無料会員登録
ランサムウェア対策というと、ウイルス対策ソフトによるフルスキャンを思い浮かべる方も少なくありません。しかし、定期スキャンだけでは、新種や改変されたランサムウェア、ファイルレス攻撃、正規ツールを悪用した横展開などを十分に捉えられない場合があります。
ランサムウェアを早期に検知するには、既知マルウェアを探すシグネチャスキャンだけでなく、大量のファイル変更、シャドーコピー削除、管理者権限の取得、SMB経由の横展開、バックアップ破壊などの「振る舞い」を監視することが重要です。
また、近年のランサムウェアでは暗号化前にデータを窃取し、公開をちらつかせて身代金を要求する二重恐喝型もあります。そのため、暗号化だけを監視するのではなく、侵入・横展開・情報持ち出しまで検知する必要があります。
そこで本記事では、ランサムウェアを検知する主なスキャン方式、感染時に現れやすい兆候、AV・EDR・SIEM・バックアップ監視の実装ポイント、検知後の初動対応、フォレンジック調査で侵入経路や被害範囲を確認する方法までを解説します。
ランサムウェアを検知する主なスキャン方式
ランサムウェアの検知方法には複数の方式があり、それぞれ得意な攻撃や限界が異なります。実務では、一つの方式だけに依存せず、複数の検知手段を組み合わせることが重要です。
シグネチャスキャン
シグネチャスキャンは、既知のランサムウェアに一致するファイルハッシュやコードパターン、悪性ドメイン、IPアドレスなどを照合して検出する方式です。
既知の脅威を高速に検知でき、比較的誤検知も少ない一方、新種や改変されたランサムウェア、ファイルを残さない攻撃には弱いという限界があります。
ヒューリスティック検知
ヒューリスティック検知は、不審なコード構造や実行パターンなどから、未知のマルウェアを推測して検知する方式です。
既知シグネチャに完全一致しない亜種にも対応しやすい一方、通常のソフトウェアを誤って不審と判定することもあるため、運用時の調整が必要です。
EDRによる振る舞い検知
EDRでは、短時間で大量のファイルを書き換える、拡張子を変更する、シャドーコピーを削除するといった端末上の振る舞いを監視します。
ランサムウェア本体の種類を知らなくても、暗号化に特徴的な操作から攻撃を捉えられる点が強みです。
ただし、検知するまでに一部のファイルがすでに暗号化される可能性もあるため、自動隔離やプロセス停止などと組み合わせることが重要です。
SIEM・NDRによる異常検知
SIEMやNDRでは、端末単体ではなく、認証、ネットワーク、DNS、VPN、プロキシなど複数のログを横断して異常を検知します。
異常な管理者ログイン、複数端末への横展開、大量データの外部送信、C2通信など、暗号化前の攻撃段階を捉えやすくなります。
バックアップスキャン
バックアップ監視では、バックアップデータ内の暗号化、異常な変更、世代削除などを確認します。
本番環境への攻撃を即座に止める用途には向きませんが、どの復元ポイントまで安全なのかを判断するうえで重要です。
フルスキャンだけで「感染なし」と判断しない
ウイルス対策ソフトのフルスキャンは重要ですが、結果が正常だったというだけでランサムウェア侵害がなかったことを証明できるわけではありません。
正規ツールを悪用した攻撃や侵害後の横展開では、マルウェアファイルそのものが見つからない場合もあります。
ランサムウェア感染で監視すべき主な兆候
ランサムウェアは、暗号化が始まる前からさまざまな痕跡を残すことがあります。大量ファイル変更だけでなく、復旧機能の停止や横展開、外部通信なども高優先度で監視します。
大量のファイル変更・リネーム・削除
単一のプロセスやアカウントが、短時間に大量のファイルを作成・更新・リネーム・削除している場合は注意が必要です。
未知の拡張子への一斉変更、高エントロピー化したファイルの急増、同じ内容の身代金要求メモが大量に作成される場合も、ランサムウェア特有の兆候です。
シャドーコピーやバックアップの削除
ランサムウェアは、被害者が自力で復旧できないように、Windowsのシャドーコピーやバックアップを削除・停止しようとすることがあります。
vssadmin、wbadmin、bcdeditなどが通常とは異なるタイミングで実行されている場合は、関連する親プロセスや実行ユーザーも確認します。
管理者権限の取得やサービス作成
攻撃者が組織全体へランサムウェアを展開するために、管理者権限を取得し、新しいサービスやScheduled Taskを作成する場合があります。
GPOの変更や、新たな特権アカウントの追加なども監視対象になります。
SMB・RDP・WinRMなどを使った横展開
一つの端末から多数の端末へSMB書き込みが行われたり、管理共有、PsExec、WMI、WinRM、RDPなどが急増したりする場合は横展開を疑います。
通常の管理作業と区別するため、普段の管理経路や利用時間帯をベースラインとして把握しておくことが重要です。
