ランサムウェア侵害とインシデント対応
Aug 4, 202525 min
この章の到達目標
ログを時刻順に並べ、初期侵入 → 権限昇格 → 横展開 → 情報流出 → 暗号化 までを説明し、どのホストを隔離し、どのアカウントを停止するか を判断できるようにする。
2022年度のEDR、2024年度のマルウェア・RDP・ログ解析と関連する。
この章は防御側の視点でまとめている。攻撃手法は「どういう痕跡が残り、どう検知・防止するか」を理解するために扱う。
1. 用語一覧
| 優先 | 用語・技術 | 科目Bで押さえるポイント |
|---|---|---|
| A | EDR / XDR | エンドポイントの監視、相関分析、隔離、初動対応 |
| A | Windowsイベントログ | イベントID、ログオン種別、時系列分析 |
| A | 初期侵入 / Initial Access | VPN、メール、公開システム、認証情報の悪用 |
| A | 横展開 / Lateral Movement | RDP、SMB、リモート実行ツールなどによる他端末への移動 |
| A | 権限昇格 / Privilege Escalation | 管理者権限・SYSTEM権限の取得 |
| A | 資格情報の窃取 | LSASSのメモリ、認証情報のダンプ、トークンの窃取 |
| A | C2 / C&C通信 | 外部の指令サーバへの通信、ビーコン、通信先の分析 |
| A | PowerShellの悪用 | 不審なスクリプトの実行、コマンドラインの分析 |
| A | 永続化 / Persistence | サービスの登録、タスクスケジューラ、自動起動 |
| A | MITRE ATT&CK | 戦術・技術の分類、攻撃経路の整理 |
| A | IOC / IOA | 侵害の痕跡と攻撃行動の兆候 |
| A | ログの相関分析 | 端末・認証・DNS・プロキシのログの突合せ |
| A | 封じ込め / Containment | 端末の隔離、アカウントの停止、通信の遮断 |
| A | 証拠保全 | ログ、メモリ、ディスク、取得日時、証拠の完全性 |
| A | インシデント対応の手順 | 検知・分析・封じ込め・根絶・復旧 |
| B | SIEM / SOAR | ログの集約・相関検知と、対応の自動化 |
| B | イベントID 4624 / 4625 | ログオンの成功・失敗 |
| B | イベントID 4672 / 4688 | 特権の割当て・プロセスの生成 |
| B | イベントID 7045 / 4698 | サービスのインストール・タスクの作成 |
| B | Sysmon | プロセス、ネットワーク接続、ファイル操作の追跡 |
| B | Kerberoasting | サービスチケットを利用したオフライン解析 |
| B | DCSync | ADの複製機能を悪用した認証情報の取得 |
| B | Golden Ticket | Kerberos TGTの偽造 |
| B | LOLBins / LOTL | OSの正規のツールの悪用 |
| B | DLLサイドローディング | DLLの読込み順序を利用した不正なコードの実行 |
| B | ランサムウェアの二重恐喝 | 暗号化に加え、情報の公開で脅迫 |
| B | データ流出 / Exfiltration | 外向きの通信、圧縮ファイル、アップロード量の調査 |
| B | DLP | 情報の持出しの検知・制御 |
| B | YARA / Sigma | マルウェアの識別ルール・ログの検知ルール |
| B | フォレンジック | メモリ・ファイルシステム・ログの証拠分析 |
| B | CSIRT / SOC | インシデント対応体制・監視運用体制 |
| C | AMSI / ETW | スクリプトの検査とWindowsのイベント収集の仕組み |
| C | WMIの悪用 | リモート実行や永続化 |
| C | DNSトンネリング | DNSの通信にデータや指令を埋め込む |
| C | Fast Flux / DGA | 攻撃インフラのIPアドレス・ドメインの動的な変更 |
| C | メモリダンプの解析 | 実行中のプロセスや認証情報の調査 |
2. 人手によるランサムウェア攻撃の流れ
近年のランサムウェアは、ばらまき型ではなく、攻撃者が侵入後に手作業で組織内を探索し、最後に一斉に暗号化する。
| 段階 | ATT&CKの戦術 | 典型的な手口 | 残る痕跡 |
|---|---|---|---|
| 1. 初期侵入 | Initial Access | VPN装置・公開サーバの脆弱性、漏えいした認証情報、フィッシングメール | VPNログの不審な接続元、公開サーバのWebログ |
| 2. 実行 | Execution | PowerShell、スクリプト、正規ツール | 4688、Sysmon 1、PowerShellのログ |
