標的型ランサムウェア攻撃の特徴とは

　標的型ランサムウェア攻撃は、標的を定めた上で組織内ネットワークに侵入し、最終目標であるランサムウェアの実行によってデータを暗号化するまでに、以下のように幾つかの攻撃ステップを踏みます（これらの攻撃ステップを順番通り、毎回全て実施するわけではありません）。攻撃者の目的は金銭の獲得です。それを達成するために、攻撃者はこれらのステップを踏みながら、できる限り価値のある情報を探し出し、被害規模を拡大させた上で、ランサムウェアの実行を試みます。

図1　標的型ランサムウェア攻撃のステップ例（トレンドマイクロの資料を基に編集部作成）《クリックで拡大》

　攻撃者は不正な活動が被害組織に気付かれないよう、各攻撃ステップにおいてさまざまな脆弱（ぜいじゃく）性や正規ツールを悪用することで、セキュリティ製品による検出回避を試みます。エンドポイントのマルウェア感染を防止する「EPP」（Endpoint Protection Platform）の一般的な機能である「パターンマッチング」（データから文字列といったパターンを特定し、似ているパターンを探す方式）の場合、マルウェアだと確認できたプログラムについては確実に検出できます。しかし正規ツールによる活動は検知することが困難です。

　エンドポイントにおける次世代マルウェア対策ソフトウェア「NGAV」（Next Generation Anti-Virus）の機能に分類される「ふるまい検知」は、挙動からプログラムの実行内容が不正かどうかを判別することを可能にします。そのため正規ツールであったとしても、検出ルールに合致すれば検出できます。ただし、ふるまい検知では、業務で利用している安全なアプリケーションの挙動を「疑わしい」と判定してしまう「過検知」が発生することがあるため、過検知の回避を考慮しなければなりません。限りなくマルウェアに近しい挙動を確認した場合に限って検出するよう、ルールを設計することになります。

　ふるまい検知でも検出できなかったエンドポイントの脅威を検知するには、攻撃の動きを監視するEDRが役立ちます。EDRは「正」「不正」を問わず、エンドポイントで発生した日々のイベントやプロセスのアクティビティーである「テレメトリー」を記録します。それによって、EPPでは検出が難しかったエンドポイントの潜在的な脅威について、侵入経路や影響範囲を特定しやすくなります。つまり単一エンドポイントの潜在的な攻撃活動の検知や対処に関して、EDRは効果的な技術だと言えます。

　被害を拡大させないためには、組織内のエンドポイントにおいて、標的型ランサムウェア攻撃などの高度な手法の攻撃が発生した際、迅速に検知し、対処することが重要です。各攻撃ステップの攻撃手法については、ある程度共通性が見られます。米国のIT研究団体MITREは、攻撃の戦術を分析してノウハウ化したナレッジベース「MITRE ATT&CK」を公開しています。組織は、MITRE ATT&CKに合致する挙動を検知することで、攻撃の兆候をつかむことができます。

　エンドポイントに特化したEDRには限界があります。それはエンドポイント以外、つまりシステム全体のデータを分析した上で、脅威を検知して対処することができないということです。そこでエンドポイント以外のネットワークやサーバといった複数のレイヤーで、日々のイベントやプロセスのアクティビティーを相関分析し、脅威の全体像を把握する包括的な製品・サービス群として、XDRが登場しました。

　第7回は、標的型ランサムウェア攻撃に対するXDRの有効性を考えます。

著者紹介

平子正人（ひらこ・まさと）　トレンドマイクロ

国内通信企業でネットワークサービスのプロジェクトマネジャー経験を経てトレンドマイクロに入社。主に「EDR」（Endpoint Detection and Response）と「XDR」（Extended Detection and Response）関連のセールスエンジニアとして、製品の提案や検証を担当。現在はシニアスレットスペシャリストを務め、セキュリティリスクの考察や、組織が取るべきセキュリティ対策の啓発に携わる。セキュリティの実用的な知識の認定資格「GIAC Security Essentials」（GSEC）を取得。