Azure でのランサムウェア対策

ランサムウェアや恐喝は高利益で低コストのビジネスであり、標的組織、国家または地域の安全保障、経済的安全保障、公衆衛生と安全に深刻な影響を及ぼします。 PC をターゲットにした単純な構造の単一のランサムウェアが成長し、あらゆる種類の企業ネットワークとクラウド プラットフォームを狙ったさまざまな脅迫の手法が導入されています。

ヒント

この記事では、Azure 固有のランサムウェア保護について説明します。 すべての Microsoft プラットフォームの包括的なガイダンスについては、「 ランサムウェアや強要から組織を保護する」を参照してください。

Azure上で動作するワークロードをランサムウェア攻撃から守るために、Microsoftはクラウドプラットフォームのセキュリティに多大な投資を行い、Azureクラウドワークロードを保護するためのセキュリティコントロールを提供しています。

Azureネイティブのランサムウェア保護を使い、この記事で推奨されているベストプラクティスを実践することで、組織がAzure資産に対する潜在的なランサムウェア攻撃を防止・保護・検出するための対策を講じることができます。

この記事では、ランサムウェア攻撃に対するAzureネイティブの主要な機能と防御策、そしてこれらの機能を積極的に活用してAzure上の資産を保護するためのガイダンスについて説明します。

攻撃者がAzureクラウドリソースを標的にする方法

クラウド インフラストラクチャを攻撃する場合、敵対者は多くの場合、顧客データまたは企業の機密情報へのアクセスを試みるために複数のリソースを攻撃します。 クラウド キルチェーン モデルは、攻撃者がパブリッククラウド上で稼働しているリソースへのアクセスを4段階のプロセス(露出、アクセス、横移動、アクション)から取得しようとする方法を説明しています。

  1. 露出段階では、攻撃者はインフラへのアクセス機会を探します。 たとえば、攻撃者は、正当なユーザーがアクセスできるように、顧客向けアプリケーションが開いている必要があることを把握しています。 これらのアプリケーションはインターネットにさらされているため、攻撃を受けやすいのです。
  2. 攻撃者は、公開を悪用して、パブリック クラウド インフラストラクチャにアクセスしようとします。 攻撃者は、侵害されたユーザー認証情報、侵害されたインスタンス、誤設定されたリソースを通じてアクセスを得ることができます。
  3. 「横断的侵害」段階では、攻撃者はアクセスできるリソースとそのアクセスの範囲を特定します。 インスタンスへの攻撃が成功すると、攻撃者はデータベースやその他の機密情報にアクセスできるようになります。 次に、攻撃者はその他の資格情報を検索します。 Microsoft Defender for Cloudのデータによると、攻撃を迅速に通知するセキュリティツールがなければ、組織が侵害を発見するのに平均して101日かかります。 一方で、侵害から24〜48時間以内に攻撃者はネットワークを完全に掌握することが多いです。
  4. 攻撃者が横移動後に取る行動は、横移動フェーズでアクセスした資源に大きく依存します。 攻撃者はデータの流出、データ損失、その他の攻撃を引き起こす行動を取ることができます。 データ損失における企業の平均的な財務的影響は現在、123 万ドルに達しています。

クラウドインフラの4つの攻撃段階(エクスポージャー、アクセス、横移動、アクション)を示すフローチャート。

Azure 固有の攻撃ベクトル

Azure 環境をターゲットにしている場合、ランサムウェア攻撃者は多くの場合、以下を悪用します。

  • Azureリソースの誤設定:アクセス制御が弱い公開されているストレージアカウント、データベース、仮想マシン。
  • Azureの認証情報が侵害された場合:Microsoft Entra IDのアカウント、サービスプリンシパル、または管理されたIDが盗まれ、Azureリソースへのアクセスを提供します。
  • 脆弱なAzure VM:パッチ未修正の仮想マシンで、リモート デスクトップ Protocol(RDP)またはSSHを通じてアクセス可能。
  • ネットワークセキュリティの弱さ:不適切に設定されたネットワークセキュリティグループ(NSG)やAzure Firewallルール。
  • バックアップ保護の不十分:Azure Backupの設定が不変性やMFA保護を欠いている場合。
  • IDセキュリティの不備:多要素認証や条件付きアクセスポリシーのないMicrosoft Entra IDアカウント。

Microsoft Defender for Cloud は、Azure 環境でこれらの脆弱性を継続的に監視します。 攻撃手法と防御戦略に関する包括的なガイダンスについては、「ランサムウェアとは」を参照してください。

ランサムウェアに対する Azure ネイティブ保護

Azure には、攻撃ライフサイクルのすべての段階でランサムウェア攻撃から防御する組み込みの機能が用意されています。 身代金支払いに対する最善の防御策は、Azureのセキュリティツールを活用して予防策を実施し、影響を受けた資産を迅速に回収してビジネス運営を迅速に回復することです。

Azure ネイティブ保護機能の主な機能は次のとおりです。

  • Microsoft Defender for Cloud - Azureワークロード向けの脅威検出・対応(XDR)を提供し、ランサムウェア特有の検出機能を備えています。
  • Azure Backup - ソフト削除とMFA保護を備えた不可変バックアップを提供し、回復オプションを確保します。
  • Azure Firewall Premium - ランサムウェアのコマンド アンド コントロール (C&C) 通信を検出してブロックする IDPS が含まれています。
  • Microsoft Entra ID 保護 - Azureリソースを標的とした認証情報の盗難や疑わしい認証パターンを検出します。
  • Azure Policy - Azureリソース全体でセキュリティ設定とコンプライアンスを強制します。
  • Microsoft Sentinel - ランサムウェア特有の検出分析を備えたSIEM/SOAR機能を提供します。

ランサムウェアの保護、検出、対応に役立つ Azure 機能の詳細については、保護、検出、対応に 役立つ Azure の機能とリソースに関するページを参照してください。

次の手順

Azure 固有のランサムウェア保護ガイダンスに進みます。

  • Last updated on