クラウド基盤を標的とした大規模ラインサムウェア攻撃へのインシデント対応と事後対応事例

当社は、本件に対しフォレンジック調査から危機管理対応及びその後のセキュリティ対策までセキュリティライフサイクルに沿って実施した。

事後対応に有効となった事故対応での成果

• 初期アクセスの詳細な特定
  

MITRE ATT＆CK

• 特権アカウントの利用状況や脆弱性の可視化
• 仮想サーバ削除の手口とタイミングの特定により再発防止の材料を提供
• 情報漏洩の可能性と対象ファイルの範囲特定により外部説明準備を支援
• ランサムウェアの種類と拡散経路を明示し、復旧計画に反映
• 原因の明確化と復旧後の適切な恒久対策によりステークホルダーからの信頼回復・向上

「クラウド基盤という特殊な環境下での迅速かつ網羅的な解析により、被害状況の可視化と信頼回復に大きく貢献いただきました。」

クラウド環境かつ仮想化基盤上での事案であったため、複数層にわたるログを横断的に分析。特に特権アカウントの利用ログや、特殊な持ち込みツールの挙動分析に注力した。また、削除された仮想サーバの影響を補完するため、ネットワークログやイベントログを活用し被害の実態把握に努めた。

本事案はクラウドベースのサービスを提供する企業であったため、クラウド特有の脅威と対策が求められた。仮想化環境におけるサーバ横断型の攻撃や、外部からのリモートアクセス、クラウドストレージ連携への対応が中心となる中、当社のクラウド対応フォレンジックノウハウが生かされた。

仮想環境やクラウドは便利な一方、攻撃者にとっても魅力的なターゲットです。物理的隔離が難しい今だからこそ、フォレンジックの準備やログの整備、アカウント管理の厳格化が求められます。「可視化できる環境」こそが次なるインシデントへの最善の備えです。