ランサムウェア攻撃を防ぐ方法

ランサムウェア攻撃を防ぐ方法は、企業、政府機関、個人ユーザーにとってサイバーセキュリティの重要な課題の一つです。暗号化ウイルス、つまりランサムウェアは、ファイルやシステムへのアクセスをブロックし、その後、身代金を要求します。本記事では、感染リスクを減らし、バックアップを保護し、従業員を教育し、コンピューターを設定し、対応計画を準備する方法について説明します。目的は、単にアンチウイルスをインストールすることではなく、1つの手段の失敗が壊滅的な結果を引き起こさないようにする多層的な保護を構築することです。

ランサムウェアとは何か、そしてなぜそれが危険なのか

ランサムウェアは、コンピュータ、サーバー、またはネットワークストレージ上のファイルを暗号化するマルウェアです。その後、攻撃者は復号キーのために金銭を要求します。現代の攻撃はしばしばデータのブロックだけではなく、犯罪者はあらかじめ文書、通信、顧客データベース、会計ファイルを盗むことができ、公開の脅迫を行います。

ランサムウェアの危険性は、攻撃が複数の作業レベルに影響を与えることです：

• 従業員が文書やアプリケーションを開けない。
• 会計、CRM、ERP、メールが使用できなくなる。
• 生産、物流、販売が停止する。
• 復旧には時間、専門知識、クリーンなバックアップが必要。
• データ漏えいは法的および評判の影響を引き起こす可能性がある。

このように、ランサムウェアは必ずしも難しい技術的脆弱性を通じてネットワークに侵入するわけではありません。フィッシングメール、リモートアクセスの弱いパスワード、更新が未インストールであることが原因となることが多いです。したがって、予防策には技術的な手段、組織的ルール、定期的なチェックが組み合わされる必要があります。

ランサムウェアはどのようにシステムに侵入するか

ランサムウェアの攻撃を効果的に予防するためには、典型的な感染シナリオを理解することが重要です。攻撃のほとんどは、初期のアクセスを取得することから始まります。その後、攻撃者はネットワークを調査し、特権を昇格させ、保護を無効にし、バックアップを探し、そして暗号化を開始します。

フィッシングメールと悪意のある添付ファイル

フィッシングは依然として最も一般的な侵入手段の一つです。ユーザーは請求書、契約書、配達サービスからの通知、パートナーからのリクエスト、または上司からのメッセージのように見えるメールを受け取ります。その中には、添付ファイルや偽のウェブサイトへのリンク、実行可能ファイルの入ったアーカイブが含まれていることがあります。

特に危険なのは、マクロ付きの文書、ISO、LNK、JS、VBS、EXEフォーマットのファイル、パスワード付きのアーカイブです。メール内のパスワードがメールゲートウェイによるコンテンツ確認を妨げます。したがって、組織はこのような添付ファイルをフィルタリングし、従業員に予期しないファイルを開かないように教育する必要があります。

弱いパスワードとリモートアクセス

オープンRDP、MFAなしのVPN、同じパスワード、古いアカウントは攻撃者にとって便利な入口を提供します。攻撃者が管理者アカウントにアクセスできると、ネットワーク全体にランサムウェアを急速に広げることができます。

重要なのは、IPアドレスによるリモートアクセスを制限し、MFAを使用し、不要なポートを閉じ、権限を定期的に見直し、未使用のアカウントを無効にすることです。

ソフトウェアの脆弱性とサポートされていないシステム

未更新のオペレーティングシステム、サーバー、VPNゲートウェイ、メールソリューション、ハイパーバイザー、およびWebアプリケーションは、侵入のポイントになることが多いです。公開された脆弱性は自動化されたツールによって迅速に利用されます。パッチがリリースされているが未適用の場合、リスクは著しく増加します。

サポートが終了した古いシステムは隔離する、交換する、または追加の手段で保護する必要があります。単に古いサーバーが安全だと思うことはできません。

ハッキングされたウェブサイトとサードパーティのプロバイダー

感染は時々ハッキングされたウェブサイト、偽のアップデート、悪意のある広告、または契約者のアカウントを通じて発生します。プロバイダーがインフラストラクチャにアクセスできる場合、そのセキュリティはあなたのセキュリティの一部となります。したがって、サードパーティのアクセスを監視し、明確な契約を結び、最小限の権限を与える必要があります。

