【ランサムウェア対策とセキュリティ基礎】今始める人必見！知るべき必須対策を徹底ガイド！（AIロールプレイ、資料DL可）

ランサムウェアがマルウェアの一種であり、データの窃取や暗号化によって被害者に甚大な影響を与えることを理解します。また、攻撃者がデータの復元と引き換えに身代金を要求し、支払い後もデータの復旧が保証されないリスクを確認します。さらに、ランサムウェアの脅迫方法や、被害者に対して支払い期限や方法が具体的に提示される手口を学びます。

受講者はランサムウェア攻撃のプロセスを段階的に理解し、ネットワーク侵入からデータの暗号化、身代金の要求に至るまでの一連の流れを把握できます。また、なぜランサムウェアが攻撃者にとって魅力的なのか、その背後にある収益性や攻撃の匿名性、リモートワークの普及による脆弱性の増加といった要因も学びます。これにより、より効果的な防御策を立てるための基礎知識を習得できます。

受講者はランサムウェアが成功する背景を理解し、具体的には、古いシステムの使用やバックアップ不足、認証の弱さなどがランサムウェア攻撃を成功させる要因であることを学びます。また、ランサムウェア攻撃によって発生する影響として、身代金の支払いや復旧費用といった直接的な金銭的損失、さらにはデータ漏えいによる信用失墜や業務停止による経済的損失がどれほど重大であるかも把握できます。最後にこのセクションを総括します。

受講者はランサムウェアの世界的・国内的な被害状況と、セキュリティ上の脅威としての位置づけを理解できます。2023年にはランサムウェアによる被害が前年と比べて55.5%増加し、2024年には身代金の支払い額が約2百万ドルに達するなど、攻撃の増加と深刻化が確認されています。国内でも報告件数が高水準で推移し、ランサムウェアが9年連続で主要なサイバー脅威として認識されています。これにより、受講者はランサムウェアの現状に対する警戒心を高め、実効的な対策を講じる重要性を学びます。

名古屋港と大阪府医療機関の事例を通して、ランサムウェア攻撃が組織に与える影響や、その実際の対応について学びます。名古屋港の事例では、警察やシステム保守会社との連携を含む迅速な復旧活動が行われました。大阪府医療機関の事例では、電子カルテシステムの停止が医療業務に大きな影響を与えたものの、BCPを発動して業務を継続させました。これらの事例より、重要なインフラ組織や生命を預かる医療機関であっても被害に会うことを学びます。最後にこのセクションを総括します。

受講者は、ランサムウェアの進化と変遷を学び、攻撃者の手法がどのように発展してきたかを理解します。1989年のAIDSトロイの木馬から始まり、2005年のGpCodeで暗号方式が強化、2013年のCryptLockerでは、BitCoinが支払い手段として使われるようになりました。2017年のWannaCryは、世界中で大規模な経済損失を引き起こし、2019年のRyukでは特定のターゲットを狙う高額な攻撃が行われました。このように、受講者はランサムウェアの脅威がどのように進化してきたか、そしてその影響を理解し、現代的な対策に役立つ前提知識を得ることができます。

現代のランサムウェアは、より高度で執拗な手法により攻撃が行われ、闇の経済圏が成立しています。脅迫は、データの暗号化と情報漏えいなど複数の手段が組み合わせて行われます。また、攻撃者は特定の組織を狙いを定めつつ、脆弱なサプライチェーンを経由して侵入してきます。さらに、暗号資産の利用により匿名性が保たれ、RaaSモデルの普及により、技術のない攻撃者も攻撃を実行できる環境が整っています。このようなランサムウェアの現代的な特徴を理解し対策に役立てます。

受講者は、ランサムウェア名は単なる攻撃手法やマルウェアの種類ではなく、ブランドとして機能していることを確認します。開発者にとっては、社会一般やアフィリエイト（攻撃者）から高い評価を得ることが重要であり、その評価をリセットするため、多くの攻撃集団は解散・分裂後に再結成され、名前を変えます（リブランド）。ブランドの代表的な例として、LockBit、BlackBasta、Qilinなどを取り上げ、それぞれ独自の手法やターゲットで攻撃を展開していることを学びます。最後にセクションを総括します。