大量データの外部送信
近年のランサムウェアでは、暗号化の前にデータを窃取し、「公開されたくなければ支払え」と脅迫する二重恐喝型もあります。
普段利用していない宛先への大容量通信、クラウドストレージへの大量アップロードなどは高優先度で確認する必要があります。
暗号化が始まる前の兆候を検知する
ランサムウェア対策では、ファイルが暗号化されてから気づくのでは遅い場合があります。
不審な認証、特権取得、横展開、バックアップ停止、データ持ち出しといった攻撃の前段階から検知することが重要です。
エンドポイントで実施したいランサムウェア検知対策
PCやサーバーでは、ウイルス対策ソフトのリアルタイム保護だけでなく、EDRによる振る舞い監視やスクリプト実行の可視化を組み合わせます。
AV・EDRを最新状態に保つ
リアルタイム保護を有効化し、定義ファイル、EDRエージェント、OSなどを継続的に更新します。
定期フルスキャンも実施しますが、「スキャンで何も見つからなかった」だけで安全と判断しないことが重要です。
振る舞い検知と自動隔離を有効にする
EDRのランサムウェア保護、疑わしいプロセスの停止、端末のネットワーク隔離などを有効にします。
暗号化や横展開を検知した際に、自動で端末を隔離できる構成にすると被害拡大を抑えやすくなります。
PowerShellやLOLBinの実行を監視する
ランサムウェア攻撃では、PowerShellやWMIなど、OS標準の正規ツールが悪用される場合があります。
Office、ブラウザ、スクリプト、PowerShellなどの実行テレメトリを収集し、通常とは異なる挙動を確認できる状態にしておきます。
改ざん防止やASRルールを検討する
Windows環境では、Tamper ProtectionやASRルール、Controlled Folder Accessなどの利用も検討します。
ただし、業務アプリへの影響が出る可能性があるため、事前検証を行ったうえで段階的に適用します。
ID・ネットワークでランサムウェアを検知する方法
ランサムウェアは、侵入後にADやVPNを利用して組織内へ横展開することがあります。端末だけでなく、認証とネットワークのログを監視することが重要です。
ADの特権変更や異常ログオンを監視する
Domain Adminsなどの特権グループへの追加、サービスアカウントの不審利用、多数端末への短時間ログオンなどを監視します。
VPN・DNS・FWなどのログを集約する
VPN、ファイアウォール、DNS、Proxy、EDR、Windows Security Event Log、AD監査ログなどをSIEMへ集約します。
複数のログを相関することで、単一ログでは見えにくい攻撃の流れを把握しやすくなります。
管理用プロトコルの異常利用を検知する
SMB、RDP、WinRM、WMIなどについて、普段利用しない端末間で急増していないか確認します。
管理者アカウントを分離する
管理者アカウントを日常業務で常用せず、通常アカウントと管理用アカウントを分離します。
管理者認証にはMFAを適用し、侵害された一般アカウントから特権へ到達しにくい構成にします。
バックアップ側でランサムウェアを検知する方法
ランサムウェアは、本番データだけでなくバックアップも破壊しようとすることがあります。復旧可能性を確保するためには、バックアップ側の監視も欠かせません。
バックアップ失敗や世代削除を監視する
バックアップジョブの停止や失敗、保存世代の大量削除などを高優先度でアラート化します。
イミュータブル設定の変更を監視する
不変バックアップの保持期間変更や保護設定の無効化などは、復旧性を直接損なう操作です。
管理操作ログを残し、通常とは異なる変更を即座に検知できるようにします。
暗号化・変更率の異常を検知する
ファイルサーバーでは、一定時間内のファイル変更率、削除率、拡張子変更率などを監視します。
異常な変化を検知した場合は、共有書き込みを一時停止するなどの仕組みを検討します。
安全な復元ポイントを確認できる状態にする
バックアップ内にもランサムウェアによる変更が含まれている場合、直近バックアップをそのまま戻すと再侵害につながる可能性があります。
感染時点より前の正常な復元ポイントを特定できる状態にしておくことが重要です。
- AVのリアルタイム保護を有効にします。
- EDRで大量暗号化や不審プロセスを監視します。
- SIEMで認証異常や横展開を監視します。
- バックアップの削除・停止・変更を監視します。
- オフラインまたはイミュータブルバックアップを確保します。
ランサムウェアをスキャンで検知した場合の対処法
ランサムウェアや関連する不審ファイルを検知した場合は、検出物を削除するだけで対応を終えないことが重要です。同じ認証情報や管理経路を使って、すでに他端末へ侵入されている可能性があります。