| 3. 永続化 | Persistence | サービスやタスクの登録、新しいアカウントの作成 | 7045、4698、4720 |
| 4. 権限昇格 | Privilege Escalation | 脆弱性、設定不備 | 4672 |
| 5. 資格情報の窃取 | Credential Access | LSASSのメモリの読取り、AD関連の攻撃 | Sysmon 10、EDRのアラート |
| 6. 探索 | Discovery | ADやネットワークの情報収集 | 短時間に多数のLDAP問合せ・ポートへの接続 |
| 7. 横展開 | Lateral Movement | RDP、SMB、リモート実行 | 4624（種別3・10）、ファイル共有へのアクセス |
| 8. C2 | Command and Control | HTTPSによる定期的な通信 | プロキシ・DNSログの一定間隔の通信 |
| 9. 流出 | Exfiltration | 圧縮してクラウドストレージに送信 | 大量の外向き通信、圧縮ファイルの作成 |
| 10. 影響 | Impact | バックアップの削除、一斉暗号化 | ボリュームシャドウコピーの削除、大量のファイル変更 |
二重恐喝：暗号化に加えて「盗んだ情報を公開する」と脅迫する。バックアップから復旧できても、情報漏えいとしての対応（報告、通知）が必要になる点が設問で問われる。
3. Windowsイベントログ
3.1 必須のイベントID
| ID | ログ | 内容 | 調査での使い方 |
|---|---|---|---|
| 4624 | Security | ログオン成功 | ログオン種別と送信元のアドレスで、横展開の経路を辿る |
| 4625 | Security | ログオン失敗 | パスワードの総当たり、パスワードスプレー |
| 4634 / 4647 | Security | ログオフ | セッションの継続時間 |
| 4648 | Security | 明示的な資格情報によるログオン | 別のアカウントの資格情報を使った操作 |
| 4672 | Security | 特権の割当て | 管理者権限を持つアカウントのログオン |
| 4688 | Security | プロセスの生成 | コマンドラインの記録を有効にすると、実行内容が分かる |
| 4720 / 4732 | Security | アカウントの作成・特権グループへの追加 | 攻撃者による永続化 |
| 4768 / 4769 | Security（DC） | Kerberos TGT・サービスチケットの要求 | Kerberos関連の攻撃の検知 |
| 4776 | Security（DC） | NTLM認証 | |
| 1102 | Security | 監査ログの消去 | 痕跡の隠蔽 |
| 7045 | System | サービスのインストール | リモート実行ツールや永続化 |
| 4698 | Security | タスクの作成 | 永続化、遠隔での実行 |
| 4104 | PowerShell | スクリプトブロックのログ | 難読化を解除した後のスクリプトの内容 |
3.2 ログオン種別（4624の Logon Type）
| 種別 | 内容 | 典型例 |
|---|---|---|
| 2 | 対話型 | コンソールでのログオン |
| 3 | ネットワーク | ファイル共有（SMB）、リモート実行ツール |
| 4 | バッチ | タスクスケジューラ |
| 5 | サービス | サービスの起動 |
| 7 | ロック解除 | |
| 10 | リモート対話型 | RDP |
| 11 | キャッシュされた資格情報 | ドメインコントローラーに接続できないときのログオン |
読み方の例：
10:02 FS01 4624 種別3 user=adm-ops src=10.1.20.15
10:03 FS01 7045 サービス名=ランダムな文字列 パス=C:\Windows\Temp\x.exe
10:05 FS01 4688 親=services.exe 子=x.exe端末 10.1.20.15 から管理者アカウントでネットワークログオンし、直後に一時フォルダーの実行ファイルをサービスとして登録・実行している。リモート実行による横展開の典型的なパターンであり、10.1.20.15 が先に侵害されている と推定できる。
3.3 Sysmon
| ID | 内容 |
|---|---|
| 1 | プロセスの生成（ハッシュ値、親プロセス、コマンドライン） |
| 3 | ネットワーク接続 |
| 7 | イメージ（DLL）の読込み |
| 10 | プロセスへのアクセス（LSASSへのアクセスの検知） |
| 11 | ファイルの作成 |
| 13 | レジストリの値の設定（自動起動の登録） |
| 22 | DNSの問合せ |
