サプライチェーンのランサムウェア対策：予防・封じ込め・復旧の3段階戦略

ランサムウェアは、病院ネットワーク、地方自治体、そしてより広範なサプライチェーンに影響を与える攻撃が増加しているため、サイバーセキュリティ業界の多くにとって最優先事項となっています。企業へのランサムウェア攻撃は、通常、一定期間データとシステムへのアクセスを失う結果となり、収益損失と復旧費用という財務的インパクトを伴います。サプライチェーンの一部である企業が標的とされると、たった1つのサービスプロバイダーが数百〜数千社に直接影響を与えるため、インパクトははるかに広範囲になります。

自組織のランサムウェア対策態勢を理解することは不可欠であり、サプライチェーンのベンダーがその態勢にどう関わるかを知ることは、全体戦略の重要なピースです。

すべての防御をカバーし、ランサムウェア攻撃を防止または影響を軽減するためにできることをすべてやったか確認しようとすると、圧倒されるかもしれません。強力な戦略は広範で多層的であり、アーキテクチャ、エンドポイント、ユーザーなどを含みます。

どこから始めるべきか？構造化された論理的アプローチで、組織のランサムウェア対策態勢への理解に秩序をもたらせます。そのために、予防、封じ込め、復旧の3つの主要カテゴリーを見ていきましょう。

予防

最優先目標は、ランサムウェアを環境に侵入させないこと、最初から侵入を防ぐことです。この防御的姿勢から、境界制御からエンドユーザーまでインフラを見る必要があります。このトピックは詳細に語れますが、ランサムウェアが最も一般的に導入される隙間に焦点を当てます。

• リモートデスクトッププロトコル（RDP）。 新しい技術でも攻撃ベクトルでもありませんが、脆弱性、誤設定、ブルートフォース攻撃への脆弱性により、常に標的とされてきました。最近のリモートワーク増加とRDP利用の増加に伴い、攻撃者は新たな標的を得て有頂天になっています。ここでの予防策には、開放ポートの制限、強力な認証制御（多要素認証を含む）、堅牢な脆弱性管理プログラムが含まれます。
• フィッシング。 フィッシングメールは、多くのセキュリティ制御をバイパスし、多くの場合最も弱いセキュリティリンクであるエンドユーザーに直接悪意あるコンテンツを届けるため、特に危険です。フィッシングメールは通常、ユーザー認証情報の取得を狙うか、悪意ある添付ファイルやリンクを含み、最終的に攻撃者に環境への直接的なパスを提供します。ここでの予防策には、メールセキュリティソリューションの利用、エンドユーザー向けセキュリティ意識向上トレーニング、エンドポイント検出・対応（EDR）ソリューションが含まれます。

最終的に、推奨される予防技術は新しいものではありません。情報セキュリティコミュニティが長年議論してきた同じ主要原則です——インターネットからアクセス可能なものを制限し、脆弱性スキャン、パッチ適用、強力な認証制御を実施することです。

封じ込め

最善の努力にもかかわらず、ランサムウェアが環境に侵入してしまった場合、いかに拡散を食い止めるか。ビルの火災を想像してください：封じ込め戦略は、防火壁、難燃材料などを通じて火災発生前から備えられています。ランサムウェアのような攻撃も同じです。ここでは2つの主要な封じ込め戦略を紹介します。

• メールセキュリティソリューションの利用、エンドユーザー向けセキュリティ意識向上トレーニング、エンドポイント検出・対応（EDR）ソリューションが含まれます。

包括的なメールセキュリティアプローチが鍵です。これには、どのメールセキュリティがあるか、何にアクセスできるかを理解すること；それらがどう使われるか（ドメイン管理者 vs サービスアカウント）；それらのアカウントがどうアクセス・管理されるか（メールセキュリティ管理ソリューションの利用など）が含まれます。

• ネットワークセグメンテーション。 フラットなネットワークは攻撃者にとって夢のようなシナリオです。一度認証情報を入手すれば、組織のネットワーク全体を自由に移動し、システムとデータに無制限にアクセスできます。最低限、セグメンテーションを用いてラテラルムーブメント（横の移動）を可能な限り制限し、攻撃者がネットワークを横断し、追加のシステムとデータにアクセスするのを極めて困難にすべきです。

復旧

インシデント対応計画に加えて、復旧努力を支援する最も重要な計画は、ビジネスレジリエンス計画（事業継続計画）です。ビジネスをどう継続させるか？強力なレジリエンス計画は、コアビジネスシステムの機能復旧を助けます。

組織の一般的な攻撃ベクトルには、サプライチェーンのサードパーティベンダーが含まれます。では、ベンダーがもたらすリスクをどう特定し、軽減できるか？まず、以下の重要な質問に答えてください：

• あなたのベンダーは誰か？
• 各ベンダーはあなたの組織にどんなサービスを提供しているか？

実際にベンダーが誰かを特定するのは簡単な作業ではありません。あなたのネットワークやデータにアクセスできるベンダーが、あなたの知らないところで存在する可能性はありますか？絶対にあります。現実には、クレジットカードと数回のマウスクリックだけでクラウドベースのソリューションと直接契約し、ベンダーがあなたのデータにアクセスできる状態になり得ます。それらを知らなければ、組織へのリスクを評価することは不可能です。提供サービスについても、サプライチェーンのベンダーはあらゆる種類のサービスを実行します。中には、アクセスするデータや内部システムの性質上、本質的にあなたの会社により高いリスクをもたらすものもあります。

これらの質問に答えることは、それらのベンダーに対して適切な評価活動を行うための優れた出発点です。目標は、ベンダーがあなたのために提供するサービスに基づき、あなたのシステムやデータを保護するための適切な制御を備えているか、十分な安心を得ることです。SOCやISOなどの認証見直し、SIGのような評価アンケート、ペネトレーションテスト結果など、多くの評価戦略を活用できます。アプローチにかかわらず、ベンダーがこれらの制御を備えていることを検証することで、攻撃発生時の組織への影響リスクを軽減できます。

システムがより接続され、複雑になるにつれ、攻撃者が防御の隙を見つける可能性は依然としてあります。しかし、ランサムウェア攻撃に備えることで、組織への影響とダウンタイムを大幅に軽減できます。多層防御戦略、適切な封じ込めとレジリエンス計画により、組織のサイバー強度はのみ高まります。

ゲイリー・ブリックハウス氏は、GuidePoint Securityの最高情報セキュリティ責任者です。