ランサムウェアは、第三者によって作成され、システムに侵入してデータをハイジャック、暗号化、盗み取るコードです。ランサムウェア攻撃のリスクを軽減するため、Google Cloud には、攻撃を特定、保護、検出、対応、復旧するための抑制手段が用意されています。これらの制御により、次のことを実現できます。
- リスクを評価する。
- ビジネスを脅威から保護する。
- 継続的な運用を維持する。
- 迅速な対応と復旧を可能にする。
このドキュメントはセキュリティ アーキテクトと管理者を対象としています。ここでは、ランサムウェア攻撃の順序と、組織がランサムウェア攻撃の影響を軽減するために Google Cloud がどのように役立つかについて説明します。
ランサムウェア攻撃の順序
ランサムウェア攻撃は、潜在的な脆弱性を探す大規模なキャンペーンや、統制されたキャンペーンとして開始されることがあります。対象を絞ったキャンペーンでは、まず組織情報の確認と偵察が行われます。攻撃者はこれによって脆弱性のある組織を特定し、使用する攻撃ベクトルを決定します。
ランサムウェア攻撃の媒介物は多数あります。最も一般的なベクトルは、悪意のある URL を含むフィッシング メールや、公開されているソフトウェアの脆弱性を利用することです。この脆弱性は、組織が使用するソフトウェアに存在する場合や、ソフトウェアのサプライ チェーンに存在する場合があります。ランサムウェア攻撃者は、組織とそのサプライ チェーン、顧客を標的とします。
最初の攻撃が成功すると、ランサムウェアはそれ自体をインストールし、指揮統制サーバーに接続して暗号鍵を取得します。ランサムウェアがネットワーク全体に広がると、リソースに感染し、取得した鍵を使用してデータが暗号化されて持ち出される可能性があります。攻撃者は、復号鍵と引き換えに、組織に身代金（通常は暗号通貨）を要求します。
次の図は、一般的なランサムウェア攻撃の順序（確認と予備調査からデータ引き出しと身代金の要求まで）をまとめたものです。
多くの場合、ランサムウェアは検出が困難です。そのため、重要なことは、防止、モニタリング、検出の機能を導入し、攻撃を見つけたときに迅速に対応する体制を整えておくことです。
Google Cloudのセキュリティと復元性の管理機能
Google Cloud には、ランサムウェア攻撃からお客様を保護するためにセキュリティと復元性の管理機能が組み込まれています。この管理機能には、次のものがあります。
- 情報処理のライフサイクル全体でセキュリティを考慮して設計されたグローバル インフラストラクチャ
- モニタリング、脅威検出、データ損失防止、アクセス制御など、 Google Cloud プロダクトとサービスに組み込まれた検出機能
- Assured Workloads などの組み込みの予防的制御
- リージョン クラスタとグローバル ロードバランサによる高可用性
- スケーラブルなサービスを備えた組み込みのバックアップ
- Infrastructure as Code と構成のガードレールを使用した自動化機能
Google Threat Intelligence、VirusTotal、 Mandiant Digital Threat Monitoring は、Google インフラストラクチャとプロダクト全体にわたり、ランサムウェアを含むさまざまな種類のマルウェアを追跡して対応します。Google Threat Intelligence は、 Google Cloudプロダクトの脅威インテリジェンスを開発する脅威研究者のチームです。VirusTotal は、企業内でのマルウェアの動きを詳細に把握できるマルウェア データベースと可視化ソリューションです。Mandiant Digital Threat Monitoring などの Mandiant サービスは、脅威調査、コンサルティング、インシデント対応のサポートを提供します。
組み込みのセキュリティ管理機能の詳細については、Google のセキュリティの概要と Google インフラストラクチャのセキュリティ設計の概要をご覧ください。
Google Workspace、Chrome ブラウザ、Chromebook のセキュリティと復元性の管理機能
Google Cloud内の管理機能に加え、Google Workspace、Google Chrome ブラウザ、Chromebook などの他の Google プロダクトにも、ランサムウェア攻撃から組織を保護するセキュリティ管理機能が含まれています。たとえば、Google プロダクトには、ロケーションや IP アドレスなどの ID とコンテキストに基づいて、リモート ワーカーがどこからでもリソースにアクセスできるようにするセキュリティ管理機能が備わっています。