多層防御の原則

ランサムウェアからの信頼できる保護は、深層防御の原則に基づいて構築されます。これは、いくつかの独立したバリアを持つことを意味します。従業員が悪意のあるメールを開いてしまった場合でも、メールフィルタリング、EDR、権限の制限、ネットワークのセグメンテーション、バックアップが損害を軽減する必要があります。

多層防御には以下が含まれます：

• 悪意のあるコードの侵入を防ぐこと；
• 疑わしいアクティビティの迅速な検出；
• ネットワーク内部での拡散を制限；
• 修正不可能なバックアップを保持；
• 検証済みの復元計画；
• 人々の教育とプロセスの監査。

最大の誤りは、1つのツールに依存することです。アンチウイルスは重要ですが、バックアップの代わりにはなりません。バックアップは重要ですが、データ漏洩からの保護にはなりません。MFAはパスワード盗難のリスクを減らしますが、更新や権限の管理を不要にはしません。

ランサムウェア攻撃を防ぐためのステップバイステップ計画

以下は、チェックリストとして使用できる実践的な計画です。これは、小規模企業、オフィスネットワーク、リモートチーム、家庭のインフラに適しています。実施の規模は異なりますが、論理は同じです。

ステップ1. アセットインベントリを実施

知らないことを保護することはできません。デバイス、サーバー、クラウドサービス、アカウント、ネットワークストレージ、データベース、重要なアプリケーションのリストを作成してください。インターネットからアクセス可能なシステムを別にして記載してください。

最低限のインベントリには以下が含まれます：

1. デバイスまたはサービスの名称；
2. 所有者または責任者；
3. オペレーティングシステムとソフトウェアのバージョン；
4. ビジネスに対する重要度のレベル；
5. バックアップの存在；
6. リモートアクセスの方法；
7. 最後の更新日。

これにより、主要なリスクがどこにあるかを理解するのが容易になります：古いサーバー、忘れられたアカウント、オープンなRDP、またはバックアップなしのネットワークドライブ。

ステップ2. 多要素認証を有効にする

MFAは、アカウントの乗っ取りに対する最も効果的な手段の一つです。メール、VPN、クラウドパネル、管理者アカウント、重要なビジネスアプリケーションに対して有効にしてください。

認証アプリ、ハードウェアトークン、または追加の確認が必要なプッシュ確認を使用するのがベストです。SMSはMFAの不在よりは良いですが、いくつかの攻撃に対しては耐性が低くなります。管理者に対しては、より厳しい方法を適用することが望ましいです。

ステップ3. ユーザーの権限を制限

ユーザーは管理者アカウントで作業すべきではありません。ハッキングされたアカウントの権限が少ないほど、攻撃者が保護を無効にし、ネットワークリソースを暗号化し、さらに広がることが難しくなります。

最小特権の原則を適用してください：

• 特定のタスクに対してのみ権限を付与；
• 定期的にアクセス権を見直す；
• 通常のアカウントと管理者アカウントを分ける；
• 不要なところではローカル管理者を無効にする；
• 複数のデバイスで共有パスワードを使用しない；
• 雇用者のアカウントはすぐに削除する。

ステップ4. 3-2-1バックアップルールを設定

バックアップは、予防策が機能しなかった場合の最後の防御手段です。3-2-1ルールは、最低3つのデータコピーを異なるタイプのメディアに保存し、1つのコピーをメインインフラストラクチャ外に保持することを意味します。ランサムウェアからの保護には、オフラインコピーまたは変更不可能なストレージが特に重要です。

バックアップの存在だけでなく、復元の可能性も確認してください。誰もテストしたことのないバックアップは、攻撃の日に役に立たないかもしれません。

ステップ5. システムを更新し、脆弱性を解消

定期的な更新のプロセスを作成します。優先するべきは、インターネットからアクセス可能なシステムです：VPN、メールサーバー、Webサーバー、リモートアクセスゲートウェイ、ハイパーバイザー、および管理パネル。

