ランサムウェア対策製品の選定に当たっては、どのようなセキュリティ技術が搭載されているかに目を向けることが重要です。ここでは、連載第2回で解説した対策ポイントである

• Web経由の侵入をブロック
• メール経由の侵入をブロック
• 特徴的な動きを検知してブロック
• ネットワークでのデータ暗号化を早期発見

の4つそれぞれを実現する、有効なセキュリティ技術について解説します。

Web経由の侵入をブロック： URLが不正かどうかを判断する技術

　Webを経由したランサムウェアの侵入対策としては、エンドユーザーがアクセスするWebサイトが安全かどうかをURLでチェックする技術が有効です。不正サイトへのアクセスをブロックできるので、ランサムウェアを配信しているWebサイトへのアクセスを阻止して感染を防ぐことが可能です。またランサムウェアがデータを暗号化するために、外部の不正なサーバ（C＆Cサーバ）に情報を取りに行くといった通信を止めて、暗号化活動を阻止できます。このURLチェック技術を実装したセキュリティ製品の代表例は「Webゲートウェイ製品」です（図1）。

図1　Webゲートウェイ製品によるWebアクセス先のチェック《クリックで拡大》

　こうしたURLチェック機能を備えたランサムウェア対策製品を選定する場合、Webアクセス先の評価に使用するデータベースの充実度を確認してください。具体的には、不正なURLの情報がどれだけ含まれているのか、どのようなインフラを駆使してどのくらいの頻度でデータベースを更新しているのか、といった情報を確認します。各製品またはベンダーが保有している不正なURLの数と、最新脅威情報への対応速度が製品選定のポイントになります。

メール経由の侵入をブロック：添付ファイルをサンドボックスでチェックする技術

　メールを経由したランサムウェアの侵入対策として、スパムメールの添付ファイルを「サンドボックス」技術でチェックすることが有効です。サンドボックス技術は、システムに影響を与えない隔離領域で実際にプログラムを動作させて、マルウェアかどうかを判断する技術です（参考：未知のマルウェアを見つけ出す「サンドボックス」の失敗しない選び方）。添付ファイルが未知のマルウェアの場合でも、添付ファイルを仮想環境で実行し、その挙動からマルウェアを検知してブロックできます。サンドボックス技術の隔離領域には、一般的には仮想環境が利用されます。メールフィルタリング機能を備えた「メールゲートウェイ製品」に、サンドボックス技術を実装する動きがあります（図2）。

図2　メールゲートウェイ製品のサンドボックス機能による添付ファイルのチェック《クリックで拡大》

　サンドボックス技術を搭載したランサムウェア対策製品を選定する場合には、解析に利用する仮想環境をカスタマイズして、自社で運用している環境と同じ環境にできるかどうかを確認してください。自社環境に対するマルウェアの影響をより正確にチェックするために重要です。例えば日本語OSや「一太郎」といった日本特有のソフトウェアを解析対象に含めることができるかどうか、などが確認のポイントになります。

　最近ではサンドボックス技術による検知を回避する「アンチサンドボックス」機能を備えたマルウェアも登場しています。例えば仮想環境でのファイル実行後、一定時間スリープすることでサンドボックスの検出をすり抜けるといった行動を取ります。こうした新たなマルウェアへの対処が可能かどうかも確認が必要です。

特徴的な動きを検知してブロック：ランサムウェア特有の振る舞いを検知する技術

　ランサムウェアの特徴的な動きを検知する対策としては、「振る舞い検知」技術が有効です。ランサムウェアにはデータの暗号化をはじめ、幾つかの特徴的な挙動があります。こうした独特の挙動を基にランサムウェアを検知し、その動作をブロックします。振る舞い検知技術は、マルウェア対策製品をはじめとするエンドポイントセキュリティ製品への実装が進んでいます（図3）。

図3　エンドポイントセキュリティ製品によるランサムウェアの挙動監視《クリックで拡大》

　中には「ランサムウェアによる暗号化と、エンドユーザーが通常業務でデータを暗号化する動作は同じであり、判別が困難なのではないか」と考える人もいるでしょう。しかし例えば、短時間で次々とデータを暗号化する動作は、通常の業務では考えられません。振る舞い検知技術は、こうした考えを基に正常と異常とを区別し、ランサムウェアを検知するのです。

　最近ではランサムウェアの挙動を検知した後に、暗号化されたデータをバックアップデータから自動的に元に戻す製品も出てくるなど、機能の多様化が進んでいます。振る舞い検知技術を搭載したランサムウェア対策製品を選定する場合は、ランサムウェアのどのような挙動を検知できるのかを確認するだけでなく、実際に製品を検証して、誤検知が出る頻度や製品の機能、運用方法についても確認することがポイントです。

ネットワークでのデータ暗号化を早期発見：感染端末を素早く見つける技術

　ランサムウェアに感染した場合、感染端末のデータだけでなく、その端末が接続する社内LANの共有フォルダ内にある業務データも暗号化される危険があります。こうした脅威への対策にはLANの監視が有効です。常にLANを監視しておくことで、ランサムウェアによる不審な通信が発生した場合でも、迅速に感染端末を特定できます。感染端末の特定後は、端末をLANから切り離すなどの対処をすることで、LAN内にあるデータを守ることができます。

図4　LAN監視による感染端末の早期発見《クリックで拡大》

　とはいえLANの通信ログを全てチェックする運用は現実的ではありません。実際にはLANを流れる不審な通信を検知し、チェックすることになります。そのためLAN監視技術を実装したランサムウェア対策製品を選定する場合は、LANを流れる通信に対して、どのような通信を不審だと判断するのかが重要になります。不審な通信を検知するためのルールやシグネチャの種類、充実度を確認してください。