Office 365 のランサムウェア保護

現在、多くの組織はコアとなる業務運用のために Entra ID（旧 Azure AD）と Microsoft 365（旧 Office 365）に依存しています。しかし、これらの重要なプラットフォームはランサムウェアに対してどれほど安全なのでしょうか？

この記事では、Entra ID と Microsoft 365 における主要な懸念事項を取り上げ、ランサムウェアをブロック、検知、そして復旧するために提供される主要なセキュリティ対策を詳しく解説します。さらに、データと IT システムをより一層守るための堅牢なソリューションも紹介します。

Entra ID におけるセキュリティ上の懸念

オンプレミスの Active Directory は、多くの組織で主要な ID 管理サービスとして使われ続けているため、サイバー犯罪者の最優先ターゲットになっています。とはいえ、Entra ID も侵害される可能性があり、攻撃対象としてより一般的になりつつあります。ここでは、Entra ID がランサムウェア攻撃に対して脆弱になりやすい主な要因を紹介します：

• 組織単位（OU）がない — オンプレミス AD では、管理者が OUs を使ってユーザーやデバイスをグループ化し、より正確で効率的なプロビジョニングと監視を行うことがよくあります。たとえば、すべての高度に特権を持つアカウントを 1 つの OU にまとめると、より厳格なセキュリティ制御を適用しやすくなります。 しかし、Entra ID には組織単位の機能がありません。その結果として IT チームの管理負荷が増え、ランサムウェア感染を可能にするようなミスにつながる可能性があります。
• グループ ポリシーがありません — オンプレミス AD では、管理者はセキュリティを強制するために Group Policy に大きく依存する傾向があります。Group Policy は Entra ID ではサポートされていないため、デバイス設定の管理がはるかに難しくなり、その結果、ランサムウェアをインストールして実行できてしまう可能性があります。
• シングル サインオン（SSO）の欠陥のあるプロトコル — SSO により、ユーザーはパスワードを入力せずに Entra ID にサインインできます。 ただし、SSO に使用される SAML プロトコルには欠陥があります。このため、ハッカーはブルートフォース攻撃を行ってユーザー アカウントを侵害できてしまいます。多要素認証（MFA）でこれらの攻撃を阻止できますが、Remote PowerShell を使ってサポートを提供するなどの作業の妨げになるため、すべてのアカウントで MFA を必須にするのは現実的ではありません。ハッカーは、MFA が有効になっていない管理者アカウントを侵害しようとすることがよくあります。著名な例として、ハッカーが同社のグローバルなメール サーバーを侵害した Deloitte の侵害事件や、公開向け API に対する認証が欠けていたことで、ユーザーの機微な個人情報を含む約 1,000 万件のレコードが露出した Optus の侵害事件があります。
• ハイブリッド環境における死角 — ほとんどの組織には、オンプレミスの AD と Entra ID を組み合わせたハイブリッド環境があります。その結果として生じる、ID とアクセス管理およびエンドポイント管理の複雑さは、ハッカーがランサムウェアを展開するための機会となる死角につながる可能性があります。

侵害された Azure AD アカウントの挙動

Entra ID ではロール ベースのアクセス制御（RBAC）が提供されるため、ユーザーに割り当てられたロール（またはロール）が、攻撃者がアカウントを侵害した場合にできることに影響します。ここでは、把握しておくべき主要な内蔵ロールを示します：

• Reader — このロールを持つアカウントを侵害したハッカーは、機密情報にアクセスできます。ハードコードされた資格情報や追加の有用な情報が含まれている可能性のある Runbooks やその他のリソースを読み取ることもできます。脅威アクターは、仮想ネットワークを通じて新しいターゲットやアドレス空間も追跡します。
• Owner— Owner ロールはリソースを編集し、任意のリソースに権限を付与できます。そのため、このロールは脅威アクターにとって特に関心の高いものです。
• Contributor— このロールを持つユーザーは、新しいフォルダーやファイルをアップロードできますが、ファイルを削除・移動・コピーすることはできません。その結果、このロールはハッカーにとってはあまり役に立ちません。
• User access administrator — このロールを通じて、脅威アクターは他のリソースにアクセス権を付与できます。したがって、これは同様に慎重に付与すべき強力なロールです。

Microsoft 365 におけるセキュリティ上の懸念

攻撃者は Microsoft 365 をランサムウェアの侵入経路として悪用できます。防御すべき主な懸念事項には、次のものがあります。

• フィッシング — 攻撃者は Exchange Online 経由でメールを送信し、ユーザーに悪意のある添付ファイルを開かせたり、悪意のあるサイトを閲覧させたりして、ランサムウェアを起動させます。
• ファイル共有— SharePoint と Teams は強力なコラボレーション ツールで、ユーザーが社内の同僚や外部の関係者の双方と情報を共有することを非常に簡単にしています。適切な管理と監視がない場合、攻撃者が悪意のあるファイルをアップロードしたり、ランサムウェア攻撃に役立つ情報を取得したりすることを可能にしてしまう可能性があります。
• 適切に管理されていない権限 — Microsoft 365 は管理が非常に複雑なプラットフォームであるため、ユーザーが必要以上に多くのアクセス権を持ってしまうことがあります。そのユーザーの資格情報の下で実行されるランサムウェアは、それらの権限を継承します。すると、最小特権が厳格に適用されていれば起こり得た以上の被害を与えることが可能になります。