ビジネスにとって、更新および重要なパッチのインストール期限を記録することが有用です。システムをすぐに更新できない場合は、一時的な対策を講じてください：脆弱な機能を無効にする、IPによるアクセスを制限する、サーバーを隔離する、または追加の監視を有効にします。

ステップ6. メールとWebトラフィックを保護

メールゲートウェイは、添付ファイル、リンク、送信者のドメインをチェックする必要があります。企業のメールに対しては、ドメインの偽造リスクを減らすためにSPF、DKIM、およびDMARCを設定してください。業務に必要ない危険なファイルタイプをブロックします。

Webトラフィックには、DNSフィルタリング、悪意のあるドメインからの保護、および実行ファイルのダウンロード制限を使用します。すべての問題を解決するわけではありませんが、偶発的な感染の数を減らすことができます。

ステップ7. EDRまたは現代的なエンドポイント保護を導入

通常のアンチウイルスは、ファイルをシグネチャと行動で確認します。EDRはさらにプロセス、起動チェーン、ネットワーク接続、大規模なファイル変更の試み、クレデンシャルに関する操作を監視します。これは組織にとって重要な保護層です。

解決策を選択する際には製品名だけでなく、対応プロセスにも注意してください。誰がアラートを受信しますか？誰が夜間や週末にインシデントを分析しますか？感染したコンピュータをネットワークから隔離するのにどれくらいの時間がかかりますか？

ステップ8. ネットワークをセグメント化

すべてのデバイスが同じフラットネットワークにある場合、ランサムウェアが広がりやすくなります。インフラストラクチャを分けてください：ワークステーション、サーバー、会計部門、生産、ゲスト用Wi-Fi、カメラ、テスト環境、管理。

セグメント間にはアクセスルールが必要です。たとえば、マネージャーのワークステーションは、ハイパーバイザーやドメインコントローラーへの直接アクセスを必要としません。無駄な接続が少ないほど、攻撃エリアが小さくなります。

ステップ9. 反応計画を準備

反応計画は、攻撃前に必要であり、パニック時ではありません。そこには責任者の連絡先、デバイスの隔離手順、重要なシステムのリスト、コミュニケーションルール、バックアップからの復元シナリオが含まれるべきです。

良い計画は次の質問に答えなければなりません：

• ネットワークセグメントを切り離す決定を誰が下しますか；
• 企業メールが使用できない場合、チームにどのように連絡しますか；
• バックアップと緊急アクセスのパスワードはどこに保存されていますか；
• 誰が経営陣、弁護士、顧客、規制当局に通知しますか；
• 最初に復元されるシステムはどれですか；
• 調査のために証拠をどのように記録しますか。

主要な保護手段の比較

この表は優先順位を付けるのに役立ちます。統合的な対策を取ることが望ましいですが、リソースに制限がある場合、最も重要なもので始めましょう：バックアップ、MFA、更新、権限の制限、およびメールの保護。

保護手段	防ぐもの	導入の難易度	確認すべきこと
3-2-1バックアップ	暗号化後のデータ損失	中程度	オフラインまたは変更不可のコピーがあるか、復元がテストされているか
メール、VPN、および管理者のMFA	アカウントの乗っ取り	低または中程度	古いプロトコルやサービスアカウントの例外がないか
定期的な更新	既知の脆弱性の悪用	中程度	公開サービスの優先パッチがかかっているか
権限の制限	マス拡散と保護の無効化	中程度	ユーザーは管理者権限なしで動作しているか
メールフィルタリング	フィッシングおよび悪意のある添付ファイル	低または中程度	危険なファイルタイプやリンクがブロックされているか
EDRと監視	攻撃者の隠れた活動	中程度または高い	警告を分析する責任者がいるか
ネットワークのセグメンテーション	インフラ内での迅速な拡散	中程度または高い	セグメント間の不必要な接続が禁止されているか
従業員の教育	メールやファイルの取り扱いのミス	低	定期的なトレーニングや事例の検討が行われているか

