ビジネスを守るために何ができるか
「WannaCry」事件の“痛み”から考える、ランサムウェアへの予防策とは
「WannaCry」などのランサムウェア攻撃は食い止めることができる。そのためには、適切なデータ保護対策を講じておき、データを詳細に監視する必要がある。
身代金要求型不正プログラム（ランサムウェア）の「WannaCry」による攻撃が2017年5月上旬に150カ国の10万以上の組織に影響し、ランサムウェアが世界的に注目を集めた。
この攻撃は英国の国営保健サービス（NHS）、米国のFedEx、スペインのTelefonicaなどの企業や組織に被害を与えた。この攻撃の結果、支払われた身代金は本稿執筆時点（2017年5月中旬）で総額2万6000ドル程度にとどまるが、不安や恐怖が広がっている。
企業や組織にとっては、「ビジネスやサービスをランサムウェアから守るために何をすべきか」が大きな課題となっている。
世界中の数十万台に上るコンピュータへのWannaCryの感染というインシデントは、この課題を浮き彫りにした。だが、ランサムウェアは数十年前から存在しており、身代金を払わずにこうした攻撃の被害を最小限に食い止め、復旧を実現できることを証明する事例もある。
ただし、こうして復旧を実現するには、攻撃を受ける前に準備をしておく必要がある。データ保護技術とバックアップのベストプラクティスが、ランサムウェア攻撃による組織の被害を抑えるのに不可欠だ。
「ランサムウェア攻撃に見舞われる可能性は高い。状況は悪化する一方だろう。だが、バックアップが、ランサムウェアに対する1つの防衛線になるのは明らかだ。以前は、RAID障害に備えてバックアップを行っていたが、それと同じ位置付けになる」と、IT調査会社Storage Switzerlandのジョージ・クランプ社長は語る。
併せて読みたいお薦め記事
世界を騒がせたランサムウェア「WannaCry」
「ランサムウェア対策」をどう進めればよいのか
米連邦捜査局（FBI）は、最も効果的なランサムウェア対策の1つとして、定期的なバックアップを推奨している。また、バックアップの完全性を確認することと、バックアップのセキュリティを確保することも勧めている。バックアップは、本番環境から切り離して保持するのが最も安全だ。ランサムウェアはバックアップコピーも破壊することがあるからだ。スナップショットやレプリケーションは、ランサムウェアによる時間差攻撃に脆弱（ぜいじゃく）な場合がある。
「バックアップは依然として最良の復旧オプションだ」。侵入検知ベンダーのFidelis Cybersecurityで脅威システムマネジャーを務めるジョン・バンベネク氏はそう語る。
データ保護ベンダーのUnitrends、Zerto、CommVault Systems、Acronis、Barracuda Networks、Infrascale、Asigra、Druva、Dattoなどは、ランサムウェアからの保護機能の追加を進めているとしている。ストレージベンダーも、ファイル内での異常の発生をユーザーにアラートし、ランサムウェアからの保護を支援するレポートツールを提供している。
これは、データやファイルのパターン検出を利用して、異例な暗号レベルを管理者にアラートし、被害を緩和または抑制できるようにしようとするものだ。
「大量のファイルで発生しているさまざまな変化を見ることができる。私が見た例では、ランサムウェアによる暗号化は、ファイル単位で実行されていた。ボリュームを暗号化するランサムウェアは見たことがない。もしそのような攻撃をされたら、被害は甚大だろう」（クランプ氏）
WannaCryは、Windows SMBv1やSMBv2の脆弱性を悪用し、ネットワーク内を水平方向に移動するタイプのマルウェアだ。このマルウェアは、Microsoftが2017年3月に公開したパッチ「MS17-010」が適用されていないあらゆるWindowsコンピュータに影響した。
「最近のWannaCry攻撃は、前例のない規模で猛威を振るった。犯人を特定するには、複雑な国際的調査が必要になるだろう」と、欧州連合（EU）の法執行機関である欧州刑事警察機構（ユーロポール）は述べている。
バックアップを取るだけでは、WannaCryによるランサムウェア攻撃は防げなかっただろう。特に、時間差攻撃が仕掛けられてしまった場合はなおさらだ。パターン検出によるアラートなどの技術が重要とされるのは、そのためだ。
「結局のところ、バックアップでは、ランサムウェアの挙動を阻止し、攻撃を防ぐことはできない。だが、企業や組織は一般的なセキュリティ手続きに加えて、さまざまな対策を講じることができる」と、データ保護ソフトウェアベンダーのCommVault Systemsで製品管理担当シニアディレクターを務めるドン・フォスター氏は指摘する。
管理者は、ファイルサーバで発生する変更の量を実地に把握しておかなければならないと、フォスター氏はアドバイスする。管理者は、例えば、変更の平均発生率が1％であるサーバで、変更発生率が突然90％になったら、警告を受けることができる仕組みを構築すればよいと、同氏は述べている。
「何か異変が発生していることが歴然と分かる」（フォスター氏）
管理者は、システム内に数種類のファイルを配置した“ランサムウェアハニーポット”をセットアップし、ランサムウェアが特定の種類のファイルに感染し始めたら、アラートを受けられるようにすることもできるという。
「完璧とはいかないが、これらは、攻撃の発生をいち早く発見する効果的な方法だ。複数のマシンで攻撃が発生している場合に特に役立つ」（フォスター氏）
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に 「攻められない情シス」を変革する一手とは？ -
製品資料
[株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは？ -
事例
[株式会社イトーキ] 製造現場を取り巻く経営課題 「持続的な現場力」を強化する方法とは？ -
製品資料
[株式会社イトーキ] 社員の力を引き出す、「ABW（Activity Based Working）」を実現する秘訣とは？ -
製品資料
[株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
企業が「Microsoft Azure」を選ばざるを得ない理由
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
なぜノートPCの更新が「4年→6年」に？ AIインフラ急拡大の余波
-
4
NVIDIA、フアンCEO辞任で揺らぐ“AI帝国” IT調達計画への影響は？
-
5
無課金から要課金まで AIの基本や応用がマスターできる“学習コース”9選
-
6
「リモートアクセスセキュリティ」に成功する企業、そうでない企業の違い
-
7
「営業・マーケティングの悩みと企業データの活用」に関するアンケート
-
8
「Active Directory」復旧で“詰む”企業が続出 ランサムウェアに備える4対策
-
9
脱VMwareの真実：データセンター大手がNutanixを選んだ「コスト以上の理由」
-
10
なぜMicrosoftは「Rust」を標準言語に？ AIで進むC/C++書き換えの課題
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
AIが苦手な「汚いデータ」になっていない？ AI投資を無駄にしないための注意点
-
3
急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要？
-
4
法人向け光回線のプランはどう選ぶ？ 機能面／保守体制／コストを一覧で比較
-
5
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
-
6
SNMPより詳細で、パケット解析より簡単な「トラフィック可視化・分析」の方法
-
7
三井ホームに学ぶ「無線LAN環境」構築 快適なオフィスと高度なIT運用の両立法
-
8
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
9
自社のメール環境は本当に安全？ チェックシートですぐ分かる“今必要な対策”
-
10
「RPA導入の成果が出ない」を防ぐ、成果につながる自動化対象業務の選び方
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー