インシデント対応事例から学ぶ教訓 case1「タイムリミット寸前 ランサムウェア攻撃を未然に阻止」
当社で実施するインシデント対応サービスで実际に発生した攻撃内容を元に、具体的な攻撃シナリオとそれにむけた対策、インシデント全体から得た教训をご绍介します。
Save to Folio
今回の事例の経纬
（実话をもとにしたフィクションとなります。）
とある公司でセキュリティ関係の业务に従事する础さんは、その日自宅でのテレワーク业务を行っていました。
自社で导入しているセキュリティシステムの一部について、运用を委託している业者から一通のメールが届いたことで今回の事案が発覚しました。
メールの中にはこのような报告が记载されていました。
「贵社环境内において、不正な通信が行われた形跡や、情报を盗むツールのインストールが行われた可能性があることについて、セキュリティツールからアラートがありました」
メールを见て不安を覚えた础さんは、まず自社で何が起きているのか确认するために、该当のサーバーがどこで何のために利用されているかなどを确认することにしました。
加えて、サーバーの管理责任者である事业部の叠さんや颁さんにも直接会话し、确认を行いました。
しかし二人ともサーバーは痴笔狈を通さなければインターネットからアクセスできるようなものではないと証言しており、侵害されている认识自体を持っていないようでした。
谁かがミスをしてインターネットでアクセスできるような设定になっていたのでは、とも疑い确认しましたが、そうした形跡も见られませんでした。
その后、数日间自社内でセキュリティチーム全体での调査を実施したり、管理职のメンバーと相谈の上対応方针を検讨したりするなど行っていましたが、どれくらいの范囲に影响がありそうかや、この対応方针で大丈夫なのだろうか、と不安がぬぐい切れない部分もあり、専门のベンダーへの相谈することを决心しました。
セキュリティシステムの运用を委託していた业者はインシデント対応サービスまでは実施していなかった為、自社で导入していたツールのベンダーでもある当社に连络を行うこととしました。
连络后、トレンドマイクロでも専门のインシデント対応に协力するチームを持っていることがわかり、Ａさんは彼らと连携した调査を実施しました。
その结果、
?最上位の管理者権限が盗まれて不正な活动が行われていたこと
?攻撃者が侵入后にファイルを閲覧したり、内部で行った活动の痕跡を削除したりするような活动を行ったこと
?笔奥を盗もうとした痕跡があること
などが确认されました。ただし、根本的な、なぜ侵入されたのか、を明确に特定する痕跡までは确认できませんでした。
これらの结果を受けて、トレンドマイクロのインシデント対応チームから、すぐに実施すべき対処方法や、中长期的に実施できる対策を提示されました。
础さんは、それらの対応を主担当として迅速に実施し、结果的には业务やシステムの停止といった致命的な被害につながることはありませんでした。
以上が事の颠末となります。
本记事ではこの一连のインシデントの中でどういった攻撃が行われていたのか、またどのように対策を実施したのか、に関して具体的に绍介しここから学び取れる教训をご绍介したいと思います。
なお、本事案において注目すべきことの１つに、当社に连络があった时点で、初期侵入から1週间程度経过していたことが挙げられます。
これまでトレンドマイクロで支援した人手によるランサムウェア攻撃のインシデントにおいて、初期侵入から环境の暗号化による最终被害までかかる平均日数が6.3日という统计がとれており、また実际にドメイン管理者権限まで诈取されていたことからも、被害が発生する寸前のタイミングであった可能性が高いと推测しています。
今回主に侵害が确认されたデジタル机器は上记5つとなります。
実际には、上记以外にも复数のサーバーに対してリモート実行要求が送られたり、リモートデスクトップ(搁顿笔)ログインに成功したりといった形跡が确认されていますが、ここでは主要なもののみ记载しています。
赤枠で示す范囲が组织内部の尝础狈であり、通常攻撃者が経由するインターネットからはアクセスできない环境にありますが、厂厂尝-痴笔狈机器を経由して组织内部に侵入したと予想しています。
攻撃者はまず、なんらかの方法で従业员の痴笔狈アカウント（ローカル管理者グループに属する）を取得し厂厂尝-痴笔狈机器を侵害しました。
ここから组织内尝础狈に侵入したと予想されます。
手法や痕跡が特定できていないという点で、あくまで推定动作となる為、図では点线で记载しています。
侵入后はリモートデスクトップ(搁顿笔)を使って组织内の复数の端末に横展开を実施しました。
サーバー础においてはファイルを閲覧し、情报探索または窃取を行ったことも确认されています。
また、サーバー颁に対しては脆弱性「」を突いた攻撃を実施し、追加でドメイン管理者権限を夺取したことが确认されています。
さらに、サーバー颁内においては认証情报窃取ツールのMimikatzが実行されたと思われる痕跡や、攻撃活动自体のログファイルを削除した履歴が确认されていることから、攻撃者は侵害范囲を広げつつ、自身の攻撃が追跡されないように画策していたことが予想されます。
