二重脅迫では、攻撃者は標的のデータを暗号化するだけではなく、情報を暴露しようとします。データの暗号化に対しては、バックアップを実施しておくことが有効です。その上で二重脅迫に対しては、情報の流出を防ぐための対策をするとともに、万が一の情報漏えいの発生に備える必要があります。

　外部への情報漏えいを防ぐ技術の一つに、「DLP」（Data Loss Prevention）があります。DLPは機密情報を含むデータが、メールやオンラインストレージ経由で外部に送信されることを監視・制御する技術です。従業員による誤送信といった、意図しない情報漏えいを防止する目的で導入している組織もあるでしょう。DLPは、ランサムウェアによる情報の送出を検知し、情報漏えいの被害を阻止することにつながります。

　情報漏えいが発生してしまった際に備え、個人や取引先、関連企業など、どこまで影響が及ぶのかを明確化しやすくするために、被害の範囲や重要度を判定する基準を設けることが重要です。それにより、二次被害を想定したリスクシナリオの作成と対策を講じやすくなります。情報システム部門だけではなく経営層や広報担当も含めて、情報漏えい時のフローについて事前に整理することがお勧めです。情報漏えい時のフローとしては、情報漏えいに関する監督省庁への報告や自社Webサイトでの掲載、記者発表などがあります。

　昨今のランサムウェア攻撃では、サプライチェーンの弱点を突いた攻撃事例が確認されており、組織にとって大きな課題となっています。セキュリティレベルの低い取引先や海外子会社が攻撃を受けた結果として、組織の機密情報の流出やサプライチェーン全体の機能低下など、事業継続に影響する被害につながる可能性があります。そのため自組織だけではなく、サプライチェーン全体のセキュリティレベルの向上を意識することが大切です。

　複雑化・高度化するランサムウェア攻撃の手口に対処し続けるためには、組織は最新の脅威のリスクシナリオを想定することが重要です。実践するセキュリティ対策も、脅威に応じて進化させなければなりません。本稿で紹介した対策や技術は、1つの製品やサービスのみを導入するのではなく、複数の技術を組み合わせることで強固なセキュリティを実現する「多層防御」（表1）の考え方を基にしています。

「テレメトリー」で脅威をあぶり出す

　2018年ごろから主流となっているのが、特定の組織に標的を定める「標的型」のランサムウェア攻撃です。標的型ランサムウェア攻撃では、攻撃者は被害組織のネットワークへの侵入後、被害を拡大させるために

• 認証情報の窃取
• 内部探索
• 攻撃用サーバとのコールバック通信の確立
• 情報の送出

など、さまざまな活動をします。それらの活動の際、セキュリティソフトウェアによる検出を回避するために、OS標準の機能や正規のツールを悪用することが一般的です。そのためプログラム単体の動作を監視するだけでは、脅威を検出することが難しいことがあります。

　そのことから、正か不正かを問わず、ファイルやプロセスに対するアクティビティーデータである「テレメトリー」を収集して、実際に使用されている攻撃者の手法と照らし合わせることが重要です。攻撃手法については、米国IT研究団体「MITRE」発行のナレッジベース「MITRE ATT&CK」がまとまっています。

　テレメトリー収集のためのツールとして、エンドポイントの不審な挙動を検知する「EDR」（Endpoint Detection and Response）や、社内ネットワーク全体を包括的に監視する「NDR」（Network Detection and Response）が有効だと考えられます。他にも、メール、エンドポイント、ネットワーク、サーバ、クラウドサービスなど、複数のセキュリティレイヤーのテレメトリーによる相関分析を実現する「XDR」（Extended Detection and Response）といった技術が、効果的な対策として挙げられます。

　第6回は、XDRの可能性を解説します。

著者紹介

平子正人（ひらこ・まさと）　トレンドマイクロ

国内通信企業でネットワークサービスのプロジェクトマネジャー経験を経てトレンドマイクロに入社。主に「EDR」（Endpoint Detection and Response）と「XDR」（Extended Detection and Response）関連のセールスエンジニアとして、製品の提案や検証を担当。現在はシニアスレットスペシャリストを務め、セキュリティリスクの考察や、組織が取るべきセキュリティ対策の啓発に携わる。セキュリティの実用的な知識の認定資格「GIAC Security Essentials」（GSEC）を取得。