ランサムウェアから防御するための Microsoft ツール

ランサムウェアによるリスクを低減するために、Office 365 と Entra ID では、以下を含むさまざまなセキュリティ ツールを提供しています。

• Microsoft Defender は、高度な脅威検出および保護機能を提供します。攻撃対象領域を減らすために脆弱性を発見し、軽減するのに役立つほか、進行中のランサムウェアの脅威を見つけて阻止することにも役立ちます。
• Microsoft Secure Score は、セキュリティを分析し、Microsoft のベースラインと比較します。その結果として数値スコアが得られ、このスコアを使用してセキュリティ改善戦略の有効性を把握できます。
• Microsoft Purview Compliance Manager は、規制要件に対するコンプライアンスを評価し、改善に向けてどのような対応を取るべきかを理解するのに役立ちます。新しい規制や、既存の義務の新しいバージョンにも対応し続けることができます。
• Microsoft Purview Data Loss Prevention は、機密情報が許可されていない形で共有、使用、または転送されるのを防ぐために、データへのアクセスを制御し監視できるようにします。たとえば、機密レベルを定義し、機密情報に対して許可される操作を決定できます。
• Microsoft Conditional Access は、デバイス、場所、セッションのリスクなどの要因に基づいて、アクセスを許可するか／ブロックするか／制限するか、または追加の検証手順を要求するかを動的に判断するポリシーを定義できます。たとえば Conditional Access は、MFA（多要素認証）ステップを追加することで、不自然な場所から盗まれた認証情報を使ってログオンしようとする攻撃者をブロックし、その結果、攻撃者によるランサムウェアの仕込みを防止できます。
• Microsoft Purview Information Protection は、機密情報がどこに存在していても、またどこへ移動しても、その情報を検出・分類し、保護するのに役立ちます。たとえば、任意のユーザーに送信されるメールが暗号化されるようにして、認可された受信者のみが読めるようにできます。
• Microsoft Entra Identity Protection は、組織がアイデンティティに基づくリスクを検出、調査、そして是正するのに役立ちます。特に、ランサムウェアの攻撃者が盗んだ認証情報を使おうとしている、またはランサムウェアの脅威が進行中であることを示唆する可能性のある、通常と異なるユーザーの挙動を見つけるのに役立ちます。
• データ復旧 — ランサムウェア攻撃が成功してしまった場合、Microsoft は Entra ID および Office 365 向けのいくつかのランサムウェア復旧オプションを提供しています。これには 「OneDrive を復元」機能、OneDrive のリサイクル ビン、そして SharePoint サイト コレクションのリサイクル ビン が含まれます。とはいえ、組織は企業レベルのバックアップと復旧戦略も実装する必要があります。

Netwrix Directory Manager はどのように役立つか

これらの Microsoft ソリューションは有用ですが、ハイブリッド環境やクラウド環境を適切に管理することは複雑な作業であり、どんなミスや誤設定も、高額なランサムウェア感染につながる可能性があります。サードパーティのソリューションが役立ちます。

Netwrix Directory Manager は、セキュリティとコンプライアンスを強化しながら、IT チームの負担を軽減する強力な ID およびアクセス管理（IAM）ソリューションです。これにより、次のことが可能になります:

• セキュリティ グループおよび配布グループの管理を効率化
• グループ所有者を特定
• グループ管理タスクを委任
• 使いやすいレポートを生成して、洞察と管理を強化します

よくある質問（FAQ）

Microsoft Office 365 にはウイルス対策機能がありますか？

はい、Office 365 には強力なアンチウイルスおよびマルウェア対策機能が備わっています。高度な脅威インテリジェンスとスキャン技術を活用し、ウイルス攻撃を検出して阻止します。

Office 365 にはランサムウェアの保護機能が最初から組み込まれていますか？

はい、Microsoft 365 には組み込みのランサムウェア保護機能が含まれています。高度な脅威防御対策を活用して、アプリケーション スイート全体でランサムウェアの脅威を検出し、軽減します。

OneDrive にはランサムウェア保護機能がありますか？

はい。OneDrive は Microsoft 365 スイートの一部です。ファイルのバージョン履歴とインテリジェントな脅威検出を使用して、ランサムウェア攻撃からファイルを守るのに役立ち、また一部のバックアップおよび復旧機能も提供します。

Microsoft Defender はランサムウェアから保護しますか？

はい、Microsoft Defender はランサムウェアに対する保護を提供します。高度な脅威防御メカニズムを採用しており、ランサムウェアの脅威を検出し、ブロックし、対応します。