侵入後のランサムウェア感染をブロック

　法人組織内にランサムウェアが侵入してしまった場合、エンドユーザーの端末に感染しようとするランサムウェアの活動をブロックしなければなりません。

対策ポイント3：特徴的な動きを検知してブロック

　ランサムウェアは、暗号鍵をはじめデータを暗号化する際に使用する情報を外部の不正なサーバ（C＆Cサーバ）からダウンロードしたり、複数のデータを次々に暗号化したりといった活動をします。ランサムウェアの感染を防ぐには、こうした特徴的な挙動を検知してブロックする対策が有効です。具体的には次のような対策が挙げられます。

• 暗号化する際に使用する情報のダウンロードをブロック
  • ランサムウェアとC＆Cサーバとの通信をブロックし、暗号化する際に使用する情報のダウンロードを阻止する。こうすれば、暗号化に使用する情報が入手できないため、ランサムウェアはデータを暗号化できなくなる場合がある
• セキュリティソフトの設定を再確認
  • 法人組織では一般的に、端末に何かしらのセキュリティソフトウェアを導入している。セキュリティソフトウェアの中には、ランサムウェア特有の暗号化の動きを発見する機能を搭載するものもある。自組織が利用しているセキュリティソフトウェアの設定を確認し、そうした機能を有効化することが重要

ランサムウェアの被害を最小化

　万が一エンドユーザーの端末がランサムウェアに感染してしまった場合、ランサムウェアの被害を最小化しなければなりません。感染後のランサムウェアの動きと、有効な対策を見ていきましょう。

対策ポイント4：ネットワークでのデータ暗号化を早期発見

　法人組織内の端末が1台でもランサムウェアに感染すると、感染した端末内のデータだけでなく、ネットワーク内に保存されている共有データも暗号化され、被害が深刻化してしまいます。ランサムウェア感染後に組織内のデータを守るためには、ランサムウェアの活動を検知して、迅速に感染端末を特定することが重要です。

• ランサムウェアの特徴的な活動を早期に検知
  • ランサムウェアがネットワーク内のデータを暗号化する際、データ量によっては数時間を要する場合がある。ランサムウェアの活動を基に感染端末を特定すれば、ネットワーク内に被害が拡大するのを食い止めることが可能

対策ポイント5：横展開を防止

　ランサムウェアを利用する攻撃者の手口は凶悪化しています。標的型攻撃でよく見られるように、端末に感染後、組織内のサーバなどを攻撃して次から次へと感染を広げる横展開を図る手口が確認されています。ランサムウェアの横展開を防止し、被害を極小化する対策の検討が必要です。

• ランサムウェアの感染拡大をサーバ対策でブロック
  • サーバで動くアプリケーションなどの脆弱性を狙って攻撃を仕掛けてくる手口に対しては、サーバ対策を実施し、堅牢化することでランサムウェアの横展開をブロック可能

対策ポイント6：バックアップデータからの復旧

　ランサムウェアによって暗号化されたデータを復号することは著しく困難です。組織内のデータを暗号化され、業務が停止してしまうという最悪のシナリオを想定する必要があります。こうした場合に備え、データを復旧するための手段を準備します。

• 重要データの定期的なバックアップを取得
  • データ量にもよるものの、ランサムウェアの被害に備えて全データのバックアップを取得することは現実的ではない。そのため法人組織においては、自組織が保有するデータを洗い出し、重要なデータについては定期的にバックアップを取得する運用が求められる。ランサムウェアにデータが暗号化された場合、バックアップデータから復旧する手順についてもあらかじめ確認しておくことが重要になる。定期的なデータのバックアップには「3-2-1ルール」（注）を実践することを推奨

※注　データを安全に保護するために理想的だとされるバックアップの考え方。元データとバックアップデータを合わせて「3つ以上のデータを持つ」、バックアップデータの保存には「2種類以上の記録メディアを利用する」、バックアップデータの「1つは離れたところに保存する」。

　本稿で解説してきたランサムウェアの対策ポイントを図3にまとめました。法人組織においては、これらの対策ポイントについてどの程度カバーできているかを見直すことをお勧めします。

図3　ランサムウェアの対策ポイント《クリックで拡大》

　次回は、ランサムウェア対策に有効な製品の選び方についてお話します。