ランサムウェアの防止方法：実践的なセキュリティガイド

Netwrix 2025 Cybersecurity Trends Reportによると、過去12か月間にサイバー攻撃を経験した組織は79%で、前年の68%から増加しています。そうした事案の多くは、アイデンティティとアクセスのギャップを通じて成功していました。

CISA advisory は、大規模なインシデントに共通して見られる一貫したパターンを示しています。攻撃者はアイデンティティとアクセスの弱点を通じて侵入し、権限を昇格し、防御側が対応できる前に内部から暗号化を実行しました。

ランサムウェアが環境内でたどる経路は、よく理解されています。攻撃者は資格情報を悪用し、Active Directory を通じて横方向に移動し、ドメイン コントローラーに到達して、暗号化を大規模に展開します。

境界防御に多額の投資をしながら、その「身元（アイデンティティ）の経路」を開けたままにしていた組織は、境界への投資では、攻撃が実際に実行される場所で攻撃チェーンを中断できないことを突きつけられました。

このガイドでは、ランサムウェアのインシデントがどのように展開するのか、暗号化が展開される前にほとんどのインシデントを止めるコントロールは何か、そしてそれらが機能しなかった場合に備えて用意しておくべき回復（リカバリー）措置は何かを説明します。

ランサムウェア対策が重要である理由

ランサムウェア対策はもはや、セキュリティ チームの中だけで完結する技術的な取り組みではありません。財務面・規制面・運用面での影響は、今や直接に役員会（ボードルーム）へと及びます。

• バックアップだけではもはや復旧を保証できません: 最新のランサムウェア攻撃者は、暗号化する前にデータを持ち出します。正常に復旧できたとしても、データ漏えいインシデント、規制当局への通知義務、そして公開データが流出する脅威に直面することがあります。
• 財務面での負担が変わりました: 復旧は身代金そのものにとどまりません。組織は、通知義務、法的費用、そして業務停止（ダウンタイム）に直面することもあります。The Netwrix 2025 Cybersecurity Trends レポートでは、攻撃による財務的な損害があったと回答した組織が75%であり、13%は損害額が200,000ドル以上と見積もりました。
• サードパーティおよびサプライチェーンの侵害は深刻なリスクです: 初期アクセスは、以前に侵害された環境、サービス提供者、または信頼している外部関係を通じて行われる可能性があります。
• 要件が厳格化しています: 規制当局、保険会社、インシデント対応のガイダンスにおけるセキュリティへの期待は、ますますアイデンティティ（Identity）コントロールを重視し、 privileged access management そしてテスト済みのバックアップを求めるようになっています。これらの要件は、業務継続計画と保険加入の可否（インシュアビリティ）の両方に、ますます影響を与えています。

ランサムウェア攻撃はどのように機能するのか

ランサムウェアは、予測可能な攻撃チェーンに沿って進行します。各段階を理解することで、どこでの予防対策が最も大きな価値を提供するかが明確になります。

ステップ1：初期アクセス

攻撃者は、次の4つのルートのいずれかを通じて侵入します。

1. 侵害された認証情報を、リモートアクセス用ポータルに対して使用します。
2. 認証情報を収集するか、またはマルウェアを配布するフィッシングメール。
3. 未パッチのインターネットに公開されたサービスを悪用すること。
4. 信頼できるベンダーまたはパートナーを通じたサプライチェーンの侵害。

資格情報は最も一般的な侵入口です。正当なユーザー名とパスワードがあれば十分であり、エクスプロイトを必要としないためです。

ステップ2：足場の確保と持続化

侵入後、攻撃者は目に見える行動を取る前に持続化を確立します。通常、バックドアアカウントの作成、 リモートアクセス ツールの展開、または再起動後も生き残るためのスケジュールタスクの変更などが含まれます。

初期アクセスからアクティブな操作までの滞留時間は、しばしば数日または数週間で計測されます。そのため、この静かなフェーズにおける行動の可視性が重要になります。

ステップ 3：権限昇格と横展開（ラテラルムーブメント）

攻撃者は、低権限の足場からドメインレベルの支配へと移行します。最も一般的な手段は、パスワードが弱いサービスアカウントへの Kerberoasting、不適切な Active Directory 構成（無制限委任：unconstrained delegation）などの悪用、メモリからの認証情報（credential）のダンプ、そして時間の経過とともに権限が蓄積してしまった過剰権限アカウントの悪用です。この段階でドメインコントローラに到達することは、環境全体を支配することを意味します。

ステップ 4：データのステージングとデータ外部への流出（exfiltration）

ランサムウェアを展開する前に、攻撃者は流出（exfiltration）目的の機密データを特定し、ステージングします。このステップがダブルエクストーション（double extortion）を可能にします。たとえ組織がバックアップから復元できたとしても、流出したデータを公開するという脅威は、独立した交渉上の強い影響力（レバレッジ）を生み出します。バックアップは暗号化への対処にはなりますが、流出（exfiltration）への対処にはなりません。