バックアップをランサムウェアから保護する方法

多くのランサムウェアは、最初にバックアップを探して破壊します。したがって、単に外部ドライブやネットワークストレージを接続するだけでは不十分です。感染したコンピュータからバックアップに書き込み可能であれば、それも暗号化される可能性があります。

変更不可能でオフラインのコピーを使用

変更不可能なストレージは、指定された期間中にコピーを変更または削除することを許可しません。オフラインコピーは物理的または論理的に主要ネットワークから切り離されています。どちらのアプローチも、アカウントが侵害された場合でもデータを保持するのに役立ちます。

実用的な選択肢：

• コピー中にのみ接続される外部ドライブ；
• バージョニングと削除ロックがあるクラウドストレージ；
• 対応しているストレージでのWORMモードまたはオブジェクトロック；
• 隔離されたセグメント内の別のバックアップサーバー；
• 対話的ログイン権限のないバックアッカウント。

データとバックアップへのアクセスを分離

ドメイン管理者アカウントは自動的にバックアップへの完全なアクセス権を持つべきではありません。一つのパスワードがすべてのドアを開ける場合、攻撃はすぐに重大なものになります。別のアカウント、異なるパスワード、MFA、ログ動作の記録を使用してください。

バックアップシステムの設定や復元手順を別に保存することも役立ちます。危機的な状況では、チームはコピーの所在と通常のドキュメントへのアクセスなしにサービスを復元する方法を知る必要があります。

復元をテストする

復元の確認は定期的に行う必要があります。テストは簡単です：毎月数ファイルを復元し、四半期ごとに隔離環境で重要なサーバーを復元します。ビジネスにとって、RPO（許容可能なデータ損失時間）およびRTO（復旧時間）を知ることが重要です。RPOは、どれだけのデータを時間に対して失うことができるかを示します。RTOは、サービスをどれくらいの速さで復元する必要があるかを示します。

会社がこれらの指標を知らない場合、攻撃の影響を現実的に評価し、コピーのスケジュールを適切に設定することはできません。

ワークステーションとサーバーの設定

攻撃の大部分は通常のコンピュータや脆弱なサーバーから始まります。したがって、エンドポイントの基本的な清潔さは重要な役割を果たします。

ワークコンピュータで何をするべきか

ワークステーションには標準の保護プロファイルを適用します：

• 外部メディアからのオートランを無効にする；
• インターネットからのマクロの実行を禁止する（必要ない場合）；
• エクスプローラでファイルの拡張子を表示する；
• 一時フォルダーやユーザープロファイルからプログラムを実行することを制限する；
• 可能であればアプリケーションコントロールを使用する；
• ローカルファイアウォールを有効にする；
• ノートブックのディスクを暗号化する；
• スクリーンを自動的にロックする；
• 不要なソフトウェアやブラウザ拡張を削除する。

特に外部文書を大量に扱うユーザーに特別な注意を払います：会計部門、営業部、HR、調達、および秘書室です。彼らは新しい送信者からの添付ファイルを受け取ることが多いです。

サーバーで何をするべきか

サーバーは最小限にするべきです。不要なサービスが少ないほど、リスクも少なくなります。役割を分けてください：ドメインコントローラー、ファイルサーバー、データベース、Webサーバー、バックアップシステムは、必要がない限り、1台のマシンで併用しないでください。

サーバーにとって重要なことは：

• 未使用のサービスやポートを無効にする；
• 別のサブネットやVPNで管理を制限する；
• ログインと変更の記録を有効にする；
• 可能な限り強力なパスワードとMFAを使用する；
• 管理者グループを監視する；
• OSとアプリケーションを適時更新する；
• シークレットをスクリプトやテキストファイルではなく、安全なストレージに保存する。

アカウントとパスワードの保護

認証情報の侵害は、ファイルの感染よりも危険です。パスワードを手に入れた攻撃者は、正当なユーザーとして動作し、防御システムの一部を回避することができます。

複雑さのないパスワードポリシー

パスワードは長くてユニークであるべきです。短い複雑な組み合わせを思いつかせて紙にメモさせるよりも、パスフレーズとパスワードマネージャーを使用する方が良いです。各サービスには別々のパスワードが必要です。

