ランサムウェア攻撃の検出と対応

この記事では、ランサムウェア攻撃を検出して対応するための Azure 固有のガイダンスを提供します。

ヒント

この記事では、Azure 固有の検出と対応について説明します。 包括的なガイダンスについては、「 ランサムウェアや強要から組織を保護する」を参照してください。

通常、ランサムウェア インシデントには、セキュリティ チームが識別できる個別の警告兆候が表示されます。 他のマルウェアの種類とは異なり、ランサムウェアは通常、インシデントを宣言する前に最小限の調査を必要とする非常に明らかなインジケーターを生成します。 これらの信頼度の高いトリガーは、エスカレーションの前に広範な分析を必要とする、より微妙な脅威とは対照的です。 ランサムウェアが攻撃したとき、証拠は多くの場合、明白です。

ランサムウェア攻撃の検出

Microsoft Defender for Cloud は、Azure リソースに対して高品質の脅威検出と対応機能 (拡張検出と応答 (XDR) とも呼ばれます) を提供します。

Azure VM、SQLサーバー、ウェブアプリケーション、そしてAzure環境における一般的な攻撃の迅速な検出と修復を確実にしてください。

  • 一般的な侵入ポイントを優先する:ランサムウェアの運営者はエンドポイント、メール、アイデンティティ、リモート デスクトップ Protocol(RDP)からの侵入ポイントを優先します。
    • 統合XDR:Microsoft Defender for Cloudのような統合拡張検知・応答(XDR)ツールを用いて、Azureリソース向けの高品質なアラートを提供し、対応中の摩擦や手動作業を最小限に抑えます。
    • ブルートフォース:パスワードスプレーのようなブルートフォースをAzureリソースに使う試みを監視します。
  • 敵対者がセキュリティを無効化しているか監視する:敵対者は人間操作のランサムウェア攻撃連鎖の一部としてセキュリティを無効化することが多いです。
  • イベントログのクリアを監視する:Azure VM上のセキュリティイベントログとPowerShellの運用ログクリアを監視します。
    • セキュリティツールやコントロールの無効化:一部のグループに関連するセキュリティツールやコントロールの無効化を監視します。
  • 一般的なマルウェアを無視しないでください:ランサムウェア攻撃者は定期的にダークマーケットからターゲット組織へのアクセスを購入します。
  • 外部の専門家を統合する:Microsoftのインシデントレスポンスチームなど、専門知識を補完するために外部の専門家をプロセスに統合しましょう。
  • 侵害されたAzure VMを迅速に分離:Defender for Endpointを使って侵害されたAzure VMを迅速に分離します。

ランサムウェア攻撃への対応

インシデントの宣言

ランサムウェア感染が確認された後、アナリストはそれが新たなインシデントか既存のインシデントに関連しているかを検証すべきです。 現在開かれているチケットの中で、類似したインシデントを示すものを探します。 その場合は、チケットシステム内の現在のインシデントチケットを新しい情報で更新します。 新しいインシデントの場合は、関連するチケットシステムでインシデントを宣言し、適切なチームやプロバイダーにエスカレーションしてインシデントの封じ込めと緩和を図りましょう。 ランサムウェアのインシデント管理には複数のITおよびセキュリティチームによる対応が必要になることがあります。 可能であれば、ワークフローを適切に進められるよう、チケット上でそのインシデントがランサムウェアであることを明確に示してください。

封じ込めと緩和策

一般的に、既知のランサムウェアを自動的に封じ込め・軽減するために、さまざまなサーバーやエンドポイントのアンチマルウェア、メールアンチマルウェア、ネットワーク保護ソリューションを設定しましょう。 特定のランサムウェアのバリアントはこれらの防御を回避し、ターゲットシステムに感染させることに成功する可能性があります。

Microsoft では、Azure のセキュリティに関する上位のベスト プラクティスに基づいて、インシデント対応プロセスの更新に役立つ広範なリソースを提供しています。

アンチマルウェアシステムによる自動対応が失敗した場合、ランサムウェア関連の宣言されたインシデントを封じ込めたり緩和したりするために、以下の推奨行動を取ってください。

  1. 標準的なサポートプロセスを通じてアンチマルウェアベンダーと連携しましょう。
  2. マルウェアに関連するハッシュやその他の情報を手動でアンチマルウェアシステムに追加してください。
  3. アンチマルウェアベンダーのアップデートを適用してください。
  4. 影響を受けたシステムを修復するまで封じ込めてください。
  5. 侵害されたアカウントを無効化してください。
  6. 根本原因分析を行いましょう。
  7. 影響を受けるシステムに関連するパッチと構成の変更を適用します。
  8. 内部および外部の管理を用いてランサムウェア通信をブロックしましょう。
  9. キャッシュコンテンツを一掃してください。

回復のための行程

Microsoft インシデント対応チームは、攻撃からユーザーを保護するのに役立ちます。

侵害を引き起こした根本的なセキュリティ問題の理解と修正は、ランサムウェアの標的にとって優先すべき課題です。

Microsoft インシデント応答など、外部の専門家をプロセスに統合して専門知識を補完します。 Microsoft Incident Responseは世界中の組織と連携し、攻撃発生前にAzure環境を保護・強化し、攻撃が発生した際に調査・修復を行います。

Microsoft Defenderポータルから直接Microsoftのセキュリティ専門家と連携し、迅速かつ正確な対応を受けることができます。 専門家は、アラート問い合わせ、潜在的に侵害されたデバイス、疑わしいネットワーク接続の根本原因から、進行中の高度な持続的脅威キャンペーンに関する追加の脅威情報まで、組織に影響を与える複雑な脅威をより深く理解するための洞察を提供します。

Microsoft は、会社が安全な業務に戻ることができるように支援する準備ができています。

Microsoft は、何百ものセキュリティ侵害からの回復を実行し、実証済みの方法論を持っています。 この方法論は、より安定した立場に到達し、状況に反応するだけでなく長期的な戦略を考えるのに役立ちます。

Microsoft では、高速ランサムウェア復旧サービスを提供しています。 これらのサービスは、アイデンティティサービスの復元、修復と強化、ランサムウェア攻撃の標的ができるだけ短期間で通常業務に復帰できるよう支援する展開監視などの支援を提供します。

Microsoftは、迅速なランサムウェア復旧サービスを交渉期間中は機密扱いとみなしています。 Microsoftのインシデントレスポンスチームは、ラピッドランサムウェア復旧の業務のみを担当しています。 詳細については、Microsoftインシデントレスポンスまでお問い合わせください。

次は何ですか

すべての Microsoft プラットフォームとサービスにわたる包括的なランサムウェア保護ガイダンスについては、「 ランサムウェアや強要から組織を保護する」を参照してください。

その他の Azure ランサムウェアに関する記事:

  • Last updated on