ステップ 5：ランサムウェアの展開

暗号化が環境全体に展開されます。この段階では、攻撃者はすでにアクセスを確立し、特権を昇格し、データを持ち出しています。この攻撃の連鎖におけるそれ以前のすべてのステップは、ここに到達することを防ぐために存在します。

ランサムウェア攻撃を防ぐ 9 つの方法

以下の9つのコントロールは、意図的な優先順位の順序に従っています。最初の4つは、侵入と権限昇格のポイントでほとんどのインシデントを阻止します。次の3つは、それらのコントロールが失敗した場合の回復力（レジリエンス）を高め、最後の2つは、復旧が可能であることを保証します。

1. すべての特権アカウントおよびリモートアクセスの入口にMFAを適用する

特権アカウントおよびすべての リモートアクセス（RDP、VPN、管理ポータルを含む）に対するMFAは、資格情報ベースの初期侵入への対策として最も投資対効果の高い単一コントロールです。MFAが欠落している、または手続き上の手順で回避されているケースは、主要なランサムウェア攻撃の一連の事例で一貫して確認されています。

標準として狙うべきは、フィッシング耐性のあるMFAです。FIDO2 セキュリティキーやデバイスに結び付いたパスキーは、ユーザーが承認するまで攻撃者がプッシュ通知を繰り返し送る「疲労攻撃」も含め、フィッシングと両方の手口に耐性があります。

CISA の フィッシング耐性のあるMFAに関するファクトシート では、FIDO/WebAuthn が広く利用可能な唯一のフィッシング耐性オプションであるとしています。

一般的なプッシュ型MFAでは、疲労攻撃を止めることも、ヘルプデスク向けのソーシャルエンジニアリングを防ぐこともできません。そこでは攻撃者が従業員になりすましてITに電話し、パスワードのリセットを引き起こします。

2. アイデンティティ層を強化する：大半の攻撃が成功するか失敗するかの分岐点

攻撃者はサインインできるなら、侵入する必要はありません。そして、その傾向はますます強まっています。 クラウドアカウントの侵害は、2020年の16%から2025年には46%へと増加しました。その結果、クレデンシャルの悪用が最も急速に成長している初期アクセス手段になっています。

横方向の移動（ラテラルムーブメント）を阻止するためのコントロールは、アイデンティティ層で動作します。次の順序で適用してください：

1. 常駐の管理者アカウントを just-in-time access に置き換えてください。必要なときだけ権限を付与し、セッション終了時にそれらを取り消します。
2. Active Directory における攻撃経路を継続的に監査し、是正してください。無制約委任（unconstrained delegation）、Kerberoastable なサービスアカウント、意図しない権限昇格ルートを付与する ACL/DACL の権限などを含みます。
3. 異常な認証と privilege escalation に対するリアルタイム可視性を確保し、攻撃がドメイン コントローラーに到達する前に横方向の移動を検知します。
4. ドメインが侵害された後にアラートするのではなく、DCSync、Skeleton Key injection、Golden Ticket 作成などの Active Directory 悪用手法が成功する前に阻止します。

Identity Threat Detection and Response (ITDR) と、リアルタイムの AD 脅威ブロッキング、そして just-in-time の特権アクセスをつなげるプラットフォームは、セキュリティチームが証拠の連鎖を確保し、攻撃がドメイン コントローラーに到達する前に横方向の移動を中断できるようにします。

3. フィッシングとメールの侵入経路を閉じる

メールを経由してユーザーに届く前に悪意のあるメッセージをブロックするために、メール セキュリティのフィルタリングを導入し、スタッフが認証情報の収集（credential harvesting）を試みる行為を認識できるよう、定期的な意識向上トレーニングを実施します。

資格情報をリセットしたり、アクセスを変更したりするヘルプデスク操作を行う前に、必ず帯域外（out-of-band）チャネルで本人確認してください。MFA疲労攻撃やなりすましの通話は、技術的な弱点ではなく手順上の隙を突くためです。

フィッシング耐性のある MFA は、それらの対策が失敗したとしても、収集された資格情報の価値を無効化します。

4. まず、インターネットに公開されているシステムと、既知の悪用中の脆弱性を優先してパッチ適用する

インターネットに公開されているすべてのサービス（RDP、VPN アプライアンス、リモート管理ツール）を監査し、MFA または IP 許可リスト（IP allowlisting）なしで公開されているものはすべて閉鎖（対処）してください。

それ以外は KEV catalog を使い、深刻度スコアだけではなく「実際に積極的に悪用されているもの」に基づいてパッチ適用の優先順位を決めてください。MFA または IP 許可リスト（IP allowlisting）なしで公開されている RDP は、他のパッチ作業を始める前にまず閉鎖（対処）すべき最優先事項です。