推奨事項：

• 最小長が不必要な複雑さよりも重要；
• 企業のパスワードを個人サービスで再利用することを禁止する；
• パスワードが既知の漏洩に含まれているか確認する；
• メッセンジャーやメールでパスワードを送信しない；
• チームのためにパスワードマネージャーを使用する；
• 複製の疑いがある場合は、すぐにパスワードを変更する。

特権アカウント

管理者アカウントは別途管理が必要です。日常業務と管理用に別のアカウントを使用します。管理者アカウントでメールやWebサイトを開かないでください。管理者のログインは必要なシステムのみに制限します。

成熟したインフラストラクチャには、一時的に特権を付与し、セッションを記録し、継続的な過剰権のリスクを減らすPAMソリューションが役立ちます。

フォーマルに頼らない従業員の教育

人々は弱点ではなく、保護システムの一部です。しかし、教育は実用的であるべきです。年に一度の長いプレゼンテーションは行動を変えることはめったにありません。短い定期的なセッションを行い、実際のメールの例を示し、どこに疑わしいことを報告するかを説明するのが良いです。

従業員はフィッシングの兆候を認識できるべきです：

• 緊急性と恐怖による圧力；
• 予期しないファイルを開くように依頼される；
• 奇妙な送信者のアドレス；
• 類似しているが異なるドメインへのリンク；
• メールからアクセスした後にパスワードを入力するように求められる；
• パスワード付きのアーカイブ；
• 上司やパートナーからの奇妙なリクエスト。

重要なのは、失敗を報告することを恐れる文化を築くことです。従業員が疑わしいファイルを開いてしまった場合、IT部門への迅速な電話がネットワーク全体を救うかもしれません。罰や恥は、むしろ人々を黙らせます。

監視と早期発見

予防は重要ですが、一部の攻撃が最初のバリアを通過する準備ができていることを覚えておく必要があります。早期発見は損害を軽減します。暗号化の準備を示唆する兆候に注目してください。

可能性のある攻撃の兆候

疑わしい信号：

• ファイルの大量の名前変更や変更；
• ファイルアクセスエラーの急激な増加；
• 異常な時間または異常な国からのログイン；
• 新しい管理者アカウントの作成；
• アンチウイルスまたはログの無効化；
• 合意なしにリモート管理ツールを起動；
• ユーザーコンピュータからのネットワークスキャン；
• 異常なアカウントからのバックアップへのアクセス試み。

少なくとも重要なシステムのために、ログを集中管理する設定を行ってください：ドメインコントローラー、VPN、メール、EDR、バックアップサーバー、ファイルストレージ。独自の監視チームがない場合は、外部SOCやMSSPのサービスを検討してください。

感染の最初の兆候があった場合の対処法

もしランサムウェアの兆候を見たら、全てを混乱に陥れてシャットダウンしないでください。場合によっては急なシャットダウンが調査を複雑にすることがありますが、遅延も危険です。計画に従って行動してください：

1. 疑わしいデバイスをネットワークから隔離します：ケーブル、Wi-Fiを切るか、ポートをブロックしてください。
2. 主要なデータを記録するまで、ファイルを削除したり、システムを再インストールしたりしないでください。
3. ITおよびセキュリティの責任者に知らせます。
4. ハッキングされたアカウントをブロックします。
5. 隣接デバイスとネットワークリソースを確認します。
6. 拡散を止めます：必要に応じて共有フォルダやセグメントを無効にします。
7. 分析のためにログと悪意のあるファイルのサンプルを保存します。
8. クリーンで検証済みのバックアップからのみシステムを復元します。

身代金を払う必要がありますか？

支払いがデータの復元を保証するわけではありません。攻撃者はキーを送らないことがあり、動作しないツールを送ったり、再度組織を攻撃することがあります。さらに、支払いは犯罪経済を支え、法的リスクがある場合もあります。

今後の行動は、経営陣、法律家、安全専門家、必要に応じて法執行機関を交えて判断されるべきです。しかし、最良の戦略は、身代金だけが唯一の選択肢とならないよう事前に準備することです。そのためには、信頼できるバックアップ、復元計画、データ漏えいの最小化が必要です。

