ランサムウェアとは？

攻撃者が標的を狙って実行する高度な持続型脅威（APT）もありますが、ほとんどは、一般的にスクリプトで実行される日和見的な攻撃です。主に 2 つのカテゴリに分けられます。ファイルを暗号化して身代金を要求する攻撃は、暗号化ランサムウェアと呼ばれます。デバイスへのユーザーのアクセスを阻止するランサムウェアは、ロッカーランサムウェアと呼ばれます。

新種のランサムウェア、悪性コード、悪性ソフトウェア、悪性添付ファイル、スケアウェアや、ランサムウェアの新たな変種なども頻繁に登場しています。有料のサービスとしてのランサムウェア（RaaS）が確認されたこともあります。たとえば、ロシアベースまたはロシア語を使用するプライベート RaaS の REvil（Ransomware Evil、別名 Sodinokibi）がそうです。

ほんの数年前まで、ほとんどのランサムウェア攻撃にはマルバタイジングが使用されていました。これは、初期の侵入ベクトルで、悪性の広告を読み込んだ人を無作為に標的にします。つまり、大企業の会計担当者であることも、メールを読もうとしたおばあさんであることもあったのです。ランサムウェアは、標的となった人物を明確に識別していませんでした。標的となった被害者が身代金を払ってくれたら儲けものだが、支払ってくれなくても、他にもターゲットとなり得る人はたくさんいるから気にしない、という程度だったのです。

ところが、この状況は 2012 年の Shamoon の登場で一変しました。これは、Saudi Aramco 社を標的にしたイランのサイバー攻撃です。攻撃者は、Shamoon を使用して Aramco 社から大量の情報を盗み出し、その後、攻撃したマシンのマスター・ブート・レコードを上書きして、再インストールされるまで使用できないようにしました。このような機能の消失により、同社ではかなりのダウンタイムが発生しました。

Locky は、2016 年に登場したランサムウェアマルウェアです。メール（伝えられているところでは、支払いが必要な請求書）に添付された Microsoft Word ドキュメントに悪性マクロが含まれています。ユーザーがドキュメントを開くと、文字化けしているように見え、そこに「データのエンコードが正しくない場合は、マクロを有効にする」というフレーズが表示されます。これはソーシャルエンジニアリングの手法です。

Petya は暗号化マルウェアの一種です。2016 年に初めて発見されました。このマルウェアは、Microsoft Windows ベースのシステムを標的とし、マスター・ブート・レコードに感染して、ハードドライブのファイル・システム・テーブルを暗号化して Windows が起動しないようにするペイロードを実行します。その後、システムへのアクセスを復活させる見返りとして、ユーザーにビットコインでの支払いを要求します。

2017 年まで話を進めます。WannaCry と NotPetya は、壊滅的な被害をもたらすランサムウェア攻撃であり、大企業や政府機関に大損害をもたらしました。これらの攻撃の特徴は、インターネットの脆弱性を露呈させるだけでなく、ゼロデイ脆弱性を利用して、悪質な方法でネットワーク上のコンピューター間を横方向に移動し、すべてのマシンを感染させて、まったく役に立たない状態にすることです。NotPetya と WannaCry については多くのことが書かれましたが、現在、これらの攻撃の背景には、敵対国によって開始されたサイバー攻撃があることがわかっています。

その後、このようなランサムウェア攻撃がクライムウェアグループに使用され始めました。クライムウェアグループでは、それまで、ゼウス（および、その変種）のようなマルウェアを使用して個人の銀行口座に侵入し、金銭を抜き取る攻撃が主流でした。ところがこれは時間がかかるうえに複雑であり、往々にして、特に実際に金銭を受け取る段階においてリスクの高い攻撃となっていました。現在に至るまで、一般的には、大企業のみを標的にして大金をビットコインで送金するよう脅迫するほうが簡単であると考えられており、このためランサムウェアは企業の脅威となりました。つまり、CISO は心配する必要があるが、無防備な民間人は必ずしもそうではないというものとなっています。

