MSP向けサイバーセキュリティチェックリスト：ランサムウェアや新たな脅威から守る方法

マネージド・サービス・プロバイダー(MSP)は、複数の顧客のITインフラやデータを管理しているため、サイバー攻撃の格好の標的となっています。MSPで1件のセキュリティ侵害が発生するだけで、そのMSPがサービスを提供するすべての顧客環境に波及する恐れがあります。本ブログ記事では、MSPを標的とする最も一般的なサイバーセキュリティ上の脅威について解説し、実用的なセキュリティチェックリストを紹介するとともに、プロバイダーと顧客双方のインフラを保護するための新たなベストプラクティスについて取り上げます。

BaaSおよびDRaaS向けMSPソリューション

NAKIVOのユニバーサルデータ保護ソリューションを活用して、データBaaSおよびDRaaSを提供しましょう。マルチプラットフォーム対応、ランサムウェア対策機能、および組み込みの災害復旧機能を備えています。

ソリューションをご覧ください

MSPにとってサイバーセキュリティが不可欠な理由

攻撃者がMSPを侵害した場合、多数の顧客のデータも流出する恐れがあります。サイバー犯罪者はこの利点を認識しており、MSPを極めて価値の高い標的として扱っています。たった1件の侵害に成功するだけで、一度に複数の組織へのアクセス権を獲得できるからです。強固なセキュリティ体制を構築することで、MSPはこのリスクを軽減し、自社に依存する顧客を保護することができます。

MSPが直面する一般的なサイバーセキュリティの脅威

MSPに対するサイバーセキュリティ上の脅威は、一般的に2つのカテゴリーに分類されます。1つはプロバイダーのインフラに対する標的型攻撃、もう1つは初期アクセス権を取得するために用いられる戦術です。サプライチェーン攻撃は、リモート監視・管理(RMM)やプロフェッショナルサービス自動化(PSA)プラットフォームといった集中管理型ツールを侵害したり、正規のソフトウェア更新プログラムに悪意のあるコードを混入させたりすることに焦点を当てています。アクセスベースの戦術は、フィッシングやソーシャルエンジニアリング、あるいは脆弱な認証の悪用を通じて認証情報を盗み出すことに依存しています。

ランサムウェアおよび二重恐喝攻撃

ランサムウェアは、MSPにとって最も深刻なサイバーセキュリティ上の脅威の一つです。最も被害の大きい亜種は、”二重恐喝”の手口を用います。攻撃者はまずMSPの環境からデータを盗み出し、その後、そのデータを暗号化します。被害者は、盗まれたデータを公開または販売するという脅迫を背景に、身代金の支払いを要求されることになります。

その影響は2つあります。暗号化されたデータに起因するシステムのダウンタイムと、データが外部に漏洩するリスクです。

サービスとしてのランサムウェア (RaaS)は参入障壁を下げ、高度な技術的スキルがなくても、より多くの攻撃者がこうした攻撃キャンペーンを展開できるようにする。

フィッシングとソーシャルエンジニアリング

MSPは、複数のクライアント環境へのアクセスを可能にする、非常に高い権限を持つ認証情報を保有しています。これらの認証情報を盗み出せば、サイバー犯罪者はクライアントのデータに直接アクセスできるようになります。フィッシングやソーシャルエンジニアリングは、個々のユーザーや組織だけでなく、MSPからも認証情報を取得するために用いられる主要な手口の一つです。フィッシングはなりすましを悪用し、電子通信を利用してMSPの従業員を騙し、ログイン認証情報を明かさせる手口です。電子メールは依然として主要な フィッシング攻撃 ベクターは、偽のメール、偽のウェブサイト、悪意のあるリンクといったソーシャルエンジニアリングの手法と組み合わされることがよくあります。

セキュリティ侵害を受けたリモートアクセスツール

RMMプラットフォームなどのリモートアクセスツールは、サプライチェーン攻撃の主要な標的となっています。これらのツールは複数のクライアント環境を一元的に管理できるため、1つが侵害されると、攻撃者はMSPが管理するすべての組織へのアクセス権を得てしまう可能性があります。攻撃者の戦略は、MSPの管理プラットフォームをマルウェアの配布経路に変えることにあります。

