ランサムウェア感染時の初動対応｜駆除から復旧までの実務手順
経営リスクナビ編集部
経営リスクナビ
Apex Oneのランサムウェア対策｜主要機能と推奨設定を解説
経営リスクナビ編集部
巧妙化するランサムウェア攻撃に対し、Trend Micro Apex One を用いた効果的な対策は多くのセキュリティ担当者にとって重要な課題です。Apex Oneは多層防御を実現する多彩な機能を備えていますが、そのポテンシャルを引き出すには各機能の役割と適切な設定の理解が不可欠です。本記事では、攻撃の各段階で機能する防御機能から推奨ポリシー設定、インシデント発生時のEDR活用法までを具体的に解説します。
目次
Apex Oneの多層防御アプローチ
ランサムウェア攻撃の多段階性
ランサムウェア攻撃は、単一の手法ではなく複数の段階を経て実行される複雑なプロセスです。攻撃は侵入から影響の行使に至るまで段階的に進行するため、単一の対策だけで完全に防ぐことは極めて困難です。そのため、各段階に応じた防御策を講じる多層防御が不可欠となります。
近年のランサムウェア攻撃は、データを暗号化する前に機密情報を窃取し、その公開をちらつかせて脅迫する「二重脅迫」が一般化しています。
ランサムウェア攻撃の一般的なフェーズ
- 偵察: 攻撃対象の組織や個人を選定し、システム構成などの情報収集を行います。
- 初期侵入: フィッシングメールや公開サーバーの脆弱性を悪用して、組織のネットワークへ最初にアクセスします。
- 潜伏と権限昇格: システム内部で活動を隠しながら、より強力な管理者権限の奪取を試みます。
- 水平移動と内部偵察: ネットワーク内を移動し、機密データが保存されているサーバーなど重要な資産を探索します。
- 情報窃取: データを暗号化する前に、外部のサーバーへ機密情報を盗み出します。
- ペイロード展開: ランサムウェア本体を実行し、事業継続に不可欠なファイルを次々と暗号化します。
- 脅迫: 身代金を要求する脅迫文（ランサムノート）をデスクトップなどに表示し、金銭を要求します。
各攻撃段階で機能する防御レイヤー
多段階化するランサムウェア攻撃に対抗するためには、攻撃の各フェーズで機能する多層防御のアプローチが不可欠です。Apex Oneは、事前予防から事後対処に至るまでの複数の防御レイヤーを組み合わせることで、攻撃のいずれかの段階で脅威を無効化し、被害を最小限に食い止めます。
各防御レイヤーの役割
- 侵入フェーズ: 不正なWebサイトへのアクセスや、悪意のあるファイルのダウンロードをブロックします。
- 実行前フェーズ: パターンファイルに加え、機械学習型検索を用いて未知の脅威ファイルを検知・隔離します。
- 実行中フェーズ: プロセスの挙動をリアルタイムで監視し、ランサムウェア特有の暗号化活動などを検知して強制終了させます。
- 事後対応フェーズ: 万が一侵入を許した場合でも、EDR機能によって攻撃の全体像を可視化し、迅速な封じ込めと復旧を支援します。
ウイルスバスター製品との思想の違い
従来のウイルス対策ソフト（ウイルスバスターなど）は、既知の脅威情報を記録したパターンファイルを用いてマルウェアの侵入を防ぐ「事前予防」を主軸としていました。しかし、巧妙化する今日のサイバー攻撃では、侵入を100%防ぐことは困難です。
Apex Oneのような次世代型エンドポイントセキュリティは、事前予防機能に加えて、侵入を前提とした「事後対処（EDR）」の機能を統合している点で根本的な思想が異なります。エンドポイントの活動を常時記録・分析することで、脅威の早期発見と迅速な封じ込めを実現し、インシデント対応までを一貫して支援するアーキテクチャへと進化しています。
| 観点 | 従来型ウイルス対策 | 次世代型エンドポイントセキュリティ |
|---|---|---|
| 主な防御思想 | 事前予防（侵入させない） | 事前予防 + 事後対処（侵入を前提とした検知と対応） |
| 検知の仕組み | パターンファイル（既知の脅威が中心） | パターンファイル + 機械学習 + 挙動監視（未知の脅威に対応） |
| 対応範囲 | マルウェアの検知・駆除 | 脅威の検知・駆除 + 侵入経路や影響範囲の特定・対応 |
