近年セキュリティ対策として導入が進んでいるEDR（Endpoint Detection and Response）では、マルウェアを検出できなかったケースが幾つも報告されている。その理由は、攻撃者の手口が極めて巧妙化しているためだ。

　攻撃者はOS内部の脆弱（ぜいじゃく）性を突くだけではなく、「PowerShell」や「タスクスケジューラ」といった「Windows」に標準搭載されている正規ツールを悪用する。これらのツールは本来リモート管理向けに設計されており、EDRからは管理者の正規の操作なのか、攻撃者による不正な操作なのかの区別がつかない。

　管理者の権限を奪取した攻撃者は、Windowsをセーフモードで再起動してEDRを無効化し、ランサムウェアを実行する。2022年に発覚した大阪急性期・総合医療センターに対するランサムウェア攻撃のログ解析結果を見ると、運用管理サーバから始まり、共有ストレージ、NAS、最下層の仮想マシンのホストサーバまで、システム全体が次々と暗号化の標的になったことが生々しく記録されている。120台の仮想マシンがわずか1分弱で使用不能になったこともログ解析で判明した。仮想マシンの基盤となるHyper-Vが暗号化されたためだ。休日や早朝といった死角を突かれ、わずか数時間でインフラの根幹まで制圧されてしまう攻撃に対して、リアルタイムに人手で対処することは極めて困難だ。

被害を招く境界線のほころび

　過去の事案を分析すると、攻撃の起点は極めて基本的なセキュリティ対策の欠如にあることが分かる。板東氏はこれを「第1境界線」と「第2境界線」の突破と表現する。

　第1境界線になるのはVPN（仮想プライベートネットワーク）機器だ。脆弱性情報が放置されたVPN機器が突破されると、内部への侵入を許してしまう。

　第2境界線は、PCやサーバの認証を管理する仕組みだ。VPNを突破された後、攻撃者は推測可能な簡単なパスワードを用いた総当たり攻撃（ブルートフォース攻撃）などの手法を用いてシステムにログインする。大阪急性期・総合医療センターのシステムに残された痕跡を見ると、「Mimikatz」などの攻撃ツールが配置されていたことが確認されている。MimikatzはWindowsのメモリ上に一時保存されているパスワードを直接読み取ることができる攻撃ツールだ。これを悪用することで、初期侵入で突破されたパスワードだけではなく、過去にログインした管理者の認証情報も奪われ、被害の拡大を招いたことがうかがえる。

これだけはやっておくべき3つの根本対策

　企業が自社システムを守るためには、システム設計を「いかなる通信やエンドユーザーも無条件に信用しない」というゼロトラストセキュリティの考え方に基づき、侵入された場合を前提とした構成に転換することが不可欠だ。今すぐ実践すべき根本対策として、板東氏は以下の3点を挙げる。

　1つ目は、パッチ（修正プログラム）適用の徹底だ。「アップデートをするとシステムが動かなくなる」ことを理由に、パッチ適用を後回しにすべきではない。そのような状態は、OSに依存した古い設計を根本から見直すべきサインだと言える。システム刷新の際には、仮想マシンも含めてパッチ適用を前提とした構成に切り替える必要がある。

　2つ目は、管理者パスワードの厳格な管理と権限の最小化だ。これには、Windowsや「Windows Server」に標準搭載されている「LAPS」（Local Administrator Password Solution）が有効になる。LAPSは社内にあるPCやサーバの管理者パスワードを、個別に異なるランダムな文字列に自動設定し、定期的に一括更新して安全に一元管理できる機能だ。全てのマシンで同じパスワードを使い回している状態は、攻撃者にネットワーク内を自由に動き回る権限を与えるに等しいため、システム側でパスワードを厳格に管理する仕組みを用意することが求められる。

　3つ目は、マイクロセグメンテーションによるネットワークの分離だ。「Active Directory」サーバ、クライアント、バックアップシステムなどをそれぞれ異なるセグメントに配置し、ルーティングを厳格化することで、攻撃者による内部探索と感染拡大を論理的に困難にする。

　IT担当者はベンダー任せの体質から脱却し、自らがセキュリティ要件の定義に責任を持つ必要がある。ソフトウェア協会などの業界団体が公開しているチェックシートを活用し、自社の現状を可視化することから始めよう。

本稿は、アイティメディアが2026年3月2～9日に開催した「ITmedia Security Week 2026 冬」における、3月6日のセッション「大規模攻撃の事例に学ぶ ― ランサムウェア時代のシステム設計と『これだけはやっておくべき』対応策」を基に作成しました。