RMMプラットフォーム以外にも、攻撃者は関連する攻撃ベクトルを通じて認証情報を入手し、VPNゲートウェイ、リモートデスクトップサービス、バックアップシステムを標的にする場合もあります。RMMプラットフォームにおけるゼロデイ脆弱性やパッチが適用されていない欠陥は、すべてのクライアントに同時に影響を及ぼす可能性があるため、特に危険です。

内部からの脅威と設定ミス

内部脅威とは、現従業員や元従業員、契約業者、パートナーなど、正当なアクセス権を持つ個人がセキュリティ侵害に関与した場合に発生します。こうした内部関係者は、外部の攻撃者のために意図的に行動する場合もあれば、不注意やミスによって過失的にセキュリティを侵害してしまう場合もあります。設定ミスは、攻撃者が悪用しうるシステム設定上の誤りです。これら2つの攻撃経路が組み合わさることで、攻撃者は境界防御を迂回し、MSPのインフラストラクチャや顧客環境に侵入することが可能になります。

例えば、不注意な内部関係者が、二要素認証コードを盗み出す巧妙なフィッシング攻撃に引っかかってしまう可能性があります。また、暗号化されていない通信経路で認証情報を送信してしまうといった管理上のミスも、アクセス権の漏洩につながる恐れがあります。

設定ミスはさまざまな形で現れます。たとえば、テスト後にファイアウォールのポートが開いたままになっている場合や、リソース(例えば AWS S3 クライアントデータやバックアップが保存されるバケット。

MSP向けサイバーセキュリティ必須チェックリスト

以下のチェックリストは、セキュリティ侵害やデータ損失のリスクを軽減するための主要な対策をまとめたものです。これらの保護策に投資する費用は、セキュリティ侵害やそれに伴う二次的な影響からの復旧にかかる費用に比べ、はるかに低コストです。

ネットワークへのアクセスを制限および管理する

ファイアウォールとネットワークのセグメンテーションを活用し、内部ネットワークへのアクセスを制限するとともに、ホストが侵害された場合にマルウェアの拡散を封じ込めます。その目的は、横方向の移動を制限し、1台のサーバーやワークステーションが侵害されたとしても、攻撃者がMSP環境全体に自由にアクセスできないようにすることです。

最小権限の原則を適用する:特定のタスクを実行するために必要なアクセス権のみを付与する。使用 ロールベースのアクセス制御 権限を職務役割に割り当てる。ネットワーク上の場所にかかわらず、アクセスを許可する前にすべてのユーザーとデバイスの認証を義務付けるゼロトラストアーキテクチャの導入を検討してください。ゲートウェイを使用してワークステーションを環境の他の部分から隔離し、通常の運用に必要なIPアドレスとポートのみに接続を制限してください。

インフラの強化と監視

ハードニングは、脆弱性を最小限に抑え、システムを安全な基準に準拠して設定することで、攻撃対象領域を縮小します。継続的な監視と組み合わせることで、侵入を早期に検知するのに役立ちます。主な対策には以下が含まれます:

• セキュリティ更新プログラムを速やかにインストールして、脆弱性を修正してください。
• 不要なアカウントやサービスを削除してください。
• デフォルト設定のセキュリティ確保。
• 有効にする 多要素認証 (MFA)。
• インフラの監視を行う 異常を検知し、速やかに対応するため。

安全なリモート管理ツール

RMMおよびPSAプラットフォームは、あらゆるクライアント環境の要であり、サプライチェーン攻撃の主要な標的となっています。これらのツールのセキュリティを確保することは不可欠です:

• 堅牢なアクセス制御とIDのセキュリティ強化を実施する。
• プロアクティブな監視を活用して、管理および自動化プラットフォームを保護する。
• RMMおよびPSAツール用のセキュリティパッチは、公開され次第、速やかに適用してください。
• 管理サーバーをネットワークの他の部分から隔離してください。
• 特に機密性の高いRMM機能について、手順および自動化に関する安全対策を再確認する。

エンドポイントおよびユーザーのセキュリティを強化する

エンドポイントセキュリティとユーザーセキュリティは、2層防御として連携して機能します。攻撃者は、MSP環境への侵入経路として、エンドユーザーやそのデバイスを標的とすることがよくあります:

• マルウェアの兆候となる不審な活動を特定するための行動監視など、高度な脅威検知機能を備えたエンドポイント保護を導入します。
• セキュリティ更新プログラムが一貫して適用されるよう、自動パッチ管理を設定します。
• データ盗難のリスクを軽減するため、暗号化の有効化をご検討ください。
• 定期的なセキュリティ意識向上研修を実施し、最新のサイバー攻撃の手口や、攻撃を未然に防ぎ、報告するために必要な対応について、ユーザーに周知徹底する。
• ログイン、権限の昇格、ファイルへのアクセスなどのアクセスイベントをログに記録します。