未知の脅威を検知・遮断する機能
機械学習型検索によるファイル検知
パターンファイルに依存しない未知の脅威への対策として、機械学習を用いたファイル検知機能が有効です。膨大な脅威データを学習したAIが、ファイルの特徴から悪意の有無を判定します。これにより、シグネチャが存在しない新種のランサムウェアや巧妙に難読化されたマルウェアも高精度で検出・遮断できます。
機械学習型検索の分析フェーズ
- 実行前（静的解析）: ファイルの構造やコードの特徴を解析し、既知のマルウェアとの類似性から脅威を判定します。
- 実行時（動的解析）: プログラムの挙動を監視し、ファイルレスマルウェアのような実体ファイルを持たない脅威でも、その不審な動作からマルウェアであると判定します。
挙動監視による不正プロセスの遮断
エンドポイント内部での不正な動作をリアルタイムで監視し、ブロックする仕組みが挙動監視機能です。ランサムウェアが実行された際の特徴的な挙動を捉え、即座にプロセスを停止させることで、被害の拡大を防ぎます。
この機能は、短時間で大量のファイルを暗号化するランサムウェア特有の動きや、脆弱性を悪用したメモリ上での不審なコード実行などを検知対象とします。検知後は直ちにプロセスを強制終了させ、システムへの変更を防ぐため、従来のファイルベースの検索では見逃されがちな高度な攻撃にも有効です。
暗号化からのファイル自動復旧支援
万が一ファイルがランサムウェアによって暗号化された場合でも、被害を最小化するための自動復旧支援機能が備わっています。挙動監視機能が不正な暗号化プロセスを検知・停止させると同時に、事前にバックアップしておいた正常なファイルを用いて暗号化されたファイルを自動的に復元します。
ファイル自動復旧のプロセス
- 変更の監視: ファイルへの変更を常時監視し、変更前のファイルのバックアップを安全な領域に一時保管します。
- 不正プロセスの検知: 挙動監視機能が、ランサムウェア特有の連続的なファイル暗号化を検知します。
- プロセスの停止: 検知した不正なプロセスを即座に強制終了させ、それ以上の暗号化を防ぎます。
- ファイルの復元: 一時保管しておいたバックアップから、暗号化されたファイルを自動的に正常な状態へ復元します。
ファイル自動復旧機能の限界とバックアップ戦略の重要性
ファイル自動復旧機能は強力ですが、保護対象やバックアップ容量には限界があり、全ての被害を復元できるとは限りません。そのため、この機能にのみ依存するのではなく、堅牢なバックアップ戦略を別途確立しておくことが極めて重要です。
ランサムウェア攻撃では、ネットワーク上のバックアップサーバーも同時に暗号化の標的となるため、攻撃者がアクセスできない場所にデータを保管する必要があります。
推奨されるバックアップ戦略
- オフラインバックアップ: バックアップ媒体（USBハードディスクなど）を物理的にネットワークから切り離して保管します。
- クラウドバックアップ: 攻撃者がアクセスできない別系統の認証で管理されたクラウドストレージを利用します。
- イミュータブルストレージ: バックアップデータを「不変（変更不可能）」な状態で保存し、ランサムウェアによる暗号化や削除を防ぎます。
- 定期的な復旧テスト: バックアップが正常に取得できているか、有事の際に計画通り復旧できるかを確認するため、定期的にテストを実施します。
攻撃の侵入経路を遮断する機能
Webレピュテーションによる不正サイト遮断
多くの攻撃は、不正なWebサイトへの誘導から始まります。Webレピュテーション機能は、Webサイトの安全性を評価し、危険な接続を未然に遮断することで、この主要な侵入経路を断ちます。
クラウド上の脅威データベースとリアルタイムに連携し、アクセス先のドメイン情報や過去の活動履歴を基に安全性をスコアリングします。ランサムウェアの配布元やC&Cサーバー（遠隔操作サーバー）など、危険と判定されたサイトへの通信を自動的にブロックし、社内外で利用される端末を保護します。
仮想パッチによる脆弱性攻撃の防御
