building-ransomware-playbook-with-cisa-framework

CISA フレームワークを使用したランサムウェア対応プレイブックの作成

使用するタイミング

• 組織が CISA のガイドラインに従って、ランサムウェアインシデント対応プレイブックを作成または更新する必要がある場合
• セキュリティチームが、CISA StopRansomware フレームワークに照らしてランサムウェア対応準備状況を評価する場合
• コンプライアンス要件により、NIST CSF および CISA の推奨事項に準拠したランサムウェア対応手順を文書化する必要がある場合
• 机上演習で、組織のランサムウェア対応手順が業界のベストプラクティスに沿っているか検証する場合
• ランサムウェアインシデントの発生後、教訓をプレイブックに反映し、特定されたギャップを解消する場合

法的助言の代わりとして使用しないでください。身代金の支払いに関する判断、侵害の通知期限、および管轄区域固有の規制上の義務については、法律の専門家に相談してください。

前提条件

• CISA StopRansomware Guide（cisa.gov/stopransomware/ransomware-guide）の内容を理解していること
• NIST Cybersecurity Framework（CSF）の理解（Identify、Protect、Detect、Respond、Recover）
• 重要な資産、バックアップインフラストラクチャ、通信チャネルのインベントリ
• インシデント対応チームメンバーの役割と責任が定義されていること
• プレイブックの生成とコンプライアンスチェックの自動化に使用する Python 3.8+
• 組織の資産インベントリおよびバックアップ構成のドキュメントへのアクセス

ワークフロー

ステップ 1：準備フェーズ（CISA Part 1 - Prevention）

インシデント発生前に、ランサムウェアに特化した防御策を確立します。

CISA Preparation Checklist:
━━━━━━━━━━━━━━━━━━━━━━━━━━
[ ] Maintain offline, encrypted backups tested for restoration
[ ] Create and exercise a cyber incident response plan (IRP)
[ ] Implement network segmentation between IT and OT networks
[ ] Enable MFA on all remote access and privileged accounts
[ ] Deploy endpoint detection and response (EDR) on all endpoints
[ ] Disable or restrict RDP; require VPN for remote access
[ ] Maintain a software/hardware asset inventory
[ ] Apply patches within 48 hours for internet-facing systems
[ ] Configure email filtering and disable macro execution by default
[ ] Conduct regular phishing awareness training
[ ] Implement application allowlisting (AppLocker/WDAC)
[ ] Test backup restoration quarterly and document RTO/RPO

ステップ 2：検知と分析フェーズ

ランサムウェアの兆候を特定し、影響範囲を評価します。

Detection Indicators:
━━━━━━━━━━━━━━━━━━━━
- Mass file rename operations with new extensions (.locked, .encrypted)
- Ransom notes appearing in directories (README.txt, DECRYPT.html)
- Volume Shadow Copy deletion (vssadmin delete shadows)
- Abnormal CPU usage from encryption processes
- EDR/AV alerts for known ransomware signatures
- Network connections to known C2 infrastructure
- Unusual lateral movement via SMB or PsExec
- Sysmon Event ID 11 (file creation) spikes

Initial Analysis Steps (CISA):
  1. Take system images and memory captures of affected devices
  2. Identify patient zero and initial access vector
  3. Determine the ransomware family (ID Ransomware, ransom note analysis)
  4. Assess encryption scope: which systems, shares, and data are affected
  5. Check if data exfiltration occurred (double extortion indicator)

ステップ 3：封じ込めフェーズ

拡散を阻止し、証拠を保全します。

Immediate Containment (First 1-4 hours):
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. Isolate affected systems from the network (disable NICs, VLAN quarantine)
2. If unable to disconnect, power down affected systems
3. Disable shared drives to prevent encryption spread
4. Reset credentials for compromised accounts (especially admin/service accounts)
5. Block known ransomware IOCs at firewall/proxy (C2 domains, IPs)
6. Preserve forensic evidence (memory dumps, disk images, logs)
7. Engage legal counsel and prepare breach notification if data exfiltrated

Extended Containment:
  - Identify and patch the initial access vector (phishing, RDP, VPN vuln)
  - Audit all Active Directory accounts for persistence (scheduled tasks, services)
  - Check for backdoors or additional malware beyond the ransomware payload

ステップ 4：根絶と復旧フェーズ

脅威を排除し、業務を復旧します。

CISA Recovery Steps:
━━━━━━━━━━━━━━━━━━━
1. Rebuild affected systems from known-clean images (do NOT decrypt in place)
2. Restore data from offline backups (verify backup integrity first)
3. Reset ALL passwords including service accounts, krbtgt (twice, 12h apart)
4. Scan restored systems with updated AV/EDR before reconnecting to network
5. Re-enable services in priority order based on business criticality
6. Monitor restored systems intensively for 72 hours for reinfection

Recovery Priority Matrix:
  P1 (0-4h):  Domain controllers, DNS, authentication infrastructure
  P2 (4-24h): Email, critical business applications, databases
  P3 (1-3d):  File servers, departmental applications
  P4 (3-7d):  Non-critical systems, development environments

ステップ 5：インシデント後の活動

教訓を文書化し、防御を改善します。

Post-Incident Report Template:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. Executive summary: What happened, impact, resolution
2. Timeline: Detection to full recovery with timestamps
3. Root cause analysis: Initial access vector and propagation path
4. Scope: Number of systems, data volumes, business impact in hours/dollars
5. Response effectiveness: What worked, what failed, what was missing
6. Recommendations: Specific technical and procedural improvements
7. Compliance actions: Notification timeline, regulatory obligations met
8. Updated playbook: Revisions based on lessons learned

検証

• CISA StopRansomware のチェックリスト項目に照らして、プレイブックの網羅性を検証します
• すべての関係者がプレイブックを使用して机上演習を実施します
• バックアップの復元手順が、文書化された RTO 目標内で機能することを確認します
• 帯域外チャネルを含む通信計画をテストします
• 法的要件および規制上の通知手順が最新であることを確認します
• 少なくとも年に一度、またはインシデント発生後にプレイブックを見直して更新します

主要な概念

用語	定義
CISA StopRansomware Guide	ランサムウェア防止のベストプラクティスと対応チェックリストを提供する、CISA／MS-ISAC／NSA／FBI の共同ガイド
RTO/RPO	Recovery Time Objective（最大ダウンタイム）と Recovery Point Objective（最大データ損失）。バックアップ計画における重要な指標です
二重脅迫	攻撃者がデータを暗号化するとともに、身代金が支払われなければ盗んだデータを公開すると脅迫するランサムウェアの手口
Patient Zero	インシデントで最初に侵害されたシステム。これを特定することで、最初の侵入経路が明らかになります
机上演習	実稼働システムを使わずにプレイブックを検証するため、対応チームがシミュレーションしたインシデントシナリオを検討する演習

ツールとシステム

• CISA StopRansomware Guide：ランサムウェア対応計画と防止のための主要なフレームワーク
• NIST CSF：Identify／Protect／Detect／Respond／Recover の構造を提供するサイバーセキュリティフレームワーク
• ID Ransomware：暗号化されたファイルや身代金要求メモからランサムウェアファミリーを特定するサービス
• MITRE ATT&CK：ランサムウェアの TTP を検知機会に対応付けるための手法フレームワーク
• Velociraptor：インシデント発生時の迅速なトリアージとフォレンジックアーティファクトの収集に使用するエンドポイント可視化ツール