攻撃手法を学ぶことで、攻撃者の視点を得ることができ、彼らの意図や行動を先読みすることで攻撃を防ぐ戦略を立てることを可能にします。また、攻撃は複数のステップを経て行われるため、その各ステップに対して多層的な防御策を講じることで、効果的な防御が可能になります。さらに、攻撃発生時には迅速なインシデント対応が求められまずが、迅速かつ的確な対処が可能となります。詳細なステップの解説に進む前に、攻撃の全体像を概観しておきます。

VPN機器やリモートデスクトップ（RDP）、不審なメールによる初期侵入は、ランサムウェア攻撃の最初のステップです。VPN機器の脆弱性や弱いパスワードを狙った攻撃、そしてリモートワークの増加に伴うサイバー攻撃の脅威が背景にあります。受講者は、これらの侵入経路に対する防御策の重要性を理解します。

受講者は、ランサムウェア攻撃者はシステムに侵入した後、セキュリティソフトを無効化しようとすることを学習します。単純なタスクマネジャーなどの方法ではセキュリティソフトを停止できませんが、攻撃者は標準的な管理ツールを悪用して正当な操作に見せかけたり、マルウェアをファイルとして保存せず、メモリ上で直接実行したりすることで検出を回避します。

また、攻撃者の踏み台端末は、C2サーバと呼ばれる外部の攻撃者のサーバから指示を受けて行動することを学びます。この踏み台端末にバックドアを仕込み、侵入経路が閉ざされないよう接続を維持し、社内ネットワーク内の通信が容易に拒絶されないようにします。

「権限昇格、内部探索、横展開」に関して、以下のような内容を解説します。

• 権限昇格: 攻撃者はまず弱い権限のアカウントで侵入しますが、より強力な権限のアカウントを取得しようとします。これを段階的に試み、ネットワーク内で重要なリソースへ到達しようとします。

• 内部探索: 侵入後、攻撃者はネットワークの構造やセキュリティ設定を理解するために情報を収集します。IPアドレス、OS、開放されているサービスの情報を集め、より重要なリソース（バックアップサーバ、認証サーバ）を発見します。

• 横展開: 権限を拡大した後、攻撃者はリモートアクセスツールなどを使って他の端末にも侵入を試みます。これにより、ランサムウェア実行などの影響範囲を広げられるようにします。

受講者は、攻撃者の最終段階のプロセスを学習します。攻撃者により重要なデータがクラウドストレージに転送されます。さらに、重要なファイルが暗号化されることで、データ復号が困難になり、業務継続に深刻な影響を与えます。最後に、身代金の要求が「ランサムノート」として表示され、交渉がチャットツールやメッセージアプリを通じて行われます。最後にこのセクションを総括します。

セクション６で学ぶことを概観します。このセクションは次の4つのパートと構成されています。

1つ目のパートでは、セキュリティ対策はセキュリティ担当者だけでなく、経営者やサプライチェーンに関わる企業も含め、全員で取り組むべきであることを学びます。

2つ目のパートでは、自社のセキュリティ状態を整理することが、防御策を取るための前提条件であることを学びます。

3つ目のパートでは、技術的な対策について説明されます。技術者でなくても、ランサムウェアに対抗するための基本的な技術的対策を知っておくことが重要です。

4つ目のパートでは、組織的な対策を学び、ランサムウェア対策の総合的な理解を深めていきます。

サプライチェーンの弱点が狙われる

大手企業や親会社のネットワークは堅牢な対策が整っている一方、子会社や取引先のネットワークが攻撃の侵入口になりやすいという現実を理解します。これにより、自社だけでなくサプライチェーン全体を守るための包括的なセキュリティ対策の重要性を認識します。