バックアップと災害復旧によるデータ保護

データセキュリティの観点から言えば、バックアップはMSPのチェックリストにおいて最も重要な要素の一つです。たとえ他のセキュリティツールがデータ損失を防ぐことに失敗したとしても、バックアップはデータ保護における最後の防衛線としての役割を果たします。

災害復旧には、より迅速な復旧を可能にするために、バックアップやレプリカを用意しておく必要があります。以下を明確に定めた災害復旧計画を作成してください。 RTOおよびRPO パラメータ。定期的に 災害復旧テスト 必要な時に迅速にデータを復旧できるよう支援するためです。信頼性の高いバックアップおよび災害復旧ソフトウェアと、検証済みのワークフローを活用することで、MSPは全体的な耐障害性を大幅に向上させることができます。

継続的な脅威の検知と対応を実施する

継続的な脅威の検知と対応により、MSPは進行中のサイバー攻撃を特定し、阻止することが可能となります。理想的には、それが複数の顧客に影響を及ぼすサプライチェーンの侵害へとエスカレートする前に阻止することが望ましいです。

攻撃者がネットワーク内で検知されずに潜伏できる時間を最小限に抑えるため、マネージド検出・対応(MDR)システムを構成します。従来の事後対応型システムでは、侵害の検知に数日あるいは数週間を要する場合がありますが、継続的な脅威検出・対応システムであれば、この時間を数分に短縮できます。以下のベンチマークを目標としてください:

• 平均検出時間(MTTD):分
• 平均対応時間(MTTR):90分未満

重大な挙動(たとえば、ファイルの暗号化やその他の破壊的な活動を示唆する可能性のある、ディスクへの集中的な書き込みなど)が検出された際に、システムが以下の対応を行えるよう、自動対応プレイブックを設定します:

• 感染したホストをネットワークから隔離する
• 侵害されたユーザーアカウントを無効にする
• ファイアウォールで悪意のあるIPアドレスをブロックする

強力なIDおよびアクセス管理を維持する

アイデンティティ(ユーザーとその認証情報)は、重要な防衛線として機能する不可欠なセキュリティ境界を形成しています。によると、 ベライゾン データ漏洩調査報告書、セキュリティ侵害の大部分は、認証情報の盗難や脆弱な認証情報に起因しています。そのため、MSPのセキュリティ戦略にID管理を組み込むことが極めて重要です。強固なIDおよびアクセス管理(IAM)は、サプライチェーン攻撃の主要な侵入経路の一つである認証情報の盗難を直接的に防ぐことができます。

• ブルートフォース攻撃や辞書攻撃のリスクを軽減するため、複雑性の要件(長さ、文字の種類、一意性)を満たす強力なパスワードを使用してください。
• IAMシステムを設定し、各ログイン試行のコンテキスト(場所、時間帯、デバイス情報)を分析し、パラメータに異常や不審な点が見られた場合にブロックルールを適用するようにします。
• ジャスト・イン・タイム(JIT)アクセスの導入を検討してください。これは、予定されたサーバーメンテナンス期間中など、特定の期間に限り、高い権限のアクセス権を付与する方式です。
• IAM を設定し、各 ID のオンボーディングから離職に至るまでのライフサイクル全体を管理するようにします。

インシデント対応計画を策定し、テストを行う

MSPを標的としたサプライチェーン攻撃において、時間は極めて重要な要素となります。ある インシデント対応計画 プレッシャーのかかる状況下でも実行できる、明確で段階的な手順を示し、混乱を体系的な行動へと導きます。これには、認証情報の盗難、ランサムウェア攻撃、RMMの侵害など、具体的なシナリオに対応した対応マニュアルが含まれるべきです。

計画では、侵害されたシステムを隔離し、攻撃者によって起動されたマルウェアの横方向への拡散を防ぐ方法を明確に定義すべきである。また、役割と手順を明確にしておくことで、インシデント発生時の混乱を解消し、ダウンタイムを短縮することができる。計画が実際に機能するかどうかは、実環境での演習を通じてのみ確認できるため、計画の検証は不可欠である。

