Chapter 1
悪質化に歯止めがかからないランサムウエア攻撃

データの暗号化や破壊によって、ビジネス継続を危うくする危険性が高いランサムウエア攻撃。現在も継続的に行われており、数多くの被害が発生しているが、その実態や取り巻く環境には大きな変化が生じている。

1つ目に注目したいのが、脅迫手法の「多重化」だ。従来のように、データを暗号化して「データを元に戻したければ身代金を払え」といったシンプルな手法から一歩進み、事前に窃取した情報の暴露を盾にする「二重脅迫（ダブルエクストーション）」が定着しているのだ。さらに最近では、交渉に応じない組織に対してDDoS攻撃を仕掛けたり、顧客や関係者に直接連絡して支払いを促すよう圧力をかける「多重脅迫」へとエスカレートしている。

2つ目は、攻撃者と被害組織の「小粒化」である。ランサムギャングの数は激増し、中堅・小規模なグループが攻撃全体に占める割合が増えている。全体のリーク件数（攻撃件数）は右肩上がりであるのに対し、身代金の総支払い額は減少傾向にある。これは、強固な対策を講じ得る大企業だけではなく、予算やリソースが限られた中小組織を狙う「薄利多売」の構造が進んでいるためだと考えられる。

そして3つ目は、攻撃プロセスの分業化だ。システムの初期侵入経路だけを特定して販売する「IAB（イニシャルアクセスブローカー）」などの専門職種が現れ、エコシステムが確立したことで、高度なスキルを持たない攻撃者でも容易に参入できるようになり、脅威の裾野が急激に広がっている。また分業化が進んだ結果、特定のランサムギャングを摘発してもほかのランサムギャングがその代わりを務めることが容易になっており、根本的な解決が難しくなっていることにも留意すべきだろう。

Chapter 2
初期段階でバックアップを狙う攻撃が定石化

「さらにもう1つ注目したいのが、バックアップシステムへの攻撃が確認されるケースが増えていることです」と指摘するのは、デル・テクノロジーズでグローバル サイバー レジリエンス アーキテクトを務めるジェフ・キレン氏だ。デル・テクノロジーズのインシデント対応・復旧（IRR）サービスのメンバーとして過去、約30社のインシデント復旧を支援してきた人物だ。20年以上にわたってアーキテクチャや運用の設計、技術実装に携わった経験を持ち、そこから得られた知見を中小企業から各業界の大企業、防衛分野に至るまで、多岐にわたる顧客のセキュリティー強化に生かしている。

「私が復旧を支援した被害では、すべてのケースでバックアップが攻撃対象となっていました。また攻撃者が内部に侵入したあと、次の水平展開を開始するまでに要した時間は、平均でわずか62分だったことも分かっています。例えば欧州の大手金融機関では、データ侵害分析では異常を検知できない速度感で攻撃が進められ、1400ものワークロードがわずか37分で喪失。この攻撃でも初期段階からバックアップが狙われていました」

このほかにも図1に示すように、破壊的なサイバーインシデントが複数発生していたとキレン氏は指摘する。しかもこれらの企業はすべて、セキュリティー対策が徹底されていたにもかかわらず莫大な被害を被っており、復旧までにかかった時間も長期化していたという。なお、キレン氏による事例解説については、ページ末尾の「関連リンク」内の動画より視聴いただきたい。

Chapter 3
システム復旧に必要な5つのステップ

セキュリティー対策を徹底していても被害を受けるのであれば、事業継続で重要なのは「いかにして迅速かつ確実に復旧させるか」になる。

では、実際にランサムウエア攻撃を受けた際、組織はどのような手順で復旧を進めるべきなのか。キレン氏は「事業復旧には大きく5つのステップが必要になる」と説明する。

まず第1ステップは、重要サービスの優先順位を付けること。すべてを短時間で復旧させることは困難であるため、最重要かつ最小限の事業機能を特定し、これを優先的に復旧させるのだ。

「復旧プロセスには必ず物理的・時間的な制約が発生するため、まずは最も収益や顧客サービスに直結する重要サービスを選び抜かなければなりません。平時からビジネス部門と連携して自社のコアサービスを明確にし、その背後にあるアプリケーションやデータ、インフラ、さらにはユーザーのアクセス経路に至る依存関係を事前にマッピングして把握しておくことが、復旧時間を短縮する最大のカギになります」（キレン氏）

第2ステップは、有効かつ復旧に利用可能な「実効性のあるソース」の確保だ。このようなソースが多いほど、その後の復旧の選択肢が増えることになるが、まずは暗号化や破壊の影響を受けていない「利用可能な復旧元（Viable Recovery Source）」を確保する必要がある。さらに実際に利用する前には、そのデータが安全かどうかを検証しなければならない。

