ランサムウェア対策ポリシー
Windows ランサムウェアのキルチェーンを断つ、KEPMの多層ポリシー
ランサムウェア対策ポリシー
対象: 多層のKeeper EPMランサムウェア対策ベースラインを展開するWindows管理者向けです。
Windows上のランサムウェアは単一のイベントではなく、前段階が成功しないと次に進めない一連の段階です。まずローダーが実行され、次に昇格し、復旧手段を破壊し、最後に暗号化によってユーザーデータが上書きされます。ランサムウェアを止めるには検知は必須ではなく、いずれか1段階の完了を防げば足ります。
Keeper EPMがWindowsランサムウェアを止める仕組み
Windows上でランサムウェアが実害を与えるには3つのゲートを通過する必要があります。Keeper EPMは各段階でポリシーを適用します。
実行ゲート: LOTLバイナリ (
powershell.exe、wscript.exe、cmd.exe、certutil.exe、wmic.exe、mshta.exe、regsvr32.exe、rundll32.exe) へのファイルアクセスポリシーにより、バイナリ実行前に正当な理由の入力、MFA、または承認を要求します。ランサムウェアのローダーはMFAや承認ワークフローを満たせません。昇格ゲート: 最小権限の下では、ユーザーはローカル管理者グループに属しません。昇格の試みはすべてポリシー評価の対象となり、ランサムウェアプロセスはユーザーの非管理者トークンを引き継ぐため、Defenderの無効化、バックアップサービスの停止、保護パスへの書き込みができません。
復旧破壊ゲート: 破壊ユーティリティ自体に
DENYコントロールを設定したファイルアクセスポリシーにより、どのシェルやパスから起動されても復旧手段の削除ステップをハードブロックします。
ブロックのたびに監査イベントが管理コンソールとSIEMストリームに送られます。1台のエンドポイントで拒否が短時間に集中する事象は、SOCが重視する高信頼度のランサムウェア検知シグナルそのものです。
Keeper EPMは各段階でポリシーを適用します。各ゲートは独立して機能し、キルチェーンの別の地点で攻撃を断ちます。まとめて展開すると多層防御となり、1つのゲートをすり抜けたランサムウェア変種も次のゲートで止まります。
4つのゲート
ファイルアクセス (正当な理由 / MFA / 承認)
LOTLバイナリ (powershell.exe、cmd.exe、wmic.exe など) の実行前に正当な理由の入力、MFA、または承認を要求。ランサムウェアのローダーはこれらのワークフローを満たせない
最小権限
ユーザーをローカル管理者グループから外す。ランサムウェアはユーザーの非管理者トークンを引き継ぎ、Defenderの無効化、バックアップサービスの停止、保護パスへの書き込みができない
ファイルアクセス (DENY)
シャドウコピーの削除やバックアップ破壊に使われる破壊ユーティリティ (vssadmin.exe、wbadmin.exe、bcdedit.exe、wevtutil.exe、fsutil.exe、cipher.exe) をハードブロック
ゲートの連携
Windows上の典型的なランサムウェアキルチェーンは以下の順序で進みます。各ゲートが別のステップを断ちます。
フィッシングペイロードの到着。 ユーザーが悪意のあるドキュメントを開くか、ドロッパーをダウンロードします。ドロッパーは
powershell.exeやwscript.exeを呼び出して次段階を取得・実行しようとします。→ ゲート1 (実行) が正当な理由の入力またはMFAを求めます。マルウェアはプロンプトを完了できず、ローダーは実行されません。ローダーが昇格を試みる。 ローダーが実行された場合 (例: 管理者ユーザーが誤って正当な理由を入力した)、防御の無効化やバックアップサービスの停止のために昇格を試みます。→ ゲート2 (昇格) が昇格を拒否します。マルウェアはユーザーの非管理者トークンに留まります。
マルウェアが復旧手段の破壊を試みる。 昇格がなくても、一部のランサムウェア変種は
vssadmin経由でシャドウコピーを直接削除したり、Set-MpPreferenceでDefenderを無効化しようとします。→ ゲート3 (復旧破壊) が破壊ユーティリティ自体をブロックします。シャドウコピー、バックアップ、Defenderの構成は維持されます。マルウェアがファイルの暗号化を開始。 暗号化ループはユーザードキュメント、ネットワーク共有、書き込み可能なパスを標的にします。→ ゲート4 (データ保護) がNTFS ACLレベルで保護ディレクトリへの書き込みを拒否します。暗号化プロセスが動いていても、重要データは保全されます。
プロンプト、拒否、承認のたびに監査イベントが管理コンソールとSIEMストリームに送られます。1台のエンドポイントで拒否や異常な正当化が短時間に集中する事象は、SOCが重視する高信頼度のランサムウェア検知シグナルです。 Keeper EPMは検知製品ではありませんが、その適用イベントは検知製品向けの検知グレードのテレメトリになります。
展開順序
ゲートは記載順に展開してください。各ゲートは他に依存せず環境を強化でき、後続のゲートほど運用上の展開難度は高くなります。
ゲート3 (復旧破壊) を最初に展開します。破壊ユーティリティに正当な非管理者用途はほぼなく、DENYポリシーは誤検知が極めて少ないため、影響が大きく摩擦が小さいベースラインをここから確立できます。
ゲート4 (データ保護) を2番目に展開します。保護ディレクトリを1〜2か所 (財務、ソースコード、役員共有など) 選んでパイロットし、確信が持てる範囲で拡大します。
ゲート1 (実行) を3番目に展開します。ユーザープロンプトが発生し、調整が最も必要です。適用前に2週間監視モードでプロンプト件数を把握します。
ゲート2 (昇格) を最後に展開します。ローカル管理者グループからユーザーを外す変更は摩擦が最大です。段階的ロールアウトの計画のガイドに沿って、パイロット、コホート、全社展開の各フェーズを進めます。
多層防御
単一のゲートだけでは完全な統制にはなりません。現代のランサムウェア攻撃者は高度であり、適応します。多層モデルの価値は、各ゲートが攻撃の別の前提条件を断つ点にあります。
LOTLも昇格も使わない完全ユーザースペースで動く変種でも、ゲート4がファイル書き込み段階で止めます。
BYOVD (bring-your-own-vulnerable-driver) で昇格する変種でも、シャドウコピー削除を試みるゲート3で止まります。
実行・昇格のゲートをすべてすり抜けた変種でも、SIEM上の拒否集中として検知され、SOC向けの高信頼度アラートになります。
各ゲートは本節の個別ページで説明しています。運用上スムーズな展開のため、上記の順序で実装してください。
最終更新