J セキュリティ基礎
ランサムウェア対策と監視の役割
ランサムウェアは、ファイルを暗号化して身代金を要求する攻撃です。監視ソフトは暗号化を止められませんが、被害の広がりを抑える手がかりになります。
攻撃の流れと記録
| 段階 | 監視の記録で捉えられる兆候 |
|---|---|
| 侵入 | 不審なサイトの閲覧、添付の開封 |
| 探索 | 共有フォルダへの広範なアクセス |
| 暗号化の準備 | 大量のファイル操作、削除の連続 |
| 要求 | 外部への通信、特定サイトへの接続 |
暗号化が始まる前の段階で気づけば、被害を抑えられます。
大量のファイル操作を検知する
短時間に大量のファイルが書き換えられる、削除される。これは通常の業務では起きにくい動きです。ファイル操作の記録に、件数の閾値を設けて通知すると、暗号化の初期に気づける可能性があります。閾値は、通常の業務量を確認して決めます。
感染後の調査
どの端末から始まったか、どの共有フォルダが影響を受けたか、外部への送信があったか。記録から確認します。バックアップからの復旧を判断する材料にもなります。調査の結果は、再発防止の設計に使います。
関連してバックアップ 対策もご覧ください。
平時に備えること
バックアップの取得と、復旧手順の確認。外部媒体の制限と、共有フォルダの権限の見直し。監視の記録は、これらと組み合わせて初めて効果を発揮します。記録だけでは復旧できません。
よくある質問
Q. 監視ソフトでランサムウェアを防げますか。
A. 防ぐことはできません。兆候の把握と事後の調査に使います。防止は、バックアップ、権限管理、教育、セキュリティソフトの組み合わせで行います。
Q. 通知の閾値はどう決めますか。
A. 通常の業務で発生するファイル操作の件数を確認し、それを大きく超える値を設定します。
確認チェックリスト
- ネットワークから切り離したバックアップがある
- 復旧の手順と、判断する人を決めている
- ファイル操作の件数に、通知の閾値を設けている
- 共有フォルダの権限を、必要最小限にしている
- 感染時の調査の手順を、文書化している
- 復旧訓練を、年1回行っている
まとめ
ランサムウェア対策の中心は、バックアップと権限管理です。監視の記録は、兆候の把握と影響範囲の調査に使い、閾値の通知と組み合わせてください。復旧の判断は、被害の範囲と業務への影響で行います。判断の基準を事前に決めておくと、混乱が少なくなります。
iMonitor でできること
本記事の内容を踏まえて、機能と導入条件を確認したい方は次のページをご覧ください。