ランサムウェア攻撃耐性の検証
Ransomware Resilience Validation
ランサムウェアによって業務が止まり、復旧まで妨げられる被害から出発し、その被害に至る経路と条件を検証して、経路を断つべき箇所を示します。
外部から入る経路、内部での拡散と権限昇格の条件、バックアップと復旧手段が同時に無力化される条件を順にたどり、どこで気づけて、どこで断てるかを確かめます。結果は経路ごとに、成立した条件と業務停止の範囲、まず断つべき箇所としてまとめます。
ランサムウェアが入り込んだとき、業務を止め、復旧まで妨げる道が自社の環境に開いているのか？
侵入から拡散、バックアップの無力化に至る経路と条件を検証し、経路を断つべき箇所と先に手を打つ順序を示します。
確認済み
このような状況に適しています
- 業務が止まると被害が大きい組織のとき
製造・物流・医療・流通のように、システムが止まると生産や配送、診療、販売も止まる組織です。
- バックアップ・復旧の体制を新たに整えた、または見直したとき
新たに整えたバックアップと復旧の手順が、ランサムウェアの状況で本番環境とともに無力化されないかを確かめたい場合です。
- 同業他社の被害を耳にしたとき
似た組織のランサムウェア被害を耳にし、同じ経路と条件が自社の環境にもあるかを確かめたい場合です。
- 備えの水準を根拠をもって説明する必要があるとき
ランサムウェアへの備えを漠然とした懸念ではなく経路と条件で説明し、投資と対策の優先順位を決めたい場合です。
確認する範囲
侵入から業務停止まで、被害に至る段階を四つに分け、段階ごとに成立する条件を確認します。
- ENTRY侵入の経路
- 外部から内部環境へ入る経路
- リモート接続・VPNなど外部に開いた接続点
- SPREAD拡散と権限
- 内部での拡散と権限昇格の条件
- 管理者アカウントと認証基盤の保護水準
- ネットワーク区間の分離と移動の制限
- BACKUPバックアップと復旧
- バックアップと復旧手段が同時に無力化される条件
- バックアップと本番環境の権限分離
- バックアップの複製が分けて保管されているか
- IMPACT検知と影響
- 侵入と拡散に気づける箇所
- 業務停止が及ぶ範囲
- 業務システム間の依存関係
「バックアップは、本番サーバーと同じ管理者権限で削除できてはならない」
「利用者のPC一台から、中核業務のサーバーへ直接移れてはならない」
「管理者アカウントを一つ奪われても、すべてのサーバーが一斉にロックされてはならない」
進め方
止めてはならない業務を決める
止まると被害が大きい業務とシステム、必ず復旧すべきデータを決め、守るべき条件を整理します。
範囲と安全条件の合意
検証する範囲と対象システム、許可する行為と禁止する行為、参加者と連絡の方法を決めます。
経路と条件の検証
侵入の経路から拡散、バックアップ・復旧の無力化まで、段階ごとに条件が成立するかを確かめ、どこで気づけるかを見ます。
断つべき箇所の説明
経路ごとに、成立した条件と業務への影響、まず断つべき箇所と改善の方向をご説明します。
稼働中の業務に影響しないよう、検証の方法と中止の基準を開始前に合意します。
お客様に残る成果
経路別の結果
経路ごとに、どの段階で防がれ、どこまで進んだかを、そうなる条件とともにまとめます。
業務停止の範囲
条件が成立した場合に、どの業務が止まり、何の復旧が難しくなるかを説明します。
断つべき箇所と優先順位
経路を断てる箇所と、先に手を打つ順序を示します。
根拠と未確認の範囲
確認した内容を再現できる証跡と、今回確認しなかった部分を残します。
結果は、合意した範囲の検証時点の状態を示すものです。対処後の再確認は別途決めます。