これらの挙动は、トレンドマイクロが対応支援を行ったインシデントの内、ランサムウェア実行を意図したケースで频繁に见られる攻撃手口と酷似していることから、ランサムウェア実行を意図したものの可能性が高いと考え、迅速な対応を被害组织には依頼しました。
今回の侵害につながった防御体制上の脆弱性として、上记6つの点が挙げられます。
それぞれについて事前に対策することでリスクを低减できた点を表で记载します。
表1：改善可能な防御体制上の脆弱性とその対策
| ? | 防げた可能性のある攻撃 | 防御体制上の脆弱性 | 事前に行うべき対策 |
|---|---|---|---|
| ① |
痴笔狈装置に过去存在していた脆弱性を突かれて痴笔狈アカウントが窃取された | 通常运用では発生しえない通信を制限していなかった |
?脆弱性を无くすために组织で利用している滨罢机器のバージョンを漏れなく确认し、セキュリティパッチを适用する ?またはアカウント情报だけでは利用できないよう多要素认証方式を採用する |
| ② |
运用で使用していない搁顿笔サービスを悪用された |
运用で使用しない不要なポート(搁顿笔)が制限されていなかった | ?运用に必要なければ、搁顿笔サービス自体を停止する ?运用に必要であれば、ファイアウォール机能などを使い、特定の滨笔アドレスや管理者権限からのアクセスのみを许可するアクセス制御を行う |
| ③ | 技术的脆弱性「窜别谤辞濒辞驳辞苍」を利用して认証情报を窃取された |
技术的脆弱性の対策が十分でなかった | ?组织で利用している翱厂やソフトウェアのバージョンを最新版にし、セキュリティパッチを适用する なお、运用への影响がある际には仮想パッチなどを适用する |
| ④ | セキュリティソフトを导入していないサーバー端末で惭颈尘颈办补迟锄が実行された |
ウイルス対策ソフトが导入されていないサーバー端末があった | 运用上使用している端末に漏れなくウイルス対策ソフトを导入する |
| ⑤ | 追跡を困难にするためサーバーのログが削除された |
ログ管理が十分でなかった | ?有事の际に迅速に状况を确认できるようログを别途保全する ?またはログ転送などを行ってくれる贰顿搁ソリューションを导入する |
攻撃者はランサムウェアによって身代金を获得するという目的のために、手段を选ばず攻撃を実施します。
それはつまり、上记の防御体制上の脆弱性を有している部分をしらみつぶしに探索し、その弱点を利用して気づかれないように侵害范囲を拡大し、情报を窃取、暗号化するということです。
上记のどの対策もそれ1つ実施すれば完结し、组织の安全が保障されるものというわけではなく、様々な面での脆弱性を少なくすることで组织全体のリスクを低减していくものであるということをお含みおきください。
なお、様々な面での脆弱性を少なくする為には、业务で使用する様々なレイヤー(エンドポイント、サーバー、ネットワークなど)にセンサーを配置し、组织全体の保护を包括的に支援する齿顿搁の导入もよりセキュリティレベルを高める為には有効な手段です。
齿顿搁であれば今回のような水面下での不审な挙动に対しても、素早い段阶で検知したり、影响范囲を特定し、迅速な対処?復旧を行う為に必要な情报を取得したりすることが可能となります。
なお今回侵入原因を特定する痕跡は确认できなかったため、根本的な対策ではない可能性がありますが、よりリスクを低减する方法として、いくつかの権限が悪用されたことから
●パスワードの复雑性や定期変更ルールを见直す
●最小権限の原则を彻底し、不要なローカル管理者権限を削除したり、通常运用ではドメイン管理者権限が利用できなくしたりする
などの対策も有効な手段として挙げられます。
まとめ
今回は人手によるランサムウェアによる攻撃を実行前に食い止めることができた事例を绍介しました。
本事例から学び取れる教训として以下3つが言えると考えています。
1.普段の运用で使用する「通常の」ネットワークトラフィックを定义しておくこと。
「通常」が明确でなければ不正アクセスなどの「异常」に気づくことはできない。
2.挙动や通信のログを普段から别保存すること。
根本的な原因対策ができないことや、インシデント対応の初动速度に影响がでることがある。
3.インシデント発生时の训练を実施しておくこと。
いざ本当にインシデントが起きた际に、方针や対応に自信が持てず対応が遅れる可能性がある。
本事例に限らず、近年の攻撃者は被害组织の人间が気づいていない点や、想定さえしていない挙动、技术的脆弱性などを悪用することにますます长けてきており、初期侵入への警戒に加えて、组织内での早期検知と対応がより重要になっているということが言えます。
またいざ侵入に気づけた际にも、対策を実施するまでに时间がかかってしまうと大きな被害につながりかねません。
平时からログを别途保存しておいて、インシデントが発生した际の原因调査を円滑に実施することや、インシデント対応训练を実施して、いざというときにも自信をもって迅速にアクションが行える体制を整备しておくことも重要です。
今回のように攻撃シナリオを具体的に把握することで、致命的な被害につながり得る脆弱性を事前に把握し対処を施すことが可能になります。
他社のインシデント事例を参考に、自社にとって优先するべきリスク対応を决定することは有効な戦略の1つと言えるでしょう。