MSPのサイバーセキュリティにおける新たなベストプラクティス

基本的なチェックリストに加え、MSPは、全体的なセキュリティ体制を強化するために、こうした新たな取り組みの導入を検討すべきです。

ゼロトラスト・アーキテクチャ

ゼロトラストアーキテクチャは、” “(決して信頼せず、常に検証する)”という原則に基づいて運用されます。” ネットワーク境界の内側か外側かを問わず、デフォルトではいかなるデバイス、ユーザー、アプリケーションも信頼されません。MSPにとって、このフレームワークはサプライチェーン攻撃のリスクを低減し、認証情報の盗難による被害を最小限に抑えます。

ゼロトラストでは、ユーザーが認証されて接続した後も、きめ細やかで継続的な検証が必要です。このアプローチにより、たとえ攻撃者がVPNの認証情報や管理者のパスワードを不正に入手したとしても、各セッションで必要な特定のリソースへのアクセスのみが制限されます。マイクロセグメンテーションと組み合わせることで、ゼロトラストは侵害発生時の横方向の移動を制限します。

AIを活用した脅威の検知と自動化

人工知能(AI)や機械学習(ML)システムは、複数の顧客環境にわたる大量のセキュリティデータを分析し、手動による処理よりも迅速に脅威に対応することができます。多様な顧客ポートフォリオを管理するMSPにとって、AIを活用したツールは、セキュリティ運用のスピード、精度、および規模を向上させます。

AIを活用した検知機能は、行動分析に重点を置いており、ゼロデイ脆弱性を悪用するものなど、これまで知られていなかった脅威の特定に役立ちます。また、これらのツールは誤検知の数を減らすため、管理者は真の脅威やその他の重要な業務に集中できるようになります。

サイバー保険とコンプライアンス対応体制

サイバー保険と規制遵守は、MSPがサイバー攻撃に伴う財務的・法的リスクを管理するのに役立ちます。たとえ予防策が失敗したとしても、保険によって復旧費用を賄うことができ、また、規制遵守の準備が整っていれば、追加の罰則を回避することができます。

サイバー保険は、データ漏洩やサイバー恐喝によるコストを軽減するために設計された金融リスク管理ツールです。補償範囲には通常、直接費用(インシデント対応費用、弁護士費用、通知費用)および事業中断による損失(収益の損失、システム復旧費用)が含まれます。

コンプライアンスの面では、MSPは次のような規制要件を満たさなければなりません。 GDPR、HIPAAおよびPCI DSS。MSPの社内システムと顧客環境の双方が、適用される規制に準拠していなければなりません。さらに、多くの顧客は契約上の コンプライアンス サービス契約の条件として、特定のセキュリティフレームワーク(SOC 2やISO 27001など)を定めること。

サプライチェーンのセキュリティとベンダーリスク管理

MSPは、自らが依存するソフトウェアおよびサービスのエコシステム全体を積極的に保護しなければなりません。MSPにとって、サプライチェーンには以下が含まれます:

• RMMおよびPSAプラットフォーム
• バックアップおよびウイルス対策ソフトウェア
• クラウドプロバイダー(AWS、Azureなど)
• 第三者ベンダーおよび下請業者

これらのコンポーネントのいずれかに脆弱性が存在すると、攻撃者がMSPやその顧客のシステムを侵害するための侵入経路となる可能性があります。新しいツールを導入する前に、MSPは以下の措置を講じる必要があります:

• ベンダーのセキュリティ体制と実績を評価する
• ソフトウェア・サプライチェーンの完全性を検証する
• ベンダーの定期的な評価を実施し、脅威インテリジェンスを監視し、撤退戦略を維持する

結論

MSPのサイバーセキュリティには、その影響がプロバイダー自身にとどまらず、その顧客基盤全体に及ぶため、継続的な注意が求められます。一般的な脅威や攻撃手法を理解することは、効果的な防御体制を構築するための第一歩です。予防措置、継続的な監視、そしてバックアップや災害復旧を備えた堅牢なデータ保護戦略を組み合わせたMSPこそが、自社のインフラと、それに依存する顧客を保護する上で最も有利な立場にあると言えます。

NAKIVOを無料で試して、BaaSとDRaaSを提供

MSP向けのNAKIVO無料トライアル版を15日間ご利用いただき、BaaS、DRaaS、その他のデータ保護サービスを提供しましょう。

無料体験版をダウンロード