経営者のリーダシップ

経営者のリーダシップがサイバーセキュリティ強化に不可欠であること、特に経営資源をセキュリティに投資し、事業継続計画（IT-BCP）を整備する必要性を学びます。また、セキュリティリスクを適切に評価し、その対策を外部に示す透明性の重要性も理解します。

社員の意識がカギ

人間が最大のセキュリティーホールであり、フィッシングメールを介したランサムウェアの侵入リスクを社員一人ひとりが認識することの重要性を学びます。社員全員がセキュリティの一部を担っている意識が求められることを理解します。

具体的な防御策を講じる前に、「自社の状態を知る」ことが、敵の攻撃を防ぐための前提のステップであることを学びます。

また、情報資産管理台帳の整理がすべてのセキュリティ対策の基盤であることを学習します。この台帳の整備を通じて、どのような資産を企業が保有しているかを把握し、適切な管理を行うことができます。具体的には、パソコンやモバイル機器、サーバ、ネットワーク機器といったハードウェア資産、OSや業務アプリケーションといったソフトウェア、さらに、業務データやクラウド契約などのその他の資産も管理対象として含めるべきことを確認します。

「侵入口の洗い出し」、「ネットワーク図の作成」、「アカウント管理」について、効果的なランサムウェア対策の実施方法を学びます。

侵入口の洗い出しでは、インターネットに直接接続されるVPN装置やRDPなどのリモートアクセスツールが優先的に狙われやすいため、これらの監視と保護が必須です。

次に、セキュリティ対策向けにネットワーク構成図を作成し、ネットワークの範囲や重要資産、侵入口を明確にして可視化します。

最後に、アカウント管理として、不正に窃取されたアカウントを悪用されないため、全てのアカウントリストを管理し、各アカウントのアクセス権限や使用状況を把握することが重要です。

対策は技術的なものと組織的なものと大きく2つに分かれます。ここでは技術的な対策から解説していきます。企画部門や総務部門の方も、どんな対策が必要なのか、その考え方を知っておくことは、対策全体を理解する上で不可欠となります。

「外部接続機器の脆弱性対応」において、重要な対策は、VPN機器などの脆弱性を狙った初期侵入を防ぐことを学びます。多くの攻撃者は、これらの脆弱性を悪用してネットワークに侵入します。そこで、IT資産ごとにバージョン情報を管理し、脆弱性情報を収集してパッチマネジメントを実施することが必須です。また、保守会社や子会社にも対応を徹底させることで、全体のセキュリティレベルを向上させます。

アクセス制限では、指定された端末からのみVPN装置への接続を許可することで不正アクセスを防止します。また、公開されていないサービスに必要なポートを閉じて不要な通信経路を遮断します。さらに、ログイン試行回数に制限を設けることで、ブルートフォース攻撃による不正アクセスを防ぎます。

認証強化では、知識要素（パスワード）、所有要素（デバイス）、生体要素（指紋など）を組み合わせた多要素認証を実施し、攻撃者の侵入や権限の不正な昇格を防ぎます。パスワードは、大文字・小文字、数字、記号を含む複雑なものにし、例えば10文字以上を推奨します。さらに、パスワードの使い回しを避けることで、セキュリティを一層強化します。

ランサムウェア攻撃では、攻撃者はバックアップデータさえも暗号化の対象とするため、ネットワーク上のバックアップだけでは不十分です。オフラインやオフサイトにバックアップを取ることが重要で、「３－２－１ルール」に基づく多層的な対策が有効です。また、書き換え不可能なイミュータブルバックアップを採用することで、データの安全性が向上します。さらに、定期的にバックアップからの復旧シミュレーションを実施し、実際のインシデント発生時に迅速かつ確実に復旧できるか確認することが必要です。

ネットワークのセグメント化は、ランサムウェア攻撃に対する効果的な防御手段です。ネットワークをいくつかのセグメントに分割することで、攻撃者が初期侵入後に他の機器へ横展開するのを防ぎます。特に重要なサーバや機器は、通常のネットワークとは別のセグメントに配置し、アクセス制限を厳格にすることで、攻撃者がこれらのリソースに簡単にアクセスできないようにすることができます。