親子関係 が重要である。Officeアプリケーションの子としてPowerShellが起動している場合は、マクロによる実行を疑う。
4. AD環境での攻撃と検知
ADが侵害されると、組織全体の端末に影響が及ぶ。仕組みと検知・対策を押さえる。
| 攻撃 | 概要 | 検知の手掛かり | 対策 |
|---|---|---|---|
| 資格情報の窃取（LSASS） | メモリ上の認証情報を読み取る | LSASSへの不審なアクセス（Sysmon 10、EDR） | Credential Guard、LSA保護、特権アカウントで一般端末にログオンしない |
| Pass-the-Hash | 窃取したNTLMハッシュで認証する | 通常と異なる端末からの、種別3のログオン | LAPS（ローカル管理者のパスワードを端末ごとに変える）、NTLMの制限 |
| Kerberoasting | サービスアカウントのチケットを取得し、オフラインでパスワードを解析する | 4769で弱い暗号方式（RC4）のチケット要求が多数 | サービスアカウントに長く複雑なパスワード、gMSA、AESの強制 |
| DCSync | ドメインコントローラーの複製機能を装い、パスワードハッシュを取得する | DC以外のホストからの複製要求 | 複製の権限を持つアカウントの最小化と監視 |
| Golden Ticket | KRBTGTアカウントのハッシュでTGTを偽造する | 有効期間が異常に長いチケット、対応する4768がないサービスチケット | KRBTGTのパスワードを 2回 リセットする |
特権アカウントの階層化：ドメイン管理者は、ドメインコントローラーと管理専用端末にだけログオンする。一般端末にログオンすると、その端末のメモリに資格情報が残り、窃取される。
5. 検知されにくい手口
| 手口 | 内容 | 対策の方向性 |
|---|---|---|
| LOLBins / LOTL | PowerShell、WMI、certutil など、OSに標準で入っている正規のツールを使う | 「ツールの存在」ではなく「使われ方」（親プロセス、コマンドライン、時間帯）で検知する。不要なツールの実行を制限する（アプリケーション制御） |
| DLLサイドローディング | 正規の署名付きプログラムに、同じフォルダーの不正なDLLを読み込ませる | 署名済みのプロセスでも、読み込まれたDLL（Sysmon 7）を確認する |
| ファイルレス | メモリ上だけで実行し、ディスクに痕跡を残しにくい | AMSI、PowerShellのログ（4104）、メモリの調査 |
| 難読化 | Base64エンコードなどでスクリプトを読みにくくする | スクリプトブロックのログは難読化を解除した後の内容を記録する |
- AMSI：スクリプトを実行する直前に、内容をセキュリティ製品に検査させる仕組み。
- ETW：Windowsのイベントを高速に収集する仕組み。EDRの情報源の一つ。
- WMIの悪用：リモートでのプロセスの実行、イベントによる永続化。
6. 通信の分析
6.1 C2通信の特徴
- ビーコン：一定の間隔（ゆらぎを加えることもある）で、同じ宛先にHTTPSで通信する。
- 業務時間外にも続く通信、利用者がいない端末からの通信。
- 登録されたばかりのドメイン、評判の低いドメイン、IPアドレスへの直接通信。
6.2 DNSに関連する手口（C）
| 手口 | 特徴 | 検知 |
|---|---|---|
| DNSトンネリング | サブドメイン部分にデータを埋め込む | 長く無意味なサブドメイン、TXTレコードの大量の問合せ |
| DGA | アルゴリズムで大量のドメイン名を生成し、その一部だけを登録する | 存在しないドメイン（NXDOMAIN）の応答が多発する |
| Fast Flux | ドメインのIPアドレスを短時間で次々に変える | TTLが極端に短い、応答のIPアドレスが頻繁に変わる |
社内の端末がDNSを社内のキャッシュDNSサーバ経由でしか使えないようにすると、DNSのログで監視できる（sc_4 のDoHの論点と関連）。
6.3 データ流出の調査
- プロキシログで、端末ごとの 送信量（アップロード量）が通常より極端に多い通信を探す。
- 圧縮ファイル（.zip、.7z、.rar）の作成（Sysmon 11）と、その後の外向き通信の時刻を突き合わせる。
- 業務で使っていないクラウドストレージやファイル転送サービスへの通信。
- DLP：機密情報のパターンを検知して、送信を遮断・警告する。
7. ログの相関分析と時系列の再構成
7.1 手順
- 時刻を揃える：機器ごとのタイムゾーン（UTCとJSTの9時間差）と時刻のずれを補正する。
- アドレスと端末・利用者を対応付ける：DHCPのログ、VPNで割り当てたアドレス、NAT変換のログ。
- 起点を決める：EDRのアラート、C2の通信先など、確実な痕跡から始める。
