# オープニング #おすすめクレカ どうもー。セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を配置した屈指のセキュリティ企業家である私、松野が、 東京都関連のセキュリティ組織で働きつつ、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日はお勧めクレカに関する話なんですけども、 そうですね、やっぱりですね、皆さん気になるのはポイント関連なのかなと思ってますね。還元率だったりとか、何に変えられるかであったりとかですね。 僕はですね、かつてなんですけども、かなり主張に行く機会が多かったので、その経費削減も含めてですね、 そのポイントをうまく航空券に変えられるような、いわゆるマイレージっていうんですかね。 そういったカードを選んでいました。かなり効率よくポイントが溜まっていたので、おかげで会社的にも助かったなというところもあるんですけども、 あとやっぱ職業柄ですね、気になるのがセキュリティですよね。最近だと3Dセキュアがですね、ECサイトで義務化されるような流れもあるわけなんですけども、 やっぱりそのセキュリティ周りですね、例えばクレジットカードが時には止まることあるじゃないですか。 その時にですね、職業柄、なんで止まるんだとは言えないというのがですね、結構個人的にはですね、悩ましいというところがあったのを今思い出しておりました。 ということで今回は、ランサムウェアによるサーバー暗号化事案について取り上げております。 この放送を通じてリスナーの皆さんは、侵入から暗号化までの典型的な流れと初動対応のポイントについて理解を深めていただければと思います。 それではどうぞ。 # HAグループにランサムウェア攻撃、外部へのデータ送信の痕跡は確認されず HAグループにランサムウェア攻撃、ライブへのデータ送信の痕跡は確認されず。 HAホールディングス株式会社は10月3日、同社グループの一部サーバーへの不正アクセスについて発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の事案はあるホールディングス企業のグループに属するサーバーが、6月26日の夜に暗号化されるランサムウェア被害を確認したというものです。 攻撃者はネットワークに侵入した後、ランサムウェアを作成し実行してデータを暗号化したと推測されています。 企業は外部の調査会社を入れて調査を行い、外部へのデータ送信の痕跡は確認されなかったと報告を受けていますが、完全に可能性を否定できないため、該当の可能性がある関係者に案内を出す判断をしました。 想定される漏洩対象項目は担当者や代表者の氏名、会社住所や電話番号、社用携帯番号、社用メールアドレスなど限定的な情報です。 初動としては調査機関によるフォレンジックとログ解析を実施し、外部アクセス制御を再構築し監視体制を強化するなどの対策が取られています。 再発防止策としてはVPNやリモートデスクトップの制限強化、エンドポイント検知導入とログ分析、バックアップ管理の見直し、全従業員への教育徹底が挙げられます。 攻撃の根本原因としては外部公開サービスやリモートアクセスの設定不備、あるいは認証情報の不正利用といった要因が想定されるため、それらを中心に対策を講じる必要があります。 ランサムウェアという言葉ですが、具体的にはどのように動き被害を与えるのですか? はい。ランサムウェアとは攻撃者が被害者のファイルを暗号化してアクセス不能にし、複合の対価として身代金を要求するマルウェアです。 侵入経路はメールのマルウェア添付や脆弱なリモートアクセス、盗まれた認証情報の利用など多岐にわたります。 侵入後は権限昇格や横移動を行い、バックアップや監視を無効化してから大量のファイルを暗号化するのが典型的な手口です。 近年は暗号化前にデータを外部へ持ち出して公開をちらつかせる二重強括が主流になっており、検知の遅れやバックアップの欠如が被害を拡大させます。 今回の事案は外部へのデータ送信の痕跡がないということですが、どうやってその有無を確認するのですか? はい。外部へのデータ送信の有無はネットワークトラフィックのログやプロキシログ、ファイアウォールログ、エンドポイントの通信履歴を総合的に解析して確認します。 疑わしい時刻や影響を受けたサーバからの未承認の大量通信や外部C2サーバとの接続、暗号化された大容量送信の痕跡を探すのが基本です。 さらにファイル操作の痕跡やプロセス実行履歴、USBやクラウドストレージへのアクセス記録も確認します。 フォレンジック調査では証拠保全が重要で、ログの改ざんを防ぐために速やかに記録を確保し、外部の専門家による解析を行うことが望ましいです。 発生検知を早めるために現場で具体的にできることは何でしょうか? はい。現場でできることはエンドポイント検知の導入とログの集中管理、異常を知らせるアラート設定の整備です。 具体的にはエンドポイントにEDRを導入して、プロセス実行やファイル暗号化の兆候を検出し、ログをSIEMに集約して相関分析を行い、異常な横移動や大量ファイルアクセスを早期に検知する体制を整えます。 さらにリモートアクセスは多要素認証を必須にし不要な公開サービスを制限することで、侵入の初動を抑えます。 従業員にはフィッシング対策訓練を定期的に行い、早期報告を促す運用を定着させることが重要です。 根本的な再発防止策として企業は何を優先すべきですか? はい。まず優先すべきは外部からのアクセス制御の見直しと多要素認証の徹底です。 公開されているリモートアクセスは最小化し必要な通信はゼロトラストの考えで厳格に認証と権限管理を行います。 次にバックアップ戦略を強化しオフラインまたは分離されたバックアップを定期的に検証してリストア手順を確立します。 並行してEDRやログ分析による検知体制を構築し、侵入時の早期発見と封じ込めを可能にします。 最後に経営層の関与によるインシデント対応計画の整備と定期的な訓練を行うことで組織的な体制を高めます。 なるほど。今日はランサムウェアの挙動と攻撃の検知方法、初動対応と再発防止の優先事項について学びました。 外部送信の有無はログと通信解析で確認し、アクセス制御の強化とバックアップ整備、EDR導入と教育が肝心だと理解しました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回ですね、ランサムウェア全般について 触れられていたわけなんですけども、 僕自身もですね、インシデント対応の現場に 呼んでいただいた際にですね、思うところがありまして、 攻撃者自身はですね、当然ながら人間なわけですね。 そのAIを使ってですね、効率的にマルウェアを作成したとしてもですね、 どういったものを作ろうかというふうな起点となるのは やはり人なのかなと思っています。 そうなるとですね、やっぱり被害者となる、 これまた人間になるわけなんですけども、 どういった環境であるかということをですね、 これしっかりとですね、マルウェアに反映されるということがありまして、 最近だとNPMのサプライチェーン攻撃でもありましたが、 被害者となる端末だったりシステムにですね、 これAI駆動開発がですね、導入されているということがですね、 前提となっている、そういったマルウェアをですね、 よく見るようになりました。 これってですね、おそらく1年前では全くなかった 前提だと思うんですけども、 やはりですね、攻撃者は最新の技術をですね、 その攻撃手法に取り入れているということなわけですよね。 ですから、僕ら守る側もですね、 負けているわけにはいかないですよね。 守る側もAI含めたですね、最新の技術を しっかりと取り入れていく必要があるということになります。 今日の10分セキュリティラジオは、 月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう。 何でも聞けるセキュラジー製作室は、 水曜夜8時から絶賛生放送中です。 さらに土曜日は、 セキュラジーAI民主のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた、次回のレギュラー配信でお会いしましょう。 セキュリティチョッキーの松野でした。 See you.