「最小権限の法則」は、ランサムウェア対策において重要なセキュリティ原則の一つです。タスクを実行するために必要な最小限の権限のみをユーザーに付与することで、攻撃者が侵入した場合でも、被害を最小限に抑えることができます。平常業務では、管理者権限を使用せず、強力な権限を持つアカウントの情報はブラウザに保存しないように運用することが推奨されます。

ランサムウェアに対する組織的対策について９つのポイントを概観します。まず情報セキュリティポリシーの策定が必要です。このポリシーは、組織全体で遵守すべきセキュリティ基準を明文化し、定期的に見直すことが求められます。また、平時の管理体制を整えつつ、専門チーム（CSIRTなど）の編成により、迅速なインシデント対応が可能になります。この他、予算や人材確保、サプライチェーンのセキュリティ対策、社員教育、外部監視委託などを含めた組織全体での対応が必要なことに触れます。

組織は情報セキュリティポリシーの策定し全体的な方針を定めます。まず、基本方針では、組織が情報セキュリティにどのように取り組むのかを社内外に表明します。これは、顧客や従業員に対し信頼を醸成するための公開文書です。次に、対策基準は、具体的にどのようなセキュリティ対策を内部で実施するのかを規定するものです。最後に、実施手順では、実際にどのようにセキュリティ対策を実行するのかを詳細に示した手順書です。この3つの要素を策定することが、サイバーリスクに対する適切な管理とインシデント対応の基盤となります。

管理体制の構築においては、平時から情報セキュリティを推進する体制を確立し、組織全体でセキュリティ意識を高めることが重要です。内部統制の観点から、各部門の責任と役割を明確にし、セキュリティ対策の実施状況を監査する仕組みを導入することで、対策が有効に機能しているかを継続的に確認します。また、インシデント発生時に迅速に対応できる体制を確保するため、CISO（最高情報セキュリティ責任者）をヘッドとし、CSIRT（サイバーセキュリティインシデント対応チーム）を中心とした実行体制を構築します。さらに、SOC（セキュリティオペレーションセンター）との連携を強化し、リアルタイムでの監視と分析を行うことで、迅速なインシデント対応を可能にします。このような体制の整備により、組織全体でサイバー攻撃に対する強靭な防御体制を構築できます。

受講者はランサムウェアを含むサイバーリスクを組織のリスク管理プロセスに取り込む方法を学びます。まず、企業が直面するリスク項目を洗い出し、分析や評価します。その後、リスクの大きさに基づいて優先順位を設定し、対策を実施することが求められます。

受講者は効果的なランサムウェア対策のためには、十分な予算と専門知識を持つ人材の確保が不可欠であることを学びます。事前対策やインシデント対応には、技術的な専門スキルを持つ人材が必要であり、これらの人材の育成や採用には投資が求められます。また、セキュリティツールの導入と維持費用、24時間365日の監視体制を維持するためのコストも無視できません。さらに、緊急時には外部ベンダーへの委託費用など、一時的な支出も必要です。これらのリソースの確保が、対策の効果を大きく左右します。

セキュリティツールの導入は、計画的に実施することが求められます。セキュリティ製品は多岐にわたるため、どの製品を選び、どの順序で導入するかが重要です。ガイドラインに沿って現状を把握し、目標に向けて対策を進めることで、効果的なセキュリティ体制を築くことができます。また、ガイドラインに沿った対策は、取引先や海外拠点とのセキュリティルールの共通言語として機能し、ステークホルダーに対してはセキュリティ対策を実施していることを示す客観的根拠となります。

ランサムウェア対策において、NISTサイバーセキュリティフレームワーク（NIST CSF）は、組織がサイバー攻撃から資産を守るための体系的なアプローチを提供します。CSFは、「特定」「防御」「検知」「対応」「復旧」の5つの主要な機能（全体として画板ナンスが追加）から構成され、それぞれの機能がセキュリティ強化の重要な役割を果たします。これにより、受講者はCSFによるセキュリティ対策の概要を理解し、実践的な対策に結び付けます。CSFは国際的に通用するガイドラインであり、さまざまな組織での活用が期待されています。