対象端末をネットワークから隔離する
ランサムウェアを検知した端末は、EDRの隔離機能などを使ってネットワークから切り離します。
電源断を行うとメモリ上の情報や実行中プロセス、通信先などの情報が失われることがあるため、組織のインシデント対応手順に従って判断します。
該当アカウントや通信経路を封じ込める
侵害された可能性があるアカウントを無効化し、必要に応じて資格情報をローテーションします。
不審な通信先が判明している場合は、FWやProxyなどで遮断します。
実行ファイル・ログ・通信情報を保全する
実行ファイル、親子プロセス、コマンドライン、永続化、認証ログ、通信先、変更されたファイル一覧などを保存します。
後から侵入経路や影響範囲を確認するための重要な証拠になります。
他端末・サーバーへハンティングを展開する
同じIoC、同じアカウント、同じ管理経路を使用したアクセスが他端末でも発生していないか確認します。
端末一台でランサムウェアが検知された場合でも、すでにサーバー、AD、バックアップ基盤などへ横展開されている可能性があります。
復号・削除・再起動を急がない
影響範囲や侵入経路を確認する前に、不審ファイルを大量削除したり、端末を初期化したり、バックアップを上書きしたりすることは避けます。
証拠を失うと、攻撃者がどこまで侵入したのか確認できなくなる可能性があります。
- 対象端末をネットワーク隔離します。
- 侵害された可能性があるアカウントを停止します。
- EDR・Windows・認証・通信ログを保全します。
- 同じIoCやアカウントを使った他端末への侵害を確認します。
- バックアップ基盤への影響を確認します。
- 侵入経路と影響範囲を確認してから復旧へ進みます。
スキャンでランサムウェアが一つ見つかった場合でも、それが感染全体の一部にすぎない可能性があります。検知したファイルだけを削除すると、横展開や情報窃取を見落とす恐れがあります。
ランサムウェアの感染・被害範囲をフォレンジック調査で確認する方法
ランサムウェアが検知された場合、重要なのは「どのマルウェアだったか」だけではありません。いつ侵入し、どのアカウントを利用し、どの端末・サーバーへ横展開し、データを外部へ持ち出した可能性があるのかを確認する必要があります。
ランサムウェアの侵入経路
EDR、認証ログ、VPN、メール、Webアクセスなどを確認し、フィッシング、脆弱性、不正ログインなど、どこから侵入した可能性があるのかを整理します。
暗号化・横展開の範囲
端末やサーバーのログを時系列で確認し、どのシステムへ接続し、どのファイルを暗号化したのかを調査します。
SMB、RDP、WinRM、WMIなどを利用した横展開の有無も確認します。
情報窃取・外部送信の有無
二重恐喝型の可能性がある場合は、暗号化前に大量データが外部へ送信されていないか確認します。
Proxy、FW、DNS、EDRなどのログを組み合わせ、通信先や送信量を整理します。
バックアップや復旧環境への影響
バックアップ基盤へ攻撃者がアクセスし、世代削除や設定変更を行っていないか確認します。
安全な復元ポイントを判断するためにも、侵害時刻とバックアップの状態を照合することが重要です。
ランサムウェア調査をフォレンジック調査会社に相談する
ランサムウェアが検知された場合、AVやEDRで対象ファイルを隔離できても、侵入経路や横展開、情報窃取まで把握できているとは限りません。
特に、複数端末で不審な挙動がある、ADやVPNの認証異常がある、バックアップへ不審なアクセスがある場合は、端末単体ではなく組織全体を横断して調査する必要があります。
ログの削除や端末初期化、バックアップ上書きを先に行うと、侵入経路や流出範囲を確認できなくなる恐れがあります。感染が疑われる場合は、証拠を保全した状態でフォレンジック調査会社へ相談することをおすすめします。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
ランサムウェアの検知では、ウイルス対策ソフトによるシグネチャスキャンだけでなく、EDRによる振る舞い検知、SIEM・NDRによる認証・横展開監視、バックアップ側の異常検知を組み合わせることが重要です。
特に、大量ファイル変更、シャドーコピー削除、管理者権限取得、SMB・RDP・WinRMなどを使った横展開、大容量の外部通信は、ランサムウェア攻撃を早期に捉える重要な兆候になります。
また、ランサムウェアをスキャンで検知した場合は、検出されたファイルだけを削除して対応を終えないことが重要です。対象端末を隔離し、ログや実行痕跡を保全したうえで、他端末、AD、VPN、バックアップ基盤への影響を確認してください。侵入経路や被害範囲が判断できない場合は、フォレンジック調査による確認を検討することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
