ランサムウェアとプロキシによる対策

ランサムウェアとは、端末やサーバのファイルを暗号化して利用できなくし、復号と引換えに金銭などを要求するマルウェアである。プロキシサーバは、社内から外部へのWeb通信を中継し、アクセス先の制御や通信の記録を行うことで、マルウェアの感染拡大と情報流出の両方を抑える役割を担う。

ダウンローダ型マルウェアへの対策

ダウンローダ型マルウェアは、感染後にインターネット経由で別のマルウェアを取得して実行する型である。この型を防ぐには、感染端末が危険なWebサイトに接続できないようにすることが最も有効である。危険なWebサイトの情報を保持するURLフィルタを用いて接続を遮断する方法が代表的である。

不正侵入防止装置（IPS）は、主に外部から内部への攻撃を検知・遮断する装置である。感染端末から外部へ向かう追加のダウンロードを防ぐ手段としては役割が異なるため、IPSだけでは十分な対策にならない。

迷惑メールを抑えるサーバや、不正メールの外部送信を遮断する仕組みは、メールを対象とした対策である。Web経由で取得されるマルウェアの通信を止める目的には合わないため、対策の対象と経路を区別して選ぶ必要がある。

ランサムウェアの被害範囲と感染の広がり

ランサムウェアには、感染後の振る舞いが種類によって異なるものがある。同じ感染PCから侵入した場合でも、ある種類は共有サーバにまで被害を広げ、別の種類は広げないという違いが生じる。被害範囲を判断するためには、種類ごとの動作を把握し、共有サーバ上のファイルの状態を確認する必要がある。

セキュリティパッチを適用せずに放置すると、感染が他のサーバやPCへ広がり、甚大な被害が生じるおそれがある。パッチの適用は、感染の拡大を抑えるための基本的な対策であり、ランサムウェア対策の土台になる。

復号と電源管理

暗号化されたファイルを復号できるかは、ランサムウェアの暗号方式と鍵の管理場所に左右される。暗号の鍵が攻撃者側で管理されている場合、検体を解析しても復号に必要な鍵は得られず、復号は困難になる。

感染PCの電源操作にも注意が必要である。休止状態で保管すると、メモリ上の内容がディスクに書き出されて残るが、シャットダウンすると揮発性のメモリ上の情報は失われる。ランサムウェアの動作によっては、この違いが復号の手がかりの有無に直結する。

復元とタイムラインの作成

復元に用いるバックアップは、感染が始まった時刻よりも前に取得されたものを選ぶ必要がある。そのため、感染開始時刻とバックアップの取得時刻を比較して、復元対象を決める。