5. 常駐権限を削除し、最小権限のアクセスを適用する

標準ユーザーからローカル管理者権限を削除し、共有の管理者資格情報を排除します。昇格したアクセスが必要な場合は、時間制限付きの権限昇格を使用してください。特定のタスクのために必要なときにアクセスが作成され、セッション終了時に自動的に取り消されるため、収集（窃取）可能な永続的な資格情報が残りません。

6. Active Directory を強化し、ネットワークをセグメント化する

AD hardeningを行うには、階層型管理者モデルを実装します。Tier 0 はドメインコントローラー、Tier 1 はサーバー、Tier 2 はワークステーションです。deny-logon 権限を強制し、Tier 0 アカウントが下位ティアに対して認証できないようにします。

Tier 0 のアクティビティでは Privileged Access Workstations を必須にします。攻撃経路がないか継続的に監査してください：unconstrained delegation、Kerberoastable service accounts、そして AdminSDHolder ACL の改変。

四半期のレビューで見つかった誤設定は、開かれた攻撃経路です。同じ指摘が数分以内に検出されれば、ギャップはクローズ（塞がれた状態）になります。

ネットワークのセグメンテーションでは、重要なシステムとバックアップ基盤を一般ユーザーのネットワークから分離します。これにより、ワークステーションに足場を築いた攻撃者がドメインコントローラーやバックアップコンソールへ到達できません。

7. エンドポイントの検知と振る舞いの監視を導入する

行動検知を有効にして、かつ積極的に監視する EDR/XDR を導入します。暗号化が実行される前に現れるサインである、異常なファイル暗号化の活動、異常なプロセス挙動、大量のファイルアクセスのパターンを検知したらアラートが出るように設定してください。

シグネチャベースの検出だけでは、アイデンティティに基づく手法や living-off-the-land（居住地からの実行）テクニックは捉えられません。行動（ベハビア）ルールが必要です。

Insight Credit Union は ランサムウェア検知 を、リアルタイムの振る舞いアラートにより数時間から数分へ短縮し、結果を封じ込めから予防へと切り替えました。

8. 不変（immutable）かつオフラインのバックアップ戦略を構築する

バックアップは回復（リカバリ）のための制御であって、予防（プリベンション）の制御ではありません。攻撃者は主要なペイロードを展開する前に、復旧（回復）システムを無効化したり、到達しようとすることがよくあります。

NIST ransomware guidance は、少なくとも1つのオフラインまたは不変（immutable）コピーを含め、地理的に離れた場所に複数のバックアップコピーを保持することを推奨しています。

実際には、これは3-2-1-1-0 frameworkのことに対応します。多くのバックアップ担当者が使う構成は、3つのコピー、2種類のメディア、1つのオフサイト、さらにランサムウェアが侵害された資格情報を使っても到達できない不変（immutable）またはオフラインのコピー1つ、そして検証済みのリストアでエラー0件です。

侵害された Domain Admin アカウントが、バックアップコンソールに到達できてはなりません。

9. 必要になる前にリストアをテストする

バックアップを持っていることは、復旧できることと同じではありません。定期的なリストア（復元）テストで、次を確認してください。

• 復旧までの時間（Time-to-recovery）は、各重要システムで定義した RTO の目標と照らして測定する必要があります。
• 復旧の順序はビジネスへの影響度に合わせ、最も重要なシステムを最優先で復旧します。
• データが必要になる前に、バックアップの整合性を確認して、データが完全で破損していないことを確かめましょう。

四半期ごとにテストしている組織は、修正できるタイミングでギャップを見つけます。事故の最中に初めてテストする組織は、修正できないタイミングでそれらを見つけます。

ランサムウェアがたどる identity 経路を塞ぐ

ほとんどのランサムウェアのインシデントは、既知だったのに優先度が下げられ、やがて悪用された「identity（アイデンティティ）とアクセスのギャップ」にたどり着きます。

攻撃チェーンを中断するためのコントロールは新しいものではありません。フィッシング耐性のある MFA、常駐（standing）権限のゼロ、Active Directory のハードニング、そして検証済みのバックアップは、何年も前から一貫して推奨されてきました。

レジリエンス（回復力）を維持できる組織とそうでない組織を分けるものは、たいていは知識のギャップではありません。攻撃者が見つける前に露出（露呈）を塞ぐための規律です。

Microsoft の比重が高いハイブリッド環境を運用している組織が、そのギャップを埋めるために最初に取り組むべきは、次の2つの具体的なコントロールです：

1. 攻撃が成立する前に Active Directory の攻撃手法を阻止する Netwrix Threat Prevention
2. 常駐（standing）権限を排除する Netwrix Privilege Secure

どちらも、暗号化が実際に展開される前の横方向への移動（lateral movement）段階でランサムウェアがたどる identity path に対処します。

Netwrix のデモを依頼する ことで、お使いの環境でランサムウェアが悪用する identity と access のギャップを確認できます。