- 前後に広げる：その端末へのログオン元（前）と、その端末からの接続先（後）を辿る。
- 範囲を確定する：同じIOC（ハッシュ値、通信先、アカウント）が他の端末にもないかを検索する。
7.2 IOCとIOA
| IOC | IOA | |
|---|---|---|
| 内容 | 侵害の 痕跡（ハッシュ値、IPアドレス、ドメイン、ファイル名） | 攻撃 行動 の兆候（LSASSへのアクセス、不審な親子関係） |
| 長所 | 照合が容易で誤検知が少ない | 未知の攻撃にも対応できる |
| 短所 | 攻撃者が変えれば簡単に回避される | 誤検知が多くなりやすい |
- YARA：ファイルやメモリの特徴（文字列、バイト列）でマルウェアを識別するルール。
- Sigma：製品に依存しない形式で書いたログの検知ルール。各SIEMの検索言語に変換して使う。
7.3 SIEM / SOAR / EDR / XDR
| 製品 | 役割 |
|---|---|
| SIEM | 各種ログを集約し、相関ルールで検知する |
| SOAR | 定型的な対応手順（プレイブック）を自動化する（例：IOCの検索、端末の隔離の承認依頼） |
| EDR | 端末の振る舞いを記録・検知し、隔離やプロセスの停止を行う |
| XDR | 端末・ネットワーク・メール・クラウドなどの情報を横断して相関分析する |
8. インシデント対応の手順
NIST SP 800-61 の流れに沿って整理する。
| 段階 | 主な作業 |
|---|---|
| 準備 | 体制、連絡先、手順書、ログの取得と保存期間、訓練 |
| 検知・分析 | アラートの確認、影響範囲の特定、優先度の判断 |
| 封じ込め | 被害の拡大を止める |
| 根絶 | 原因（マルウェア、不正なアカウント、侵入経路の脆弱性）の除去 |
| 復旧 | システムの再構築、バックアップからの復元、監視の強化 |
| 事後の活動 | 原因の分析、再発防止策、手順の見直し |
8.1 封じ込めの判断
| 手段 | 効果 | 注意点 |
|---|---|---|
| EDRによるネットワーク隔離 | 端末の通信をEDRの管理通信以外遮断する。電源は入ったまま なのでメモリの証拠を残せる | 業務への影響 |
| アカウントの無効化・パスワードの変更 | 窃取された資格情報を使えなくする | 攻撃者に察知されると、別の手段に切り替えられることがある |
| C2の通信先の遮断 | FW・プロキシ・DNSで遮断する | 他の通信先を使われる可能性 |
| VPNの停止、外部接続の遮断 | 侵入経路を塞ぐ | 事業への影響が大きい。経営判断が必要 |
電源を切らない理由：電源を切るとメモリ上の情報（実行中のプロセス、ネットワーク接続、メモリだけで動くマルウェア、暗号鍵）が失われる。まずネットワークから隔離する。
どのホストを隔離するか：ログから侵害が確認された端末だけでなく、侵害されたアカウントがログオンした端末 も対象として検討する。攻撃者が既にそのアカウントで横展開している可能性があるからである。
8.2 証拠保全
- 揮発性の高い順 に取得する：メモリ → ネットワーク接続・プロセス → ディスク → ログ・バックアップ。
- ディスクは複製（イメージ）を取得し、ハッシュ値 を記録して完全性を証明する。分析は複製に対して行う。
- 証拠の保管の連鎖（Chain of Custody）：誰が、いつ、何を取得し、誰に渡したかを記録する。
- ログの保存期間が短いと、侵入時期まで遡れない。ログを別のサーバに転送しておけば、攻撃者による消去（1102）からも守れる。
8.3 体制
| 組織 | 役割 |
|---|---|
| SOC | ログの常時監視、アラートの一次分析 |
| CSIRT | インシデントへの対応の統括、社内外との調整、報告 |
| 経営層 | 事業停止・身代金・公表などの判断 |
| 外部 | フォレンジック事業者、JPCERT/CC、警察、個人情報保護委員会、取引先 |
身代金の支払いについて：支払っても復号やデータの削除が保証されない、攻撃者の資金源になる、制裁対象の組織への支払いが法的な問題になる可能性がある、などの理由から、支払わないことが推奨されている。
9. 再発防止策の書き方
設問で再発防止策を問われたら、攻撃の段階ごと に対策を対応させる。
| 段階 | 対策の例 |
|---|---|
| 初期侵入 | VPN装置のパッチ適用、MFA、公開資産の棚卸し |
| 実行・永続化 | アプリケーション制御、PowerShellの実行ポリシーとログの取得 |
| 資格情報の窃取 | Credential Guard、特権アカウントの階層化、LAPS |
| 横展開 | 端末間のSMB・RDPの制限、ネットワーク分離 |
| 検知 | EDRの全台導入、ログの集約と保存期間の延長 |
| 影響 | オフライン・イミュータブルなバックアップ、復旧手順の訓練（sc_6） |
~Yu Tokunaga