ランサムウェア攻撃の順序セクションで説明したように、メールは、多くのランサムウェア攻撃の重要な媒介物です。メールは、不正なネットワーク アクセスのために認証情報を盗み出すため、またランサムウェアのバイナリを直接送りつけるために利用されます。Gmail の高度なフィッシングとマルウェアへの対策では、メールを検疫し、危険な添付ファイルの類から守り、送られてくるなりすましメールからユーザーを保護します。セキュリティ サンドボックスは、未知のマルウェアが添付ファイルに存在するかどうかを検出するように設計されています。
Chrome ブラウザには、Google セーフ ブラウジングが含まれており、ユーザーが感染したサイトや悪意のあるサイトにアクセスしようすると警告が表示されます。サンドボックスとサイト分離により、同じタブの異なるプロセス内に悪意のあるコードが広がることを防止できます。パスワード保護は、個人アカウントで会社のパスワードが使用されている場合にアラートを発出し、ユーザーの保存済みパスワードがオンラインで不正使用されていないかどうかを確認するように設計されています。このような場合は、ブラウザがユーザーにパスワードの変更を求めるメッセージを表示します。
次に挙げる Chromebook の機能は、フィッシングやランサムウェア攻撃からの保護に役立ちます。
- 読み取り専用のオペレーティング システム（ChromeOS）: このシステムは、常に目に見えない形で更新されるように設計されています。Chrome OS は、最新の脆弱性からの保護に役立ちます。また、アプリケーションや拡張機能が OS を変更できないようにする管理機能も含まれています。
- サンドボックス化: 各アプリケーションは隔離された環境で実行されるため、1 つの有害なアプリケーションが他のアプリケーションへ簡単に感染することはありません。
- 確認付きブート: Chromebook の起動時にシステムが変更されていないことを検証するように設計されています。
- セーフ ブラウジング: Chrome では、安全でないサイトの最新のセーフ ブラウジング リストを定期的にダウンロードします。ユーザーがアクセスする各サイトの URL と、ユーザーがダウンロードした各ファイルをこのリストで確認するように設計されています。
- Google セキュリティ チップ: このチップは、オペレーティング システムを悪意のある改ざんから保護します。
組織に存在する攻撃対象領域を減らすには、主にブラウザで仕事を行うユーザーに Chromebook を使用してもらうことを検討してください。
Google Cloudでランサムウェア攻撃を軽減するためのベスト プラクティス
企業のリソースとデータをランサムウェア攻撃から保護するには、オンプレミス環境とクラウド環境にまたがる多層制御を行う必要があります。
以降のセクションでは、組織がGoogle Cloudに対するランサムウェア攻撃を識別、防止、検出、対処するためのベスト プラクティスについて説明します。
リスクとアセットの特定
Google Cloudでリスクとアセットを特定するには、次のベスト プラクティスを検討してください。
- Google Cloudでリソースのインベントリを維持します。
- 監査ログを使用する。
- Security Command Center Premium の攻撃パス シミュレーションを使用して、現在のリスク プロファイルを評価します。
- リスク保護プログラムで利用可能なサイバー保険のオプションを検討します。
- データ検査用に Sensitive Data Protection を有効にします。
リソースとデータへのアクセスを制御する
リソースとデータへのアクセスを制限するには、次のベスト プラクティスを検討してください。 Google Cloud
サービス アカウントの保護に関するその他のベスト プラクティスについては、サービス アカウントの使用に関するベスト プラクティスをご覧ください。
重要なデータを保護する
センシティブ データを保護するため、次のベスト プラクティスを検討してください。
データの保存に使用するクラウド ストレージ オプションで冗長性（N+2）を構成します。Cloud Storage を使用する場合は、次の点を考慮してください。
ネットワークとインフラストラクチャの保護
ネットワークとインフラストラクチャの保護に役立つベスト プラクティスは次のとおりです。
- 安全なベースラインに Infrastructure as Code を使用する。
