多層防御で最新のランサムウエアに対応
運用負荷を高めず、対処する仕組みとは

　サイバー攻撃の筆頭として、広く知られているランサムウエア。その脅威構造が、ここ数年で大きく変化している。

　2024年頃に猛威を振るった主要な攻撃グループは、摘発や監視強化が進んだことでその活動を縮小させている。しかし、脅威そのものが消滅したわけではない。組織の再編や後継グループへの移行が進み、2025年には96以上の新規かつアクティブなランサムウエアグループが確認される^※1など、攻撃者が拡散しつつあるのが実態だ。

　「攻撃の手法も変化しています。かつて主流だった『ファイルを暗号化し、復号キーと引き換えに身代金を要求する』攻撃が減り、代わりに『データを暗号化せずに盗み出し、暴露を盾に脅迫する』攻撃が増加しているのです」とTD SYNNEXの片尾 隆宏氏は説明する。暗号化の手間を省けるため、より早く確実に利益を得られる。そのため現在は、この手法が主流になりつつあるという。

　また、データの扱い方も巧妙化している。攻撃者は窃取したデータを即座にばらまくのではなく、事前にデータを分析し、標的企業のビジネス内容や弱点を深く理解した上で、「どこを突けば一番ダメージが大きく、確実に身代金を支払うか」を見極めてから脅迫を実行してくるのだ。もはや現代のランサムウエアは無差別な破壊行為ではなく、極めてビジネスライクに計算された、データ主導型の恐喝モデルといえるだろう。

　さらに攻撃対象が変化していることも見逃せない。特にリスクが高まっているのが、従業員数1000人未満の中堅・中小規模の企業だという。

　中堅・中小企業は大企業と比較してセキュリティー成熟度が十分でないことが多く、ひとたびシステムが停止すればその影響は極めて直接的かつ致命的になる。そのため、事業継続を優先して身代金の支払いに応じる可能性が高いと攻撃者に見なされているのだ。

　「これは大企業が狙われなくなったわけではなく、どんな企業でも標的になる時代に突入したということです。あらゆる企業・組織が、サイバー攻撃を現実的なビジネスリスクとして受け止める必要があります」と片尾氏は警鐘を鳴らす。

　高度化する攻撃から企業を守るために有効なのが「サイバーキルチェーン」を理解することだ。これは攻撃者がどのような段階を踏んで、攻撃を進めていくのかをモデル化したものである。攻撃者がこのチェーンの各段階を突破して深部へ侵入するにつれて、企業・組織が被るリスクは段階的かつ加速度的に高まっていく。従って、できるだけ早いタイミングで攻撃者の挙動を検知し、食い止めることが重要だ。

　「ポイントになるのが、複数のセキュリティー対策を組み合わせる『多層防御』の考え方です。複数の対策を多層的に配置することで、単一の対策では見逃してしまうような攻撃者の挙動も、より早く検知して適切に対応できる可能性が高まります」と片尾氏は言う。

　中でも重点的に確認すべきなのがエンドポイントの脆弱性である。ランサムウエアや標的型攻撃の多くは、メールの添付ファイルや不正なWebアクセス、USBなどをきっかけとした「エンドユーザー端末への侵入」から始まるからだ。

　「対策としては、アンチウイルスなどの防御機能（Endpoint Protection Platform）の活用が考えられます。ただ、BYOVD^※2やLiving off the Land攻撃^※3といった正規ツールを悪用した攻撃や、未知の攻撃には対応できません。近年はそのような攻撃が増えているため、すり抜けられた場合に備えてEDRをセットで導入することをお勧めします」と片尾氏は話す。

　さらに、ゼロトラストを含むネットワークセキュリティーや情報漏洩対策（DLP）にも取り組む必要がある。その際に問題になるのが、各領域で様々な製品が個別に導入・運用されることで、管理画面やアラートが分断され、脅威の全体像を「面」として捉えることが困難になることだ。

　その結果、どれが本当に重要なアラートなのかの判断が難しくなり、対応が遅れてしまう。また、慢性的なセキュリティー人材不足の中で、運用担当者の負担が高まることも問題といえるだろう。特定担当者に依存したセキュリティー運用が、企業の事業継続性を左右する大きなリスクになりつつある。

※2

Bring your own vulnerable driver（正規ドライバの脆弱性を悪用すること）

※3

マルウエアを外部から持ち込まず、既存の正規ツールや管理機能を悪用する攻撃

　多層防御によって守備範囲を拡大しつつ、運用負荷を抑えるためにはどうすればよいのか。1つの解決策となるのが、ブロードコムの次世代型統合セキュリティープラットフォーム「Symantec CBX」である（図1）。 　Symantecは長年、エンドポイント、ネットワーク、情報漏洩対策などの各分野の専門性を持つ企業を買収し、時代ごとの先端テクノロジーをベスト・オブ・ブリードで集めてきた。しかし、強力な機能を数多く備える一方で、運用が分断されやすいのが弱みだったという。そこで2019年から、インフラやエージェント、コンソールの統合を推進。2025年には高性能なEDR製品「Carbon Black」も統合した。

　「これまで個別に存在していたテクノロジーを同一基盤上で連携した、トータルソリューションがSymantec CBXです。国内では2026年の秋をめどに提供開始予定です」と片尾氏は紹介する。

　単一のエージェントと単一の管理コンソールで、EPP、EDR、ネットワーク連携からDLPまでを一元的にカバーできる。運用や更新管理のサイロ化による負担増を回避できるほか、複数エージェントの導入に伴う端末の負荷も抑えられる。

　「複数領域のイベントログの相関分析や整理をAIが自動で実行します。運用者は大量のノイズアラートに追われることなく、対応が必要なインシデントのみに集中できるようになります」（片尾氏）

　TD SYNNEXは、Symantec／Carbon Blackブランドのエンタープライズセキュリティー製品の日本市場におけるカタリストパートナー（総代理店）として、日本企業の導入・運用を強力に支援する。単なるライセンス販売にとどまらず、経験豊富なエンジニアによる高品質なサポートを提供するという。提案から導入時の設計・構築、導入後の保守サポートに至るまで、すべてのフェーズで包括的なサービスを提供可能だ（図2）。 　「大手のお客様はもちろんのこと、中堅・中小規模のお客様も、Symantec CBXによって高い防御力と運用性を両立できるようになります。あらゆるお客様にエンタープライズクラスの安心を提供することが、当社のミッションです」と片尾氏は強調する。

　手を変え、品を変えて企業に迫るランサムウエア。リスクを低減し、事業継続性を高める上で、TD SYNNEXは心強いパートナーになるだろう。