第3ステップは有効かつ復旧に利用可能な「実効性のあるターゲット（復旧先）」の確保である。クリーンデータを確保しても、その復旧先が感染したままでは意味がない。復旧先の安全性も担保できていなければならない。

第4ステップは、復旧した環境の「安全性」の検証である。再構築した環境に残存脅威がないことを最終確認するわけだ。

そして最後の第5ステップが、「サービスの再開」だ。サービスを本番稼働させ、ユーザーが再利用できる状態に戻すのである。

「この5つのステップは、事業復旧を達成するために必須のステップです。これらの活動を支える上で、技術的に不可欠になるのがステップ2と3です。これらを可能にする仕組みの確立が、前提条件になっているのです」とキレン氏は語る。

Chapter 4
レベル差が大きい「イミュータビリティ」

第2ステップの「実効性のあるソースの確保」で必要なのが、データのバックアップであることは言うまでもない。しかしバックアップデータが存在するだけでは不十分だ。

これは、キレン氏が紹介した複数のサイバーインシデントを見ても明らかだ。すべての事例において、初期段階からバックアップデータが標的にされていた。たとえバックアップデータが存在していても、それが既に攻撃されていれば、復旧に使うことはできない。

ここで重要になってくるのが「イミュータビリティ（不変性）」というコンセプトだ。これは、一度書き込まれたデータを変更・削除できない状態に保つ「不変性（Immutability）」の考え方である。復旧時に利用できるクリーンなデータを確保する基盤技術として位置付けられる。

「最近ではこのような『イミュータビリティ』を標榜するベンダーや製品も数多く登場しています」と語るのは、デル・テクノロジーズの西賴 大樹氏。しかしここで注意すべきなのが、イミュータビリティには「レベル」が存在することだと指摘する。つまり一口に「イミュータビリティ機能」と言っても、その強度や防御できる範囲には「グラデーション（レベルの差）」が存在することを理解しなければならない。

その中でも最もレベルが低いのは、運用上の削除を防止するイミュータビリティ機能。これは誤削除などのオペレーターの操作ミスを防止するものであり、レベル1のイミュータビリティに位置付けられる。

レベル2は、特権管理者によるアクセス権でも上書きが不可能、というものだ。ただし、このようなイミュータビリティ機能のほとんどはソフトウエアで実現されており、デバイスレベルへの攻撃には対処できない。

例えば、特権管理者の権限で行われた削除が拒否されても、ファイルシステム自体を再マウントすることで装置内のデータを物理的に破壊する、という抜け道が存在するという。つまりソフトウエア制御の隙を突くことで、バイパスされる危険性があるわけだ。

また「攻撃者のゴールはデータソースを使えないようにすることであり、必ずしもデータを削除する必要はありません」とキレン氏は説く。削除できなければデバイスそのものを狙ってくるのだという。

Chapter 5
なぜ「イミュータブル」だけでは守れないのか

「このようにイミュータビリティ＝不変性というのは、必ずしも破られないことを意味しません。レベル2程度のイミュータビリティだけでは、現在の巧妙化した攻撃を防ぎきることはできないでしょう。いま必要なのはデバイス保証を含むレベル4相当のイミュータビリティです」（西賴氏）

レベル4はイミュータビリティの最上位に位置するデータ防御モデル。ソフトウエアの制御ポリシーをバイパスしたデータ侵害や、迂回してハードウエアデバイスから破壊を試みようとする攻撃にも対抗可能だ。

デル・テクノロジーズのバックアップ専用ストレージアプライアンス「PowerProtect Data Domain（以下、Data Domain）」では、「Retention Lock Compliance Edition（リテンション ロック コンプライアンス エディション）」という機能でこのレベル4相当の強靭性を提供。この機能が有効になっている場合、一度データが書き込まれて改ざん防止期間（保持期間）が設定されると、企業のIT管理トップや最高経営責任者、さらにはデル・テクノロジーズのサポートエンジニアであっても、その期間が満了するまでは絶対にデータを変更・消去することができなくなる。設定を上書き・バイパスできる「特権アカウント」自体が存在しないからだ。

また、このような防御策に対して攻撃者がよく使う手法として「システムの時刻変更」や「NTP設定の変更」があるが、これらを防ぐ仕組みも組み込まれている。許可されていない時刻の遡行や大幅な時刻変更は、ブロックされるようになっているのだ。

しかし「このレベル4ですら、システムが現時点で『オンライン状態のまま』取り得る最高強度の防御に過ぎません」と西賴氏。高度な能力を持つAIが軽微な脆弱性をキルチェーンとしてつなぎ合わせ、従来の防御策をバイパスする未知の手口を自動構築できるようになれば、通用しなくなる危険性は常にあると指摘する。そしてこのような事態も視野に入れれば、最重要データについてはレベル4を超える「レベル4＋」防御の適用を視野に入れる必要があると強調する。

