップルール に従い、単一障害点を排除し、データの復元可能性を保証してください。
- バックアップを不変ストレージに保存する ランサムウェアによる暗号化や改ざんから保護するために。
- ネットワークから切り離されたテープやその他のデバイスに、エアギャップ化されたバックアップコピーを保管してください。
- バックアップの検証を行い、すべてのデータが復元可能であることを確認してください。
- バックアップへのアクセスおよび管理には、専用の管理者アカウントを使用してください。
まとめ
ランサムウェアは、世界中の組織にとって最も危険な脅威の一つです。幸いなことに、このブログ記事で紹介したベストプラクティスを実践することで、感染リスクを低減し、データ損失を最小限に抑え、ランサムウェアに対する最適な保護を実現できます。
万が一ネットワークが感染した場合でも、バックアップを活用して暗号化されたデータを復元できることを覚えておいてください。NAKIVO Backup & Replicationは、さまざまな環境向けに包括的な ランサムウェア対策・データ保護 を提供しています。このソリューションには、増分バックアップ、きめ細かな復旧、および ディザスタリカバリのオーケストレーション など、幅広い高度なツールが含まれています。
