ゲート3: 復旧破壊

ランサムウェア対策の復旧破壊ゲート、シャドウコピー削除等の破壊ユーティリティを拒否するファイルアクセスポリシー

対象: 多層のKeeper EPMランサムウェア対策ベースラインを展開するWindows管理者向けです。

---

多層ランサムウェア対策モデルの概要と、このゲートの位置づけはランサムウェア対策ポリシーをご参照ください。

本ポリシーは、Windows上で多層展開するKeeper EPMランサムウェア対策における復旧破壊ゲートです。Conti、LockBit、BlackCat、Royal、Akira系などのランサムウェアファミリーがシャドウコピー削除、バックアップ破壊、ブート復旧の無効化、フォレンジック証拠の消去に使う代表的な破壊ユーティリティ (vssadmin.exe、wbadmin.exe、bcdedit.exe、wevtutil.exe、fsutil.exe、cipher.exe) の実行を拒否します。実行ファイル自体を標的にすることで、ディスク上の起動場所、ユーザー、対象マシンを問わずこれらのユーティリティをブロックします。

手順: ポリシーの作成

1

アプリケーションコレクションの作成

ポリシー作成前に、破壊ユーティリティをアプリケーションコレクションにまとめます。ファイル名のみのリソースは、ディスク上の場所に関係なく実行ファイルに一致し、本ポリシーの「パス非依存」の挙動を実現します。

1. Keeper管理コンソールで [エンドポイント特権マネージャー] → [コレクション] → [アプリケーション] に移動します。
2. [新しいコレクション] をクリックします。
3. [新しいコレクション] モーダルで以下を設定します。

   • タイプ: Applications
   • 名前: Ransomware Destructive Utilities (Windows)
   • [次へ] をクリックします。
4. [コレクションへのアイテム追加] モーダルで [リソースを手動で定義する] にチェックを入れ、各ユーティリティをカスタムリソースとして追加します。
5. 以下を1件ずつ追加し、都度 [追加] をクリックします。

   1. vssadmin.exe
   2. wbadmin.exe
   3. bcdedit.exe
   4. wevtutil.exe
   5. fsutil.exe
   6. cipher.exe
6. コレクションを保存します。コレクションのUIDを控えておきます。ポリシーJSONのインポート時に ApplicationCheck で参照するか、UIでポリシーを作成するときにピッカーから選択します。

vssadmin.exe (パスなし) として登録すると、C:\Windows\System32、%TEMP% 下にステージングしたコピー、リネームしたフォルダのドロッパー、USBメモリなど、起動場所を問わず一致します。C:\Windows\System32\vssadmin.exe のように登録すると、その1パスだけに一致し、ステージングされたコピーを見逃します。

2

ポリシーの作成

1. [エンドポイント特権マネージャー] → [ポリシー] に移動し、[ポリシーの作成] をクリックします。
2. ポリシー詳細を入力します。

   • ポリシー名: Deny Ransomware Recovery Destruction (Windows)
   • ポリシータイプ: File Access
   • ステータス: 初期パイロットは Monitor。正当な管理またはバックアップツールが一致しないことを確認したら Enforce に切り替えます。

3

DENY コントロールの追加

1. [コントロールを追加] をクリックします。
2. [拒否] を選択します。

4

フィルターの設定

1. ユーザーグループ: [すべてのユーザーとグループ] (ワイルドカード) を選択します。
2. マシンコレクション: Windowsマシンコレクションを選択します。特定の許可ポリシーが上書きできるベースラインにするなら [すべて選択] のまま。特定ポリシー優先にするなら、名前付きWindowsマシンコレクションを指定します。
3. アプリケーション: 手順1の Ransomware Destructive Utilities (Windows) コレクションを選択します。
4. 日時範囲は未設定のままにします。破壊的なランサムウェア活動は時間帯を問いません。

5

Advanced Modeでの通知設定

1. 通知メッセージ: This action has been blocked by Keeper EPM. The requested utility is restricted because it is commonly used to destroy backup and recovery data. Contact your administrator if you have a legitimate business need.

6

保存とパイロット

1. [保存] をクリックします。ポリシーは約30分以内に適用範囲内のすべてのエンドポイントへ配布されます。影響を受けるエンドポイントのユーザーは、Keeperエージェントの [ポリシーを更新] で即時同期できます。
2. [監視] モードで7〜14日間運用します。[エンドポイント特権マネージャー] → [ダッシュボード] の監査ログで、正当な管理またはバックアップワークフローとの一致がないか確認します。
3. 監視結果に問題がなければ、[ステータス] を Enforce に変更します。

参考: ポリシーJSON

以下は完成したポリシーのエクスポート形式です。<generated-policy-uid> と <uid-of-Ransomware-Destructive-Utilities-collection> のプレースホルダーは、管理コンソールでポリシーとコレクションを作成すると自動で埋まります。

{
	"PolicyName": "Deny Ransomware Recovery Destruction (Windows)",
	"PolicyType": "FileAccess",
	"PolicyId": "<generated-policy-uid>",
	"Status": "enforce",
	"Actions": {
		"OnSuccess": {
			"Controls": [
				"DENY"
			]
		},
		"OnFailure": {
			"Command": ""
		}
	},
	"NotificationMessage": "This action has been blocked by Keeper EPM. The requested utility is restricted because it is commonly used to destroy backup and recovery data. Contact your administrator if you have a legitimate business need.",
	"NotificationRequiresAcknowledge": false,
	"RiskLevel": 95,
	"Operator": "And",
	"Rules": [
		{
			"RuleName": "UserCheck",
			"ErrorMessage": "This user is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckUser()"
		},
		{
			"RuleName": "MachineCheck",
			"ErrorMessage": "This Machine is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckMachine()"
		},
		{
			"RuleName": "ApplicationCheck",
			"ErrorMessage": "This application is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckFile(false)"
		},
		{
			"RuleName": "DateCheck",
			"ErrorMessage": "Current date is not covered by this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckDate()"
		},
		{
			"RuleName": "TimeCheck",
			"ErrorMessage": "Current time is not covered by this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckTime()"
		},
		{
			"RuleName": "DayCheck",
			"ErrorMessage": "Today is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckDay()"
		},
		{
			"RuleName": "CertificateCheck",
			"ErrorMessage": "Certificate hash is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckCertificate()"
		}
	],
	"UserCheck": [
		"*"
	],
	"MachineCheck": [
		"*"
	],
	"ApplicationCheck": [
		"<uid-of-Ransomware-Destructive-Utilities-collection>"
	],
	"DayCheck": [],
	"DateCheck": [],
	"TimeCheck": [],
	"CertificationCheck": [],
	"Extension": {}
}