2022年、空港支援事業を手掛けるスイスのSwissport Internationalはランサムウェア攻撃を受けたが、ランサムウェアによる暗号化が始まる前に、ネットワークの遮断を決断した。この行動によって、被害範囲が拡大することを防ぎ、ビジネス被害を減らすことができた（参照：Airport services firm thwarts attempted ransomware heist）。

　同社が取ったのは、感染の兆候が出た端末やサーバを即座に切り離し、バックアップデータを用いて業務を再開するという手順だ。ランサムウェアは侵入直後に動くとは限らず、偵察や横展開の段階を経て暗号化に至る場合がある。Swissport Internationalは、その“間”を捉えた。

　中堅・中小企業（SMB）でも同じ構造の攻撃がある。侵入の初動はわずかでも、暗号化開始まで時間があるので、ここを捉えられるかが水際防御の分岐点になる。

　セキュリティベンダーCybereasonの研究者は、攻撃者が近年「データ流出→暗号化」という二段構えを使い、侵害行為を実行するために、より長く内部に潜伏する傾向を指摘する。つまり、暗号化の兆候が見えた瞬間には、すでに横展開（lateral movement）が始まっている可能性が高い。だからこそ、暗号化以前の初期挙動を捉える「EDR」（Endpoint Detection and Response）の役割が大きくなっていると同社は説明する。

　情シスの現場でも「暗号化前にランサムウェアを検知したい」という声は強い。だがそのためには、侵入の兆候を押さえる必要がある。

EDRで実現する「水際の壁」

　攻撃者が最初にするのは情報収集だ。情報収集には、「Windows」のコマンド実行ツール「PowerShell」といったOS標準機能を使うケースは少なくない。これらは単体では正規動作に見えるが、権限昇格要求と組み合わさると攻撃の兆候となる。

　ある企業では、EDRがPowerShellと認証関連プロセスの短時間連続実行を検知し、管理者権限への不正昇格を試みる動きをとらえた。そのおかげで、暗号化開始前に端末を隔離できた。同社の情シスの担当者は「普段は見分けにくいが、権限変化のログと組み合わせて見ると急に攻撃の形が分かる」と述べる。

　マルウェアがすぐに動かず、実行のディレイ（遅れ）を設ける手口の攻撃もある。EDRを使えば、深夜帯に生じる想定外の通信が特定しやすくなる。

　近年のランサムウェア攻撃は標的システムにファイルを保存せず、メモリなどを悪用して攻撃を実行する「ファイルレス」の手口が広がっており、従来型アンチウイルスソフトウェアでは検出が難しい。EDRはメモリでの異常な命令実行を発見し、暗号化に移る前にプロセスを強制終了することを可能にする。

メール経由の攻撃にサンドボックスが効く

　標的システムをランサムウェアに感染させる経路として、メール経由の手口も依然として健在だ。メールセキュリティのツールは、添付ファイルを自動実行して安全性を評価する「サンドボックス」機能を備え、危険と判断した場合はアラートを発する。

　ある企業では、業務メールに紛れた暗号化型マルウェアをサンドボックス機能が検出し、ユーザーの受信トレイに届く前に隔離できた。その企業の担当者は、「不正メールを見極めるためのユーザー教育だけでは限界がある」と語る。サンドボックス機能の自動検出によって、セキュリティ担当者の負荷を減らすとともに、不正メールの特定ができる。

　メール内部の URL を一度、別ゲートウェイで実行し、危険判断したものだけブロックする仕組みも効果がある。クリック前に悪意のあるURLを検知できるので、ユーザーの判断能力に依存しない。

　サンドボックス機能の役割は万能ではないが、危険度や実行時の挙動分析が情シスへ明確に渡る点が大きい。攻撃を止めるだけではなく、「なぜ危険なのか」という根拠が残るため、後続のパッチ（修正プログラム）適用や設定変更にもつながる。

入口の強化がランサムウェア対策に直結

　ランサム攻撃はたいていの場合、VPN（仮想プライベートネットワーク）やRDP（リモートデスクトッププロトコル）の認証突破から始まる。外部から内部に入り込む経路が確立されれば、攻撃者は静かに横展開し、暗号化のタイミングを見計らう。ネックになるのは、ソーシャルエンジニアリング攻撃で流出しやすいパスワードだ。

　VPN経由の侵入を防ぐ手段の一つとして、多要素認証（MFA）の実装がある。MFAは、仮にパスワードが流出してもさらなる認証を求めることで、システム侵入のハードルを高くする。企業はMFAとID管理ツールを組み合わせると、「普段と違うログイン」の試みを特定し、アクセスをブロックできる。ID管理ツールはクラウドサービスとしても提供されるので、導入ハードルは以前より低い。

　不正アクセスの防御策として、社内外を問わず全ての通信に対して認証を要求する「ゼロトラストセキュリティ」が広がりつつあるが、導入に必要な費用や作業を考えると、SMBが全面導入するのは難しい。しかし、ゼロトラストを導入しなくても、「認証」「接続元」「端末状態」の三つを確認する“ミニマム実装”なら、SMBでも取り組みやすい。

　実際、VPN接続元IPの急変と端末の未更新状態を基に危険だと判断し、接続をブロックすることで攻撃の侵入口を未然に断てた企業もある。

「規模」関係なくセキュリティを強化

　少人数のセキュリティ運用体制でも、以下のことを徹底すれば、水際での防御力を強化できる。

• 異常を自動的に特定、隔離する仕組みづくり
• 管理権限の変更を迅速に検知して知らせる仕組みづくり
• ユーザーに届く前にメールの安全性を評価する仕組みづくり

　水際防御が成功する企業は、単一製品ではなく、複数のツールを用いて攻撃のさまざまな入口を同時に監視している。EDRやメールセキュリティ、ID管理ツールは各々のデータを持つが、情シスが見たいのは「普段と違う動きが同時に起きていないか」という横断的なことだ。大半の攻撃では、複数の異常イベントが重なって危険度が上がり、侵害につながっている。

　冒頭で取り上げたSwissportの事例が示すように、ネットワークを切断しても、バックアップから業務再開できる体制があれば、遮断判断が早くなる。あらかじめ業務の復元手順が確立されていれば、防御策の判断が迅速化する。

まとめ

　ランサムウェア攻撃対策は「侵入させない」より、「侵入を前提に初期段階で止める」考え方が現実的だ。ここで紹介した事例を見ても、侵入直後の不審挙動、メール経由の添付ファイル、VPN認証の三つの入口で素早く対処した企業は被害を最小限に抑えている。

　SMBの情シスでもこの三つを自動監視し、異常が重なった瞬間に端末を隔離できる仕組みが整えば、攻撃の水際で勝負できる。限られたリソースでも実行可能な領域から始めることが、防御全体の底上げにつながる。