- VPC Service Controls を有効にします。
- Cloud VPN または Cloud Interconnect を使用してハイブリッド接続を保護する。
- ファイアウォール ルールとともに Cloud Load Balancing を使用します。
次のような制限付きの組織のポリシーを実装します。
ワークロードを保護
ワークロードを保護するため、次のベスト プラクティスを検討してください。
- ソフトウェア開発ライフサイクルのあらゆる段階でセキュリティを統合します。Google Kubernetes Engine（GKE）ワークロードの場合は、信頼できるビルドやアプリケーションの分離など、ソフトウェア サプライ チェーンのセキュリティを実装します。
- Pod 間のトラフィックを制限する。
- Cloud Build とオンデマンド スキャンを使用して、コードを commit する前に脆弱性スキャンを実行します。
- アーティファクトの脆弱性スキャンを構成する。
- Binary Authorization を適用する。
- Google Cloud Armor ポリシーを使用する。
- GKE クラスタを最新の状態に保つ。
攻撃の検出
攻撃の検出に役立つベスト プラクティスは次のとおりです。
- Cloud Logging を使用して Google Cloud のサービスのログを管理、分析し、Cloud Monitoring を使用してサービスとリソースのパフォーマンスを測定します。
- 組織レベルで Security Command Center を有効にします。
- VM とコンテナ化されたワークロードのランタイム脅威検出には、Wiz Runtime Sensor を使用した Wiz Defend を使用して、アクティブな脅威を検出して対応します。
- 詳細なセキュリティ分析と脅威ハンティングを行うには、Google Security Operations と統合します。
インシデントの計画
ランサムウェア インシデント対応ハンドブックを作成し、机上演習を実施します。復旧手順を定期的に実施して、準備状況を確認し、ギャップを特定します。
攻撃を関係当局に報告する義務を理解し、ハンドブックに関連する連絡先情報を記載します。
攻撃への対応と復旧
ランサムウェア攻撃を検出したら、インシデント対応計画を有効にします。インシデントが誤検出ではなく、Google Cloud サービスに影響することを確認したら、P1 サポートケースを開きます。Cloud カスタマーケアの対応は、Google Cloud: 技術サポート サービス ガイドラインに記載されています。
プランを有効にしたら、組織内でインシデントの調整と解決プロセスに関与する必要があるチームを収集します。インシデントの調査と解決のために、こうしたツールとプロセスが設定されるようにしてください。
インシデント対応計画に沿ってランサムウェアを削除し、環境を正常な状態に戻します。攻撃の重大度と有効にしたセキュリティ制御に応じて、計画には次のようなアクティビティを含めることができます。
- 感染したシステムの隔離。
- 正常なバックアップからの復元。
- CI/CD パイプラインを使用して、インフラストラクチャを以前の正常な状態に復元する。
- 脆弱性が削除されたことの確認。
- 同様の攻撃に弱い可能性があるすべてのシステムへのパッチの適用。
- 同様の攻撃を回避するために必要な制御手段の実装。
対応プロセスを進めながら、Google サポート チケットを引き続きモニタリングします。カスタマー ケアでは、Google Cloud 内で環境を取り込み、消去し、（可能であれば）復旧するための適切な措置を講じます。
インシデントが解決され、環境が復元されたら、カスタマーケアに連絡します。予定されている場合は、Google 担当者と共同の振り返りに参加してください。
インシデントから得た教訓を記録し、同様の攻撃を回避するために必要な制御手段を設定します。攻撃の特徴に応じて、次のアクションを検討できます。
- 攻撃が再発した場合に自動的にトリガーされる検出ルールとアラートを作成する。
- インシデント対応ハンドブックを更新して、学習した教訓を追加する。
- 振り返りによる検出結果に基づいてセキュリティ ポスチャーを改善する。
次のステップ
- Mandiant のコンサルタントにサイバー防御の評価を依頼します。
- その他のベスト プラクティスについては、セキュリティのベスト プラクティス カタログをご覧ください。
- Google によるインシデントの管理方法については、データ インシデント対応プロセスをご覧ください。