OSやアプリケーションの脆弱性は、ランサムウェアの主要な侵入経路の一つです。正規のセキュリティパッチが公開されても、検証作業などのために即時適用が難しい場合があります。仮想パッチは、この「無防備な期間」を狙う攻撃からシステムを保護します。
ネットワークレベルで脆弱性を悪用する攻撃通信を監視・検知し、システムに到達する前にブロックします。物理的なパッチ適用とは異なりシステムを停止する必要がないため、サーバーの安定稼働を維持しつつ、サポートが終了したOS（EOS）なども含めてセキュリティレベルを向上させることが可能です。
アプリケーションコントロールの活用
システム内で実行されるプログラムを厳密に管理し、不正なアプリケーションの起動を防ぐ機能です。業務上許可されたアプリケーション以外は実行を禁止する「ホワイトリスト方式」の運用により、万が一ランサムウェアが端末内に侵入したとしても、その実行を阻止できます。
管理者は、業務に必要な安全なアプリケーションのリストを作成し、それ以外のプログラムの実行をポリシーで一律に禁止します。これにより、未許可のソフトウェアや外部から持ち込まれた不審な実行ファイルの活動を未然に防ぎ、エンドポイントの堅牢性を大幅に高めます。
対策を強化する推奨ポリシー設定
挙動監視ポリシーのチューニング
挙動監視は強力な防御機能ですが、設定を誤ると正規の業務アプリケーションの動作を阻害する「誤検知」を引き起こす可能性があります。そのため、組織の環境に合わせたポリシーの調整（チューニング）が重要です。
挙動監視ポリシーのチューニング手順
- 監視対象の定義: ランサムウェアの標的になりやすい文書ファイル（Word, Excelなど）が保存されたディレクトリを重点的に監視するよう設定します。
- 例外ルールの設定: 独自開発したシステムや、特殊な動作をする正規プログラムを監視対象から除外する例外リストに登録します。
- 段階的な適用: まずはブロックせずに通知のみを行う「監視モード」で運用し、誤検知の傾向を把握した後、徐々に「ブロックモード」へ移行します。
Webレピュテーションのセキュリティレベル設定
Web経由の脅威を効果的に遮断するには、組織のセキュリティポリシーに応じた適切なレベル設定が必要です。セキュリティレベルを高く設定するほど、より多くの潜在的脅威をブロックできますが、業務に必要なサイトへのアクセスに影響が出る可能性もあります。
Webレピュテーションの推奨設定
- セキュリティレベルの調整: リスク許容度に応じて、Webサイトの安全性を判定する感度を「高・中・低」から選択します。
- HTTPS通信の復号: 暗号化された通信（HTTPS）に隠れた脅威を検知するため、SSL/TLS通信の内容を検査する機能を有効化します。
- 承認済みリストの活用: 業務上必須であるにも関わらずブロックされてしまうサイトは、個別に承認済みリストへ登録し、アクセスを許可します。
- データベースの同期: クラウド上の最新の脅威データベースと常に同期するよう設定を維持します。
挙動監視による業務影響（誤検知）への対処法
正規の業務プログラムがマルウェアと誤判定され、業務が停止する事態を防ぐには、誤検知発生時の迅速な対応と継続的なルール管理が重要です。誤検知を放置すると、ユーザーがセキュリティ機能を不信に思い、無効化してしまうリスクもあります。
誤検知への対応フロー
- 例外登録: 誤検知されたプログラムのファイルパスやハッシュ値を調査し、安全性が確認でき次第、信頼済みプログラムのリストに登録して実行を許可します。
- ログ分析: 定期的に検知ログを分析し、誤検知が頻発するプログラムやルールの傾向を把握します。
- ポリシーの最適化: ログ分析の結果に基づき、監視対象や例外ルールを継続的に見直し、組織の環境に合わせてポリシーを最適化します。
インシデント対応を支えるEDR活用
EDR機能（Endpoint Sensor）の役割
EDR（Endpoint Detection and Response）は、侵入を前提とし、インシデントの検知と事後対応を支援する機能です。従来のエンドポイントセキュリティが脅威のブロックを主目的とするのに対し、EDRは攻撃の全体像を解明し、迅速な封じ込めと復旧を実現することに重点を置いています。