EDR（Endpoint Detection & Response）は、PCなどの端末（エンドポイント）を保護するためのセキュリティ製品です。その強みは、サーバにイベントログを送信して分析させ、不審な挙動や異常な動きをリアルタイムで監視しできることにあります。これにより、侵入や感染の兆候を早期に察知し、感染が疑われる端末をすぐに動作停止やネットワークからの遮断を行い、被害の拡大を防止します。このように、EDRはエンドポイントを中心に、インシデントに対する迅速な対応を可能にします。

サプライチェーン全体でセキュリティ対策を最適化することは、ランサムウェアの脅威に対する重要な防御策です。自社だけでなく、取引先や委託先、さらには国内外の拠点まで、すべての関係者が連携してセキュリティを強化する必要があります。そのため、契約書で責任範囲を明確化し、共有する情報の機密性に応じた対策を講じることが重要です。委託先の選定時には、技術力やISMS取得、サイバー保険の加入状況を考慮し、全体として相互に協力しながらセキュリティ対応力を高める姿勢が求められます。

教育訓練は、全社員のITリテラシーを向上させることで、組織全体のセキュリティレベルを引き上げ、ランサムウェア攻撃からの防御力を強化する重要な対策です。一般社員向けの教育訓練では、特にパスワードの管理方法やフィッシングメールの見分け方、セキュリティアップデートの重要性について理解を深めてもらいます。これにより、セキュリティ担当者だけでなく、全社員がサイバー攻撃に対して意識を高く持ち、日常業務の中で安全な行動を取ることができるようになります。

外部委託によるセキュリティ監視の導入は、自社内で24時間365日体制のセキュリティ運用が難しい企業にとって効果的な手段です。特に、SOCを自前で持つには、専門知識を持つ人材の確保や多額の運用コストが必要なため、中小企業では実現が困難です。外部委託を利用することで、セキュリティツールを専門的に扱うベンダーや、複数のベンダー製品に対応できる専業の事業者に監視を委託し、インシデント対応の迅速化と高品質なセキュリティ体制を実現できます。

サイバー保険は、企業がサイバーリスクに直面した際に発生する損害を補償するための保険です。具体的には、損害賠償費用、訴訟費用、インシデント対応費用などが含まれます。サイバー保険は大きく分けて、一般的なサイバーリスクに対応するものと、個人情報漏えいに対応する二種類があります。保険を活用することで、サイバー攻撃による経済的な負担を軽減できますが、保険がカバーする範囲と自社の責任範囲を明確にしておくことが重要です。また、身代金は基本的に補償対象外となります。

最後にこのセクションを総括します。

このセクションの全体像を概観します。このセクションは、「初動対応」と「対応・復旧」の２つのパートで構成されています。具体的には、インシデントの検知からトリアージ、対応体制の構築、専門機関への相談、外部機関への報告・公表、そして被害の拡大防止、原因の特定と対処、証拠保全、復旧作業、最終報、再発防止策に至るまで、各ステップの流れを詳細な解説の前に把握します。

受講者は、どのような経路でインシデントにつながるイベントが認知されるかを学びます。一つ目として、セキュリティツール（SIEMやEDR）によって、不審な振る舞いや不正侵入の検知される場合、2つ目として、社内での暗号化されたファイルやランサムノートの発見され通報がある場合です。外部から通報を受けることもあります。

また、内部通報窓口の事前設定と周知の重要性、外部通報窓口の適切な公開手順についての知識も習得します。

受講者はトリアージの概念を理解します。アラート分析や発見者へのヒアリングを通じて、インシデントの全容を正確に把握し、誤検知や軽微な事象を適切に判断し無駄なリソース消費を避けます。最終的には、緊急度と重要度に基づいてインシデントの優先順位を決定し、全組織的な対応が必要なケースと個別対応で済むケースを区別できるようにします。

