Google Cloud を使用してランサムウェア攻撃を軽減する

ランサムウェアは、第三者によって作成され、システムに侵入してデータをハイジャック、暗号化、または盗むコードです。ランサムウェア攻撃を軽減するために、Google Cloud には、攻撃の特定、保護、検出、対応、復旧のためのコントロールが用意されています。こうした制御により、次のことを実現できます。

  • リスクを評価する。
  • ビジネスを脅威から保護する。
  • 継続的な運用を維持する。
  • 迅速な対応と復旧を可能にする。

このドキュメントはセキュリティ アーキテクトと管理者を対象としています。ランサムウェア攻撃のシーケンスと、 Google Cloud がランサムウェア攻撃の影響を軽減する方法について説明します。

ランサムウェア攻撃の順序

ランサムウェア攻撃は、潜在的な脆弱性を探す大規模なキャンペーンや、統制されたキャンペーンとして開始されることがあります。対象を絞ったキャンペーンでは、まず組織情報の確認と偵察が行われます。攻撃者はこれによって脆弱性のある組織を特定し、使用する攻撃ベクトルを決定します。

ランサムウェアの攻撃ベクトルは多数あります。一般的なものは、有害な URL を含むフィッシング メールや、公開されているソフトウェアの脆弱性の悪用です。この脆弱性は、組織が使用するソフトウェアに存在する場合や、ソフトウェアのサプライ チェーンに存在する場合があります。ランサムウェア攻撃者は、組織とそのサプライ チェーン、顧客を標的とします。

最初の攻撃が成功すると、ランサムウェアはそれ自体をインストールし、指揮統制サーバーに接続して暗号鍵を取得します。ネットワーク全体に広がったランサムウェアはさまざまなリソースを感染させ、取得した鍵でデータを暗号化して持ち出します。攻撃者は、復号鍵と引き換えに、組織に身代金（通常は暗号通貨）を要求します。

次の図は、特定と偵察からデータの引き出しと身代金の要求まで、典型的なランサムウェア攻撃の流れをまとめたものです。

ランサムウェア攻撃の順序。

多くの場合、ランサムウェアは検出が困難です。そのため、重要なことは、防止、モニタリング、検出の機能を導入し、攻撃を見つけたときに迅速に対応する体制を整えておくことです。

Google Cloudのセキュリティと復元性の管理機能

Google Cloud には、ランサムウェア攻撃からお客様を保護するためのセキュリティと復元性の制御が組み込まれています。この管理機能には、次のものがあります。

  • 情報処理ライフサイクル全体を通してセキュリティを確保するように設計されたグローバル インフラストラクチャ
  • モニタリング、脅威検出、データ損失防止、アクセス制御など、 Google Cloud のプロダクトとサービスの組み込み検出機能
  • Assured Workloads などの組み込みの予防管理
  • リージョン クラスタとグローバル ロードバランサによる高可用性
  • 組み込みのバックアップとスケーラブルなサービス
  • Infrastructure as Code と構成のガードレールを使用した自動化機能

Google Threat Intelligence、VirusTotal、 Mandiant Digital Threat Monitoring は、Google インフラストラクチャとプロダクト全体にわたり、ランサムウェアを含むさまざまな種類のマルウェアを追跡して対応します。Google Threat Intelligence は、 Google Cloudプロダクトの脅威インテリジェンスを開発する脅威研究者のチームです。VirusTotal は、企業内でのマルウェアの動きを詳細に把握できるマルウェア データベースと可視化ソリューションです。Mandiant Digital Threat Monitoring などの Mandiant サービスは、脅威の調査、コンサルティング、インシデント対応のサポートを提供します。

組み込みのセキュリティ管理機能の詳細については、Google のセキュリティの概要と、Google インフラストラクチャのセキュリティ設計の概要をご覧ください。

Google Workspace、Chrome ブラウザ、Chromebook のセキュリティと復元性の管理機能

Google Cloud内のコントロールに加えて、Google Workspace、Google Chrome ブラウザ、Chromebook などの他の Google サービスには、ランサムウェア攻撃から組織を保護するのに役立つセキュリティ管理機能が含まれています。たとえば、Google プロダクトには、リモート ワーカーが ID とコンテキスト（場所や IP アドレスなど）に基づいてどこからでもリソースにアクセスできるようにするセキュリティ管理機能が用意されています。

ランサムウェア攻撃の順序のセクションで説明したように、メールは多くのランサムウェア攻撃の主要なベクトルです。メールは、不正なネットワーク アクセスのために認証情報を盗み出すため、またランサムウェアのバイナリを直接送りつけるために利用されます。Gmail の高度なフィッシングと不正なソフトウェアへの対策では、メールを検疫し、危険な添付ファイルの類から守り、送られてくるなりすましメールからユーザーを保護します。セキュリティ サンドボックスは、未知のマルウェアが添付ファイルに存在するかどうかを検出するように設計されています。