EDRの主な役割
- 活動履歴の記録: ファイル操作、プロセス起動、ネットワーク接続など、エンドポイント上のあらゆる操作ログを継続的に記録・蓄積します。
- 脅威の検知: 蓄積されたログの中から、攻撃の兆候を示す不審な挙動を検知し、セキュリティ管理者に警告します。
- インシデントの可視化: 脅威が「いつ、どこから、どのように侵入し、何をしたか」という一連の活動を時系列で可視化します。
- 迅速な対応: 遠隔からの端末隔離や不正プロセスの停止など、インシデント対応に必要なアクションを即座に実行できます。
攻撃の早期発見と影響範囲の特定
EDRによって記録された活動データを分析することで、攻撃の兆候を早期に発見し、組織全体への影響範囲を迅速かつ正確に特定できます。これにより、脅威の水平展開による被害拡大を防ぎ、ピンポイントでの調査と対処が可能になります。
EDRを活用した影響範囲の特定フロー
- アラート検知: 不審な挙動が検知され、管理コンソールにアラートが通知されます。
- 攻撃の可視化: アラートを起点に、プロセスの親子関係や通信先などを時系列で追跡し、侵入経路と攻撃手法を可視化します。
- 横断的検索（IoCサーチ）: 特定された不正ファイルのハッシュ値や通信先IPアドレス（IoC: 痕跡情報）を基に、組織内の全端末を検索します。
- 影響範囲の特定: 検索結果から、他に感染が疑われる端末をすべて洗い出し、インシデントの影響範囲を確定します。
EDRアラート発生時の初動対応と判断基準
EDRアラートが発生した際は、被害拡大を防ぐための迅速な初動対応が極めて重要です。対応が遅れると、ランサムウェアによる暗号化や情報窃取が進行し、被害が深刻化する恐れがあります。
EDRアラート発生時の初動対応手順
- 端末の隔離: アラートが確認された端末を、管理コンソールから即座にネットワークから論理的に遮断し、脅威の拡散を封じ込めます。
- 不正プロセスの特定と停止: 収集されたログを分析して不正なプロセスを特定し、遠隔で強制停止させます。
- 不正ファイルの削除: 攻撃に使われたマルウェアなどの不正なファイルを特定し、削除または隔離します。
- 恒久対策の検討: 侵入経路や攻撃手法の分析結果に基づき、同様の攻撃を防ぐための恒久的な対策（脆弱性修正、ポリシー強化など）を立案・実施します。
まとめ：Trend Micro Apex Oneで実現する多層的なランサムウェア対策
本記事では、Trend Micro Apex One を活用したランサムウェア対策について、多層防御の観点から解説しました。Apex Oneは、侵入防止、実行検知、事後対応という各フェーズで機能するWebレピュテーション、挙動監視、EDRなどを組み合わせることで、巧妙化する攻撃に対抗します。特に、未知の脅威に対応する機械学習型検索や、万が一の暗号化被害を軽減するファイル自動復旧機能は強力ですが、これらに依存せず、オフラインバックアップなどの堅牢なデータ保護戦略を併用することが極めて重要です。効果を最大化する鍵は、自社の業務環境に合わせたポリシーのチューニングにあります。挙動監視の誤検知への対処やアプリケーションコントロールの適用範囲など、セキュリティ強度と業務効率のバランスを考慮して設定を最適化する必要があります。まずは現在適用されているポリシーを見直し、この記事で紹介した推奨設定と乖離がないかを確認することから始めましょう。また、インシデント発生を前提とし、EDRアラート発生時の初動対応手順を明確にしておくことが不可欠です。本記事の内容は一般的な指針であり、具体的な設定や運用については、セキュリティの専門家へ相談することをお勧めします。
Baseconnect株式会社
サイト運営会社
本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。
当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。
加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。