受講者は、インシデント発生時に経営層が迅速に、CISO主導のもとCSIRTを中心とする社内対応体制を構築する重要性を理解します。ステークホルダーへの適切な情報共有や、社内外のコミュニケーションを可能とする体制を確立します。また、対応計画の策定と進捗管理、想定問答集の作成がカギになることを学びます。

ランサムウェア攻撃の高度な手法に対し、自社だけで対応することは困難であり、専門機関へ早期に相談することの重要性を学びます。攻撃の技術情報やランサムノートの内容などを収集し、迅速に専門家へ提供することで、攻撃の種類や侵入経路を特定しやすくなります。また、外部専門機関による被害調査の重要性やその利点を理解します。

外部機関への報告は、法令や告示に基づくものと自発的に行うものの2種類があり、それぞれのポイントを学びます。法令や告示に基づく報告や公表には、警察、IPA、所管省庁、個人情報保護委員会あてに行うものがあることを確認します。加えて、自発的に行う報告や公表については、取引先への報告の重要性、一般社会への公表タイミングの判断基準、さらには公表内容の具体例について学びます。

被害の拡大防止を行うことで、インシデント初期段階で被害の最小化を図ることを学びます。データ窃取・暗号化の前後によって対応が異なり、それぞれの場合の対応について解説します。データ窃取・暗号化前の場合は、機器のネットワークからの切り離し、侵害されたアカウントの変更、他拠点ネットワークのアクセス制御などを行います。

他方、データ窃取・暗号化後の場合、バックアップデータを保全することを最優先に行います。

原因の特定と対処では、まず疑わしい侵入経路を推定し、その経路に対して対策を施すという過程を経ます。ただし、このとき再侵入による攻撃を受ける可能性に留意し、状況の観察を怠らないことが重要です。

侵入経路推定にあたっては、侵害が深刻でログが利用できないときは、典型的な侵入経路（VPN等）からアプローチし、侵害範囲が限定的なときは、その侵害痕跡からアプローチします。

侵入経路への対処については、主にパスワードの変更、多要素認証の導入、設定不備の修正、脆弱性への対応などを実施します。

このレクチャーでは、証拠保全の重要性を学びます。侵害の原因の究明、訴訟されたときの証拠、サイバー保険の請求、犯罪捜査への対応など幅広く利用されます。侵害痕跡は消失しやすいので、慎重に専門機関と相談しつつ進めることが推奨されます。

復旧作業については、再侵入に備えて侵害経路への対処をしっかり行ったこと、証拠保全を行ったことを確認の上、進めます。実際のところ、システムの復旧には時間がかかることが多いので、事業継続計画を発動し、手作業などによる事業継続を検討します。

暗号化されたファイルは、復号鍵無しでは復号することが難しいので、バックアップからの復旧を目指します。

復旧後は、再侵入されたり、未だに攻撃者が侵入中である場合に備えて、動作ログの分析などを行って監視を継続します。

身代金の支払いは、リスクが多様にあり推奨されません。ただし、最終的にどうするかは経営判断となります。

第１報ではインシデントの状態がはっきりしていないことが多いので、第２報以降、調査の進展に応じて追加情報を公表します。最終報では、被害者への補償、再発防止策、法的措置、今後の問い合わせなどを伝え、透明性と信頼を確保するよう努めます。

インシデントから復旧後は、報告書として整理し、経営層やステークホルダーに報告します。また、再発防止策として、セキュリティポリシーの見直し、セキュリティ予算と人員の確保、社員教育などを、得られた教訓をもとに実施してきます。

最後にこのセクションを総括します。

受講者は、各セクションで学んだことを振り返り、確実に知識をつけたことを確認します。また、今後のランサムウェアの動向の変化について紹介し、それに伴う対策について解説します。具体的には、侵害前でなく侵害後の対策に力点をシフトさせること、境界防御モデルからゼロトラストモデルに移行していくことを想定した中長期的な対策が必要であることです。