小規模ビジネスの保護の特性

小規模ビジネスは、大規模なITチームがないことが多いですが、主要な対策は依然として利用可能です。シンプルで測定可能なセットから始めましょう：

• メール、銀行、CRM、クラウド、リモートアクセス用にMFAを有効にする；
• 別の保護されたコピーを持つ自動バックアップを設定する；
• 信頼できるエンドポイント保護を購入または設定する；
• コンピュータ、ルーター、NAS、およびサーバーを更新する；
• 日常のタスクには管理者として作業しないようにする；
• 従業員にメールや添付ファイルを確認させる；
• インシデント時の連絡先リストを保持する；
• 共有フォルダにアクセスできる人を確認する。

内部管理者がいない場合は、信頼できる契約者を引き入れて監査を行うとよいでしょう。プログラムを単にインストールするだけでなく、バックアップが復元されること、MFAが実際に有効であること、遠隔アクセスがインターネット全体に向けて開かれていないことを確認することが重要です。

家庭ユーザーの保護の特性

家庭のユーザーもランサムウェアに直面しています。リスクは、海賊版ソフトウェア、クラック、疑わしいダウンロード、更新がオフになっていること、バックアップがないことで高まります。

家庭での実用的な対策：

• 正規のソフトウェアを使用し、公式ウェブサイトからプログラムをダウンロードする；
• Windows、macOS、ブラウザ、およびアプリの自動更新を有効にする；
• 重要な写真や文書のコピーをバージョニングのあるクラウドに保存する；
• 定期的に外部ドライブにオフラインコピーを作成する；
• 理由もなくシステムの内蔵保護を無効にしない；
• 疑わしい添付ファイルを開かない；
• メールのためにパスワードマネージャーおよびMFAを使用する；
• 日常業務のために管理者権限のない別のアカウントを作成する。

家族には、基本的なルールを子供や高齢の親に説明することが有益です。ダウンロードされたファイルは、共有フォルダ、接続されたドライブ、そして家族のアーカイブを暗号化する可能性があります。

ランサムウェアからの保護における一般的な間違い

良い意図を持つ組織でも間違いを犯します。その中には小さなものでも、リスクを大きく高めることがあります。

一つのバックアップが常にネットワークに接続されている

ディスクやネットワークストレージが常に書き込み可能な場合、ランサムウェアはそれにアクセスできます。通常のネットワークから変更できない別のコピーが必要です。

MFAがすべての場所で有効になっていない

MFAは時々、経営陣には有効にされるが、管理者、VPN、古いメールプロトコルまたはサービスアカウントが忘れられることがあります。攻撃者はまさにその例外を狙います。

すべてのユーザーが過剰な権限を持っている

従業員がすべての共有フォルダにアクセスできる場合、彼らのコンピュータの感染が複数の部門のデータを損なう可能性があります。権限は役割に見合ったものでなければなりません。

復元の確認が行われていない

バックアップは不完全であったり、損傷している可能性や古すぎる場合があります。定期的な復元テストは、保護の必須要素であり、オプションではありません。

恐怖からインシデントが隠されている

従業員が罰を恐れる場合、彼らは疑わしい行動を遅れて報告します。これにより、攻撃者に時間を与えます。迅速な報告を奨励し、公共の圧力なしに誤りを検討する方が良いです。

FAQ：よくある質問に対する回答

コンピュータがランサムウェアに感染しているかどうかの判断方法

典型的な兆候は、ファイルが開けなくなった、新しい拡張子が表示された、デスクトップやフォルダーに身代金の要求が書かれたメモがある、コンピュータが異常に遅い、アンチウイルスが大量のファイル変更を報告していることです。疑わしい場合は、ただちにデバイスをネットワークから隔離し、専門家に相談してください。

アンチウイルスはランサムウェアの攻撃を完全に防げるか？

いいえ。現代のエンドポイント保護は重要ですが、絶対的な保証を提供しません。バックアップ、MFA、更新、権限制限、メールフィルタリング、ネットワークのセグメンテーション、反応計画が必要です。