Chapter 6
「隔離」で実現できる確実なデータの確保

これを実現するのが「アイソレーション（データ隔離）」だ。重要性の高いバックアップデータを、攻撃可能な領域の「外側に隔離する」のである。これならオンラインの環境がすべて攻撃者に掌握されたとしても、クリーンデータを確保できる。

デル・テクノロジーズではこれを「Cyber Recovery Vault（以下、Vault環境）」によるデータ隔離で実現しているという。具体的には、ネットワークから物理的・論理的に切り離された隔離領域にバックアップデータを安全に保管し、ネットワークへの接続はデータ転送時のみにすることで、攻撃の危険性を最小限に抑えられるようにしている。

「弊社Vault環境の違いは、Data Domainを活用していることです。つまりここに保存されたデータは、単に隔離されているだけではなく、ここでもレベル4相当のイミュータビリティ保護を適用可能です。つまり、イミュータブル（Immutable）とアイソレーション（Isolation）という『2つのI』で保護されているのです」（西賴氏）

デル・テクノロジーズはここに「もう1つのI」も付け加えている。それは「インテリジェンス（Intelligence）」だ。AIを使った専用エンジン「CyberSense」が保管データをスキャンし、ランサムウエアなどによる異常や破損がないかをチェックしているのである。つまりデル・テクノロジーズが提供しているデータ保護は、「3つのI」で実現されているのである。

「実際に攻撃を受けた際には、隔離された不変のデータを、専用エンジンでチェックした上で復旧に利用できます。そのため安全・健全なデータを確実に確保し、迅速に業務システムを復旧できるのです」（西賴氏）

その事例の1つが、がん研究会有明病院のケースだ。このデータ隔離の仕組みを新たに導入したことで、ランサムウエア攻撃に対する電子カルテなど最重要かつ最低限の事業機能についてのステップ2（有効かつ復旧に利用可能なソースの確保）実現だけでなく、次のステップ3へ移るためのデータ復旧がわずか10分間程度で可能になったことが確認されているという。

Chapter 7
最善策は「元通りに復元する」ことではない

ここまで「実効性のあるソース」の確保を、どのように実現するかについて解説してきた。次に重要になるのが「実効性のあるターゲット」の確保だ。ただし、サイバー攻撃からの復旧では、「元通りに戻すこと」自体が必ずしも最善策ではない。侵害前と同じ環境へ戻せば、攻撃者が利用した脆弱性や侵入経路を再び残してしまう可能性があるためだ。

「従来のDRやIT-BCPのセオリー通りに、攻撃によって侵害されたシステムをそのまま元通りに復旧することは、脆弱性やバックドアが残ったままの、再度攻撃されやすい危険な状態に戻すことを意味します。また元のシステムから脅威を完全に除去することも、決して簡単ではありません。そのためサイバー攻撃からの復旧では、システムをゼロから安全に『再構築（リビルド）』することが、最善策になるケースも多いのです」（西賴氏）

もちろんシステムをゼロからリビルドするのは時間がかかる。そのため全システムをリビルドするのではなく、業務継続に必要な最小限のシステムからリビルドすることになるだろう。だからこそ、第1ステップで「重要サービスの優先順位を付ける」必要があるわけだ。

システムをリビルドするには、新しいサーバーなどを改めて調達しなければならない可能性があることにも留意しておきたい。感染したサーバーを再利用するためには徹底的な脅威除去が必要であり、それは決して簡単ではないからだ。そのため、復旧先として新たに調達するサーバーについても、インテル^® Xeon^® 6 プロセッサー搭載のDell PowerEdgeサーバーの「Secured Component Verification（SCV）」のように、工場出荷時と納品後のコンポーネント情報を照合し、サプライチェーン上の改ざんや不正な変更がないことを確認する仕組みが重要になる。少しでも脅威や脆弱性が残っていれば、そこを改めて狙われる危険性が高い。

こうした観点からも、復旧先となるインフラをどのように確保するかは、サイバーレジリエンスを考える上で重要な検討事項となる。平時からクリーンルーム環境や予備機材の確保方針を定めておくことや、協力してくれるパートナー企業に目途をつけておくことで、有事の復旧時間を大幅に短縮できる可能性がある。

最後に「復旧を成功させられるかどうかは、危機が訪れる前にいかに厳しい決断を下し、必要な対策を講じた上で、テストを繰り返してきたかにかかっています」とキレン氏。また西賴氏は「最近ではデータを隔離した空間にサーバー機器などを持ち込み、この『クリーンルーム』で復旧演習を行うケースも増えています」と述べる。

このように5つの復旧ステップを意識した上で、実効性のあるクリーンデータを確保し、確実に復旧させるための訓練を繰り返すこと。これこそが巧妙化を続けるサイバー攻撃に打ち勝つための、最も重要な対抗策だといえるだろう。

Related links
関連リンク