ランサムウェアファミリーである Ryuk は、2018 年 8 月に初めて発見されました。日本の人気漫画に登場する架空のキャラクターにちなんで名付けられたものであり、現在、世界中でシステムに悪影響を与えている最も厄介なランサムウェアファミリーの 1 つとして知られています。

では、2020 年まで飛びましょう。新型コロナウイルスが世界中で大流行し、ほとんどの人が在宅勤務を余儀なくされました。これに伴い、脅威モデル、リスク要因、ネットワークアーキテクチャが急変し、世界はランサムウェア攻撃の手口が変化していることに気付き始めました。攻撃者は、大企業を標的に二重脅迫型攻撃を仕掛けるようになったのです。この攻撃は、組織に侵入してファイルを暗号化し、人質にするだけでなく、非常に重要なデータを抜き出し、身代金を支払わないと一般に公開すると脅迫するものです。

大統領令により、ランサムウェア対策としてセグメンテーションを促進
2021 年、ランサムウェア攻撃の増加について取り上げた米国ホワイトハウスのメモでは、パッチの適用、2FA、最新のセキュリティ製品といった従来からの予防措置や推奨事項とともに、見過ごされがちなネットワークのセグメンテーションの重要性が強調されました。

ネットワークのセグメンテーションは、場合によってはリスクを緩和するだけでなく、適切にセグメンテーションできれば、ランサムウェア攻撃を食い止めて影響範囲を最小限に抑え、二重脅迫型攻撃のリスクも大幅に低減できます。ウイルス対策ソフトウェアや EDR がランサムウェアの実行を阻止できなかった場合でも、適切なセグメンテーションにより、損害が食い止められ、攻撃者はネットワークを横方向に移動してより多くの機微な情報を盗んだり、より多くのマシンを暗号化することができなくなります。

Akamai 独自のソフトウェアアプローチを使用してネットワークを細かくセグメンテーションすることで、サーバー、アプリケーション、さまざまなオペレーティングシステム、クラウドインスタンスなどの間に「ネットワークサイロ」を作成できます。適切なセグメンテーションポリシーを使用してランサムウェアのリスクを軽減することのメリットは、そのシンプルさからもたらされます。つまり、データを有線（または Vswitch）で別のマシン（または VM／コンテナ）に移動するか、ブロックすることができます。攻撃者は、ネットワーク上のより多くのリソースに到達しようとしても、到達できません。ブルーチームは、攻撃に備える時間を十分に確保するとともに、組織内に最新情報を提供することができ、その情報に基づいて主要関係者は攻撃の損害に関する意思決定を行うことができます。

ネットワークのセグメンテーションは、ウイルス対策や、マルウェア対策、EDR プラットフォームの代わりになるものではありません。ラテラルムーブメンをベースとした組織規模の大規模な攻撃のリスクを完全に排除できない場合に、リスクを大幅に軽減できることが実証されている補足的なアプローチです。

詳しくは、次のブログ記事をお読みください： EDR とセグメンテーション：違いを理解する

実は、ソリューションはあります。しかも、想像よりもはるかに簡単に導入できます。それは、 ネットワークセグメンテーションです。セグメンテーションは、導入が困難で、ネットワークエンジニアリングと資産管理に細心の注意を払う必要があると考えられているため、忘れられがちであり、まったく無視されることさえあります。このため、ネットワークのセグメンテーションは軽視されることが多く、ネットワークは「フラット」な状態のままです。つまり、すべてのエンドポイントやサーバーが制限なく相互に通信できる状態なのです。

最近まで、ネットワークのセグメンテーションとは、ファイアウォールで区切ったサブネットごとに異なる資産を置くことを意味していました。これでは、ネットワーク管理が非常に困難になり、きめ細かい管理は実現できません。管理者は複雑なファイアウォール設定を管理するとともに、個々のサブネット上の IP アドレスの割り当ても管理する必要があります。ネットワークの設計や拡張がますます困難になる一方で、不適切な構成がセキュリティリスクまたはネットワーク障害（場合によっては両方）につながる可能性があったのです。このため、IT スタッフはセグメンテーションに重点を置かず、実行防止製品のほうに高い信頼を置くようになり、ネットワークはセグメント化されずに完全にフラットな状態のままなのです。