Chrome ブラウザには、Google セーフ ブラウジングが含まれており、ユーザーが感染したサイトや悪意のあるサイトにアクセスしようすると警告が表示されます。サンドボックスとサイト分離により、同じタブの異なるプロセス内に悪意のあるコードが広がることを防止できます。パスワード保護は、個人アカウントで会社のパスワードが使用されている場合にアラートを発出し、ユーザーの保存済みパスワードがオンラインで不正使用されていないかどうかを確認するように設計されています。このような場合は、ブラウザがユーザーにパスワードの変更を求めるメッセージを表示します。

次に挙げる Chromebook の機能は、フィッシングやランサムウェア攻撃からの保護に役立ちます。

  • 読み取り専用のオペレーティング システム（ChromeOS）: このシステムは、常にバックグラウンドで更新されるように設計されています。Chrome OS は、最新の脆弱性から保護するのに役立ち、アプリケーションや拡張機能が変更できないようにするコントロールを備えています。
  • サンドボックス化: 各アプリケーションは隔離された環境で実行されるため、1 つの有害なアプリケーションが他のアプリケーションに簡単に感染することはありません。
  • 確認付きブート: Chromebook の起動時に、システムが変更されていないことを確認するように設計されています。
  • セーフ ブラウジング: Chrome は、安全でないサイトの最新のセーフ ブラウジング リストを定期的にダウンロードします。この機能は、ユーザーがアクセスする各サイトの URL をチェックし、ユーザーがダウンロードする各ファイルをこのリストと照合するように設計されています。
  • Google セキュリティ チップ: これらのチップは、オペレーティング システムを悪意のある改ざんから保護するのに役立ちます。

組織に存在する攻撃対象領域を減らすには、主にブラウザで仕事を行うユーザーに Chromebook を使用してもらうことを検討してください。

Google Cloudでのランサムウェア攻撃を軽減するためのベスト プラクティス

企業のリソースとデータをランサムウェア攻撃から保護するには、オンプレミス環境とクラウド環境にまたがる多層制御を行う必要があります。

以降のセクションでは、組織がGoogle Cloudに対するランサムウェア攻撃を識別、防止、検出、対処するためのベスト プラクティスについて説明します。

リスクとアセットの特定

Google Cloudでリスクとアセットを特定するには、次のベスト プラクティスを検討してください。

リソースとデータへのアクセスを制御する

Google Cloudのリソースとデータへのアクセスを制限するには、次のベスト プラクティスを検討してください。

サービス アカウントの保護に関するその他のベスト プラクティスについては、サービス アカウントの使用に関するベスト プラクティスをご覧ください。

重要なデータを保護する

機密データを保護するために、次のベスト プラクティスを検討してください。

安全なネットワークとインフラストラクチャ

ネットワークとインフラストラクチャの保護に役立つ次のベスト プラクティスを検討してください。

ワークロードを保護

ワークロードを保護するために、次のベスト プラクティスを検討してください。

攻撃の検出

攻撃の検出に役立つ次のベスト プラクティスを検討してください。

インシデントの計画

  • 完全な事業継続計画と災害復旧計画。

  • ランサムウェア インシデント対応ハンドブックを作成し、机上演習を行います。復旧手順を定期的に実施して、準備状況を確認し、ギャップを特定します。

  • 攻撃を当局に報告する義務を理解し、関連する連絡先情報をハンドブックに含めます。

攻撃への対応と復旧

ランサムウェア攻撃を検出したら、インシデント対応計画を有効にします。インシデントが誤検出ではなく、Google Cloud サービスに影響することを確認したら、P1 サポートケースを開きます。Cloud カスタマーケアの対応は、Google Cloud: 技術サポート サービス ガイドラインに記載されています。

プランを有効にしたら、組織内でインシデントの調整と解決プロセスに関与する必要があるチームを収集します。これらのツールとプロセスが、インシデントの調査と解決のために導入されていることを確認します。

インシデント対応計画に従ってランサムウェアを削除し、正常な状態に戻します。攻撃の重大度と有効にしたセキュリティ制御に応じて、計画には次のようなアクティビティを含めることができます。

  • 感染したシステムの隔離。
  • 正常なバックアップからの復元。
  • CI / CD パイプラインを使用して、インフラストラクチャを以前の既知の良好な状態に復元する。
  • 脆弱性が削除されたことの確認。
  • 同様の攻撃に弱い可能性があるすべてのシステムへのパッチの適用。
  • 同様の攻撃を回避するために必要な制御手段の実装。

対応プロセスを進める際は、Google サポート チケットを引き続きモニタリングしてください。カスタマーケアは、Google Cloud 内で適切な措置を講じて、環境を封じ込め、根絶し、（可能であれば）復元します。

インシデントが解決され、環境が復元されたら、カスタマーケアに連絡します。予定されている場合は、Google の担当者との共同振り返りに参加します。

インシデントから得られた教訓を記録し、同様の攻撃を回避するために必要な制御を導入します。攻撃の性質に応じて、次の対応を検討できます。

  • 攻撃が再発した場合に自動的にトリガーされる検出ルールとアラートを作成する。
  • インシデント対応ハンドブックを更新して、得られた教訓を反映します。
  • 振り返りの結果に基づいてセキュリティ ポスチャーを改善します。

次のステップ