どのくらいの頻度でバックアップを行うべきか？

頻度は、どれだけのデータを失う覚悟があるかによります。1日のデータ損失が致命的な場合、バックアップは1日に1回以上必要です。重要なデータベースでは、1日に数回のバックアップやほぼ継続的なレプリケーションが求められることもあります。重要なのは、少なくともランサムウェアの手の届かないところに保護されたコピーを保持することです。

クラウドはランサムウェアから保護するか？

クラウドは、バージョニング、MFA、権限制限、削除からの保護が有効な場合は役立ちます。しかし、同期は完全なバックアップとは見なされません。暗号化されたファイルがクラウドに同期される場合、バージョンもゴミ箱もないと、クリーンなコピーを失う可能性があります。

ランサムウェアがすでにファイルを暗号化している場合、どうすればよいか？

感染したデバイスをネットワークから切り離し、すぐにお金を支払ったり、インターネットからのランダムな復号ツールを実行したりしないでください。恐喝者のメモとファイルのサンプルを保存し、専門家に相談し、バックアップの有無を確認し、クリーンな環境で復元します。また、パスワードを変更し、データ漏洩がないか確認してください。

攻撃の際にインターネットを切断する必要があるか？

時には、外部アクセスや特定のネットワークセグメントを一時的に切断することで、拡散を止めることができます。しかし、事前に準備した計画に従って行動する方が良いです。感染したデバイスを隔離し、ログを保存し、インシデントの尺度を理解するための証拠を壊さないことが重要です。

7日間の迅速なリスク削減のための最小限のチェックリスト

迅速にリスクを減らす必要がある場合は、短い計画から始めましょう。これは完全なセキュリティプログラムの代わりにはなりませんが、迅速な効果をもたらします。

1. 重要なデータのバックアップがあるか、少なくとも1つのファイルを復元できるか 확인してください。
2. 最も重要なデータのオフラインまたは変更不可能なコピーを作成します。
3. メール、VPN、クラウドサービス、管理者にMFAを有効にしてください。
4. オープンなRDPやインターネット上のその他の不要なサービスを閉じます。
5. 公共のシステムとワークステーションにクリティカルな更新を適用します。
6. 通常のユーザーからローカル管理者の権限を取り除きます。
7. 誰が共有フォルダやバックアップにアクセスできるか確認します。
8. メールの危険な添付ファイルをフィルタリングする設定を行います。
9. フィッシングを認識して報告する方法に関する短いトレーニングを行います。
10. 感染時の行動規則と連絡先を記録します。

攻撃への準備状態を評価する方法

有益な質問は、『明日の朝、サーバーの半数が暗号化されることが起こったらどうなるか？』です。答えが不明確であれば、準備が改善を要します。テーブルトレーニングを実施してください。IT部門、経営者、法律家、主要プロセスの所有者を集めて、シナリオを実施してください。実際のシステムの停止なしで行います。

チェックすべきこと：

• 誰が攻撃を発見し、どのくらいの速さで；
• 最初に停止されるサービスはどれか；
• どのデータが最初に復元されるか；
• ファイルサーバーが使用できない場合、指示はどこにあるか；
• 復元のためのクリーンなアカウントはあるか；
• 最低限動作するインフラを起動するのにどれくらいの時間がかかるか；
• 従業員やクライアントとのコミュニケーションはどのように行われるか。

このようなエクササイズは、単純ながら重要なギャップを見つけることが多いです：バックアップ通信の代替チャンネルがない、緊急アクセスのパスワードが暗号化されたシステムにしか保存されていない、バックアップの責任者が休暇中で復元手続きを誰も知らない。

結論

ランサムウェア攻撃を完全に防ぐことは不可能ですが、感染の可能性を大幅に減らし、迅速に回復する準備をすることはできます。インベントリ、MFA、更新、権限の制限、および保護されたバックアップから始めましょう。その後、メールフィルタリング、EDR、ネットワークセグメンテーション、監視、定期的な教育を追加します。遅れずにください：チェックリストから3つの対策を選び、責任者を指名して、来週中に実行してください。